华为FW报文处理流程

haishi

　　以下摘抄自《华为防火墙技术漫谈》，有删减

　　

　　FW对ICMP报文是如何处理的？
　　NAT server映射如下
　　nat server test 0 protocol tcp global 1.1.1.10 inside 10.0.12.2
　　在外网 ping 1.1.1.10 查看会话，

  

[USG6000V1]display   firewall session table  ver 　　Current Total Sessions : 1 　　icmp    VPN: public --> public  ID:   c487feba399c1306b3858ff1017 　　Zone: untrust --> untrust  TTL: 00:00:20  Left: 00:00:19 　　Interface: GigabitEthernet1/0/1  NextHop: 1.1.1.10  MAC: 0000-0000-0000 　　<--packets:   0 bytes: 0 --> packets: 4 bytes: 336 　　1.1.1.2:53163 --> 1.1.1.10:2048   PolicyName: ---

　　总结：

  

• 其实该nat server写不写都一样  
  
• FW确实没有查到nat策略，但是路由和安全策略是通过的，所以还是创建了会话  
  
• 在之后的处理中，没有nat映射，而是建里了untrust->untrust的会话，因为路由下一跳接口是在untrust区域
  

　　可以配置icmp的映射
　　nat server test protocol icmp global 1.1.1.10 inside 10.0.12.2
　　会话
　　[USG6000V1]dis firewall session table  ver
　　Current Total Sessions : 1
　　icmp  VPN: public --> public  ID: c487feba3992230ec0b58ff1240
　　Zone: untrust --> trust  TTL: 00:00:20  Left: 00:00:16
　　Interface: GigabitEthernet1/0/0  NextHop: 10.0.12.2  MAC: 00e0-fcd6-05fc
　　<--packets: 5 bytes: 420 --> packets: 5 bytes: 420
　　1.1.1.2:53675 --> 1.1.1.10:2048[10.0.12.2:2048] PolicyName: default
　　UDP的原理同ICMP是一样的