防火墙

1.1.35  session aging-time

session aging-time命令用来为安全策略规则配置会话的老化时间。

undo session aging-time命令用来恢复缺省情况。

【命令】

session aging-time time-value

undo session aging-time

【缺省情况】

未配置安全策略规则的会话老化时间。

1.1.28  session aging-time state

session aging-time state命令用来设置各协议状态的会话老化时间。

undo session aging-time state命令用来恢复缺省情况，如果不指定任何参数，则将所有协议状态的会话老化时间都恢复为缺省情况。

【命令】

session aging-time state { fin | icmp-reply | icmp-request | icmpv6-reply | icmpv6-request | rawip-open | rawip-ready | syn | tcp-close | tcp-est | tcp-time-wait | udp-open | udp-ready } time-value

undo session aging-time state [ fin | icmp-reply | icmp-request | icmpv6-reply | icmpv6-request | rawip-open | rawip-ready | syn | tcp-close | tcp-est | tcp-time-wait | udp-open | udp-ready ]

【缺省情况】

各协议状态的会话老化时间为：

·     FIN：30秒

·     ICMP-REPLAY：30秒

·     ICMP-REQUEST：60秒

·     ICMPv6-REPLAY：30秒

·     ICMPv6-REQUEST：60秒

·     RAWIP-OPEN：30秒

·     RAWIP-READY：60秒

·     SYN：30秒

·     TCP-CLOSE：2秒

·     TCP-EST：3600秒

·     TCP-TIME-WAIT：2秒

·     UDP-OPEN：30秒

·     UDP-READY：60秒

【视图】

系统视图

【缺省用户角色】

network-admin

context-admin

【参数】

fin：表示TCP协议FIN-WAIT状态的会话老化时间。

icmp-reply：表示ICMP协议REPLY状态的会话老化时间。

icmp-request：表示ICMP协议REQUEST状态的会话老化时间。

icmpv6-reply：表示ICMPv6协议REPLY状态的会话老化时间。

icmpv6-request：表示ICMPv6协议REQUEST状态的会话老化时间。

rawip-open：表示RAWIP-OPEN状态的会话老化时间。

rawip-ready：表示RAWIP-READY状态的会话老化时间。

syn：表示TCP协议SYN-SENT和SYN-RCV状态的会话老化时间。

tcp-close：表示TCP协议CLOSE状态的会话老化时间。

tcp-est：表示TCP协议ESTABLISHED状态的会话老化时间。

tcp-time-wait：表示TCP协议TIME-WAIT状态的会话老化时间。

udp-open：表示UDP协议OPEN状态的会话老化时间。

udp-ready：表示UDP协议READY状态的会话老化时间。

time-value：指定的老化时间，其中tcp-close、tcp-time-wait状态取值范围为0～100000，其他状态会话老化时间取值范围为1～100000，单位为秒。

【使用指导】

会话进入稳态后，如果该会话属于session aging-time application命令中指定的一种应用层协议，则此会话的老化时间为指定的应用层协议老化时间；否则为四层协议状态的老化时间（由session aging-time state命令配置）。

对TCP会话来说，如果会话符合长连接会话的规则，那么该会话稳态的老化时间为长连接老化时间（由session persistent acl命令配置）。

【举例】

# 设置TCP协议SYN-SENT和SYN-RCV状态的老化时间为60秒。

<Sysname> system-view

[Sysname] session aging-time state syn 60

【视图】

安全策略规则视图

【缺省用户角色】

network-admin

context-admin

【参数】

time-value：指定会话的老化时间，取值范围为1～2000000，单位为秒。

【使用指导】

此命令用来为匹配某条安全策略规则而生成的稳态会话设置老化时间。且此命令的配置仅影响后续生成的会话，对于已经生效的会话不产生作用。

若某安全策略规则中配置了会话的老化时间，则匹配上该规则且进入稳定状态的会话需要遵循规则中配置的老化时间进行老化；非稳态会话按照缺省的会话老化时间（1小时）进行老化。

若进入稳态的会话报文匹配上的安全策略规则中未配置会话老化时间，则该会话基于会话管理模块配置的老化时间（session aging-time application和session aging-time state命令的配置）进行老化。有关会话管理相关配置的详细介绍，请参见“安全配置指导”中的“会话管理”。

【举例】

# 为IPv4安全策略的规则rule1配置会话老化时间为5000秒。

<Sysname> system-view

[Sysname] security-policy ip

[Sysname-security-policy-ip] rule 0 name rule1

[Sysname-security-policy-ip-0-rule1] action pass

[Sysname-security-policy-ip-0-rule1] session aging-time 5000