14. Просмотр и удаление соединений

В этой главе показано, как просматривать и удалять TCP соединения и UDP сессии в реальном времени.

Что такое активные соединения ?

По каждому такому соединению межсетевой экран хранит массу информации в своих таблицах . Некоторые из этих информационных фрагментов представляют особую ценность для администратора, их в любой момент можно просмотреть с помощью окна активных соединений. Эта информация содержит точное время установления соединений и период неактивности, т.е. период времени, в течение которого через это соединение не было обмена пакетами.

14.1 Использование графического интерфейса пользователя

• Выбрать меню Просмотр в главном окне
• Выбрать подпункт Соединения
• Выбрать опцию TCP соединения или UDP соединения

Окно активных соединений

В окне активных соединений можно просматривать все соединения, которые прошли через межсетевой экран в течение определенного времени. Окна для TCP и UDP протоколов идентичны за исключением поля Current State, которое существует только в окне TCP соединений.

Часто для упрощения понимания термин соединение используется для TCP и UDP протоколов; это не совсем правильно хотя бы из-за того, что UDP протокол не является ориентированным на соединение. Смысл термина "UDP соединение" заключается в том, что оно представляет UDP сессию, в которой имеет место двусторонний трафик. Любой сеанс можно рассматривать как набор запросов и ответов через межсетевой экран к определенному сервису, который обеспечивается одной стороной и доступ к которому пытается получить другая сторона. Окно соединений выглядит следующим образом

Окно состоит из списка с отдельным элементом для каждого активного соединения. В нижней части окна выводится сообщение о полном числе активных соединений в текущий момент времени.

• Кнопка OK закрывает окно активных соединений.
• Кнопка Refresh активизирует (или деактивизирует) автоматическое обновление выводимой на дисплей  информации. Нажатие на эту кнопку деактивизирует процесс обновления. Интервал обновления можно задать в поле Automatic refresh.
• Кнопка Help показывает окно помощи по данному разделу.
• Кнопка Remove удаляет выделенное соединение. Чтобы это сделать, необходимо сначала выделить удаляемое соединение (кнопка Remove недоступна, если соединение не выделено)

! При удалении TCP соединения межсетевой экран посылает пакеты с флагом reset всем хостам, участвующим в соединении, удаляет соединение, а затем удаляет соответствующий элемент из таблицы состояний. В случае UDP соединений межсетевой экран просто удаляет элементы из таблицы состояний.

• Кнопка DNS позволяет включить или выключить разрешения имен хостов с помощью системы доменных имен (DNS) для адресов в списке соединений. Обратите внимание на следующее:

1. Если нажать кнопку DNS, прервется автоматическое обновление. Для его активизации нажмите кнопку Refresh.
2. После нажатия кнопки DNS показываемая на дисплее информация будет состоять только из имен хостов и портов источника и назначения. Заголовок в верхней части окна будет автоматически изменен, чтобы представлять новую информацию.
3. Процесс разрешения имен очень часто проходит довольно медленно, из-за чего он выполняется в фоновом режиме.
4. Часто из-за проблем с настройкой обратных зон ( соответствие IP адресов именам), разрешить некоторые IP адреса в имена невозможно. В этих случаях на экран будут выводиться адреса с указанием факта, что для них не описано обратное разрешение.

• Поле Sort позволяет выбрать способ вывода на дисплей списка соединений. Оно содержит опции:

1. Source IP: Список соединений сортируется по IP адресам источника (этот порядок устанавливается по умолчанию).
2. Destination IP: Список соединений сортируется по IP адресам назначения
3. Service: Список соединений сортируется по порту назначения соединения, соответствующему данному сервису.

Значения полей в окне активных соединений

Source IP: IP адрес хоста, который инициирует соединение.

Source port: Порт, используемый хостом источника для данного соединения.

Destination: IP адрес хоста, с которым установлено соединение.

Destination port: Порт, с которым установлено соединение. Этот порт обычно соответствует определенному сервису.

Start: Время образования соединения.

Idle: Период неактивности соединения ( в минутах и секундах).

Current State: Это поле выводится на дисплей только в случае TCP соединений. Оно представляет состояние соединения в момент вывода на экран. Поле может состоять из следующих значений:

SYN Sent: SYN Sent: Указывает, что пакет с запросом о соединении был послан (пакет с SYN-флагом), но сервер еще не ответил на него.

SYN Exchanged: указывает, что был послан пакет с запросом о соединении и получен ответ сервера с подтверждением об установлении соединения.

Established: Указывает, что соединение установлено.

Listening at port: Указывает, что сервер слушает данный порт (listen) в ожидании соединения от клиента. Подобное состояние возникает только для соединений передачи данных в FTP сессии.

14.2 Использование интерфейса командной строки

Путь к программе: /etc/firewall/fwconex

Синтаксис:

fwconex help
fwconex show [TCP | UDP]
fwconex remove [TCP | UDP] Source_IP Source_Port Dest_IP Dest_Port

Aker Firewall - Version 3.0
fwconex - Просмотр и удаление активных TCP и UDP соединений
Usage: fwconex help
       fwconex show [TCP | UDP]
       fwconex remove [TCP | UDP] Source_IP Source_Port Dest_IP Dest_port
       help   =  показывает данное сообщение
       show   = показывает список активных соединений
       remove = удаляет активное соединение

#fwconex show TCP
Source IP/port           Destination IP/port      Start    Idle   Current State
-------------------------------------------------------------------------------
10.4.1.196       1067 -> 10.4.1.11          23   15:35:19  00:00  Established 
10.4.1.212       1078 -> 10.5.2.1           25   15:36:20  00:10  Established

#fwconex show UDP
Source IP/port            Destination IP/port     Start    Idle 
-------------------------------------------------------------------------------
10.4.1.18         1023 -> 10.4.1.11        111   15:41:48  00:02        
10.4.1.23         1078 -> 10.4.1.11         53   15:45:47  00:09

#fwconex remove tcp 10.4.1.196 1067 10.4.1.11 23
#fwconex show TCP 
Source IP/port           Destination IP/port      Start    Idle   Current State
-------------------------------------------------------------------------------
10.4.1.212       1078 -> 10.5.2.1           25   15:36:20  00:10  Established