ALG網(wǎng)絡(luò)安全技術(shù)白皮書(shū)

1、ALG網(wǎng)絡(luò)安全技術(shù)白皮書(shū)關(guān)鍵詞：ALG，NAT，ASPF，會(huì)話(huà)摘要：ALG是一種對(duì)應(yīng)用層進(jìn)行處理的技術(shù)，它通過(guò)與NAT、ASPF等技術(shù)的組合應(yīng)用，實(shí)現(xiàn)對(duì)應(yīng)用層的處理和檢測(cè)。本文詳細(xì)介紹了ALG技術(shù)的工作機(jī)制以及典型組網(wǎng)應(yīng)用?？s略語(yǔ)：縮略語(yǔ)英文全名中文解釋ALGApplication Level Gateway應(yīng)用層網(wǎng)關(guān)ASPFApplication Specific Packet Filter基于應(yīng)用層狀態(tài)的包過(guò)濾DNSDomain Name System域名系統(tǒng)FTPFile Transfer Protocol文件傳輸協(xié)議ILSInternet Locator ServiceInternet

2、定位服務(wù)LDAPLightweight Directory Access Protocol輕量級(jí)目錄訪(fǎng)問(wèn)協(xié)議NATNetwork Address Translation網(wǎng)絡(luò)地址轉(zhuǎn)換NBTNetwork Basic Input/Output System Based TCP/IP基于TCP/IP的網(wǎng)絡(luò)基本輸入/輸出系統(tǒng)RTSPReal-Time Streaming Protocol實(shí)時(shí)流協(xié)議SIPSession Initiation Protocol會(huì)話(huà)發(fā)起協(xié)議目 錄 HYPERLINK l _bookmark0 概述 HYPERLINK l _bookmark0 3 HYPERLINK l _

3、bookmark0 產(chǎn)生背景 HYPERLINK l _bookmark0 3 HYPERLINK l _bookmark0 技術(shù)優(yōu)點(diǎn) HYPERLINK l _bookmark0 3 HYPERLINK l _bookmark1 ALG技術(shù)實(shí)現(xiàn) HYPERLINK l _bookmark1 4 HYPERLINK l _bookmark1 概念介紹 HYPERLINK l _bookmark1 4 HYPERLINK l _bookmark1 ALG技術(shù)實(shí)現(xiàn)原理 HYPERLINK l _bookmark1 4 HYPERLINK l _bookmark1 報(bào)文載荷的地址轉(zhuǎn)換 HYPERLI

4、NK l _bookmark1 4 HYPERLINK l _bookmark4 動(dòng)態(tài)通道檢測(cè) HYPERLINK l _bookmark4 7 HYPERLINK l _bookmark6 應(yīng)用層狀態(tài)檢測(cè) HYPERLINK l _bookmark6 9 HYPERLINK l _bookmark8 應(yīng)用限制 HYPERLINK l _bookmark8 11 HYPERLINK l _bookmark9 典型組網(wǎng)應(yīng)用 HYPERLINK l _bookmark9 12 HYPERLINK l _bookmark9 ALG支持FTP的典型組網(wǎng)應(yīng)用 HYPERLINK l _bookmark9

5、 12概述產(chǎn)生背景在應(yīng)用層協(xié)議中，有很多協(xié)議都包含多通道的信息，比如多媒體協(xié)議（H.323、SIP等）、FTP、SQLNET等。這種多通道的應(yīng)用需要首先在控制通道中對(duì)后續(xù)數(shù)據(jù)通道的地址和端口進(jìn)行協(xié)商，然后根據(jù)協(xié)商結(jié)果創(chuàng)建多個(gè)數(shù)據(jù)通道連接。在NAT 的實(shí)際應(yīng)用過(guò)程中，NAT僅對(duì)網(wǎng)絡(luò)層報(bào)文的報(bào)文頭進(jìn)行IP地址的識(shí)別和轉(zhuǎn)換，對(duì)于應(yīng)用層協(xié)議協(xié)商過(guò)程中報(bào)文載荷攜帶的地址信息則無(wú)法進(jìn)行識(shí)別和轉(zhuǎn)換，因此在有NAT處理的組網(wǎng)方案中，NAT利用ALG技術(shù)可以對(duì)多通道協(xié)議進(jìn)行應(yīng)用層的報(bào)文信息的解析和地址轉(zhuǎn)換，保證應(yīng)用層上通信的正確性。在傳統(tǒng)的包過(guò)濾防火墻中，也會(huì)遇到類(lèi)似問(wèn)題。由于包過(guò)濾防火墻是基于IP包中的源地址

