ALG im Überblick

Ein Application Layer Gateway (ALG) ist eine Softwarekomponente, die für die Verwaltung bestimmter Protokolle wie Session Initiation Protocol (SIP) oder FTP auf Geräten von Juniper Networks ausgelegt ist, auf denen Junos OS ausgeführt wird. Das ALG-Modul ist für die anwendungsorientierte Paketverarbeitung auf Switches verantwortlich.

ALG-Funktionen können entweder durch einen Dienst oder eine Anwendung ausgelöst werden, die in der Sicherheitsrichtlinie konfiguriert ist:

• Ein Dienst ist ein Objekt, das ein Anwendungsprotokoll anhand von Layer-4-Informationen (wie Standard- und akzeptierten TCP- und UDP-Portnummern) für einen Anwendungsdienst (wie Telnet, FTP und SMTP) identifiziert.

• Eine Anwendung gibt die Layer-7-Anwendung an, die einem Layer-4-Service zuordnet wird.

Ein vordefinierter Service verfügt bereits über eine Zuordnung zu einer Layer-7-Anwendung. Bei benutzerdefinierten Services müssen Sie den Dienst jedoch explizit mit einer Anwendung verknüpfen, insbesondere, wenn die Richtlinie eine ALG anwenden soll.

ALGs für Pakete, die für bekannte Ports bestimmt sind, werden nach Servicetyp ausgelöst. Die ALG fängt und analysiert den angegebenen Datenverkehr, weist Ressourcen zu und definiert dynamische Richtlinien, damit der Datenverkehr sicher durch das Gerät geleitet werden kann:

1. Wenn ein Paket am Gerät ankommt, leitet das Datenstrommodul das Paket gemäß der in der Richtlinie festgelegten Sicherheitsregel weiter.

2. Wenn eine Richtlinie gefunden wird, die das Paket zulässt, wird der zugehörige Dienst- oder Anwendungstyp zugewiesen und eine Sitzung für diese Art von Datenverkehr erstellt.

3. Wenn eine Sitzung für das Paket gefunden wird, ist keine Übereinstimmung der Richtlinienregel erforderlich. Das ALG-Modul wird ausgelöst, wenn für diesen bestimmten Dienst- oder Anwendungstyp die unterstützte ALG-Verarbeitung erforderlich ist.

Die ALG prüft das Paket auch auf eingebettete IP-Adressen und Portinformationen in der Paketnutzlast und führt bei Bedarf die Verarbeitung von Network Address Translation (NAT) durch. Ein Nachrichtenpuffer wird nur zugewiesen, wenn das Paket zur Verarbeitung bereit ist. Der Puffer wird freigesetzt, nachdem das Paket die ALG-Handhabung abgeschlossen hat, einschließlich der Änderung der Payload, der Durchführung von NAT, dem Öffnen eines Pinholes für eine neue Verbindung zwischen einem Client und einem Server, die sich gegenüber einem Gerät von Juniper Networks befinden.

Die maximale Größe des jbuf beträgt 9 Kb. Wenn der Nachrichtenpuffer mehr als 9 KB beträgt, kann die gesamte Nachricht nicht in den ALG-Pakethandler übertragen werden. Dies führt dazu, dass nachfolgende Pakete in der Sitzung die ALG-Verarbeitung umgehen, was zu einem Transaktionsausfall führt. Die ALG-Nachrichtenpufferoptimierung wird verbessert, um den hohen Speicherverbrauch zu reduzieren.

Die ALG öffnet auch ein Tor für die IP-Adresse und Portnummer, um den Datenaustausch für die Steuerungs- und Datensitzungen zu ermöglichen. Die Steuerungssitzung und die Datensitzung können gekoppelt werden, um den gleichen Timeoutwert zu haben, oder sie können unabhängig sein.

ALGs werden auf Gehäuse-Clustern unterstützt.

Standardmäßig sind ALGs an vordefinierte Services gebunden. Zum Beispiel ist die FTP-ALG an Junos-ftp, die RTSP-ALG an Junos-rtsp gebunden usw.

Ein vordefinierter Service verfügt bereits über eine Zuordnung zu einer Layer-7-Anwendung. Bei benutzerdefinierten Services müssen Sie den Dienst jedoch explizit mit einer Anwendung verknüpfen, insbesondere, wenn die Richtlinie eine ALG anwenden soll.

Wenn Sie vordefinierte Services auf Ihre Richtlinie anwenden, wird datenverkehr, der dem Dienst entspricht, zur weiteren Verarbeitung an die entsprechende ALG gesendet. Unter bestimmten Umständen müssen Sie jedoch benutzerdefinierte Services definieren, um Folgendes zu erreichen:

• Nutzen Sie den ALG-Handler, um speziellen Datenverkehr mit kundenspezifischen Protokollen, Ziel-Ports usw. zu verarbeiten.

