Processamento baseado em fluxo IPv6

O fluxo avançado IPv6 adiciona suporte IPv6 para firewall, NAT, NAT-PT, multicast (link local e trânsito), IPsec, IDP, framework JSF, Proxy TCP e gerente de sessão em firewalls da Série SRX. Os MIBs não são usados no fluxo IPv6.

Para evitar o impacto no ambiente IPv4 atual, a segurança IPv6 é usada. Se a segurança IPv6 estiver habilitada, sessões e portões estendidos serão alocados. Os campos de endereços e portões existentes são usados para armazenar o índice de sessões ou portões estendidos. Se a segurança IPv6 for desabilitada, os recursos relacionados à segurança IPv6 não serão alocados.

Novos logs são usados para tráfego de fluxo IPv6 para evitar impactos no desempenho no sistema IPv4 existente.

O comportamento e a implementação do fluxo avançado IPv6 são os mesmos do IPv4 na maioria dos casos.

As implementações de sessões, portões, ações ip, processamento de multithread, distribuição, bloqueio, sincronização, serialização, pedidos, enfileiramento de pacotes, mensagens assíncronas, problemas de tráfego IKE, verificação de sanidade e filas para IPv6 são semelhantes às implementações IPv4.

Algumas das diferenças são explicadas abaixo:

• Header Parse O fluxo avançado IPv6 para de analisar os cabeçalhos e interpreta o pacote como o pacote de protocolo correspondente se encontrar os seguintes cabeçalhos de extensão:

  • TCP/UDP

  • ESP/AH

  • ICMPv6

  O fluxo avançado IPv6 continua analisando cabeçalhos se encontrar os seguintes cabeçalhos de extensão:

  • Salto por salto

  • Roteamento e destino, fragmento

  O fluxo avançado IPv6 interpreta os pacotes como um pacote de protocolo desconhecido se encontrar o cabeçalho No Next Header de extensão

• Sanity Checks— O fluxo avançado IPv6 oferece suporte às seguintes verificações de sanidade:

  • Comprimento do TCP

  • Comprimento do UDP

  • Salto a salto

  • Erro de comprimento de dados IP

  • Verificações de sanidade de camada 3 (por exemplo, versão ip e comprimento de IP)

  • ICMPv6 Packets No fluxo avançado IPv6, os pacotes ICMPv6 compartilham o mesmo comportamento do tráfego IPv6 normal com as seguintes exceções:

    • Pacote ICMPv6 incorporado

    • Mensagem de MTU de caminho

• Host Inbound and Outbound Traffic O fluxo avançado IPv6 oferece suporte a todos os protocolos de rota e gerenciamento em execução no Mecanismo de Roteamento (RE), incluindo OSPF v3, RIPng, Telnet e SSH. Observe que nenhum rótulo de fluxo é usado no fluxo.

• Tunnel Traffic O fluxo avançado IPv6 oferece suporte aos seguintes tipos de túnel:

  • IPv4 IP-IP

  • IPv4 GRE

  • IPv4 IPsec

  • Lite dual-stack

• Events and Logs Os logs a seguir são para tráfego de fluxo relacionado ao IPv6:

  • RT_FLOW_IPVX_SESSION_DENY

  • RT_FLOW_IPVX_SESSION_CREATE

  • RT_FLOW_IPVX_SESSION_CLOSE

Esse tópico apresenta a arquitetura para dispositivos de SRX5400, SRX5600 e SRX5800. O processamento de fluxo nesses dispositivos é semelhante ao dos firewalls da Série SRX.

Esses dispositivos incluem placas de E/S (IOCs) e placas de processamento de serviços (SPCs) que contêm unidades de processamento que processam um pacote enquanto ele atravessa o dispositivo. Essas unidades de processamento têm responsabilidades diferentes.

• Uma unidade de processamento de rede (NPU) é operada em um IOC. Um IOC tem um ou mais NPUs. Um NPU processa pacotes de forma discreta e executa funções básicas de gerenciamento de fluxo.

  Quando um pacote IPv6 chega a um IOC, o processo de fluxo de pacotes começa.

  • O NPU realiza as seguintes verificações de sanidade IPv6 para o pacote:

    • Para o cabeçalho básico do IPv6, ele executa as seguintes verificações de cabeçalho:

      • Versão. Ele verifica se o cabeçalho especifica O IPv6 para a versão.

      • Duração da carga. Ele verifica o comprimento da carga para garantir que o comprimento combinado do pacote IPv6 e do cabeçalho de Camada 2 seja mais curto que o comprimento do quadro de Camada 2.

      • Limite de salto. Ele verifica para garantir que o limite de salto não especifique 0 (zero).

      • Verificações de endereço. Ele verifica para garantir que o endereço IP de origem não especifique ::0 ou FF::00 e que o endereço IP de destino não especifique ::0 ou ::1.

    • O NPU realiza verificações de cabeçalho de extensão IPv6, incluindo o seguinte:

      • Opções de salto por salto. Ele verifica se este é o primeiro cabeçalho de extensão a seguir o cabeçalho básico IPv6.

