防火墙 RST

立即删除。

H3C防火墙在收到RST报文后，并不会立即删除会话，而是会先将其置为TCP-CLOSE状态，然后启动一个老化定时器。因此，会话的删除会有一个延迟。

• 延迟时长：在默认配置下，这个老化时间为 2秒。定时器超时后，该会话就会被删除。

• 配置方法：此老化时间可通过命令手动调整。

  # 进入系统视图

  system-view # 配置tcp-close状态的会话老化时间（示例设为5秒） session aging-time state tcp-close 5

 防火墙处理RST与FIN的机制

除了RST报文，防火墙对FIN报文（用于正常关闭连接）也有类似但略有不同的处理机制。

• RST（复位）：防火墙收到RST报文后会立刻将对应会话标记为TCP-CLOSE状态，并启动2秒老化定时器。

• FIN（结束）：

  • 收到第一个FIN报文，防火墙识别到连接的“半关闭（Half-Close）”状态，并将会话状态置为FIN_WAIT，默认老化时间为 30秒。

  • 当防火墙收到连接的第二个FIN报文，即完整的四次挥手完成后，会话状态会转为TCP-TIME-WAIT，并再次启动一个 2秒 的老化定时器。

一、官网依据（会话老化缺省值）

• TCP-CLOSE 状态老化时间：默认 2 秒H3C
• 命令（系统视图）：

• 含义：收到 RST 后，会话进入 TCP-CLOSE 状态，等待 2 秒无新报文才删除；期间收到合法序号 RST会立即删除。

二、处理机制（分两种情况）

1. 正常 RST（序号合法）：立即删除会话，不进入 2 秒等待。
2. 乱序 / 迟来 RST（序号不合法）：
   • 不立即删，会话标记为 TCP-CLOSE
   • 等待 2 秒，若期间无匹配报文，再删除。

三、可调整（改成 “收到 RST 立刻删”）

• 作用：不校验序列号，收到任何 RST 都立即删除会话。

四、验证命令

经确认，防火墙收到RST后会进入 tcp time wait或者tcp close状态，该状态默认老化时间是2秒