TCP 会话

默认情况下，在所有 TCP 会话上启用 TCP SYN 检查和序列检查选项。Junos 操作系统 （Junos OS） 在 TCP 会话期间执行以下操作：

• 检查会话的第一个数据包中的 SYN 标志，并拒绝任何尝试启动会话的具有非 SYN 标志的 TCP 段。

• 在状态检查期间验证 TCP 序列号。

通过每个策略的 TCP 会话检查功能，您可以为每个策略配置 SYN 和序列检查。目前，TCP 选项标志（无序列检查和无同步检查）在全局级别可用，以控制服务网关的行为。若要支持按策略的 TCP 选项，可以使用以下两个选项：

• 需要序列检查：需要序列检查的值将覆盖全局值无序列检查。

• 需要 syn-check：需要 syn-check 的值将覆盖全局值 no-syn-check。

要配置每个策略的 TCP 选项，必须关闭相应的全局选项;否则，提交检查将失败。如果禁用了全局 TCP 选项，并且 SYN 泛滥保护允许第一个数据包，则每个策略的 TCP 选项将控制是否执行 SYN 和/或序列检查。

注意：

• 按策略 syn-check-required 选项不会覆盖 CLI 命令的行为 set security flow tcp-session no-syn-check-in-tunnel 。

• 禁用全局 SYN 检查会降低设备防御数据包泛洪的有效性。

谨慎：

禁用全局 SYN 检查并在策略搜索后强制执行 SYN 检查将极大地影响路由器可以处理的数据包数。这反过来将导致密集的 CPU 操作。禁用全局 SYN 检查并启用按策略的 SYN 检查实施时，应注意此性能影响。

此示例说明如何为设备中的每个策略配置 TCP 数据包安全检查。

此示例说明如何在设备中禁用 TCP 数据包安全检查。

此示例说明如何为 SRX 系列防火墙的所有 TCP 会话设置最大分段大小。

在任何数据包交换网络中，当需求超过可用容量时，数据包将排队以容纳多余的数据包，直到队列填满，然后丢弃数据包。当TCP在这样的网络中运行时，它会采取任何纠正措施来保持无错误的端到端通信。

流模块已经支持为基于会话的事件（如会话创建和会话关闭）生成 RTLOG。SRX 系列防火墙现在支持为基于数据包的事件（如不存在会话的丢包）生成 RTLOG。

SRX 系列防火墙支持记录流模块丢弃的未同步 TCP 状态外数据包。

TCP 状态外丢包日志记录功能可避免任何数据包丢失，并通过记录不同步的数据包来实现数据包恢复以实现无错误通信，并防止数据库服务器不同步。此功能构建在安全日志 （RTLOG） 工具之上。

TCP 状态外丢包日志记录支持在以下情况下捕获 TCP 丢包日志：

• Session ages out— 当有云应用程序在长 TCP 会话上运行，并且这些应用程序在会话老化后不刷新 TCP 会话时，TCP 数据包将被丢弃。此功能支持记录这些丢弃的 TCP 数据包。

• Unsynchronized first packets due to attacks or asymmetric routes— 在两个站点部署 SRX 系列防火墙时，如果路由有时会强制使用非对称流量，则在一个站点上会看到同步 （SYN） 数据包，而在另一个站点上会看到同步确认 （SYN_ACK） 数据包。

  这意味着 SRX 系列防火墙会看到没有匹配状态表条目的 TCP ACK 数据包。这可能是因为连接在一段时间内处于非活动状态，或者连接表被刷新（例如，由于策略安装或重新启动）。

  在这种情况下，在另一个站点看到的SYN_ACK数据包被 SRX 系列防火墙拒绝，但未记录。此功能支持记录被拒绝的SYN_ACK数据包。

• Other out-of-state conditions (like TCP sequence check fail and synchronization packet received in FIN state)— 当 SRX 系列防火墙检测到序列故障时，如果设备处于 TCP 四向关闭状态但收到 SYN 数据包，或者出现三次握手失败，SRX 系列防火墙将丢弃 TCP 数据包，并记录这些丢弃的数据包。

