Flow-basierte IPv6-Verarbeitung

IPv6 Advanced Flow bietet IPv6-Unterstützung für Firewall, NAT, NAT-PT, Multicast (lokale Verbindung und Transit), IPsec, IDP, JSF-Framework, TCP-Proxy und Sitzungsmanager auf Firewalls der SRX-Serie. MIBs werden im IPv6-Flow nicht verwendet.

Um die Auswirkungen auf die aktuelle IPv4-Umgebung zu vermeiden, wird IPv6-Sicherheit verwendet. Wenn die IPv6-Sicherheit aktiviert ist, werden erweiterte Sitzungen und Gates zugewiesen. Die vorhandenen Adressfelder und Gatter werden verwendet, um den Index erweiterter Sitzungen oder Gatter zu speichern. Wenn die IPv6-Sicherheit deaktiviert ist, werden IPv6-sicherheitsbezogene Ressourcen nicht zugewiesen.

Neue Protokolle werden für IPv6-Flow-Datenverkehr verwendet, um Auswirkungen auf die Leistung des bestehenden IPv4-Systems zu vermeiden.

Das Verhalten und die Implementierung des IPv6 Advanced Flow sind in den meisten Fällen die gleichen wie die von IPv4.

Die Implementierungen von Sitzungen, Gattern, IP-Aktionen, Verarbeitung von Multithread, Verteilung, Sperren, Synchronisation, Serialisierung, Reihenfolge, Paketwarteschlangen, asynchronem Messaging, IKE-Datenverkehrsproblemen, Plausibilitätsprüfung und Warteschlangen für IPv6 ähneln IPv4-Implementierungen.

Einige der Unterschiede werden im Folgenden erläutert:

• Header Parse IPv6 Advanced Flow beendet die Analyse der Header und interpretiert das Paket als entsprechendes Protokollpaket, wenn es auf die folgenden Erweiterungsheader trifft:

  • TCP/UDP

  • ESP/AH

  • ICMPv6

  Der erweiterte IPv6-Fluss analysiert weiterhin Header, wenn er auf die folgenden Erweiterungsheader trifft:

  • Hop-by-Hop

  • Routing und Ziel, Fragment

  IPv6 Advanced Flow interpretiert die Pakete als unbekanntes Protokollpaket, wenn er auf den Erweiterungsheader No Next Header trifft

• Sanity Checks— IPv6 Advanced Flow unterstützt die folgenden Plausibilitätsprüfungen:

  • TCP-Länge

  • UDP-Länge

  • Hop by Hop

  • IP-Datenlängenfehler

  • Layer 3-Plausibilitätsprüfungen (z. B. IP-Version und IP-Länge)

  • ICMPv6 Packets Im IPv6 Advanced Flow weisen die ICMPv6-Pakete das gleiche Verhalten wie normaler IPv6-Datenverkehr auf, mit folgenden Ausnahmen:

    • Eingebettetes ICMPv6-Paket

    • Pfad-MTU-Meldung

• Host Inbound and Outbound Traffic IPv6 Advanced Flow unterstützt alle Routen- und Verwaltungsprotokolle, die auf der Routing-Engine (RE) ausgeführt werden, einschließlich OSPF v3, RIPng, Telnet und SSH. Beachten Sie, dass im Flow keine Flow-Beschriftung verwendet wird.

• Tunnel Traffic IPv6 Advanced Flow unterstützt die folgenden Tunneltypen:

  • IPv4 IP-IP

  • IPv4 GRE

  • IPv4 IPsec

  • Dual-Stack Lite

• Events and Logs Die folgenden Protokolle sind für IPv6-bezogenen Flow-Datenverkehr vorgesehen:

  • RT_FLOW_IPVX_SESSION_DENY

  • RT_FLOW_IPVX_SESSION_CREATE

  • RT_FLOW_IPVX_SESSION_CLOSE

In diesem Thema wird die Architektur für die Geräte SRX5400, SRX5600 und SRX5800 vorgestellt. Die Datenstromverarbeitung auf diesen Geräten ähnelt der von Firewalls der SRX-Serie in Zweigstellen.