6、、目的地址、源端口和目的端口來(lái)判斷是否允許包通過(guò)，這種基于靜態(tài)IP包頭的匹配雖然可以允許或者拒絕特定的應(yīng)用層服務(wù)，但無(wú)法理解服務(wù)的上下文會(huì)話(huà)，而且對(duì)于多通道的應(yīng)用層協(xié)議，其數(shù)據(jù)通道是動(dòng)態(tài)協(xié)商的，無(wú)法預(yù)先知道數(shù)據(jù)通道的地址和端口，無(wú)法制定完善的安全策略。ASPF利用ALG技術(shù)便可以解決包過(guò)濾防火墻遇到的問(wèn)題，實(shí)現(xiàn)對(duì)多通道應(yīng)用協(xié)議的動(dòng)態(tài)檢測(cè)。綜上所述，ALG和NAT、ASPF特性的配合使用，可以解決這些特性遇到的應(yīng)用層協(xié)議的多通道問(wèn)題，進(jìn)而可以協(xié)助網(wǎng)絡(luò)設(shè)備實(shí)現(xiàn)整體的網(wǎng)絡(luò)安全解決方案。技術(shù)優(yōu)點(diǎn)ALG和NAT、ASPF等特性配合使用，為內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的通信提供基于應(yīng)用的訪(fǎng)問(wèn)控制，具有以下優(yōu)點(diǎn)：

7、ALG 統(tǒng)一對(duì)各應(yīng)用層協(xié)議報(bào)文進(jìn)行解析處理，避免了 NAT、ASPF 特性對(duì)同一類(lèi)報(bào)文應(yīng)用層協(xié)議的重復(fù)解析，可以有效提高報(bào)文轉(zhuǎn)發(fā)效率。ALG 的狀態(tài)檢測(cè)是基于應(yīng)用層協(xié)議的，能夠監(jiān)聽(tīng)每一個(gè)應(yīng)用的每個(gè)連接所使用的端口，打開(kāi)合適的通道允許會(huì)話(huà)中的數(shù)據(jù)穿過(guò)防火墻，在會(huì)話(huà)結(jié)束時(shí)關(guān)閉該通道，從而實(shí)現(xiàn)對(duì)動(dòng)態(tài)端口應(yīng)用的有效訪(fǎng)問(wèn)控制?？芍С侄喾N應(yīng)用層協(xié)議： DNS 、 FTP 、 H.323 （包括 RAS 、 H.225 、H.245）、HTTP、ICMP、ILS、MSN/QQ、NBT、RTSP、SIP、SQLNET、TFTP。ALG技術(shù)實(shí)現(xiàn)概念介紹會(huì)話(huà)：記錄了傳輸層報(bào)文之間的交互信息，包括源 IP 地址、源

