4、防火墙服务模块软件架构与透明模式解析

防火墙服务模块软件架构与透明模式解析

1. 软件架构概述

在任何基于计算机的系统中，软件是不可或缺的组成部分。即便硬件再先进，如果没有操作系统，它可能也就只能当作加热器或镇纸。幸运的是，防火墙服务模块（FWSM）具备众多实用特性和可调整的参数。深入了解软件如何处理流量是至关重要的，这有助于我们更好地设计、实施和排查问题。

1.1 流量处理流程

输入的数据包首先会进行分片检查，若有需要会进行重组，然后进入“管理/路由”决策流程。该流程会判断数据包是路由信息还是管理数据包（如 Telnet、SSH 或 HTTPS）。若数据包符合标准并通过接口访问控制列表（ACL），则会被发送到会话管理流程进行相应处理。

若不符合上述条件，第三个决策流程（TCP/UDP/ICMP）会将非 TCP/UDP/ICMP 数据包与需要进行目标网络地址转换（DNAT）、反向路径转发（RPF）检查和地址池分配的数据包分开。同时，还会进行 ACL 检查以验证数据包。

如果数据包属于现有会话，会被导向 NAT 流程并发送出去；否则，会进行 ACL 检查，必要时还会进行协议检查流程。

1.2 协议检查流程

协议检查流程，以前也被称为“修复”协议，会对需要特别关注的数据包进行检查和修改，例如：
- CTIQBE ：Cisco 专有的 VoIP 协议，用于 TAPI 和 JTAPI 与呼叫管理器通信。
- DNS ：将主机名或域名转换为 IP 地址。
- FTP ：用于计算机之间交换文件的通信协