注意：

未同步的 TCP 状态外丢包日志是基于数据包的日志，而不是基于会话的日志。

TCP 状态外丢包日志记录采用限制机制设计，可保护 CPU 免受攻击，在每个限制间隔内，可以丢弃一些日志。

仅记录流模块丢弃的 TCP 状态外数据包。不会记录 TCP 代理和 IDP 丢弃的 TCP 数据包。

• 了解 TCP 状态外丢包日志记录
• 支持的 TCP 状态外日志记录功能

当数据从一台主机发送到另一台主机时，它以一系列数据包的形式传输。当最大大小的数据包可以将路径从源节点传输到目标节点而不在数据路径中的任何链路上分段时，性能会得到提高，网络资源也会得到保护。当由于数据包大于为该链路建立的最大传输单元 （MTU） 的大而必须将数据包分段为较小的数据包才能传输路径中的链路时，除了有效负载或数据外，生成的每个分段还必须包含数据包标头信息。增加的开销会降低吞吐量并降低网络性能。此外，数据包片段必须在目标节点上重组，这会消耗额外的网络资源。

另一方面，当主机发送远小于路径 MTU（路径最大传输单位）的数据包时，网络资源就会被浪费，从而导致吞吐量欠佳。路径 MTU 发现过程用于发现将数据路径从源节点传输到会话目标节点的片段的最佳 MTU 大小。因此，最佳数据包大小是路径 MTU 的大小。当数据包的大小超过路径 MTU 时，会发生分段。

如果在 SRX 系列防火墙上配置了应用层服务，则必须先重组入口接口上的数据包片段，然后才能应用服务并检查内容。在将数据传输到出口接口之前，必须再次分解这些重新组装的数据包片段。通常，出口接口的 MTU 大小决定了从 SRX 系列防火墙传输到下一个链路的片段的大小。SRX 系列防火墙上的出口 MTU 大小可能大于路径 MTU，同样，这将导致数据路径中的数据包分段，从而降低性能或导致丢包。数据包片段必须足够小，以便传输从源到目标路径中的每个链路。

默认情况下，SRX 系列防火墙使用为出口接口配置的 MTU 大小来确定其传输的数据包片段的大小。但是，如果启用该功能以保留传入分段特征，SRX 系列防火墙将检测并保存传入数据包分段的大小。

为了降低数据路径中数据包分段的可能性，SRX 系列防火墙会跟踪并调整该流的出口 MTU。它标识所有传入片段的最大大小。它将该信息与出口接口的现有 MTU 结合使用，以确定从出口接口发送的分段数据包的正确 MTU 大小。SRX 系列防火墙会比较这两个数字。它采用较小的数字并将其用于出口接口 MTU 大小。

使用命令配置 set security flow preserve-incoming-frag-size 设备以启用考虑传入数据包片段大小的功能。

表 1 总结了如何确定 SRX 系列出口 MTU 大小。

表 1： 如何确定退出 SRX 系列防火墙的片段的最终出口 MTU 大小

传入片段大小	现有出口 MTU 大小	最终出口 MTU 大小
如果最大的片段是	小于 现有出口 MTU 大小	使用最大传入片段大小。
如果最大的片段是	大于现有出口 MTU 大小	使用现有出口接口 MTU。

注意：

SRX 系列防火墙支持此功能。它支持直通流量和退出隧道的流量。它适用于 IPv4 和 IPv6 流量。

以下两个注意事项会影响片段大小：

• 对于基于流的应用程序（如内容安全和 ALG），即使未收到片段，应用程序本身也可以更改或重组数据包。在这种情况下，将使用现有的出口接口 MTU。

• 将路径 MTU 发现数据包传送到会话时，该会话的路径 MTU 将重置为路径 MTU 数据包建立的值。