8、端口、目的 IP 地址、目的端口，協(xié)議類(lèi)型和源/目的 IP 地址所屬的 VPN 實(shí)例。交互信息相同的報(bào)文屬于一條流，通常情況下，一個(gè)會(huì)話(huà)對(duì)應(yīng)正反兩條流，一條流對(duì)應(yīng)一個(gè)方向上的一個(gè)會(huì)話(huà)。動(dòng)態(tài)通道：當(dāng)應(yīng)用層協(xié)議報(bào)文中攜帶地址信息時(shí)，這些地址信息會(huì)被用于建立動(dòng)態(tài)通道，后續(xù)符合該地址信息的連接將使用已經(jīng)建立的動(dòng)態(tài)通道來(lái)傳輸數(shù)據(jù)。ALG技術(shù)實(shí)現(xiàn)原理ALG技術(shù)配合NAT特性可支持對(duì)報(bào)文載荷的地址轉(zhuǎn)換功能；配合ASPF特性可支持動(dòng)態(tài)通道的檢測(cè)功能，以及對(duì)應(yīng)用層的狀態(tài)檢測(cè)功能。下文將結(jié)合具體的應(yīng)用協(xié)議工作過(guò)程，分別對(duì)以上三個(gè)ALG技術(shù)的實(shí)現(xiàn)原理進(jìn)行介紹。報(bào)文載荷的地址轉(zhuǎn)換對(duì)于多通道應(yīng)用協(xié)議，IP報(bào)文數(shù)據(jù)載荷中

9、攜帶了地址信息，在NAT的組網(wǎng)環(huán)境中， 為保證后續(xù)動(dòng)態(tài)通道的正確建立，這些數(shù)據(jù)載荷中的地址也需要進(jìn)行轉(zhuǎn)換，ALG的作用就是對(duì)載荷中的地址進(jìn)行轉(zhuǎn)換。下面以多通道應(yīng)用協(xié)議FTP、DNS、ICMP在NAT組網(wǎng)環(huán)境中的ALG應(yīng)用來(lái)具體說(shuō)明報(bào)文載荷的轉(zhuǎn)換過(guò)程。FTP的ALG應(yīng)用Private networkPublic networkHost0NAT (00)IP networkFTP server發(fā)送Port報(bào)文(Port 0, 1024)Host與FTP server之間建立控制連接Port報(bào)文載荷已被轉(zhuǎn)換(Port 0, 5000)FTP server向Host發(fā)起數(shù)據(jù)連接(: 20-0:5000

10、)ALG處理FTP server向Host發(fā)起數(shù)據(jù)連接(: 20-0: 1024)ALG處理在已經(jīng)建立的數(shù)據(jù)連接上進(jìn)行數(shù)據(jù)傳輸圖1 FTP報(bào)文載荷的ALG處理示意圖如 HYPERLINK l _bookmark2 圖1所示，私網(wǎng)側(cè)的主機(jī)要訪(fǎng)問(wèn)公網(wǎng)的FTP服務(wù)器。NAT設(shè)備上配置了私網(wǎng)地址0到公網(wǎng)地址0的映射，實(shí)現(xiàn)地址的NAT轉(zhuǎn)換，以支持私網(wǎng)主機(jī)對(duì)公網(wǎng)的訪(fǎng)問(wèn)。在該組網(wǎng)中，如果沒(méi)有ALG對(duì)報(bào)文載荷的處理，私網(wǎng)主機(jī)發(fā)送的Port報(bào)文到達(dá)服務(wù)器端后，服務(wù)器無(wú)法識(shí)別該報(bào)文載荷中的私網(wǎng)地址，也就無(wú)法建立正確的數(shù)據(jù)連接。下面是應(yīng)用了ALG的FTP連接建立過(guò)程。首先，私網(wǎng)主機(jī)和公網(wǎng) FTP 服務(wù)器之間通過(guò) T

