TCP 会话

默认情况下，TCP SYN 检查和序列检查选项均在所有 TCP 会话上启用。Junos 操作系统 （Junos OS） 在 TCP 会话期间执行以下操作：

• 检查会话的第一个数据包中的 SYN 标志，并拒绝任何尝试启动会话的带有非 SYN 标志的 TCP 分段。

• 在有状态检测期间验证 TCP 序列号。

通过按策略的 TCP 会话检查功能，您可以为每个策略配置 SYN 和序列检查。目前，TCP 选项标志 no-sequence-check 和 no-syn-check 可在全局级别使用，以控制服务网关的行为。要支持按策略的 TCP 选项，可以使用以下两个选项：

• sequence-check-required：sequence-check-required 值覆盖全局值 no-sequence-check。

• syn-check-required：syn-check-required 值覆盖全局值 no-syn-check。

要配置按策略的 TCP 选项，必须关闭相应的全局选项;否则，提交检查将失败。如果禁用全局 TCP 选项，且 SYN 泛洪保护允许第一个数据包，则按策略的 TCP 选项将控制是否执行 SYN 和/或序列检查。

注意：

• per-policy syn-check-required 选项不会覆盖 CLI 命令的 set security flow tcp-session no-syn-check-in-tunnel 行为。

• 禁用全局 SYN 检查会降低设备在防御数据包泛洪方面的效率。

注意：

禁用全局 SYN 检查并在策略搜索后强制执行 SYN 检查将极大地影响路由器可以处理的数据包数量。这反过来又会导致密集的 CPU 操作。禁用全局 SYN 检查并启用按策略实施的 SYN 检查时，应注意此性能影响。

此示例说明如何为设备中的每个策略配置 TCP 数据包安全检查。

此示例说明如何在设备中禁用 TCP 数据包安全检查。

此示例说明如何为 SRX 系列防火墙的所有 TCP 会话设置最大分段大小。

在任何分组交换网络中，当需求超过可用容量时，数据包就会排队以保留多余的数据包，直到队列填满，然后丢弃数据包。当 TCP 在这样的网络上运行时，它会采取任何纠正措施来保持无差错的端到端通信。

流模块已支持为基于会话的事件（如会话创建和会话关闭）生成 RTLOG。SRX 系列防火墙现在支持为基于数据包的事件生成 RTLOG，例如在不存在会话的情况下丢包。

SRX 系列防火墙支持记录流模块丢弃的未同步 TCP 状态外数据包。

TCP 状态外数据包丢弃日志记录功能可避免任何数据包丢失，并通过记录不同步数据包来实现数据包恢复，以实现无错误通信，并防止数据库服务器不同步。此功能建立在安全日志 （RTLOG） 工具之上。

TCP 状态外数据包丢弃日志记录支持在以下情况下捕获 TCP 数据包丢弃日志：

• Session ages out— 当有在长 TCP 会话之上运行的云应用程序，并且这些应用程序在会话老化后未刷新 TCP 会话时，TCP 数据包将被丢弃。此功能支持记录这些丢弃的 TCP 数据包。

• Unsynchronized first packets due to attacks or asymmetric routes— 当您在两个站点部署SRX 系列防火墙时，路由有时会强制流量非对称，则在一个站点上可以看到同步 （SYN） 数据包，但在另一个站点上看到同步确认 （SYN_ACK） 数据包。

  这意味着 SRX 系列防火墙看到的 TCP 确认数据包没有匹配的状态表条目。发生这种情况的原因可能是连接在一段时间内处于非活动状态或连接表被刷新（例如，由于策略安装或重新启动）。

  在这种情况下，在其他站点看到的SYN_ACK数据包被SRX 系列防火墙拒绝，但未记录。此功能支持记录被拒绝的SYN_ACK数据包。

• Other out-of-state conditions (like TCP sequence check fail and synchronization packet received in FIN state)— 当 SRX 系列防火墙检测到序列故障时，如果设备处于 TCP 四次闭合状态但收到 SYN 数据包，或者出现三次握手失败，则 SRX 系列防火墙将丢弃 TCP 数据包，并记录这些丢弃的数据包。

