VPN 会话关联

当明文会话位于与 IPsec 隧道会话所在的 SPU 不同的服务处理单元 （SPU） 中时，就会发生 VPN 会话关联。VPN 会话关联的目标是在同一 SPU 中定位明文和 IPsec 隧道会话。

如果没有 VPN 会话关联，流创建的明文会话可能位于一个 SPU 中，而 IPsec 创建的隧道会话可能位于另一个 SPU 中。需要 SPU 到 SPU 转发或跃点才能将明文数据包路由到 IPsec 隧道。

默认情况下，在 SRX 系列防火墙上禁用 VPN 会话关联性。启用 VPN 会话关联后，新的明文会话将与 IPsec 隧道会话放置在同一 SPU 上。现有明文会话不受影响。

防 火墙 通过改进的流模块和会话缓存来支持 VPN 会话关联。借助 IOC，流模块在其隧道锚定的 SPU 上加密之前和解密之后为 IPsec 隧道流量创建会话，并为会话安装会话缓存，以便 IOC 可以将数据包重定向到同一 SPU，从而最大程度地减少数据包转发开销。Express Path（以前称为服务卸载）流量和 NP 缓存流量在 IOC 上共享同一个会话缓存表。

要在 SPU 上显示活动隧道会话，请使用命令并 show security ipsec security-association 指定包含 SPU 的灵活 PIC 集中器 （FPC） 和 物理接口卡 （PIC） 插槽。例如：

您需要评估网络中的隧道分布和流量模式，以确定是否应启用 VPN 会话关联性。

如果在防火墙上启用了 VPN 会话关联，则隧道开销将根据锚服务处理单元 （SPU） 上协商的加密和身份验证算法进行计算。如果配置的加密或身份验证发生更改，则在建立新的 IPsec 安全关联时，锚点 SPU 上的隧道开销将会更新。

VPN 会话关联限制如下：

• 不支持跨逻辑系统的流量。

• 如果路由发生更改，已建立的明文会话将保留在 SPU 上，并在可能的情况下重新路由流量。路由更改后创建的会话可以在其他 SPU 上设置。

• VPN 会话相关性仅影响在设备上终止的自身流量（也称为主机入站流量）;源自设备的自身流量（也称为主机出站流量）不受影响。

• 组播复制和转发性能不受影响。

您可以为 IPsec 安全关联 （SA） 配置一个或多个 IPsec 分布配置文件。隧道在配置的分布配置文件中指定的所有资源 （SPC） 上均匀分布。仅在 SPC3 和混合模式 （SPC3 + SPC2） 中受支持，在 SPC1 和 SPC2 系统上不受支持。使用 IPsec 分布配置文件，使用命令将 set security ipsec vpn vpn-name distribution-profile distribution-profile-name 隧道关联到指定的：

• 插槽

• PIC

或者，您可以使用默认的 IPsec 分发配置文件：

• default-spc2-profile — 使用此预定义的默认配置文件将 IPsec 隧道关联到所有可用的 SPC2 卡。

• default-spc3-profile — 使用此预定义的默认配置文件可将 IPsec 隧道关联到所有可用的 SPC3 卡。

现在，您可以将配置文件分配给特定 VPN 对象，其中所有关联的隧道都将基于此配置文件进行分布。如果未将配置文件分配给 VPN 对象，SRX 系列防火墙会自动在所有资源上均匀分配这些隧道。

您可以将 VPN 对象与用户定义的配置文件或预定义（默认）配置文件相关联。

在以下示例中，与配置文件 ABC 关联的所有隧道都将分布 在 FPC 0、PIC 0 上。

在 IPsec VPN 隧道配置中，必须指定外部接口才能与对等 IKE 网关通信。当有多个物理接口可用于访问对等网关时，最好为 VPN 的外部接口指定环路接口。在环路接口上锚定 VPN 隧道可消除对物理接口的依赖，从而实现成功路由。

独立 SRX 系列防火墙以及机箱群集中的 SRX 系列防火墙都支持对 VPN 隧道使用环路接口。在机箱群集主动-被动部署中，您可以创建逻辑环路接口并使其成为冗余组的成员，以便可用于锚定 VPN 隧道。环路接口可以在任何冗余组中配置，并被分配为 IKE 网关的外部接口。VPN 数据包在冗余组处于活动状态的节点上处理。

在机箱群集设置中，外部接口处于活动状态的节点会选择一个 SPU 来锚定 VPN 隧道。IKE 和 IPsec 数据包在该 SPU 上处理。因此，活动外部接口确定锚点 SPU。

您可以使用命令 show chassis cluster interfaces 查看冗余伪接口上的信息。

使用 功能资源管理器 确认平台和版本对特定功能的支持。

使用下表查看平台的特定于平台的行为。