IPv6-Datenflussbasierte Verarbeitung

IPv6 Advanced Flow bietet IPv6-Unterstützung für Firewalls, NAT, NAT-PT, Multicast (lokale Verbindung und Transit), IPsec, IDP, JSF-Framework, TCP-Proxy und Sitzungsmanager auf Firewalls der SRX-Serie. MIBs werden im IPv6-Datenfluss nicht verwendet.

Um die Auswirkungen auf die aktuelle IPv4-Umgebung zu vermeiden, wird IPv6-Sicherheit verwendet. Wenn die IPv6-Sicherheit aktiviert ist, werden erweiterte Sitzungen und Gates zugewiesen. Die vorhandenen Adressfelder und Gates werden verwendet, um den Index von erweiterten Sitzungen oder Gates zu speichern. Wenn die IPv6-Sicherheit deaktiviert ist, werden IPv6-sicherheitsbezogene Ressourcen nicht zugeordnet.

Neue Protokolle werden für IPv6-Datenströme verwendet, um Auswirkungen auf die Leistung im vorhandenen IPv4-System zu vermeiden.

Das Verhalten und die Implementierung des erweiterten IPv6-Datenstroms sind in den meisten Fällen identisch mit denen von IPv4.

Die Implementierungen von Sitzungen, Gates, IP-Aktionen, Verarbeitung von Multithread, Verteilung, Sperren, Synchronisation, Serialisierung, Reihenfolge, Paketwarteschlangen, asynchronem Messaging, IKE-Datenverkehrsproblemen, Plausibilitätsprüfung und Warteschlangen für IPv6 ähneln IPv4-Implementierungen.

Einige der Unterschiede werden im Folgenden erläutert:

• Header Parse IPv6 Advanced Flow beendet die Analyse der Header und interpretiert das Paket als das entsprechende Protokollpaket, wenn es auf die folgenden Erweiterungsheader trifft:

  • TCP/UDP

  • ESP/AH

  • ICMPv6

  Der erweiterte IPv6-Datenfluss setzt die Analyse von Headern fort, wenn er auf die folgenden Erweiterungsheader stößt:

  • Hop-by-Hop

  • Routing und Ziel, Fragment

  IPv6 Advanced Flow interpretiert die Pakete als unbekanntes Protokollpaket, wenn es auf den Erweiterungsheader No Next Header trifft

• Sanity Checks— IPv6 Advanced Flow unterstützt die folgenden Plausibilitätsprüfungen:

  • TCP-Länge

  • UDP-Länge

  • Hop-by-Hop

  • Fehler bei der IP-Datenlänge

  • Layer-3-Plausibilitätsprüfungen (z. B. IP-Version und IP-Länge)

  • ICMPv6 Packets Im erweiterten IPv6-Datenfluss verhalten sich die ICMPv6-Pakete genauso wie normaler IPv6-Datenverkehr mit den folgenden Ausnahmen:

    • Eingebettetes ICMPv6-Paket

    • Pfad-MTU-Meldung

• Host Inbound and Outbound Traffic IPv6 Advanced Flow unterstützt alle Routen- und Verwaltungsprotokolle, die auf der Routing-Engine (RE) ausgeführt werden, einschließlich OSPF v3, RIPng, Telnet und SSH. Beachten Sie, dass in der Partie keine Partiebeschriftung verwendet wird.

• Tunnel Traffic IPv6 Advanced Flow unterstützt die folgenden Tunneltypen:

  • IPv4 IP-IP

  • IPv4 GRE

  • IPv4-IPsec

  • Dual-Stack Lite

• Events and Logs Die folgenden Protokolle beziehen sich auf IPv6-bezogenen Datenverkehrsdatenverkehr:

  • RT_FLOW_IPVX_SESSION_DENY

  • RT_FLOW_IPVX_SESSION_CREATE

  • RT_FLOW_IPVX_SESSION_CLOSE

In diesem Thema wird die Architektur für die SRX5400-, SRX5600- und SRX5800 Geräte vorgestellt. Die Datenstromverarbeitung auf diesen Geräten ähnelt der auf Zweigstellen-Firewalls der SRX-Serie.