注意：

未同步的 TCP 状态外数据包丢弃日志是基于数据包的日志，而非基于会话的日志。

TCP 状态外数据包丢弃日志记录设计有节流机制，可保护 CPU 免受攻击，在每个节流间隔内可能会丢弃某些日志。

仅记录流模块丢弃的 TCP 状态外数据包。TCP 代理和 IDP 丢弃的 TCP 数据包不会被记录。

• 了解 TCP 状态外数据包丢弃日志记录
• 支持的 TCP 状态外日志记录功能

当数据从一台主机发送到另一台主机时，它作为一系列数据包进行传输。当最大大小的数据包可以在从源节点到目标节点的路径中传输而不在数据路径中的任何链路发生分段时，性能就会提高并节省网络资源。如果数据包大于为该链路建立的最大传输单元 （MTU） 的大，因此必须将数据包分片成更小的数据包才能在路径中传输链路，则除了有效负载或数据之外，每个生成的分片还必须包含数据包标头信息。增加的开销会降低吞吐量并降低网络性能。此外，数据包片段必须在目标节点上重组，这会消耗额外的网络资源。

另一方面，当主机发送的数据包远小于路径 MTU（路径最大传输单元）时，网络资源就会被浪费，从而导致吞吐量不理想。路径 MTU 发现过程用于发现将数据路径从源节点传输到会话目标节点的片段的最佳 MTU 大小。因此，最佳数据包大小是路径 MTU 的数据包大小。当数据包大小超过路径 MTU 时，就会发生分片。

如果在 SRX 系列防火墙上配置了应用层服务，则必须先重组入口接口上的数据包片段，然后才能应用服务并检查内容。在数据通过出口接口传输之前，必须再次分解这些重新组合的数据包片段。通常，出口接口的 MTU 大小决定了从 SRX 系列防火墙传输到下一个链路的分片大小。SRX 系列防火墙上的出口 MTU 大小可能大于路径 MTU，同样，这将导致数据路径中的数据包分段，从而降低性能或导致数据包丢弃。数据包分片必须足够小，以便通过从源到目标路径中的每个链路。

默认情况下，SRX 系列防火墙使用为出口接口配置的 MTU 大小来确定其传输的数据包分片的大小。但是，如果启用保留传入分片特征的功能，则 SRX 系列防火墙将检测并节省传入数据包分片的大小。

为了降低数据路径中数据包分段的可能性，SRX 系列防火墙会跟踪并调整该流的出口 MTU。它标识所有传入片段的最大大小。它将该信息与出口接口的现有 MTU 结合使用，以确定从出口接口发送的分段数据包的正确 MTU 大小。SRX 系列防火墙会对这两个数字进行比较。它采用较小的数字，并将其用于出口接口 MTU 大小。

使用命令 set security flow preserve-incoming-frag-size 配置设备，以启用考虑传入数据包分段大小的功能。

表 1 总结了如何确定 SRX 系列出口 MTU 大小。

表 1：如何确定退出 SRX 系列防火墙的分片的最终出口 MTU 大小

传入片段大小	现有出口 MTU 大小	最终出口 MTU 大小
如果最大的片段是	小于现有出口 MTU 大小	使用最大的传入片段大小。
如果最大的片段是	大于现有出口 MTU 大小	使用现有出口接口 MTU。

注意：

SRX 系列防火墙支持此功能。它支持直通流量和离开隧道的流量。它同时适用于 IPv4 和 IPv6 流量。

以下两个注意事项会影响片段大小：

• 对于基于流的应用，如内容安全性和 ALG，即使未收到分片，应用本身也可以更改或重组数据包。在这种情况下，将使用现有出口接口 MTU。

• 将路径 MTU 发现数据包传送到会话时，该会话的路径 MTU 将重置为路径 MTU 数据包建立的值。

默认情况下，设备上会启用 TCP 代理短路。当没有用户（L7 策略实施插件/高级应用服务）对会话使用 TCP 代理感兴趣时，它会自动触发。成功建立 TCP 会话并实施策略后，设备会将会话转换为短路状态，从而允许后续数据包直接在客户端和服务器之间流动。

在初始握手阶段，设备保持完整的 TCP 代理行为，独立管理连接双方的 TCP 状态、序列号和确认。一旦会话被验证为合法且稳定，设备就不再代理序列号或重新传输数据流量。相反，它直接转发数据包，同时继续监控会话是否存在策略合规性和违反安全规定。

TCP 代理短路适用于需要强大 TCP 安全性和验证的部署，而没有完整 TCP 代理的长期性能开销。这在数据中心、服务提供商边缘和大型企业网络等高吞吐量环境中尤其有效。