ALG Übersicht

Grundlegendes TCP ALG

Dieses ALG führt eine grundlegende Plausibilitätsprüfung für TCP-Pakete durch. Wenn Fehler gefunden werden, werden die folgenden Anomalieereignisse und Systemprotokollmeldungen generiert:

• TCP-Quell- oder Zielport Null

• Die Überprüfung der TCP-Headerlänge ist fehlgeschlagen

• TCP-Sequenznummer Null und keine Flags sind gesetzt

• TCP-Sequenznummer Null und FIN/PSH/RST-Flags sind gesetzt

• TCP FIN/RST oder SYN(URG|FIN|RST) werden Flags gesetzt

Das TCP-ALG führt die folgenden Schritte aus:

1. Wenn der Router ein SYN-Paket empfängt, erstellt der ALG TCP-Vorwärts- und -Rückwärtsflüsse und gruppiert sie in einer Konversation. Er verfolgt den TCP-Drei-Wege-Handshake.

2. Der SYN-Abwehrmechanismus verfolgt den Status des TCP-Verbindungsaufbaus. Es erwartet, dass die TCP-Sitzung innerhalb eines kleinen Zeitintervalls (derzeit 4 Sekunden) eingerichtet wird. Wenn der TCP-Drei-Wege-Handshake in diesem Zeitraum nicht eingerichtet wird, wird die Sitzung beendet.

3. Ein Keepalive-Mechanismus erkennt TCP-Sitzungen mit nicht reagierenden Endgeräten.

4. ICMP-Fehler sind nur zulässig, wenn ein Datenfluss mit den in den ICMP-Daten angegebenen Selektorinformationen übereinstimmt.

Grundlegendes UDP ALG

Dieses ALG führt eine grundlegende Plausibilitätsprüfung für UDP-Header durch. Wenn Fehler gefunden werden, werden die folgenden Anomalieereignisse und Systemprotokollmeldungen generiert:

• UDP-Quell- oder Zielport 0

• Die Prüfung der UDP-Headerlänge ist fehlgeschlagen

Das UDP-ALG führt die folgenden Schritte aus:

1. Wenn das erste Paket empfangen wird, erstellt die ALG bidirektionale Datenströme, um Vorwärts- und Rückwärts-UDP-Sitzungsdatenverkehr zu akzeptieren.

2. Wenn sich die Sitzung länger als die maximal zulässige Leerlaufzeit im Leerlauf befindet (der Standardwert beträgt 30 Sekunden), werden die Flows gelöscht.

3. ICMP-Fehler sind nur zulässig, wenn ein Datenfluss mit den in den ICMP-Daten angegebenen Selektorinformationen übereinstimmt.

BOOTP

Der Bootstrap Protocol (BOOTP)-Client ruft seine Netzwerkinformationen von einem Server im gesamten Netzwerk ab. Es sendet eine allgemeine Broadcast-Nachricht, um die Informationen anzufordern, die vom BOOTP-Server zurückgegeben werden. Informationen zur Protokollspezifikation finden Sie unter ftp://ftp.isi.edu/in-notes/rfc951.txt.

Die Unterstützung für zustandsbehaftete Firewalls erfordert, dass Sie BOOTP ALG auf UDP-Serverport 67 und Clientport 68 konfigurieren. Wenn der Client eine Broadcast-Nachricht sendet, sollten Sie die Broadcast-Adresse in der from Anweisung der Dienstregel konfigurieren. Network Address Translation (NAT) wird für den BOOTP-Datenverkehr nicht ausgeführt, auch wenn die NAT-Regel mit dem Datenverkehr übereinstimmt. Wenn die BOOTP-Relay-Funktion auf dem Router aktiviert ist, wird davon ausgegangen, dass der Remote-BOOTP-Server Adressen für Clients zuweist, die durch NAT-Übersetzung maskiert sind.

DCE RPC-Services

DCE-RPC-Dienste (Remote Procedure Call) für verteilte Computerumgebungen werden hauptsächlich von Microsoft-Anwendungen verwendet. Das ALG verwendet den bekannten TCP-Port 135 für Portzuordnungsdienste und verwendet den Universal Unique Identifier (UUID) anstelle der Programmnummer zur Identifizierung von Protokollen. Das wichtigste anwendungsbasierte DCE-RPC ist das Microsoft Exchange-Protokoll.

