Définition simple
Un Session Helper FortiGate est un mécanisme FortiOS qui assiste certains protocoles dont les connexions secondaires ou les informations réseau sont négociées dans le trafic applicatif.
Définition technique
Pour des protocoles comme FTP ou certains usages SIP, un simple suivi des ports peut être insuffisant car le protocole annonce dynamiquement des adresses ou des connexions supplémentaires. Un session helper peut analyser ces échanges, créer des attentes de session ou adapter le traitement NAT afin que les flux associés traversent correctement le firewall.
Fonctionnement / rôle
Son rôle est comparable à celui d’un ALG : comprendre certains protocoles complexes au-delà du tuple IP/port initial afin d’autoriser les flux dynamiques nécessaires. Cette intervention peut toutefois entrer en conflit avec certaines applications ou architectures modernes.
À quoi cela sert ?
Faciliter le passage de protocoles qui ouvrent plusieurs connexions ou négocient dynamiquement des ports à travers un firewall/NAT.
Exemple concret
Une session FTP de contrôle négocie une connexion de données distincte. Le mécanisme d’assistance permet au FortiGate d’identifier et de traiter correctement le flux associé.
Problèmes fréquents
- Helper actif alors qu’une application gère déjà correctement le NAT
- Altération d’un flux SIP et problèmes audio ou de signalisation
- Désactivation du helper sans prévoir le traitement alternatif nécessaire
- Diagnostic compliqué par la création dynamique de sessions associées
Termes associés
À retenir : Ne désactivez pas un session helper uniquement par habitude : confirmez d’abord son rôle dans le protocole concerné et testez le comportement après modification.