Présentation d’ALG

Une passerelle de couche application (ALG) est un composant logiciel conçu pour gérer des protocoles spécifiques tels que SIP (Session Initiation Protocol) ou FTP sur les équipements Juniper Networks exécutant Junos OS. Le module ALG est responsable du traitement des paquets en fonction de la couche application sur les commutateurs.

La fonctionnalité ALG peut être déclenchée soit par un service ou une application configuré dans la stratégie de sécurité :

• Un service est un objet qui identifie un protocole d’application à l’aide d’informations de couche 4 (telles que les numéros de port TCP et UDP standard et acceptés) pour un service d’application (tel que Telnet, FTP et SMTP).

• Une application spécifie l’application de couche 7 qui s’associe à un service de couche 4.

Un service prédéfini a déjà une correspondance avec une application de couche 7. Toutefois, pour les services personnalisés, vous devez relier le service à une application explicitement, en particulier si vous souhaitez que la stratégie applique une ALG.

Les ALG pour les paquets destinés à des ports connus sont déclenchés par type de service. L’ALG intercepte et analyse le trafic spécifié, alloue des ressources et définit des stratégies dynamiques pour permettre au trafic de passer en toute sécurité à travers l’équipement :

1. Lorsqu’un paquet arrive sur l’équipement, le module de flux transfère le paquet selon la règle de sécurité définie dans la stratégie.

2. Si une stratégie autorise le paquet, le type de service ou le type d’application associé est assigné et une session est créée pour ce type de trafic.

3. Si une session est trouvée pour le paquet, aucune règle de stratégie n’est nécessaire. Le module ALG est déclenché si ce type d’application ou de service particulier nécessite le traitement ALG pris en charge.

L’ALG inspecte également le paquet à la recherche d’adresses IP et d’informations de port intégrées dans la charge utile du paquet, et effectue le traitement de la traduction des adresses réseau (NAT) si nécessaire. Un tampon de message n’est alloué que lorsque le paquet est prêt à traiter. La mise en mémoire tampon est libérée après que le paquet a terminé la gestion ALG, y compris la modification de la charge utile, l’exécution du NAT, l’ouverture d’un trou d’épingle pour une nouvelle connexion entre un client et un serveur, et le transfert de données entre un client et un serveur situé sur les côtés opposés d’un équipement Juniper Networks

La taille maximale du jbuf est de 9 Ko. Si la taille de la mémoire tampon du message est supérieure à 9 Ko, l’intégralité du message ne peut pas être transférée au gestionnaire de paquets ALG. Les paquets suivants de la session contournent ainsi le traitement ALG, ce qui entraîne une défaillance de la transaction. L’optimisation de la mise en mémoire tampon de messages ALG est améliorée pour réduire la consommation de mémoire élevée.

L’ALG ouvre également une porte pour l’adresse IP et le numéro de port afin de permettre l’échange de données pour les sessions de contrôle et de données. La session de contrôle et la session de données peuvent être couplées pour avoir la même valeur de timeout, ou être indépendantes.

Les ALG sont pris en charge sur les clusters de châssis.

Par défaut, les ALG sont liés à des services prédéfinis. Par exemple, le FTP ALG est lié à junos-ftp, l’ALG RTSP à junos-rtsp, etc.

Un service prédéfini a déjà une correspondance avec une application de couche 7. Toutefois, pour les services personnalisés, vous devez relier le service à une application explicitement, en particulier si vous souhaitez que la stratégie applique une ALG.

Lorsque vous appliquez des services prédéfinis à votre stratégie, le trafic correspondant au service est envoyé à son ALG correspondant pour traitement ultérieur. Toutefois, dans certaines circonstances, vous devrez peut-être définir des services personnalisés pour atteindre les objectifs suivants :

• Utilisez le gestionnaire ALG pour traiter un trafic spécial, avec des protocoles, des ports de destination, etc. spécifiés par le client.

• Autorisez le trafic mais contournez le traitement ALG lorsque le trafic correspond à des services prédéfinis qui se lient à ALG.