Die Unterstützung für zustandsbehaftete Firewall- und NAT-Dienste erfordert, dass Sie die DCE-RPC-Portzuordnung ALG auf TCP-Port 135 konfigurieren. Das DCE RPC ALG verwendet das TCP-Protokoll mit anwendungsspezifischen UUIDs.

DNS

Das Domain Name System (DNS), das in der Regel auf Port 53 ausgeführt wird, verarbeitet die Daten, die mit dem Auffinden und Übersetzen von Domainnamen in IP-Adressen verbunden sind. Das DNS ALG der MX-Serie überwacht die DNS-Abfrage- und Antwortpakete und unterstützt UDP- und TCP-DNS-Datenverkehr unabhängig voneinander. Die DNS-ALG unterstützt keine Nutzlastübersetzungen für NAT, aber ein Betreiber kann sie verwenden, um die NAT- oder Stateful-Firewall-DNS-Sitzungen effizient aus dem Speicher zu entfernen, nachdem der DNS-Server seine Antwort gesendet hat. Das DNS-ALG schließt die Sitzung nur, wenn eine Antwort empfangen wird oder ein Leerlauftimeout erreicht wird.

Bei Verwendung von TCP-DNS-ALG kann es zu Problemen mit dem TCP-DNS-Datenverkehr kommen, wenn der DNS-Datenverkehr nicht nur dem Standardanforderungs- und Antworttyp entspricht. Beispielsweise kann TCP-DNS-ALG die DNS-Server-zu-Server-Kommunikation unterbrechen, die TCP verwendet, z. B. DNS-Replikation oder Zonenübertragungen. Diese Art von Datenverkehr kann von den NAT- oder Stateful-Firewall-Plug-ins verworfen werden, da TCP-DNS-ALG die Sitzung schließt, nachdem der TCP-Handshake abgeschlossen ist und jeder Server ein Paket an den anderen gesendet hat. Verwenden Sie in diesen Fällen nicht die TCP-DNS-ALG.

FTP

FTP ist das File Transfer Protocol, spezifiziert in RFC 959. Neben der Hauptsteuerungsverbindung werden auch Datenverbindungen für jede Datenübertragung zwischen Client und Server hergestellt. und der Host, der Port und die Richtung werden über den Steuerkanal ausgehandelt.

Bei FTP im nicht-passiven Modus durchsucht der Junos OS Stateful-Firewall-Dienst die Client-to-Server-Anwendungsdaten nach dem Befehl PORT, der die IP-Adresse und die Portnummer bereitstellt, mit der der Server eine Verbindung herstellt. Bei FTP im passiven Modus durchsucht der Junos OS Stateful-Firewall-Service die Client-zu-Server-Anwendungsdaten nach dem PASV-Befehl und dann die Server-zu-Client-Antworten nach der Antwort 227, die die IP-Adresse und die Portnummer enthält, mit der der Client eine Verbindung herstellt.

Es gibt noch eine weitere Komplikation: FTP stellt diese Adressen und Portnummern in ASCII dar. Wenn Adressen und Ports umgeschrieben werden, kann sich daher die TCP-Sequenznummer ändern, und danach muss der NAT-Dienst dieses Delta in SEQ- und ACK-Nummern beibehalten, indem er Sequenz-NAT für alle nachfolgenden Pakete ausführt.