11、CP 三次握手成功建立控制連接?？刂七B接建立后，私網(wǎng)主機(jī)向 FTP 服務(wù)器發(fā)送 Port 報(bào)文，報(bào)文中攜帶私網(wǎng)主機(jī)指定的數(shù)據(jù)連接的目的地址和端口，用于通知服務(wù)器使用該地址和端口和自己進(jìn)行數(shù)據(jù)連接。Port 報(bào)文在經(jīng)過(guò)支持 ALG 特性的 NAT 設(shè)備時(shí)，報(bào)文載荷中的私網(wǎng)地址和端口會(huì)被轉(zhuǎn)換成對(duì)應(yīng)的公網(wǎng)地址和端口。即，設(shè)備將收到的 Port 報(bào)文載荷中的私網(wǎng)地址 0 轉(zhuǎn)換成公網(wǎng)地址 0，端口 1024 轉(zhuǎn)換成5000。公網(wǎng)的 FTP 服務(wù)器收到 Port 報(bào)文后，解析其內(nèi)容，并向私網(wǎng)主機(jī)發(fā)起數(shù)據(jù)連接，該數(shù)據(jù)連接的目的地址為 0，端口為 5000。由于該目的地址是一個(gè)公網(wǎng)地址，因此后續(xù)的數(shù)據(jù)連接就能

12、夠成功建立，從而實(shí)現(xiàn)私網(wǎng)主機(jī)對(duì)公網(wǎng)服務(wù)器的訪(fǎng)問(wèn)。DNS的ALG應(yīng)用Private networkPublic networkWWW server0NAT (00)DNS QUERYIP networkDNS server HYPERLINK / 0Host HYPERLINK http:/www/ www. 的IP地址是多少？DNS ANSWER HYPERLINK http:/www/ www. 的IP地址是0ALG處理DNS ANSWER HYPERLINK http:/www/ www. 的IP地址是0圖2 DNS報(bào)文載荷的ALG處理示意圖如 HYPERLINK l _bookmark3

13、 圖2所示，私網(wǎng)側(cè)主機(jī)要訪(fǎng)問(wèn)內(nèi)部WWW服務(wù)器（域名為 HYPERLINK / ，對(duì)外公網(wǎng)地址為0），它所詢(xún)問(wèn)的DNS服務(wù)器在公網(wǎng)。首先，私網(wǎng)主機(jī)向公網(wǎng)的 DNS 服務(wù)器發(fā)起 DNS 查詢(xún)。DNS 服務(wù)器收到查詢(xún)報(bào)文后進(jìn)行查詢(xún)處理， 并將查詢(xún)到的結(jié)果（域名 HYPERLINK / 對(duì)應(yīng) IP 地址 0 ）放在 DNS 響應(yīng)報(bào)文（ DNS Answer）中發(fā)送給私網(wǎng)主機(jī)對(duì)應(yīng)的公網(wǎng)地址。DNS 響應(yīng)報(bào)文在到達(dá)具有 ALG 特性的 NAT 設(shè)備時(shí)，報(bào)文載荷中的公網(wǎng)地址會(huì)被映射成為內(nèi)部 WWW 服務(wù)器的私網(wǎng)地址。即，NAT 設(shè)備將收到的 DNS 響應(yīng)報(bào)文數(shù)據(jù)載荷中的 IP 地址 0 替換為 0 后，將D

14、NS 響應(yīng)報(bào)文發(fā)往私網(wǎng)。這樣，私網(wǎng)主機(jī)收到的 DNS 響應(yīng)報(bào)文中就攜帶了 HYPERLINK / 的私網(wǎng) IP 地址，從而實(shí)現(xiàn)私網(wǎng)客戶(hù)端通過(guò)公網(wǎng) DNS 服務(wù)器以域名方式訪(fǎng)問(wèn)私網(wǎng)服務(wù)器的功能。ICMP差錯(cuò)報(bào)文的ALG應(yīng)用圖3 ICMP差錯(cuò)報(bào)文載荷的ALG處理示意圖如 HYPERLINK l _bookmark4 圖3所示，公網(wǎng)側(cè)的主機(jī)要訪(fǎng)問(wèn)私網(wǎng)中的FTP服務(wù)器，該內(nèi)部服務(wù)器對(duì)外的公網(wǎng)地址為0。若內(nèi)部FTP服務(wù)器的21端口未打開(kāi)，那么它會(huì)向主機(jī)發(fā)送一個(gè)ICMP差錯(cuò)報(bào)文。由于該差錯(cuò)報(bào)文的數(shù)據(jù)載荷中的IP地址信息是被NAT處理過(guò)的，因此其數(shù)據(jù)載荷中的地址信息為私網(wǎng)IP地址。在這種情況下，如果未經(jīng)過(guò)A