Zu diesen Geräten gehören E/A-Karten (IOCs) und Services Processing Cards (SPCs), die jeweils Verarbeitungseinheiten enthalten, die ein Paket verarbeiten, während es das Gerät durchläuft. Diese Verarbeitungseinheiten haben unterschiedliche Zuständigkeiten.

• Eine Network Processing Unit (NPU) wird auf einem IOC ausgeführt. Ein IOC verfügt über eine oder mehrere NPUs. Eine NPU verarbeitet Pakete diskret und führt grundlegende Datenstrommanagementfunktionen aus.

  Wenn ein IPv6-Paket bei einem IOC eintrifft, beginnt der Paketflussprozess.

  • Die NPU führt die folgenden IPv6-Plausibilitätsprüfungen für das Paket durch:

    • Für den IPv6-Basisheader werden die folgenden Headerüberprüfungen durchgeführt:

      • Version. Es wird überprüft, ob der Header IPv6 für die Version angibt.

      • Länge der Nutzlast. Es überprüft die Länge der Nutzlast, um sicherzustellen, dass die kombinierte Länge des IPv6-Pakets und des Layer-2-Headers kürzer als die Layer-2-Framelänge ist.

      • Hopfen-Limit. Es wird überprüft, ob das Hop-Limit nicht 0 (null) angibt.

      • Adress-Prüfungen. Es wird überprüft, ob die Quell-IP-Adresse nicht ::0 oder FF::00 und die Ziel-IP-Adresse nicht ::0 oder ::1 angibt.

    • Die NPU führt IPv6-Erweiterungs-Header-Prüfungen durch, einschließlich der folgenden:

      • Hop-by-Hop-Optionen. Es wird überprüft, ob dies der erste Erweiterungsheader ist, der dem IPv6-Basisheader folgt.

      • Routing-Erweiterung. Es wird überprüft, ob nur ein Routingerweiterungsheader vorhanden ist.

      • Zieloptionen. Es wird überprüft, ob nicht mehr als zwei Erweiterungsheader für Zieloptionen enthalten sind.

      • Fragment. Es wird überprüft, ob nur ein Fragmentheader vorhanden ist.

      Anmerkung:

      Die NPU behandelt jeden anderen Erweiterungsheader als Layer-4-Header.

    • Die NPU führt Layer-4-TCP-, UDP- und ICMP6-Protokollprüfungen durch, einschließlich der folgenden:

      • UDP. Es wird überprüft, ob Pakete mit IP-Nutzlastlänge, mit Ausnahme eines Pakets mit der ersten Fragmentierung, mindestens 8 Byte lang sind.

      • TCP. Es wird überprüft, ob Pakete mit IP-Nutzlastlänge, mit Ausnahme von Paketen mit der ersten Fragmentierung, mindestens 20 Byte lang sind.

      • ICMPv6. Es wird überprüft, ob Pakete mit IP-Nutzlastlänge, mit Ausnahme eines Pakets mit der ersten Fragmentierung, mindestens 8 Byte lang sind.

  • Wenn das Paket ein TCP- oder UDP-Protokoll angibt, erstellt die NPU ein Tupel aus den Paketheaderdaten unter Verwendung der folgenden Informationen:

    • Quell-IP-Adresse

    • Ziel-IP-Adresse

    • Quell-Port

    • Zielhafen

    • Protokoll

    • Virtuelle Router-Kennung (VRID)

      Das Gerät sucht die VRID aus einer VRID-Tabelle.

