當防火牆不接受傳入連線時，p2p 軟體（skype、torrent ..）如何運作？

Question

Juniper 防火牆中沒有從互聯網到本地網路的策略，但像 Skype 和 Torrent 這樣的軟體可以正常運作。沒有任何傳入政策，這些程序如何運作？

Answer 1

通常，透過（ab）使用防火牆的狀態性。

如今，大多數（如果不是全部）防火牆都是有狀態的。他們追蹤進出的流量，以便了解資料包之間的「關係」。例如，如果網路內部的主機向外部某處發送 SYN 封包，防火牆就會知道這一點，並且知道會從原始 SYN 發送到的位址期待相應的 SYN ACK 封包。

因此，只要內部主機建立了向外的連接，那麼返回流量的「閘門就打開了」。

還有其他更複雜的方法可用。一個小範例清單包括：

• 隧道（例如，內部HTTPS或者ICMP）
• 通用即插即用（不太適用於 Juniper 等企業防火牆）
• 眩暈

Answer 2

P2P應用程式使用科技來遍歷NAT大多數人的住宅網關中都有。使用的技巧是基於允許傳出連線的事實，這就是它們在具有相同策略的防火牆上工作的原因。

最簡單也是最成功的方法是UDP打洞。

它是TCP 變體有點複雜，但如果失敗，軟體可以嘗試依靠 UDP 上的 TCP 隧道。

還有ICMP 打洞它使用另一種方​​法來允許初次接觸而無需通過第三方。