      • Extensão de roteamento. Ele verifica se há apenas um cabeçalho de extensão de roteamento.

      • Opções de destino. Ele verifica que não estão incluídos mais do que duas opções de destino de cabeçalhos de extensão.

      • Fragmento. Ele verifica se há apenas um cabeçalho de fragmento.

      Nota:

      O NPU trata qualquer outro cabeçalho de extensão como um cabeçalho de Camada 4.

    • O NPU realiza verificações de protocolo de Camada 4 TCP, UDP e ICMP6, incluindo:

      • UDP. Ele verifica para garantir que os pacotes de comprimento de carga de IP, que não sejam um pacote de primeiro fragmento, têm pelo menos 8 bytes de comprimento.

      • TCP. Ele verifica para garantir que os pacotes de comprimento de carga de IP, que não sejam um pacote de primeiro fragmento, têm pelo menos 20 bytes de comprimento.

      • ICMPv6. Ele verifica para garantir que os pacotes de comprimento de carga de IP, que não sejam um pacote de primeiro fragmento, têm pelo menos 8 bytes de comprimento.

  • Se o pacote especificar um TCP ou um protocolo UDP, a NPU cria um tuple a partir dos dados de cabeçalho de pacote usando as seguintes informações:

    • Endereço IP de origem

    • Endereço IP de destino

    • Porta de origem

    • Porta de destino

    • Protocolo

    • Identificador de roteador virtual (VRID)

      O dispositivo olha para o VRID a partir de uma tabela VRID.

  • Para pacotes de protocolo de mensagem de controle de Internet versão 6 (ICMPv6), a tuple contém as mesmas informações usadas para o TCP e a chave de pesquisa UDP, exceto para os campos de porta de origem e destino. Os campos de porta de origem e destino são substituídos pelas seguintes informações extraídas do pacote ICMPv6:

    • Para pacotes de erro do ICMP: o padrão "0x00010001"

    • Para pacotes de informações do ICMP: O tipo, ou código, identificador de campo

  • Para pacotes com um cabeçalho de autenticação (AH) ou um cabeçalho de carga de segurança (ESP), a chave de pesquisa é a mesma usada para o TCP e o tuple UDP, exceto para os campos de porta de origem e destino. Neste caso, o valor de campo do índice de parâmetro de segurança (SPI) é usado em vez das portas de origem e destino. Para encapsular o cabeçalho do Security Payload (ESP) e o cabeçalho de autenticação (AH), antes de aprimoramentos na arquitetura de ponto cenral, ele é hashed pelo campo de 3 tuple e índice de parâmetro de segurança (SPI), após melhorias na arquitetura de ponto cenral que é hashed por um par de IP.

  • Se houver uma sessão para o fluxo do pacote, o NPU envia o pacote para a SPU que gerencia a sessão.

  • Se uma sessão correspondente não existir,

    • A NPU envia as informações do pacote para o ponto central, o que cria uma sessão pendente.

    • O ponto central seleciona uma SPU para processar o pacote e criar sessões para ele.

    • A SPU então envia mensagens de criação de sessão para o ponto central e o NPUs de entrada e saída, orientando-os a criar uma sessão para o fluxo de pacotes.

• Um ponto central, que pode ser executado em uma SPU dedicada, ou compartilhar os recursos de um se houver apenas uma SPU. Um ponto central cuida da arbitragem e alocação de recursos, e distribui sessões de forma inteligente. O ponto central atribui uma SPU a ser usada para uma sessão específica quando a SPU processa o primeiro pacote de seu fluxo.

  • Para dispositivos de linha SRX5000, a arquitetura de ponto central é dividida em dois módulos — o ponto central do aplicativo e o ponto central distribuído (DCP). O App-CP é responsável pelo gerenciamento global de recursos e balanceamento de carregamento, enquanto o DCP é responsável pela identificação de tráfego (correspondência global da sessão). A funcionalidade App-CP é executado na SPU de ponto central dedicada, enquanto a funcionalidade DCP é distribuída para o resto das SPUs.

• Uma ou mais SPUs que são executadas em uma placa de processamento de serviços (SPC). Todos os serviços baseados em fluxo para um pacote são executados em uma única SPU, dentro do contexto de uma sessão que é configurada para o fluxo de pacotes.

  O SPC para dispositivos de linha SRX5000 tem duas SPUs.

  Vários SPCs podem ser instalados em um chassi.

  Principalmente, uma SPU executa as seguintes tarefas:

  • Ele gerencia a sessão e aplica recursos de segurança e outros serviços ao pacote.

  • Ele aplica filtros de firewall stateless baseados em pacotes, classificadores e shapers de tráfego.

  • Se uma sessão ainda não existir para um pacote, a SPU envia uma mensagem de solicitação à NPU que realizou a busca pela sessão do pacote, para direcioná-lo a adicionar uma sessão para ele.

Essas partes discretas e cooperativas do sistema armazenam as informações que identificam se existe uma sessão para um fluxo de pacotes e as informações contra as quais um pacote é combinado para determinar se ele pertence a uma sessão existente.

• Propósito
• Ação