Was ist ein Application Layer Gateway (ALG)?

Ein Application Layer Gateway (ALG), auch als Application Level Gateway bezeichnet, ist eine Sicherheitskomponente, die Protokolle überprüft, bei denen die Verbindungsadressen in die Nutzdaten eingebettet sind – wie FTP, SIP, PPTP, TFTP und IKE ESP – und dynamisch temporäre Firewall-Pinholes öffnet, damit diese Protokolle auch über NAT- und Firewall-Grenzen hinweg weiterhin funktionieren.

Die wichtigsten Erkenntnisse

• ALG überprüft Protokolle, die Adressen in ihre eigene Nutzlast einbetten.
• Es öffnet temporäre Firewall-Pinholes anstelle von statischen Portweiterleitungen.
• FTP, SIP, PPTP, TFTP und IKE ESP sind die Protokolle, die davon abgedeckt werden.
• IKE ESP ALG ist ab VOS-Release 22.1.4 standardmäßig deaktiviert.
• Versa konfiguriert ALG-Richtlinien sowohl in Concerto als auch in Director.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · ALG & Versa · Häufig gestellte Fragen

Warum ist ALG wichtig?

Herkömmliche NAT- und Stateful-Firewalls schreiben lediglich die Paket-Header um – also die Adressen und Ports in den IP- und TCP/UDP-Schichten. Einige Protokolle weichen von dieser Annahme ab: FTP handelt eine zweite Datenverbindung aus, indem es eine Adresse und einen Port in die Nutzdaten seiner Kontrollsitzung schreibt, und SIP verfährt ebenso, um einen Sprach- oder Videostream aufzubauen. Eine Firewall oder ein CGNAT-Gerät, das nur die Header überprüft, erkennt diese eingebetteten Werte nicht und kann daher nicht erkennen, welche eingehende Verbindung zugelassen werden soll, sodass die Sitzung ins Stocken gerät.

ALG schließt diese Lücke, ohne statische Ausnahmen in der Firewall zu schaffen oder NAT gänzlich zu deaktivieren. Es liest die Nutzdaten aus, um die eingebettete Adresse zu finden, schreibt diese so um, dass sie mit der übersetzten Adresse auf der anderen Seite übereinstimmt, und öffnet eine temporäre Ausnahmeregel, die auf diese eine Verbindung beschränkt ist – so bleiben FTP-Übertragungen, SIP-Anrufe und VPN-Tunnel trotz NAT funktionsfähig, während die Firewall für alles andere geschlossen bleibt.

Was ist ALG?

ALG löst das Problem der eingebetteten Adressen auf eine von zwei Arten: Entweder gibt die Anwendung eine Adress-Port-Kombination an, für die die Firewall eingehenden Datenverkehr zulassen soll, oder ALG überwacht den Steuerungsverkehr und öffnet dynamisch die entsprechende Portzuordnung. VOS-Geräte verwenden den zweiten Ansatz.

Nehmen wir FTP im aktiven Modus als typisches Beispiel. FTP nutzt zwei Sitzungen: eine Kontrollsitzung auf Port 21, über die Verzeichnisse aufgelistet und Befehle erteilt werden, sowie eine separate Datensitzung, über die die Datei übertragen wird. Ein Client hinter NAT sendet dem Server im Kontrollpaket eine interne Adresse – eine, an die der Server nicht weiterleiten kann und für die die Firewall nie darauf vorbereitet wurde, eine Verbindung zu erwarten. ALG überwacht Port 21, wartet auf das Paket, das die Datensitzung einleitet, schreibt die eingebettete Adresse in die externe NAT-Adresse um und erstellt eine temporäre Firewall-Regel, die die Verbindung zulässt. Sobald die Datensitzung endet, wird das Pinhole geschlossen.

