防火墙TFTP协议处理流程及TFTP ALG应用

1、TFTP （ TrivialFileTransferProtocol,简单文件传输协议）是TCP/IP协议族中的一个用来 在客户机与服务器之间进行简单文件传输的协议，提供不复杂、开销不大的文件传输服务。端 口号为69。TFTP是一个传输文件的简单协议，它基于UDP协议而实现，但是我们也不能确定有些 TFTP协议是基于其它传输协议完成的。此协议设计的时候是进行小文件传输的，数据以定长 512字节传输。每个数据包包括一块数据，服务器发出下一个数据包以前必须得到客户对上一 个数据包的确认。如果一个数据包的大小小于512字节，则表示传输结构。如果数据包在传输 过程中丢失，发出方会在超时后重新传输最后一

2、个未被确认的数据包。通信的双方都是数据的 发出者与接收者，一方传输数据接收应答，另一方发出应答接收数据。这个协议限制很多，这 是都是为了实现起来比较方便而进行的。因为TFTP使用UDP，而UDP使用IP，IP可以还使用其它本地通信方法。因此一个TFTP 包中会有以下几段：本地媒介头，IP头，数据报头，TFTP头，剩下的就是TFTP数据了。TFTP 在IP头中不指定任何数据，但是它使用UDP中的源和目标端口以及包长度域。由TFTP使用 的包标记（TID）在这里被用做端口，因此TID必须介于0到65,535之间。TFTPALG应用需求由于TFTP协议属于多通道协议，即控制通道与数据通道使用不同的连

3、接，当防火墙部署 在出口网络中时，控制通道建立连接成功之后，若无TFTP ALG功能，防火墙无法识别后续 TFTP协议的数据连接会话而被其阻断；数据传输将出现问题。典型应用组网1）TFTP客户端置于内网，服务器置于外网（组网如下）PCClient防火墙InternetServerIP ：00NAT 后 IP ：IP ：预置条件：防火墙Trust-Untrust全放通，反之全阻断，开启TFTPALG功能在上面的组网环境中，整个数据访问流程过程如下:. PC 访问 Server 的 69 端口请求文件下载，00:6789:69.经过防火墙 SNAT转换，:67893:69.Server 响应请求返

4、回数据;:45623:678( TFTPACLALG ). 经过防火墙 NAT还原；:4562300:6789 ( TFTPNATALG ).数据到达PC, PC返回ACK，数据传输成功；在以上数据访问流程中，若没有开启ALG功能，在第3步中防火墙会将后续的数据 报文协商(由外网Server主动发起)识别为非法流量而被阻断，在第4步中不会根据协 议的控制连接会话将数据连接的目的IP进行NAT还原成PC私网IP。) TFTP客户端置于内网，服务器置于外网(组网如下)Server防火墙InternetPCClientIP :00SNAT后 IP :IP :DNAT前 IP : 51预置条件：防火墙Trust-Untrust全放通，反之只放通UDP 69号端口，开启TFTP ALG 功能在上面的组网环境中，整个数据访问流程过程如下：. PC 访问 Server 的 69 端口请求文件下载，:6789351:69. 经过防火墙 DNAT转换，:6789300:69.Server 响应请求，返回数据；00:45623:6789. 经过防火墙 NAT还原；51:45623:678( TFTPNATALG ).数据到达PC, PC返回ACK，数据传输成功(TFTPACLALG )在以上数据访问流程中，若没有开启ALG功能，在第4步中不会根据协议的控制连 接会话将数据连接的源IP进行NAT还