Für die Unterstützung von Stateful Firewall- und NAT-Services müssen Sie das FTP-ALG an TCP-Port 21 konfigurieren, um das FTP-Steuerungsprotokoll zu aktivieren. Das ALG führt folgende Aufgaben aus:

• Automatische Zuweisung von Datenports und Firewall-Berechtigungen für dynamische Datenverbindungen

• Erstellt Flows für die dynamisch ausgehandelte Datenverbindung

• Überwacht die Steuerverbindung sowohl im aktiven als auch im passiven Modus

• Schreibt die Steuerpakete mit der entsprechenden NAT-Adresse und den Portinformationen um

Auf MS-MPCs und MS-MICs müssen Sie die aktivierte APP-Funktionalität (Address Pooling Pairing) aktivieren (indem Sie die Anweisung auf der Hierarchieebene einschließen[edit services nat rule rule-name term term-name from]), damit passives FTP ordnungsgemäß funktioniert, wenn FTP Application Layer Gateway (ALG) aktiviert application junos-ftp ist (indem Sie die address-pooling Anweisung auf der [edit services nat rule rule-name term term-name then translated] Hierarchieebene einschließen).[edit services stateful-firewall rule rule-name term term-name from] Eine solche Konfiguration führt dazu, dass die Daten- und Steuer-FTP-Sitzungen dieselbe NAT-Adresse erhalten.

Gatekeeper RAS

Ab Junos OS Version 17.1R1 ermöglicht das Gatekeeper-ALG für die Registrierung, Verwaltung und den Status (RAS) die vollständige Unterstützung des Gatekeeper-Modus für H.323-Anrufe. Ein Endpunkt registriert sich bei einem Gatekeeper und fordert seine Verwaltung an. Bevor ein Endpunkt einen Aufruf tätigt, bittet er seinen Gatekeeper um Erlaubnis, den Anruf zu tätigen. Sowohl in der Anmelde- als auch in der Zulassungsphase wird der RAS-Kanal genutzt. Verwenden Sie das Gatekeeper RAS ALG und das H323 ALG in IPv4- und IPv6-Stateful-Firewall-Regeln oder NAPT-44-Regeln. Ab Junos OS Version 17.2R1 werden auch NAT-64-Regeln unterstützt. Der Junos-Standardanwendungssatz junos-h323-suite umfasst den H323 ALG und den Gatekeeper RAS ALG.

H323-KARTON

H323 ist eine Suite von ITU-Protokollen für Audio- und Videokonferenzen und Anwendungen zur Zusammenarbeit. H323 besteht aus H.225-Rufsignalisierungsprotokollen und H.245-Steuerungsprotokollen für die Medienkommunikation. Während der H.225-Aushandlung erstellen die Endpunkte einen Anruf, indem sie Anrufsignalisierungsnachrichten auf dem Steuerungskanal austauschen, und handeln einen neuen Steuerkanal für H.245 aus. Für H.245-Nachrichten wird eine neue Steuerverbindung erstellt. Nachrichten werden über den H.245-Steuerkanal ausgetauscht, um Medienkanäle zu öffnen.

Die zustandsbehaftete Firewall überwacht den H.225-Steuerkanal, um den H.245-Steuerkanal zu öffnen. Nachdem der H.245-Kanal erstellt wurde, überwacht die zustandsbehaftete Firewall auch diesen Kanal auf Medienkanalinformationen und lässt den Mediendatenverkehr durch die Firewall zu.

H323 ALG unterstützt statische Ziel-, statische und dynamische Quellen-NAT, indem die entsprechenden Adressen und Ports in den H.225- und H.245-Nachrichten umgeschrieben werden.

Um den Gatekeeper-Modus für H.323-Anrufe zu unterstützen, verwenden Sie das H323 ALG und das Gatekeeper-RAS-ALG in IPv4- und IPv6-Stateful-Firewall-Regeln oder NAPT-44-Regeln. Ab Junos OS Version 17.2R1 werden auch NAT-64-Regeln unterstützt. Der Junos-Standardanwendungssatz junos-h323-suite umfasst den H323 ALG und den Gatekeeper RAS ALG.

ICMP

Das Internet Control Message Protocol (ICMP) ist in RFC 792 definiert. Mit dem Stateful-Firewall-Service für Junos OS können ICMP-Nachrichten nach einem bestimmten Typ oder einem bestimmten Typcodewert gefiltert werden. ICMP-Fehlerpakete, für die kein spezifisch konfigurierter Typ und Code fehlen, werden mit jedem vorhandenen Datenfluss in die entgegengesetzte Richtung abgeglichen, um die Rechtmäßigkeit des Fehlerpakets zu überprüfen. ICMP-Fehlerpakete, die den Filterabgleich bestehen, unterliegen der NAT-Übersetzung.