Arten von ALG

ALG wird pro Protokoll implementiert, da jedes Protokoll Verbindungsinformationen unterschiedlich einbettet. FTP-ALG schreibt die Adresse in der Kontrollsitzung um, sodass die Datenverbindung des Servers den Client trotz NAT erreicht. SIP-ALG analysiert SDP-Felder in der SIP-Signalisierung, um die Medienports (RTP) zu öffnen, die ein Anruf nutzt. PPTP-ALG verfolgt den GRE-Tunnel, den ein Point-to-Point-Tunneling-Protocol-VPN neben seinem TCP-Steuerkanal aufbaut. TFTP-ALG verarbeitet die verbindungslosen Übertragungen von Trivial FTP, die für eine „Header-only“-Firewall unsichtbar sind. IKE-ESP-ALG deckt die IPsec-Verhandlung ab, bei der vom UDP-Kanal von IKE auf ESP für den verschlüsselten Tunnel umgeschaltet wird.

ALG & Versa

Auf VOS-Geräten der Serie „ Versa “ sind ALG-Funktionen für FTP, PPTP, SIP und TFTP standardmäßig aktiviert; IKE ESP war ebenfalls bis zur VOS-Version 22.1.4 (Service Release 2025-09-23) aktiviert, danach ist es standardmäßig deaktiviert und erfordert eine vsm-configs bearbeiten in /opt/versa/etc/vsboot.conf sowie einen Neustart des Dienstes, um ihn wieder zu aktivieren.

In Concerto erstellen Administratoren eine ALG-Richtlinie entweder über den Workflow der SD-WAN-Hauptvorlage oder separat unter „Server & Einstellungen“ > „Application Layer Gateway-Richtlinien“ – siehe „Application Layer Gateway konfigurieren“ für aktuelle Versionen und „Application Layer Gateway (ALG) konfigurieren“ für die Versionen 12.1.1 bis 12.2.2. In Director befindet sich die entsprechende Option im Menü „Sonstiges > ALG“ einer Organisation – siehe „ALG konfigurieren“. In beiden Fällen ist die Konfiguration mit dem Master-Profil eines Geräts verknüpft.

Häufig gestellte Fragen

Was ist der Unterschied zwischen ALG und NAT?

NAT übersetzt die IP-Adressen und Ports im Header eines Pakets. ALG geht noch einen Schritt weiter: Es überprüft die Nutzdaten von Protokollen, die ihre eigenen Adress- und Portinformationen enthalten, und öffnet temporäre Firewall-Pinholes, die NAT allein für diese eingebetteten Daten nicht erstellen kann.

Welche Protokolle unterstützt ALG auf VOS-Geräten v Versa ?

FTP, SIP, PPTP, TFTP und IKE ESP. Jedes dieser Protokolle ist als eigene ALG-Instanz implementiert, sodass Administratoren sie einzeln aktivieren oder deaktivieren und benutzerdefinierte Dienste pro Protokoll einbinden können, anstatt die Überprüfung auf Anwendungsebene für das gesamte Gerät auf einmal ein- oder auszuschalten.

Warum ist IKE ESP ALG jetzt standardmäßig deaktiviert?

Ab VOS-Release 22.1.4 (Service-Release vom 23.09.2025) ist IKE ESP ALG deaktiviert und kann über die Benutzeroberfläche nicht wieder aktiviert werden. Um es wieder zu aktivieren, muss die vsm-configs Strophe in /opt/versa/etc/vsboot.conf einstellen enable_ike_alg=true, und anschließend die Dienste mit dem vsh restart CLI-Befehl.

Funktioniert ALG mit Firewalls, NAT oder beidem?

Beides. ALG optimiert insbesondere den gemeinsamen Betrieb von Firewalls und Carrier-Grade-NAT (CGNAT) – es handelt sich um den Mechanismus, der es Protokollen, die dynamisch ausgehandelte Verbindungen erfordern, ermöglicht, weiterhin zu funktionieren, wenn sich ein Gerät gleichzeitig hinter einer NAT-Grenze und einer zustandsorientierten Firewall befindet.

Wie wird eine ALG-Richtlinie auf einem „ Versa “-Gerät konfiguriert?

In Concerto wird es über den SD-WAN-Hauptvorlagen-Workflow oder unter „Server & Einstellungen“ erstellt und anschließend über Berechtigungen und ein wiederverwendbares Richtlinienobjekt angewendet. In Director wird es pro Organisation unter „Sonstiges > ALG“ konfiguriert und mit dem Profil eines Geräts verknüpft.

Mehr über ALG

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über ALG informieren, sollten Sie sich als Nächstes diese Artikel ansehen.