• Ajoutez d’autres applications à l’ensemble d’applications de l’ALG actuel.

Dans l’exemple suivant, vous devez parcourir différents niveaux de la hiérarchie de configuration. Pour obtenir des instructions sur la façon d’y parvenir, reportez-vous à la section Utilisation de l’éditeur CLI en mode de configuration dans le guide de l’utilisateur CLI.

Les trois utilisations des services personnalisés sont illustrées ci-dessous, en prenant l’exemple de MS-RPC ALG :

• Utilize the ALG handler to process special traffic:

  Le trafic avec le port de destination TCP 6000 sera envoyé à MS-RPC ALG pour traitement ultérieur.

• Permit traffic but bypass ALG processing:

  Tous les ALG seront ignorés par le trafic avec le port de destination TCP 135.

• Add more applications to an ALG’s application set— Pour ajouter des applications telles que les services MS-RPC ou Sun RPC, qui ne sont pas prédéfinis sur les équipements :

  Le trafic de données MS-RPC avec TCP, uuid e3514235-4b06-11d1-ab04-00c04fc2dcd2, sera autorisé, lorsque custom-msrpc est appliqué à la stratégie avec d’autres applications junos-ms-rpc** prédéfinies.

Le système de noms de domaine (DNS) est la partie de l’ALG qui gère le trafic DNS, surveille les paquets de requête et de réponse DNS et ferme la session si l’indicateur DNS indique que le paquet est un message de réponse.

L’ALG DNS prend en charge IPv4 en mode de routage pour Junos OS version 10.0 et versions antérieures. Dans la version 10.4 de Junos OS, cette fonctionnalité implémente la prise en charge d’IPv6 sur l’ALG DNS pour le routage, la traduction des adresses réseau (NAT) et la traduction du protocole d’adresses réseau (NAT-PT).

Lorsque l’ALG DNS reçoit une requête DNS du client DNS, une vérification de sécurité est effectuée sur le paquet DNS. Lorsque l’ALG DNS reçoit une réponse DNS du serveur DNS, une vérification de sécurité similaire est effectuée, puis la session pour le trafic DNS se termine.

• Trafic DNS ALG IPv6 en mode NAT
• Trafic DNS ALG IPv6 en mode NAT-PT

Le protocole FTP (File Transfer Protocol) est la partie de l’ALG qui gère le trafic FTP. Les requêtes PORT/PASV et les réponses 200/227 correspondantes dans FTP sont utilisées pour annoncer le port TCP, que l’hôte écoute pour la connexion de données FTP.

Les commandes EPRT/EPSV/229 sont utilisées pour ces requêtes et réponses. FTP ALG prend déjà en charge EPRT/EPSV/229, mais uniquement pour les adresses IPv4.

Dans la version 10.4 de Junos OS, les commandes EPRT/EPSV/229 ont été mises à jour pour prendre en charge les adresses IPv4 et IPv6.

FTP ALG utilise des objcaches pré-alloués pour stocker ses cookies de session. Lorsque les adresses IPv4 et IPv6 sont toutes deux prises en charge sur FTP ALG, la structure des cookies de session s’agrandit de 256 bits (32 octets) pour stocker l’adresse IPv6.

• Prise en charge de FTP ALG pour IPv6
• Mode EPRT
• Mode EPSV

Lorsque vous configurez un équipement SRX Series pour qu’il fonctionne en mode TAP, il génère des informations de journal de sécurité pour afficher les informations sur les menaces détectées, l’utilisation des applications et les détails de l’utilisateur. Lorsque l’équipement est configuré pour fonctionner en mode TAP, il reçoit des paquets uniquement à partir de l’interface TAP configurée. À l’exception de l’interface TAP configurée, d’autres interfaces sont configurées sur une interface normale qui est utilisée comme interface de gestion ou connectée au serveur externe. L’équipement SRX Series génère un rapport de sécurité ou un journal en fonction du trafic entrant.

ALG prend en charge l’application telle que la charge utile NAT et autorise dynamiquement son trafic de données.