Grundlegendes zu Pfad-MTU-Nachrichten für IPv6-Pakete
In diesem Thema wird die Path Maximum Transmission Unit (MTU) beschrieben und erläutert, wie das Flow-Modul für Firewalls der SRX-Serie Pfad-MTU-Meldungen verarbeitet und verwendet.
Jede Verbindung hat eine MTU-Größe, die die Größe des größten Pakets angibt, das die Verbindung übertragen kann. Eine größere MTU-Größe bedeutet, dass weniger Pakete benötigt werden, um eine bestimmte Datenmenge zu übertragen. Um die beste Datenübertragungsleistung zu erzielen, sollten IPv6-Datenpakete, die von einem Knoten (der Quelle) an einen anderen Knoten (das Ziel) gesendet werden, die größtmögliche Größe haben, um den Pfad zwischen den Knoten zu durchlaufen. (Größere und weniger Pakete schränken die Kosten für die Paket-Header-Verarbeitung und Routing-Prozesse ein, die sich auf die Übertragungsleistung auswirken können.)
Damit ein Paket jedoch den Pfad vom Quellknoten zum Zielknoten erfolgreich durchlaufen kann, darf die MTU-Größe der Quellknotenschnittstelle nicht größer sein als die kleinste MTU-Größe aller Knoten auf dem Pfad zwischen Quelle und Ziel. Dieser Wert wird als Path Maximum Transmission Unit (Path MTU) bezeichnet. Wenn ein Paket größer als die MTU-Größe eines Links ist, ist es wahrscheinlich, dass der Link es verwirft. Bei IPv6 kann ein Zwischenknoten ein Paket nicht fragmentieren.
IPv6 definiert einen Standardmechanismus namens Pfad-MTU-Erkennung, den ein Quellknoten verwenden kann, um die Pfad-MTU eines Pfads zu lernen, den ein Paket wahrscheinlich durchläuft. Wenn eines der auf diesem Pfad gesendeten Pakete zu groß ist, um von einem Knoten entlang des Pfads weitergeleitet zu werden, verwirft dieser Knoten das Paket und gibt die ICMPv6-Meldung "Paket zu groß" zurück. Der Quellknoten kann dann die MTU-Größe so anpassen, dass sie kleiner ist als die des Knotens, der sie verworfen und die ICMPv6-Nachricht gesendet hat, und dann das Paket erneut übertragen. Ein Quellknoten kann wiederholt "Paket zu groß"-Nachrichten empfangen, bis sein Paket alle Knoten entlang des Pfads erfolgreich durchlaufen hat.
Bei allen Firewalls der SRX-Serie kann die Routing-Engine die Pfad-MTU einer IPv6-Multicast-Adresse (mit einem großen Paket) nicht erkennen.
Nachdem die MTU-Größe des Pfads bestimmt und die entsprechende MTU-Größe festgelegt wurde, kann ein ausgehendes Paket über einen anderen Pfad mit einem Knoten geroutet werden, dessen Verbindungs-MTU-Größe kleiner ist als die zuvor ermittelte Pfad-MTU-Größe. In diesem Fall greift das Flow-Modul erneut in den Pfad-MTU-Erkennungsprozess ein.
Wenn das Datenflussmodul eine ICMP-Packet Too Big-Nachricht mit einer zugehörigen Zieladresse empfängt, geschieht Folgendes:
Wenn es sich bei dem Paket um ein Transitpaket handelt, sucht das Datenflussmodul nach einer Sitzung, die mit den eingebetteten 5-Tupel-Daten des Pakets übereinstimmt. Es findet eine passende Sitzung und liefert das Paket an sie. Wenn keine übereinstimmende Sitzung vorhanden ist, wird das Paket verworfen.
Wenn das Datenflussmodul ein Paket empfängt, prüft es, bevor es es an die Ausgangsschnittstelle überträgt, ob die MTU-Größe der Ausgangsschnittstelle größer als die Paketlänge ist.
Wenn die MTU-Größe größer als die Paketlänge ist, wird das Paket weiter verarbeitet.
Wenn die MTU-Größe kleiner als die Paketlänge ist, wird das Paket verworfen und eine ICMPv6-Meldung "Paket zu groß" an den Quellknoten gesendet.
Wenn der Chassis-Cluster konfiguriert ist und die Pfad-MTU die MTU der Tunnelschnittstelle aktualisiert, synchronisiert das Flow-Modul die neue MTU nicht mit den Peer-Knoten. Die MTU-Größe kann durch ein größeres Paket auf einem Peer-Knoten erneut aktualisiert werden, was keine Auswirkungen auf die Paketübertragung hat.