Das ICMP-ALG verfolgt den Ping-Datenverkehr immer zustandsbasiert anhand der ICMP-Sequenznummer. Jede Echoantwort wird nur weitergeleitet, wenn eine Echoanforderung mit der entsprechenden Sequenznummer vorliegt. Bei jedem Ping-Flow können nur 20 Echoanforderungen weitergeleitet werden, ohne eine Echoantwort zu erhalten. Wenn Sie dynamisches NAT konfigurieren, wird die PING-Paket-ID übersetzt, damit zusätzliche Hosts im NAT-Pool dieselbe ID verwenden können.

Die Unterstützung für Stateful-Firewall- und NAT-Services erfordert, dass Sie das ICMP-ALG konfigurieren, wenn das Protokoll benötigt wird. Sie können den ICMP-Typ und -Code für zusätzliche Filterung konfigurieren.

IIOP

Der Oracle Application Server Name Server Internet Inter-ORB Protocol (IIOP). Dieses ALG wird in der Common Object Request Broker Architecture (CORBA) verwendet, die auf verteiltem Computing basiert. Obwohl es sich bei CORBA und IIOP um OMG-Standards (Object Management Group) handelt, wird IIOP kein fester Port zugewiesen. Jeder Anbieter, der CORBA implementiert, wählt einen Port aus. Die virtuelle Java-Maschine verwendet standardmäßig Port 1975, während ORBIX standardmäßig Port 3075 verwendet.

Stateful-Firewall und NAT erfordern die Konfiguration von ALG IIOP für TCP-Port 1975 für Java-VM-IIOP und 3075 für CORBA-Anwendungen ORBIX, ein CORBA-Framework von Iona Technologies.

IKE ALG

Vor Junos OS-Version 17.4R1 wurde Network Address Translation-Traversal (NAT-T) für die IPsec-Funktionen der Junos VPN Site Secure-Suite auf den Routern der MX-Serie nicht unterstützt. Ab Junos OS Version 14.2R7, 15.1R5, 16.1R2 und 17.1R1 ermöglicht das IKE ALG die Übergabe von IKEv1- und IPsec-Paketen über NAPT-44- und NAT64-Regeln zwischen IPsec-Peers, die nicht NAT-T-konform sind. Dieses ALG unterstützt nur den ESP-Tunnelmodus.

Verwenden Sie dieses ALG in NAT-Regeln, und geben Sie das UDP-Protokoll und Port 500 an.

Dieses ALG führt Folgendes aus:

• Verfolgt IKEv1-Verbindungsinitiierungsanforderungen, um zu bestimmen, ob eine NAT-Verarbeitung erforderlich ist.

• Führt eine NAT-Übersetzung für ausgehende und eingehende IKEv1-Anforderungen durch und erstellt IKE-Sitzungen.

• Identifiziert IPsec-Pakete, die sich auf die eingerichtete IKE-Sitzung beziehen, und stellt Sicherheitszuordnung zwischen Peers her.

• Führt eine NAT-Übersetzung für IPsec-Pakete durch.

IP

Die IP-ALG wird nur zum Erstellen unidirektionaler Datenströme verwendet. Im Falle von TCP-Datenverkehr wird der 3-Wege-Handshake-Prozess nicht überprüft. Dieses ALG ist nützlich bei reinen Stateful-Firewall-Servicesätzen, bei denen der Datenverkehr nur unidirektional fließen kann. Bei der Konfiguration in Verbindung mit match-direction input-output ermöglicht es dem Rückverkehr, auch durch die Stateful-Firewall zu fließen. Typische Szenarien sind statisches NAT, Ziel-NAT oder Szenarien, in denen der Datenverkehr die Stateful-Firewall bei asymmetrischem Routing passieren soll. Die Junos IP-ALG ist nicht für die Verwendung mit NAPT vorgesehen, bei dem übereinstimmender Datenverkehr durch die Erstellung eines Drop-Flows verworfen wird.

