- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
10-会话管理配置
本章节下载 (196.28 KB)
目 录
会话管理是为了实现NAT（Network Address Translation，网络地址转换）、攻击检测及防范等基于会话进行处理的业务而抽象出来的公共功能。此功能把传输层报文之间的交互关系抽象为会话，并根据发起方和响应方的报文信息对会话进行状态更新和老化，支持多个业务特性分别对同一个业务报文进行处理。
会话管理主要基于传输层协议对报文进行检测。其实质是通过检测传输层协议信息来对连接的状态进行跟踪，并对所有连接的状态信息进行基于会话表和关联表的统一维护和管理。
客户端向服务器发起连接请求报文的时候，系统会创建一个会话表项。该表项中记录了一个会话所对应的请求报文信息和回应报文信息，包括源IP地址/端口号、目的IP地址/端口号、传输层协议类型、应用层协议类型、会话的协议状态等。对于多通道协议（特指部分应用协议中，客户端与服务器之间需要在已有连接基础上协商新的连接来完成一个应用），会话管理还会根据协议的协商情况，创建一个或多个（由具体的应用协议决定）关联表表项，用于关联属于同一个应用的不同会话。关联表项在多通道协议协商的过程中创建，完成对多通道协议的支持后即被删除。
在实际应用中，会话管理作为公共功能，只能实现连接状态的跟踪，并不能阻止潜在的攻击报文通过。
目前会话管理在设备上实现的具体功能如下：
· 支持对各协议报文创建会话、更新会话状态以及根据协议状态设置老化时间。
· 支持ICMP/ICMPv6差错报文的映射，可以根据ICMP/ICMPv6差错报文携带的信息查找原始的会话。
· 支持设置长连接会话，保证指定的会话在一段较长的时间内不会被老化。
· 支持应用层协议（如FTP）的控制通道和动态数据通道的会话管理。
长连接老化时间仅在TCP会话进入稳态（TCP-EST状态）时生效。在会话稳态时，长连接老化时间具有最高的优先级，其次为应用层协议老化时间，最后为协议状态老化时间。
当会话数目过多时，若设备响应速度过慢，建议将协议状态老化时间或应用层协议老化时间调高。
以下配置用于实现根据会话所处协议状态来设置会话表项的老化时间。处于某协议状态的会话，如果在该协议状态老化时间内未被任何报文匹配，则会由于老化而被系统自动删除。
(1) 进入系统视图。
system-view
(2) 配置各协议状态的会话老化时间。
session aging-time state { fin | icmp-reply | icmp-request | rawip-open | rawip-ready | syn | tcp-est | udp-open | udp-ready } time-value
缺省情况下，各协议状态的会话老化时间为：
¡ DCCP-REQUEST：30秒。
¡ DCCP-EST：3600秒。
¡ DCCP-CLOSEREQ：30秒。
¡ FIN：30秒。
¡ ICMP-REPLAY：30秒。
¡ ICMP-REQUEST：60秒。
¡ ICMPV6-REQUEST：60秒。
¡ ICMPV6-REPLY：30秒。
¡ RAWIP-OPEN：30秒。
¡ RAWIP-READY：60秒。
¡ SCTP-INIT：30秒。
¡ SCTP-EST：3600秒。
¡ SCTP-SHUTDOWN：30秒。
¡ SYN：30秒。
¡ TCP-EST：240秒。
¡ UDP-OPEN：30秒。
¡ UDP-READY：240秒。
¡ UDPLITE-OPEN：30秒。
¡ UDPLITE-READY：60秒。
对于处于TCP-EST状态的TCP会话以及处于UDP-READY状态的UDP会话，根据所属的应用层协议类型的老化时间进行老化，老化时间可配置。对于进入稳定状态的其它应用层协议的会话，则仍然遵循协议状态的会话老化时间进行老化。
(1) 进入系统视图。
system-view
(2) 配置应用层协议的会话老化时间。
session aging-time application { dns | ftp | gtp | h225 | h245 | ils | mgcp | nbt | pptp | ras | rsh | rtsp | sccp | sip | sqlnet | tftp | xdmcp } time-value
缺省情况下，各协议的会话老化时间如下：
¡ DNS：1秒。
¡ FTP：240秒。
¡ GTP：60秒。
¡ H.225：3600秒。
¡ H.245：3600秒。
¡ ILS：3600秒。
¡ MGCP：60秒。
¡ NBT：3600秒。
¡ PPTP：3600秒。
¡ RAS：300秒。
¡ RSH：60秒。
¡ RTSP：3600秒。
¡ SCCP：3600秒。
¡ SIP：300秒。
¡ SQLNET：600秒。
¡ TFTP：60秒。
¡ XDMCP：3600秒。
可以将符合指定特征且进入TCP-EST状态的TCP会话设置为长连接会话，该类会话的老化时间不会随着状态的变迁而改变。可以设置长连接会话的老化时间，或者将其设置为永不老化。
对于长连接会话规则触发生成的长连接会话不会因为其配置的删除、修改或没有报文命中而被删除，只有当会话的发起方或响应方主动发起关闭连接请求、达到长连接会话老化时间或管理员手动删除该会话时，才会被删除。
(1) 进入系统视图。
system-view
(2) 配置长连接会话规则。
session persistent acl [ ipv6 ] acl-number [ aging-time time-value ]
开启会话统计功能之后，设备将对收到和发送的基于会话的业务报文数目和报文字节数进行统计。基于单播会话的报文统计信息可通过display session table命令查看，基于单播报文类型的报文统计信息可通过display session statistics命令查看；基于组播会话的报文统计信息可通过display session table multicast命令查看，基于组播报文类型的报文统计信息可通过display session statistics multicast命令查看。
(1) 进入系统视图。
system-view
(2) 开启会话统计功能。
session statistics enable
缺省情况下，会话统计功能处于关闭状态。