15、LG處理的ICMP差錯(cuò)報(bào)文從私網(wǎng)發(fā)送到公網(wǎng)，那么公網(wǎng)主機(jī)就無(wú)法識(shí)別該差錯(cuò)報(bào)文屬于哪個(gè)應(yīng)用程序，同時(shí)也會(huì)將FTP服務(wù)器的私網(wǎng)地址泄漏到公網(wǎng)中。因此，當(dāng)該ICMP差錯(cuò)報(bào)文到達(dá)NAT設(shè)備時(shí)，ALG會(huì)根據(jù)原始FTP會(huì)話(huà)的地址轉(zhuǎn)換信息記錄，將其數(shù)據(jù)載荷中的私網(wǎng)地址0還原成公網(wǎng)地址0， 再將該ICMP差錯(cuò)報(bào)文發(fā)送到公網(wǎng)。這樣，公網(wǎng)主機(jī)就可以正確識(shí)別出錯(cuò)的應(yīng)用程序，同時(shí)也避免了私網(wǎng)地址的泄漏。動(dòng)態(tài)通道檢測(cè)多通道協(xié)議的報(bào)文交互過(guò)程中需要協(xié)商動(dòng)態(tài)通道的地址和端口，在ASPF的組網(wǎng)環(huán)境中，ALG通過(guò)記錄報(bào)文交互過(guò)程中的動(dòng)態(tài)通道地址和端口，與ASPF特性相配合決定允許哪些報(bào)文通過(guò)。下面通過(guò)兩種常見(jiàn)的組網(wǎng)情況來(lái)具體介

16、紹一下動(dòng)態(tài)通道檢測(cè)的原理。私網(wǎng)主機(jī)訪(fǎng)問(wèn)公網(wǎng)提供的服務(wù)Private networkPublic networkHostInternetFTP serverHost與FTP server之間建立連接PORT（IP，Port）ALG處理： 記錄IP和PortPORT（IP，Port）僅允許目的地址和目的端口是IP、Port的報(bào)文通過(guò)其它目的地址和目的端口非IP、Port的報(bào)文拒絕通過(guò)圖4 ALG支持動(dòng)態(tài)通道的報(bào)文穿越防火墻 HYPERLINK l _bookmark5 如圖4所示，私網(wǎng)主機(jī)訪(fǎng)問(wèn)公網(wǎng)的FTP服務(wù)器。通常情況下，防火墻上的ASPF會(huì)禁止公網(wǎng)主動(dòng)發(fā)起的報(bào)文進(jìn)入私網(wǎng)內(nèi)部，以實(shí)現(xiàn)保護(hù)內(nèi)部網(wǎng)絡(luò)

17、的目的。當(dāng)FTP連接進(jìn)行動(dòng)態(tài)通道協(xié)商時(shí)，私網(wǎng)主機(jī)向FTP服務(wù)器發(fā)送Port報(bào)文。Port報(bào)文經(jīng)過(guò)防火墻時(shí)，ALG記錄其中的IP地址和端口號(hào)（IP，Port），并把它們作為該連接產(chǎn)生的動(dòng)態(tài)通道信息。之后，ASPF僅允許公網(wǎng)主動(dòng)發(fā)起并符合動(dòng)態(tài)通道信息的報(bào)文通過(guò)防火墻設(shè)備進(jìn)入私網(wǎng)。如果沒(méi)有ALG的支持，服務(wù)器發(fā)起的數(shù)據(jù)連接將被阻擋在防火墻之外，主機(jī)和服務(wù)器之間就無(wú)法成功建立FTP動(dòng)態(tài)通道。從上述過(guò)程可以看出，在ASPF和ALG的配和工作下，防火墻既支持了私網(wǎng)訪(fǎng)問(wèn)公網(wǎng)服務(wù)器的正常功能，又拒絕了其他不屬于該連接的網(wǎng)絡(luò)流量訪(fǎng)問(wèn)私網(wǎng)。私網(wǎng)和公網(wǎng)之間的端對(duì)端訪(fǎng)問(wèn)有一些應(yīng)用協(xié)議（比如QQ/MSN）的ALG 處理