NetBIOS

Ein NetBIOS-ALG übersetzt NetBIOS-IP-Adressen und Portnummern, wenn NAT verwendet wird.

NetBIOS unterstützt die Übertragungsprotokolle TCP und UDP. Die Unterstützung für Stateful-Firewall- und NAT-Dienste erfordert, dass Sie das NetBIOS-ALG auf UDP-Port 138 und TCP-Port 139 konfigurieren.

NetShow

Das Microsoft-Protokoll ms-streaming wird von NetShow, dem Microsoft-Medienserver, verwendet. Dieses Protokoll unterstützt mehrere Transportprotokolle: TCP, UDP und HTTP. Der Client startet eine TCP-Verbindung auf Port 1755 und sendet den PORT-Befehl an den Server. Der Server startet dann UDP auf diesem Port zum Client. Für die Unterstützung von Stateful-Firewalls und NAT-Services ist es erforderlich, dass Sie NetShow ALG auf UDP-Port 1755 konfigurieren.

ONC RPC-Services

Open Networks Computing (ONC)-RPC-Services funktionieren ähnlich wie DCE-RCP-Services. Der ONC RPC ALG verwendet jedoch den TCP/UDP-Port 111 für Portzuordnungsdienste und verwendet zur Identifizierung von Protokollen die Programmnummer anstelle der UUID.

Die Unterstützung für Stateful-Firewall- und NAT-Services erfordert, dass Sie die ONC RPC-Portzuordnung ALG auf TCP-Port 111 konfigurieren. Das ONC RPC ALG verwendet das TCP-Protokoll mit anwendungsspezifischen Programmnummern.

PPTP (PPTP)

Das Point-to-Point Tunneling Protocol (PPTP) ALG ist ein TCP-basiertes ALG. PPTP ermöglicht das Point-to-Point Protocol (PPP) das Tunneln durch ein IP-Netzwerk. PPTP definiert eine Client-Server-Architektur, einen PPTP-Netzwerkserver und einen PPTP-Zugriffskonzentrator. Das PPTP-ALG benötigt eine Steuerverbindung und einen Datentunnel. Die Steuerverbindung verwendet TCP zum Einrichten und Trennen von PPP-Sitzungen und wird auf Port 1723 ausgeführt. Der Datentunnel überträgt PPP-Datenverkehr in GRE-Paketen (Generic Routing Encapsulated), die über IP übertragen werden.

RealAudio

Real Networks PNA-Protokoll RealVideo ist kein separater Dienst. Er ist Teil des RealPlayers und verwendet höchstwahrscheinlich einen anderen Kanal für Videos. Die RealPlayer-Versionen G2, 7 und 8 verwenden PNA und RTSP. Damit diese Version funktioniert, muss das ALG sowohl PNA(7070) als auch RTSP(554) zulassen. Für die Medien wählt der Server aus einer Reihe von UDP-Ports (6970 bis 7170) oder TCP-Port 7071 oder HTTP aus. Der Client kann für die Verwendung eines bestimmten Ports konfiguriert werden. Die RealPlayer-Versionen 4.0 und 5.0 verwenden die UDP-Ports 6970 bis 7170 des Steuerkanals 7070 oder den TCP-Port 7071 oder HTTP. RealAudio Player Version 3.0 verwendet den Steuerkanal 7070 Medien, die UDP-Ports 6770-7170 oder den TCP-Port 7071.

Reale Produkte verwenden die in Tabelle 2 aufgeführten Ports und Portbereiche.

Sun RPC und RPC Portmap Services

Der Remote Procedure Call (RPC) ALG verwendet die bekannten Ports TCP 111 und UDP 111 für die Portzuordnung, die Ports für RPC-Dienste dynamisch zuweist und öffnet. Die RPC-Portmap-ALG verfolgt die Portanforderungen und öffnet dynamisch die Firewall für diese angeforderten Ports. Das RPC-ALG kann das RPC-Protokoll weiter einschränken, indem es erlaubte Programmnummern angibt.

Die ALG umfasst die in Tabelle 3 aufgeführten RPC-Dienste.