  • Bei ICMPv6-Paketen (Internet Control Message Protocol Version 6) enthält das Tupel dieselben Informationen wie für den TCP- und den UDP-Suchschlüssel, mit Ausnahme der Felder für den Quell- und Zielport. Die Felder für den Quell- und Zielport werden durch die folgenden Informationen ersetzt, die aus dem ICMPv6-Paket extrahiert wurden:

    • Für ICMP-Fehlerpakete: Das Muster "0x00010001"

    • Für ICMP-Informationspakete: Der Typ oder Code, die Feldkennung

  • Bei Paketen mit einem Authentication Header (AH) oder einem Encapsulating Security Payload (ESP)-Header ist der Suchschlüssel derselbe wie für das TCP- und das UDP-Tupel, mit Ausnahme der Felder für den Quell- und Zielport. In diesem Fall wird der SPI-Feldwert (Security Parameter Index) anstelle der Quell- und Zielports verwendet. Für ESP-Header (Encapsulating Security Payload) und Authentication Header (AH) wird vor Erweiterungen der Zentimeterpunktarchitektur ein Hashing durch das 3-Tupel und das Feld Sicherheitsparameterindex (SPI) vorgenommen, nach Erweiterungen der Zentimeterpunktarchitektur durch ein IP-Paar.

  • Wenn eine Sitzung für den Paketfluss vorhanden ist, sendet die NPU das Paket an die SPU, die die Sitzung verwaltet.

  • Wenn keine passende Sitzung vorhanden ist,

    • Die NPU sendet die Paketinformationen an den zentralen Punkt, der eine ausstehende Sitzung erstellt.

    • Der zentrale Punkt wählt eine SPU aus, um das Paket zu verarbeiten und Sitzungen dafür zu erstellen.

    • Die SPU sendet dann Sitzungserstellungsnachrichten an den zentralen Punkt und die ein- und ausgehenden NPUs und weist sie an, eine Sitzung für den Paketfluss zu erstellen.

• Ein zentraler Punkt, der auf einer dedizierten SPU ausgeführt werden kann oder die Ressourcen einer SPU gemeinsam nutzen kann, wenn nur eine SPU vorhanden ist. Eine zentrale Stelle kümmert sich um die Schlichtung und Zuweisung von Ressourcen und verteilt die Sitzungen auf intelligente Weise. Der zentrale Punkt weist eine SPU zu, die für eine bestimmte Sitzung verwendet werden soll, wenn die SPU das erste Paket ihres Datenflusses verarbeitet.

  • Bei Geräten der SRX5000-Reihe ist die Architektur des zentralen Punktes in zwei Module unterteilt: den zentralen Punkt der Anwendung und den verteilten zentralen Punkt (DCP). Der App-CP ist für das globale Ressourcenmanagement und das Load Balancing zuständig, während der DCP für die Identifikation des Datenverkehrs (Global Session Matching) zuständig ist. Die App-CP-Funktionalität läuft auf der dedizierten zentralen Point-SPU, während die DCP-Funktionalität auf die restlichen SPUs verteilt wird.

• Eine oder mehrere SPUs, die auf einer Services Processing Card (SPC) ausgeführt werden. Alle datenflussbasierten Dienste für ein Paket werden auf einer einzelnen SPU im Kontext einer Sitzung ausgeführt, die für den Paketfluss eingerichtet ist.

  Die SPC für Geräte der SRX5000-Reihe verfügt über zwei SPUs.

  In einem Chassis können mehrere SPCs verbaut werden.

  In erster Linie führt eine SPU die folgenden Aufgaben aus:

  • Es verwaltet die Sitzung und wendet Sicherheitsfunktionen und andere Dienste auf das Paket an.

  • Es wendet paketbasierte, zustandslose Firewall-Filter, Klassifizierer und Traffic-Shaper an.

  • Wenn für ein Paket noch keine Sitzung vorhanden ist, sendet die SPU eine Anforderungsnachricht an die NPU, die die Suche nach der Sitzung des Pakets durchgeführt hat, um sie anzuweisen, eine Sitzung für das Paket hinzuzufügen.

Diese diskreten, kooperierenden Teile des Systems speichern die Informationen, die identifizieren, ob eine Sitzung für einen Paketstrom vorhanden ist, und die Informationen, mit denen ein Paket abgeglichen wird, um zu bestimmen, ob es zu einer vorhandenen Sitzung gehört.

• Zweck
• Aktion