电源模式

PowerMode 是一个新的默认数据平面框架，它引入了优化的快速路径，从而在 SRX 系列防火墙上实现更高的吞吐量和更低的延迟。PowerMode 能够加速 IPsec作以及通用 TCP 和 UDP 流，其方式与基于 Trio 的平台上的 Express Path 相同。

在 Junos OS 21.3R1 版中，该功能存在以下限制：

• 非 IP 协议。
• 不是 TCP、UDP、ESP、SCTP 和 GTP 的 IP 协议。
• 组播会话。
• 出口逻辑隧道 （LT） 接口和跨 LSYS 流量。
• 需要 TCP-Proxy 的会话。
• 防火墙过滤器。
• Mac 学习和透明模式。
• 主动/主动 HA 群集，当会话通过称为 Z 模式流量的交换矩阵链路时。

• PowerMode Express 概述
• PowerMode Express 如何处理流量
• 如何重新启用 PowerMode Express
• 验证

PowerMode Express 概述

PowerMode Express （PME） 是一种使用矢量数据包处理提高性能的作模式。PME 在数据包转发引擎 （PFE） 中使用一个小软件块，帮助处理接收缓冲区中的多个数据包，从而更好地利用 CPU 缓存。

图 1：PowerMode Express 中的数据包流

PowerMode IPsec （PMI） 是适用于 SRX4100、SRX4200、SRX4600、SRX5400、SRX5600、SRX5800 和 vSRX 虚拟防火墙 实例的新作模式，用于提高 IPsec 性能。从 Junos OS 19.1R1 版开始，PMI 得到了增强，可使用第一路径或快速路径处理来处理传入和传出的分段数据包。

使用 set security flow power-mode-ipsec 命令启用 PMI 进程。要验证数据包是否利用 PMI，请使用 show security flow pmi statistics 命令。

在 PMI 第一条路径处理中：

• 传入的第一个路径数据包被传送到流以创建会话。

• 传入的片段数据包被传送到流进行重组。

• 传入的数据包被传送到流中，以便进行高级安全服务处理。

在 PMI 快速路径处理中，使用 PMI 驱动程序：

• 对传入的明文进行加密并直接发送。

• 使用会话匹配直接解密并发送传入的 ESP 数据包。

第一条路径处理涉及更多的特征和指令，而 PMI 快速路径处理提供更好的性能。在 PMI 会话中，数据包处理会根据会话中的数据包流在第一路径和快速路径之间切换。

• 包含分段数据包和非分段数据包的 PMI 会话由第一条路径处理。

• 当会话只有非分段数据包时，会话将从第一条路径切换为快速过去处理。

为了支持对 PMI 的传入 IP 数据包进行分段，在第一条路径中使用了以下步骤：

• PMI 将会话中所有分段的 IP 数据包传输到流模块进行处理。

• PMI 将同一会话中的所有非分段 IP 数据包传输到流模块，以便进行数据包排序。

• Flow 模块完成分段数据包的重组，并将数据包传输回 PMI 进行加密。

要支持对 PMI 的传出 IP 数据包进行分段，请使用以下步骤：

• PMI 在会话查找期间检测需要分段的明文数据包，并将数据包传送到流模块。

• 流模块对传出数据包进行分段。

• PMI 在传输数据包之前对数据包进行加密。

在 SRX4100、SRX4200 和 vSRX 虚拟防火墙 设备上，分段数据包和非分片数据包被散列到同一 CPU 内核进行处理。因此，不支持 NP 会话。

在采用 SPC3 的 SRX5400、SRX5600 和 SRX5800 设备上，分段数据包和非分片数据包被散列到不同的 CPU 内核进行处理。因此，NP 会话支持将分段或非分段数据包传送到同一核心进行排序。