Zu diesen Geräten gehören E/A-Karten (IOCs) und Services Processing Cards (SPCs), die jeweils Verarbeitungseinheiten enthalten, die ein Paket verarbeiten, während es das Gerät durchläuft. Diese Verarbeitungseinheiten haben unterschiedliche Zuständigkeiten.

• Eine Netzwerkverarbeitungseinheit (NPU) wird auf einem IOC ausgeführt. Ein IOC verfügt über eine oder mehrere NPUs. Eine NPU verarbeitet Pakete diskret und führt grundlegende Funktionen des Datenstrommanagements aus.

  Wenn ein IPv6-Paket bei einem IOC eintrifft, beginnt der Prozess des Paketflusses.

  • Die NPU führt die folgenden IPv6-Plausibilitätsprüfungen für das Paket durch:

    • Für den IPv6-Basis-Header führt es die folgenden Header-Prüfungen durch:

      • Version. Es wird überprüft, ob der Header IPv6 für die Version angibt.

      • Länge der Nutzlast. Es überprüft die Länge der Nutzlast, um sicherzustellen, dass die kombinierte Länge des IPv6-Pakets und des Layer-2-Headers kürzer ist als die Layer-2-Framelänge.

      • Hop-Limit. Es prüft, ob das Hop-Limit nicht 0 (Null) angibt.

      • Adressprüfungen. Es wird überprüft, ob die Quell-IP-Adresse nicht ::0 oder FF::00 und die Ziel-IP-Adresse nicht ::0 oder ::1 angibt.

    • Die NPU führt IPv6-Headerprüfungen durch, einschließlich der folgenden:

      • Hop-by-Hop-Optionen. Es wird überprüft, ob dies der erste Erweiterungsheader ist, der dem IPv6-Basisheader folgt.

      • Routing-Erweiterung. Es wird überprüft, ob nur ein Routingerweiterungsheader vorhanden ist.

      • Optionen für das Ziel. Es wird überprüft, ob nicht mehr als zwei Erweiterungsheader für Zieloptionen enthalten sind.

      • Fragment. Es wird überprüft, ob nur ein Fragment-Header vorhanden ist.

      Hinweis:

      Die NPU behandelt jeden anderen Erweiterungsheader als Layer-4-Header.

    • Die NPU führt Layer-4-TCP-, UDP- und ICMP6-Protokollprüfungen durch, einschließlich der folgenden:

      • UDP. Es prüft, ob IP-Nutzlastlängenpakete mit Ausnahme eines Pakets mit dem ersten Fragment mindestens 8 Byte lang sind.

      • TCP. Es wird überprüft, ob IP-Nutzlastlängenpakete mit Ausnahme eines Pakets mit dem ersten Fragment mindestens 20 Byte lang sind.

      • ICMPv6. Es prüft, ob IP-Nutzlastlängenpakete mit Ausnahme eines Pakets mit dem ersten Fragment mindestens 8 Byte lang sind.

  • Wenn das Paket ein TCP- oder UDP-Protokoll angibt, erstellt die NPU ein Tupel aus den Paket-Header-Daten mit den folgenden Informationen:

    • Quell-IP-Adresse

    • Ziel-IP-Adresse

    • Quell-Port

    • Zielhafen

    • Protokoll

    • Virtuelle Router-Kennung (VRID)

      Das Gerät sucht die VRID in einer VRID-Tabelle.