Die Unterstützung für zustandsgesteuerte Firewalls und NAT-Dienste, die die Portzuordnung verwenden, erfordert, dass Sie die RPC-Portzuordnungs-ALG auf TCP/UDP-Zielport 111 und die RPC-ALG sowohl für TCP als auch für UDP konfigurieren. Sie können einen oder mehrere rpc-program-number Werte angeben, um die zulässigen RPC-Protokolle weiter einzuschränken.

RTSP

Das Real-Time Streaming Protocol (RTSP) steuert die Bereitstellung von Daten mit Echtzeiteigenschaften wie Audio und Video. Die von RTSP gesteuerten Streams können RTP verwenden, dies ist jedoch nicht erforderlich. Medien können über denselben RTSP-Steuerdatenstrom übertragen werden. Hierbei handelt es sich um ein HTTP-ähnliches textbasiertes Protokoll, das jedoch von Client und Server verwaltet Sitzungsinformationen. Eine Sitzung wird mit der SETUP-Nachricht aufgebaut und mit der TEARDOWN-Nachricht beendet. Der Transport (das Medienprotokoll, die Adresse und die Portnummern) wird im Setup und in der Setup-Antwort ausgehandelt.

Für die Unterstützung von Stateful Firewall- und NAT-Services müssen Sie das RTSP-ALG für TCP-Port 554 konfigurieren.

Der ALG überwacht die Steuerverbindung, öffnet Flows dynamisch für Medienströme (RTP/RTSP) und führt NAT-Adress- und Port-Umschreibungen durch.

NIPPEN

Das Session Initiation Protocol (SIP) ist ein Protokoll auf Anwendungsebene, mit dem Mediensitzungen eingerichtet, aufrechterhalten und beendet werden können. Es ist ein weit verbreitetes VoIP-Signalisierungsprotokoll (Voice over IP). Das SIP ALG überwacht den SIP-Datenverkehr und erstellt und verwaltet dynamisch Löcher auf den Signalisierungs- und Medienpfaden. Das ALG lässt nur Pakete mit den richtigen Berechtigungen zu. Das SIP ALG führt außerdem die folgenden Funktionen aus:

• Verwaltet Beziehungen zwischen über- und untergeordneten Sitzungen.

• Erzwingt Sicherheitsrichtlinien.

• Verwaltet Lochanlagen für den VoIP-Datenverkehr.

Das SIP ALG unterstützt die folgenden Funktionen:

• Zustandsgesteuerte Firewall

• Statische Quellen-NAT

• Quellen-NAT nur für dynamische Adressen

• Network Address Port Translation (NAPT)

SNMP

SNMP ist ein Kommunikationsprotokoll zur Verwaltung von TCP/IP-Netzwerken, das sowohl einzelne Netzwerkgeräte als auch aggregierte Geräte umfasst. Das Protokoll ist in RFC 1157 definiert. SNMP läuft auf UDP auf.

Der Junos OS Stateful Firewall-Service implementiert die SNMP-ALG, um den SNMP-Typ zu überprüfen. SNMP erzwingt keinen zustandsbehafteten Fluss. Jeder SNMP-Typ muss speziell aktiviert werden. Für die vollständige SNMP-Unterstützung von Stateful-Firewall-Services müssen Sie das SNMP-ALG auf UDP-Port 161 konfigurieren. Dies ermöglicht SNMP get und get-next Befehle sowie deren Antwortverkehr in umgekehrter Richtung: UDP-Port 161 aktiviert den SNMP-Befehl get-response . Wenn SNMP-Traps zugelassen sind, können Sie sie auf dem UDP-Port 162 konfigurieren und den SNMP-Befehl trap aktivieren.

SQLNet

Das SQLNet-Protokoll wird von Oracle SQL-Servern zum Ausführen von SQL-Befehlen von Clients verwendet, einschließlich Load Balancing und anwendungsspezifischer Services.

Für die Unterstützung von zustandsbehafteten Firewall- und NAT-Diensten müssen Sie das SQLNet-ALG für den TCP-Port 1521 konfigurieren.

Der ALG überwacht die Steuerpakete, öffnet Datenströme dynamisch für den Datenverkehr und führt NAT-Adress- und Port-Umschreibungen durch.