18、和上面的FTP應(yīng)用稍有不同。QQ/MSN用戶(hù)在上線(xiàn)后，通常會(huì)建立一對(duì)多的連接，而且還會(huì)出現(xiàn)由公網(wǎng)主動(dòng)發(fā)起連接的情況。對(duì)于以上這樣的情況，ALG同樣可以支持。圖5 對(duì)于某些特殊應(yīng)用，ALG允許公網(wǎng)端首先發(fā)起連接 HYPERLINK l _bookmark6 如圖5所示，Host A上的QQ的客戶(hù)端，向公網(wǎng)服務(wù)器發(fā)送上線(xiàn)請(qǐng)求，ALG對(duì)上線(xiàn)請(qǐng)求報(bào)文進(jìn)行解析，并根據(jù)客戶(hù)端地址等信息建立動(dòng)態(tài)通道。Host A成功上線(xiàn)之后， 公網(wǎng)中Host B向Host A發(fā)送的QQ應(yīng)用報(bào)文便可以根據(jù)已經(jīng)建立的動(dòng)態(tài)通道穿過(guò)防火墻，而來(lái)自Host B的其他報(bào)文，或者其他未知的網(wǎng)絡(luò)流量都會(huì)被防火墻丟棄。通過(guò)這樣的方式，ALG

19、在支持各種類(lèi)型應(yīng)用程序正常功能的同時(shí)也保護(hù)了內(nèi)部私網(wǎng)。應(yīng)用層狀態(tài)檢測(cè)在ASPF的組網(wǎng)環(huán)境中，ALG技術(shù)可以對(duì)應(yīng)用層狀態(tài)進(jìn)行跟蹤檢測(cè)。各種應(yīng)用程序通常都有相對(duì)穩(wěn)定的報(bào)文交互過(guò)程，如果不符合該交互過(guò)程，則很有可能是異常的報(bào)文攻擊。ALG通過(guò)解析、記錄應(yīng)用層報(bào)文的狀態(tài)信息，記錄會(huì)話(huà)的上下文信息， 對(duì)即將到來(lái)的報(bào)文做預(yù)測(cè)，對(duì)于不符合要求的報(bào)文進(jìn)行丟棄，實(shí)現(xiàn)應(yīng)用層狀態(tài)的跟蹤檢測(cè)。FTP應(yīng)用的狀態(tài)檢測(cè)Private networkPublic networkFTP serverInternetHostHost 向FTP server發(fā)起連接請(qǐng)求USER命令正常通過(guò)FTP server要求Host輸入密碼 發(fā)送PASV命令，被丟棄 發(fā)送PORT命令，被丟棄PASS命令正常通過(guò)發(fā)送其它報(bào)文，被丟棄圖6 防火墻進(jìn)行FTP應(yīng)用層狀態(tài)檢測(cè)原理如 HYPERLINK l _bookmark7 圖6所示，公網(wǎng)主機(jī)和私網(wǎng)的FTP服務(wù)器建立TCP連接后，F(xiàn)TP服務(wù)器開(kāi)始等待主機(jī)發(fā)送USER命令進(jìn)行用戶(hù)認(rèn)證，之后主機(jī)發(fā)出的USER命令便可以正常穿過(guò)防火墻到達(dá)私網(wǎng)。FTP服務(wù)器收到USER命令后，要求用戶(hù)在主機(jī)上輸入密碼。這時(shí)，主機(jī)應(yīng)該發(fā)送PASS命令，如果主機(jī)沒(méi)有發(fā)送PASS命令，而是發(fā)送PORT或者PASV等等其它類(lèi)型