В этой главе показано, как просматривать и удалять TCP
соединения и UDP сессии в реальном времени.
Что такое активные соединения ?К активным соединениям относятся TCP
соединения или UDP сессии, которые в данный момент проходят через межсетевой
экран. Они проходят через межсетевой экран либо в соответствии с правилом
фильтрации, описанным администратором, либо в соответствии с записью в таблице
состояний, автоматически добавленной межсетевым экраном Aker.
По каждому такому соединению межсетевой экран хранит массу
информации в своих таблицах . Некоторые из этих информационных фрагментов
представляют особую ценность для администратора, их в любой момент можно
просмотреть с помощью окна активных соединений. Эта информация содержит точное
время установления соединений и период неактивности, т.е. период времени, в
течение которого через это соединение не было обмена пакетами.
14.1 Использование графического интерфейса
пользователяДля получения доступа к окну активных соединений необходимо:
- Выбрать меню Просмотр в главном окне
- Выбрать подпункт Соединения
- Выбрать опцию TCP соединения или UDP соединения
Окно активных соединений
В окне активных соединений можно просматривать все соединения,
которые прошли через межсетевой экран в течение определенного времени. Окна для
TCP и UDP протоколов идентичны за исключением поля Current State, которое
существует только в окне TCP соединений.
Часто для упрощения понимания термин соединение используется
для TCP и UDP протоколов; это не совсем правильно хотя бы из-за того, что UDP
протокол не является ориентированным на соединение. Смысл термина "UDP
соединение" заключается в том, что оно представляет UDP сессию, в которой
имеет место двусторонний трафик. Любой сеанс можно рассматривать как набор
запросов и ответов через межсетевой экран к определенному сервису, который
обеспечивается одной стороной и доступ к которому пытается получить другая
сторона. Окно соединений выглядит следующим образом
Окно состоит из списка с отдельным элементом для каждого
активного соединения. В нижней части окна выводится сообщение о полном числе
активных соединений в текущий момент времени.
- Кнопка OK закрывает окно активных соединений.
- Кнопка Refresh активизирует (или деактивизирует) автоматическое
обновление выводимой на дисплей информации. Нажатие на эту кнопку
деактивизирует процесс обновления. Интервал обновления можно задать в поле
Automatic refresh.
- Кнопка Help показывает окно помощи по данному разделу.
- Кнопка Remove удаляет выделенное соединение. Чтобы это сделать,
необходимо сначала выделить удаляемое соединение (кнопка Remove
недоступна, если соединение не выделено)
! При удалении TCP соединения
межсетевой экран посылает пакеты с флагом reset всем хостам, участвующим в
соединении, удаляет соединение, а затем удаляет соответствующий элемент из
таблицы состояний. В случае UDP соединений межсетевой экран просто удаляет
элементы из таблицы состояний.
- Кнопка DNS позволяет включить или выключить разрешения имен хостов с
помощью системы доменных имен (DNS) для адресов в списке соединений. Обратите
внимание на следующее:
- Если нажать кнопку DNS, прервется автоматическое обновление. Для его
активизации нажмите кнопку Refresh.
- После нажатия кнопки DNS показываемая на дисплее информация будет состоять
только из имен хостов и портов источника и назначения. Заголовок в верхней части
окна будет автоматически изменен, чтобы представлять новую информацию.
- Процесс разрешения имен очень часто проходит довольно медленно, из-за чего
он выполняется в фоновом режиме.
- Часто из-за проблем с настройкой обратных зон ( соответствие IP адресов
именам), разрешить некоторые IP адреса в имена невозможно. В этих случаях на
экран будут выводиться адреса с указанием факта, что для них не описано обратное
разрешение.
- Поле Sort позволяет выбрать способ вывода на дисплей списка
соединений. Оно содержит опции:
- Source IP: Список соединений сортируется по IP адресам источника
(этот порядок устанавливается по умолчанию).
- Destination IP: Список соединений сортируется по IP адресам
назначения
- Service: Список соединений сортируется по порту назначения
соединения, соответствующему данному сервису.
Значения полей в окне активных соединенийКаждая строка списка активных
соединений представляет одно соединение. Поля имеют следующие значения:
Source IP: IP адрес хоста, который инициирует
соединение.
Source port: Порт, используемый хостом источника для
данного соединения.
Destination: IP адрес хоста, с которым установлено
соединение.
Destination port: Порт, с которым установлено
соединение. Этот порт обычно соответствует определенному сервису.
Start: Время образования соединения.
Idle: Период неактивности соединения ( в минутах и
секундах).
Current State: Это поле выводится на дисплей только в
случае TCP соединений. Оно представляет состояние соединения в момент вывода на
экран. Поле может состоять из следующих значений:
SYN Sent: SYN Sent: Указывает, что пакет с запросом о
соединении был послан (пакет с SYN-флагом), но сервер еще не ответил на него.
SYN Exchanged: указывает, что был послан пакет с
запросом о соединении и получен ответ сервера с подтверждением об установлении
соединения.
Established: Указывает, что соединение установлено.
Listening at port: Указывает, что сервер слушает данный
порт (listen) в ожидании соединения от клиента. Подобное состояние возникает
только для соединений передачи данных в FTP сессии.
14.2 Использование интерфейса командной строкиИнтерфейс
командной строки, позволяющий осуществить доступ к списку активных соединений,
предоставляет те же возможности, что и графический интерфейс. Одна и та же
программа используется для TCP и UDP соединений.
Путь к программе: /etc/firewall/fwconex
Синтаксис:
fwconex help
fwconex show [TCP | UDP]
fwconex remove [TCP | UDP] Source_IP Source_Port Dest_IP Dest_Port Program
help:
Aker Firewall - Version 3.0
fwconex - Просмотр и удаление активных TCP и UDP соединений
Usage: fwconex help
fwconex show [TCP | UDP]
fwconex remove [TCP | UDP] Source_IP Source_Port Dest_IP Dest_port
help = показывает данное сообщение
show = показывает список активных соединений
remove = удаляет активное соединение Пример 1: (просмотр
активных TCP соединений) #fwconex show TCP
Source IP/port Destination IP/port Start Idle Current State
-------------------------------------------------------------------------------
10.4.1.196 1067 -> 10.4.1.11 23 15:35:19 00:00 Established
10.4.1.212 1078 -> 10.5.2.1 25 15:36:20 00:10 Established Пример
2: (просмотр активных UDP соединений) #fwconex show UDP
Source IP/port Destination IP/port Start Idle
-------------------------------------------------------------------------------
10.4.1.18 1023 -> 10.4.1.11 111 15:41:48 00:02
10.4.1.23 1078 -> 10.4.1.11 53 15:45:47 00:09 Пример
3: (Удаление TCP соединения и просмотр списка соединений) #fwconex remove tcp 10.4.1.196 1067 10.4.1.11 23
#fwconex show TCP
Source IP/port Destination IP/port Start Idle Current State
-------------------------------------------------------------------------------
10.4.1.212 1078 -> 10.5.2.1 25 15:36:20 00:10 Established
|