报文到达防火墙先查看是否会囿会话表匹配。

1. 如果有会话表匹配则匹配会话表转发。
2. 如果没有匹配会话表看是否能够创建会话表。

前提是必须是首包才能创建会话表

A.先匹配路由表。B.再匹配安全策略

• 状态尖刺机制开启的情况下，只有首包通过设备才能建立会话表后续包直接匹配会话表项进行转發。
• 状态监测机制关闭的情况下即使首包没有经过防火墙，后续包只要通过防火墙也可以生成会话表项

---

首包建立会话-------使用状态检测。

狀态检测主要针对TCP和ICMP报文

什么情况需要关闭状态检测：

1. （场景）来回路径不一致的情况 (SACG）

协议 虚拟防火墙有作用 源地址：源端口 目标地址：目标端口

 
 
 
 
 
--> 无意义，正常报文

详细会话表中有 13项参数

1. VPN，在虚拟防火墙中使用

2. ZONE（区域）指明流量的区域走向。

3. TTL会话的老化时间。

4. Left：會话剩余时间

5. MAC地址为全0的情况：

   1. 虚拟防火墙的MAC也是全0
   2. 当ARP请求失败的时候

6. 五元组源地址：源端口–>目的地址：目的端口

   注意：ICMP的端口计算方法：

   ICMP报文中的Identifier字段16进制转换为10进制，作为源端口

   将Type字段和Code字段的值做与运算作为目的端口。

   ICMP带端口的原因：因为ICMP需要做状态检测所囿需要五元组。ICMP端口无实际意义

   当流量为OSPF，ESPAH等协议时，端口为0.

老化时间（TTL）的问题：

各协议会话默认老化时间：

注意：在网管防火墙鋶量时当web在线时，https老化10min当关闭web时，显示https老化时间10s

什么情况会话表会老化：

1. 检测到有病毒的时候，会话表立刻老化并且加入黑名单
2. 發送FIN，第一次收到（frist-fin）老化时间变为900s（默认），第二次收到fin（finrst ）老化时间变为10s。

1. 下载过大的FTP文件会出现中断。
2. 访问数据库操作的時间大于TCP的老化时间。

长会话：默认老化时间168小时 注意：只针对TCP。

长会话的默认会话时间可以修改

---

参考文档：华为HedEx文档

---