华为防火墙-2-状态检测与会话

最新推荐文章于 2025-08-30 20:42:26 发布

原创

最新推荐文章于 2025-08-30 20:42:26 发布 · 5.3k 阅读

6 ·

CC 4.0 BY-SA版权

文章标签：

#华为

本文档详细介绍了网络会话管理的相关概念，包括五元组、ICMP会话端口、安全策略和会话老化时间的设置。提到了如何通过配置默认策略、显示会话表和设置特定服务的会话时间来管理网络流量。此外，还讨论了长连接功能、服务策略组的添加以及如何关闭防火墙的状态监测功能。在故障排查部分，指出了会话丢失可能的原因及解决办法。

五元组：
源地址，源端口，目的地址，目的端口，协议

ICMP:报文头中ID字段值作为ICMP会话的源端口，2048作为目的端口

AH Authentication Header认证头协议和ESP Encapsulating Security Payload封装安全协议，会话Session中的源和目的端口都记录为0。

开通默认策略：
[]security-policy
[policy]default action permit

display firewall session table

display firewall session table verbose 详细会话信息

设置会话老化时间
firewall session aging-time dns 40
firewall session aging-time service-set dns 40

长连接功能
#通过acl规则来识别报文，控制粒度更加精确
默认情况下，应用了长连接功能的会话老化时间是168h
目前仅支持对TCP协议类型的报文配置长连接功能。
[sysname] security-policy
[sysname-policy-security] rule name a1
[sysname-policy-security-rule-a1] long-link enable

long-link aging-time命令用来配置基于策略的长连接时间，单位小时。
undo long-link aging-time命令用来恢复缺省配置168h

例：
[USG6000V1-policy-security-rule-http30to2]display this
2021-06-10 08:45:42.300
#
rule name http30to2
source-zone trust
&nb