TFTP

Das Trivial File Transfer Protocol (TFTP) ist in RFC 1350 spezifiziert. Die ersten TFTP-Anforderungen werden an den UDP-Zielport 69 gesendet. Es können zusätzliche Flows erstellt werden, um einzelne Dateien abzurufen oder abzulegen . Für die Unterstützung von Stateful-Firewall- und NAT-Services müssen Sie das TFTP-ALG für den UDP-Zielport 69 konfigurieren.

Traceroute

Traceroute ist ein Tool zum Anzeigen der Route von Paketen zu einem Netzwerkhost. Er verwendet das IP-TTL-Feld (Time-to-Live), um ICMP-Nachrichten über Zeitüberschreitung von Routern oder Gateways auszulösen. Es sendet UDP-Datagramme an Zielports, von denen angenommen wird, dass sie nicht verwendet werden. Die Nummerierung der Zielports erfolgt nach folgender Formel: + nHops – 1. Der Standard-Basisport ist 33434. Um Traceroute durch die Firewall zu unterstützen, müssen zwei Arten von Datenverkehr durchgeleitet werden:

1. UDP-Probepakete (UDP-Zielport > 33000, IP-TTL-< 30)

2. ICMP-Antwortpakete (ICMP-Typ Zeitüberschreitung)

Wenn NAT angewendet wird, müssen auch die IP-Adresse und der Port innerhalb des ICMP-Fehlerpakets geändert werden.

Für die Unterstützung von Stateful-Firewall- und NAT-Services müssen Sie das Traceroute-ALG für den UDP-Zielport 33434 bis 33450 konfigurieren. Darüber hinaus können Sie den TTL-Schwellenwert konfigurieren, um UDP-Flood-Angriffe mit großen TTL-Werten zu verhindern.

UNIX-Remoteshell-Dienste

Drei Protokolle bilden die Grundlage für UNIX-Remote-Shell-Dienste:

• Exec – Remote-Befehlsausführung; Ermöglicht es einem Benutzer auf dem Client-System, einen Befehl auf dem Remote-System auszuführen. Der erste Befehl von Client (rcmd) zu Server (rshd) verwendet den bekannten TCP-Port 512. Eine zweite TCP-Verbindung kann auf Anfrage von geöffnet rcmdwerden. Die Client-Portnummer für die zweite Verbindung wird als ASCII-String an den Server gesendet.

• Login—Besser bekannt als rlogin; verwendet den bekannten TCP-Port 513. Weitere Informationen finden Sie unter RFC 1282. Es ist keine spezielle Firewall-Verarbeitung erforderlich.

• Shell – Remote-Befehlsausführung; Ermöglicht es einem Benutzer auf dem Client-System, einen Befehl auf dem Remote-System auszuführen. Der erste Befehl von Client (rcmd) zu Server (rshd) verwendet den bekannten TCP-Port 514. Eine zweite TCP-Verbindung kann auf Anfrage von geöffnet rcmdwerden. Die Client-Portnummer für die zweite Verbindung wird als ASCII-String an den Server gesendet.

Die Unterstützung von Stateful-Firewall-Services erfordert, dass Sie das Exec-ALG auf TCP-Port 512, das Login-ALG auf TCP-Port 513 und das Shell-ALG auf TCP-Port 514 konfigurieren. NAT-Remoteshell-Dienste erfordern, dass sich jeder zugewiesene dynamische Quellport innerhalb des Portbereichs 512 bis 1023 befindet. Wenn Sie einen NAT-Pool konfigurieren, ist dieser Portbereich ausschließlich Remote-Shell-Anwendungen vorbehalten.

WinFrame

Die WinFrame-Anwendungsserversoftware ermöglicht den Zugriff auf praktisch jede Windows-Anwendung, über jede Art von Netzwerkverbindung zu jeder Art von Client.

Dieses Protokoll wird hauptsächlich von Citrix Windows-Anwendungen verwendet.

Für die zustandsbehaftete Firewall und NAT muss der ALG-Winframe auf dem TCP-Zielport 1494 und dem UDP-Port 1604 konfiguriert sein.