内容发布更新时间 : 2025/1/7 12:36:56星期一 下面是文章的全部内容请认真阅读。
配置会话表老化时间和长连接
会话表是状态检测防火墙进行转发的基础。本例通过调整会话老化时间和配置长连接，为特殊应用保证长时间的数据连接。需要注意的是，保持数据连接需要消耗一定的系统性能。
组网需求
NGFW部署在某企业的出口。该企业对外提供FTP服务，对内提供FTP服务和数据库服务。 ?
由于FTP服务器上存放有较多大体积文件，用户下载时间可能会比较长，所以需要将设备的FTP老化时间调长。
根据文件大小和网络传输速度，将FTP控制通道老化时间定为3600秒，将FTP数据通道老化时间定为300秒。 ?
在提供数据库服务的过程中，可能存在用户很长时间才查询一次的情况，所以为数据库服务配置一个长连接，使其会话表项长时间不被老化。
根据用户查询数据库的最大间隔时间，将长连接时间定为24小时。 组网图如图1所示。
图1 配置会话表老化时间和长连接组网图
操作步骤
1. 配置各个接口的IP，并划入相应的安全区域。 2.
3. [NGFW] interface GigabitEthernet 1/0/3
4. [NGFW-GigabitEthernet1/0/3] ip address 10.3.1.1 24 5. [NGFW-GigabitEthernet1/0/3] quit
6. [NGFW] interface GigabitEthernet 1/0/2
7. [NGFW-GigabitEthernet1/0/2] ip address 10.2.1.1 24 8. [NGFW-GigabitEthernet1/0/2] quit 9. [NGFW] interface GigabitEthernet 1/0/1
10. [NGFW-GigabitEthernet1/0/1] ip address 1.1.1.1 24 11. [NGFW-GigabitEthernet1/0/1] quit 12. [NGFW] firewall zone trust
13. [NGFW-zone-trust] add interface GigabitEthernet 1/0/3 14. [NGFW-zone-trust] quit 15. [NGFW] firewall zone dmz
16. [NGFW-zone-dmz] add interface GigabitEthernet 1/0/2 17. [NGFW-zone-dmz] quit
18. [NGFW] firewall zone untrust
19. [NGFW-zone-untrust] add interface GigabitEthernet 1/0/1 20. [NGFW-zone-untrust] quit
21. 创建一条ACL用于定义内网用户访问数据库服务器的流量。 22. [NGFW] acl 3001
23. [NGFW-acl-adv-3001] rule permit ip source 10.3.1.0 0.0.0.255 destination
10.2.1.3 0
[NGFW-acl-adv-3001] quit
24. 配置安全策略，以保证网络基本通信正常。 25. [NGFW] security-policy
26. [NGFW-policy-security] rule name policy_sec_1
27. [NGFW-policy-security-rule-policy_sec_1] source-zone trust 28. [NGFW-policy-security-rule-policy_sec_1] destination-zone dmz 29. [NGFW-policy-security-rule-policy_sec_1] source-address 10.3.1.0 24
30. [NGFW-policy-security-rule-policy_sec_1] destination-address range 10.2.1.2
10.2.1.3
31. [NGFW-policy-security-rule-policy_sec_1] action permit 32. [NGFW-policy-security-rule-policy_sec_1] quit 33. [NGFW-policy-security] rule name policy_sec_2
34. [NGFW-policy-security-rule-policy_sec_2] source-zone untrust 35. [NGFW-policy-security-rule-policy_sec_2] destination-zone dmz
36. [NGFW-policy-security-rule-policy_sec_2] destination-address 10.2.1.2 32 37. [NGFW-policy-security-rule-policy_sec_2] action permit 38. [NGFW-policy-security-rule-policy_sec_2] quit
[NGFW-policy-security] quit
39. 在trust区域与dmz区域的域间引用ACL3001进行长连接的配置。 40. [NGFW] firewall interzone trust dmz
41. [NGFW-interzone-trust-dmz] detect ftp
42. [NGFW-interzone-trust-dmz] long-link 3001 outbound
43. WARNING: Too large range of ACL maybe affect the performance of firewall, please
use this command carefully! 44. Are you sure?[Y/N]Y
45. [NGFW-interzone-trust-dmz] quit 46. [NGFW] firewall interzoneuntrustdmz 47. [NGFW-interzone-dmz-untrust] detect ftp 48. [NGFW-interzone-dmz-untrust] quit
49. 配置长连接功能老化时间，使ACL3001中定义的流量按照该时间进行老化。然后调整FTP
的控制通道与数据通道的老化时间。该配置对所有流量生效，所以不需要匹配ACL。其中ftp表示FTP控制通道，ftp-data表示FTP数据通道。 50. [NGFW] firewall long-link aging-time 24
51. [NGFW] firewall session aging-time service-set ftp 3600
[NGFW] firewall session aging-time service-set ftp-data 300
配置脚本
以下仅给出与本案例有关的脚本 #
sysname NGFW #
firewall long-link aging-time 24
firewall session aging-time service-set ftp 3600 firewall session aging-time service-set ftp-data 300 #
acl number 3001
rule 5 permit ip source 10.3.1.0 0.0.0.255 destination 10.2.1.3 0 #
interface GigabitEthernet1/0/3 ip address 10.3.1.1 255.255.255.0 #
interface GigabitEthernet1/0/2 ip address 10.2.1.1 255.255.255.0 #
interface GigabitEthernet1/0/1 ip address 1.1.1.1 255.255.255.0 #
firewall zone local set priority 100 #