在完成上述配置后，在任意视图下执行display命令可以显示配置后会话的运行情况，通过查看显示信息验证配置的效果。
在用户视图下执行reset命令可以清除会话统计信息。
表1-1 会话管理显示和维护
|
操作 |
命令 |
|
显示应用层协议的会话老化时间 |
display session aging-time application |
|
显示各协议状态的会话老化时间 |
display session aging-time state |
|
显示IPv4单播会话表信息 |
display session table ipv4 [ chassis chassis-number slot slot-number ] [ source-ip start-source-ip [ end-source-ip ] ] [ destination-ip start-destination-ip [ end-destination-ip ] ] [ protocol { dccp | icmp | raw-ip | sctp | tcp | udp | udp-lite } ] [ source-port source-port ] [ destination-port destination-port ] [ vpn-instance vpn-instance-name ] [ verbose ] |
|
显示IPv6单播会话表信息 |
display session table ipv6 [ chassis chassis-number slot slot-number ] [ source-ip start-source-ip [ end-source-ip ] ] [ destination-ip start-destination-ip [ end-destination-ip ] ] [ protocol { dccp | icmpv6 | raw-ip | sctp | tcp | udp | udp-lite } ] [ source-port source-port ] [ destination-port destination-port ] [ vpn-instance vpn-instance-name ] [ verbose ] |
|
显示单播会话统计信息 |
display session statistics [ summary ] [ chassis chassis-number slot slot-number ] |
|
根据五元组显示IPv4单播会话统计信息 |
display session statistics ipv4 { source-ip source-ip | destination-ip destination-ip | protocol { dccp | icmp | raw-ip | sctp | tcp | udp | udp-lite } | source-port source-port | destination-port destination-port } * [ chassis chassis-number slot slot-number ] |
|
根据五元组显示IPv6单播会话统计信息 |
display session statistics ipv6 { source-ip source-ip | destination-ip destination-ip | protocol { dccp | icmpv6 | raw-ip | sctp | tcp | udp | udp-lite } | source-port source-port | destination-port destination-port } * [ chassis chassis-number slot slot-number ] |
|
显示关联表信息 |
display session relation-table { ipv4 | ipv6 } [ chassis chassis-number slot slot-number ] |
|
删除IPv4单播会话表项 |
reset session table ipv4 [ chassis chassis-number slot slot-number ] [ source-ip source-ip ] [ destination-ip destination-ip ] [ protocol { dccp | icmp | raw-ip | sctp | tcp | udp | udp-lite } ] [ source-port source-port ] [ destination-port destination-port ] [ vpn-instance vpn-instance-name ] |
|
删除IPv6单播会话表项 |
reset session table ipv6 [ chassis chassis-number slot slot-number ] [ source-ip source-ip ] [ destination-ip destination-ip ] [ protocol { dccp | icmpv6 | raw-ip | sctp | tcp | udp | udp-lite } ] [ source-port source-port ] [ destination-port destination-port ] [ vpn-instance vpn-instance-name ] |
|
删除所有单播会话项 |
reset session table [ chassis chassis-number slot slot-number ] |
|
清除单播会话统计信息 |
reset session statistics [ chassis chassis-number slot slot-number ] |
|
删除关联表项 |
reset session relation-table [ ipv4 | ipv6 ] [ chassis chassis-number slot slot-number ] |
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