• Datenverkehr zulassen, aber die ALG-Verarbeitung umgehen, wenn der Datenverkehr mit vordefinierten Services übereinstimmt, die an ALG gebunden sind.

• Fügen Sie dem aktuellen ALG-Anwendungssatz weitere Anwendungen hinzu.

Im folgenden Beispiel müssen Sie auf verschiedenen Ebenen in der Konfigurationshierarchie navigieren. Anweisungen dazu finden Sie unter Verwenden des CLI-Editors im Konfigurationsmodus im CLI-Benutzerhandbuch.

Die drei Verwendungen benutzerdefinierter Services sind unten dargestellt, am Beispiel von MS-RPC ALG:

• Utilize the ALG handler to process special traffic:

  Datenverkehr mit TCP-Zielport 6000 wird zur weiteren Verarbeitung an MS-RPC ALG gesendet.

• Permit traffic but bypass ALG processing:

  Alle ALGs werden vom Datenverkehr mit TCP-Zielport 135 ignoriert.

• Add more applications to an ALG’s application set–So fügen Sie Anwendungen wie MS-RPC oder Sun RPC-Services hinzu, die auf den Geräten nicht vordefiniert sind:

  MS-RPC-Datenverkehr mit TCP, uuid e3514235-4b06-11d1-ab04-00c04fc2dcd2, ist zulässig, wenn custom-msrpc zusammen mit anderen vordefinierten Junos-ms-rpc**-Anwendungen auf die Richtlinie angewendet wird.

Domain Name System (DNS) ist der Teil der ALG, der DNS-Datenverkehr verarbeitet, DNS-Abfrage- und Antwortpakete überwacht und die Sitzung schließt, wenn das DNS-Flag anzeigt, dass es sich bei dem Paket um eine Antwortnachricht handelt.

Die DNS-ALG unterstützt IPv4 im Routenmodus für Junos OS Release 10.0 und frühere Versionen. In Junos OS Version 10.4 implementiert diese Funktion IPv6-Unterstützung auf der DNS-ALG für Routing, Network Address Translation (NAT) und Network Address Translation-Protocol Translation (NAT-PT).

Wenn die DNS-ALG eine DNS-Abfrage vom DNS-Client empfängt, wird eine Sicherheitsüberprüfung des DNS-Pakets durchgeführt. Wenn die DNS-ALG eine DNS-Antwort vom DNS-Server erhält, wird eine ähnliche Sicherheitsüberprüfung durchgeführt, und dann schließt die Sitzung für den DNS-Datenverkehr.

• IPv6 DNS-ALG-Datenverkehr im NAT-Modus
• IPv6 DNS-ALG-Datenverkehr im NAT-PT-Modus

Das File Transfer Protocol (FTP) ist der Teil der ALG, der den FTP-Datenverkehr verwaltet. Die PORT/PASV-Anfragen und die entsprechenden 200/227-Antworten in FTP werden verwendet, um den TCP-Port anzukündigen, den der Host für die FTP-Datenverbindung abhört.

Für diese Anforderungen und Antworten werden EPRT/EPSV/229-Befehle verwendet. FTP-ALG unterstützt EPRT/EPSV/229 bereits, aber nur für IPv4-Adressen.

In Junos OS Version 10.4 wurden EPRT/EPSV/229-Befehle aktualisiert, um sowohl IPv4- als auch IPv6-Adressen zu unterstützen.

FTP ALG verwendet einen vorab zugewiesenen Objcache, um seine Sitzungscookies zu speichern. Wenn auf FTP-ALG sowohl IPv4- als auch IPv6-Adressen unterstützt werden, vergrößert sich die Sitzungs-Cookie-Struktur um 256 Bits (32 Bytes), um IPv6-Adresse zu speichern.

• FTP-ALG-Unterstützung für IPv6
• EPRT-Modus
• EPSV-Modus

Wenn Sie ein Gerät der SRX-Serie für den Betrieb im TAP-Modus konfigurieren, generiert das Gerät Sicherheitsprotokollinformationen, um die Informationen über erkannte Bedrohungen, Anwendungsnutzung und Benutzerdetails anzuzeigen. Wenn das Gerät für den Betrieb im TAP-Modus konfiguriert ist, empfängt das Gerät Pakete nur von der konfigurierten TAP-Schnittstelle. Mit Ausnahme der konfigurierten TAP-Schnittstelle werden andere Schnittstellen auf eine normale Schnittstelle konfiguriert, die als Verwaltungsschnittstelle verwendet wird oder mit dem externen Server verbunden ist. Das Gerät der SRX-Serie erstellt einen Sicherheitsbericht oder -protokoll entsprechend dem eingehenden Datenverkehr.

ALG unterstützt die Anwendung z. B. Nutzdaten-NAT und lässt deren Datenverkehr dynamisch zu.