  • Bei ICMPv6-Paketen (Internet Control Message Protocol Version 6) enthält das Tupel die gleichen Informationen wie für den TCP- und den UDP-Suchschlüssel, mit Ausnahme der Felder für den Quell- und Zielport. Die Felder für den Quell- und Zielport werden durch die folgenden Informationen ersetzt, die aus dem ICMPv6-Paket extrahiert wurden:

    • Für ICMP-Fehlerpakete: Das Muster "0x00010001"

    • Für ICMP-Informationspakete: Der Typ oder Code und die Feldkennung

  • Bei Paketen mit einem Authentication Header (AH) oder einem Encapsulating Sicherheit Payload (ESP)-Header ist der Suchschlüssel derselbe wie für das TCP- und das UDP-Tupel, mit Ausnahme der Quell- und Zielportfelder. In diesem Fall wird der Wert des SPI-Felds (Security Parameter Index) anstelle der Quell- und Zielports verwendet. Für den ESP-Header (Encapsulating Sicherheit Payload) und den Authentication Header (AH) wird er vor den Verbesserungen an der cenral point-Architektur durch das 3-Tupel und das SPI-Feld (security parameter index) gehasht, nach Verbesserungen an der cenral point-Architektur wird er von einem IP-Paar gehasht.

  • Wenn eine Sitzung für den Paketfluss vorhanden ist, sendet die NPU das Paket an die SPU, die die Sitzung verwaltet.

  • Wenn kein Matching-Programm vorhanden ist,

    • Die NPU sendet die Paketinformationen an den zentralen Punkt, der eine ausstehende Sitzung erstellt.

    • Der zentrale Punkt wählt eine SPU aus, um das Paket zu verarbeiten und Sitzungen dafür zu erstellen.

    • Die SPU sendet dann Nachrichten zur Sitzungserstellung an den zentralen Punkt und die eingehenden und ausgehenden NPUs und weist sie an, eine Sitzung für den Paketfluss zu erstellen.

• Ein zentraler Punkt, der auf einer dedizierten SPU ausgeführt werden kann oder die Ressourcen einer SPU gemeinsam nutzen kann, wenn nur eine SPU vorhanden ist. Eine zentrale Stelle kümmert sich um die Schlichtung und Zuweisung von Ressourcen und verteilt die Sitzungen auf intelligente Weise. Der zentrale Punkt weist eine SPU zu, die für eine bestimmte Sitzung verwendet werden soll, wenn die SPU das erste Paket ihres Datenstroms verarbeitet.

  • Bei Geräten der SRX5000-Reihe ist die Architektur des zentralen Punktes in zwei Module unterteilt – den zentralen Punkt für Anwendungen und den verteilten zentralen Punkt (DCP). Der App-CP ist für das globale Ressourcenmanagement und das Load Balancing verantwortlich, während der DCP für die Identifizierung des Datenverkehrs (Global Session Matching) verantwortlich ist. Die App-CP-Funktionalität läuft auf der dedizierten zentralen Punkt-SPU, während die DCP-Funktionalität an die übrigen SPUs verteilt wird.

• Eine oder mehrere SPUs, die auf einer Services Processing Card (SPC) ausgeführt werden. Alle Flow-basierten Services für ein Paket werden auf einer einzigen SPU ausgeführt, im Kontext einer Sitzung, die für den Paketfluss eingerichtet ist.

  Die SPC für Geräte der SRX5000-Reihe verfügt über zwei SPUs.

  In einem Chassis können mehrere SPCs verbaut werden.

  In erster Linie führt eine SPU die folgenden Aufgaben aus:

  • Es verwaltet die Sitzung und wendet Sicherheitsfunktionen und andere Services auf das Paket an.

  • Sie wendet paketbasierte, zustandslose Firewall-Filter, Klassifikatoren und Traffic-Shaper an.

  • Wenn für ein Paket noch keine Sitzung vorhanden ist, sendet die SPU eine Anforderungsnachricht an die NPU, die die Suche nach der Sitzung des Pakets durchgeführt hat, um sie anzuweisen, eine Sitzung für das Paket hinzuzufügen.

Diese diskreten, zusammenarbeitenden Teile des Systems speichern die Informationen, die angeben, ob eine Sitzung für einen Paketstrom existiert, und die Informationen, mit denen ein Paket abgeglichen wird, um festzustellen, ob es zu einer bestehenden Sitzung gehört.

• Zweck
• Aktion