Datenverkehrsverarbeitung auf Firewalls der SRX-Serie – Übersicht

Grundlegendes zur datenflussbasierten Verarbeitung

Ein Paket wird einer datenstrombasierten Verarbeitung unterzogen, nachdem paketbasierte Filter und einige Bildschirme darauf angewendet wurden. Die gesamte datenflussbasierte Verarbeitung für einen einzelnen Datenfluss findet auf einer einzigen Services Processing Unit (SPU) statt. Eine SPU verarbeitet die Pakete eines Datenstroms gemäß den für die Sitzung konfigurierten Sicherheitsfunktionen und anderen Diensten.

Abbildung 1 zeigt eine konzeptionelle Ansicht der Verarbeitung des datenstrombasierten Datenverkehrs auf Services Gateway.

Abbildung 1: Datenverkehrsfluss für die datenstrombasierte Verarbeitung

Ein Datenstrom ist ein Strom zusammengehöriger Pakete, die die gleichen Übereinstimmungskriterien erfüllen und die gleichen Merkmale aufweisen. Junos OS behandelt Pakete, die zum selben Datenstrom gehören, auf die gleiche Weise.

Konfigurationseinstellungen, die den Status eines Pakets bestimmen – z. B. die Sicherheitsrichtlinie, die für das Paket gilt, ob ein Application Layer Gateway (ALG) erforderlich ist, ob NAT angewendet wird, um die Quell- und/oder Ziel-IP-Adresse des Pakets zu übersetzen – werden für das erste Paket eines Datenstroms bewertet.

Um festzustellen, ob ein Datenstrom für ein Paket vorhanden ist, versucht die NPU, die Informationen des Pakets anhand der folgenden Übereinstimmungskriterien mit denen einer vorhandenen Sitzung abzugleichen:

• Quelladresse

• Zieladresse

• Quell-Port

• Zielhafen

• Protokoll

• Eindeutige Sitzungstokennummer für eine bestimmte Zone und einen bestimmten virtuellen Router

• Zonen und Richtlinien
• Flows und Sitzungen

Paketbasierte Verarbeitung verstehen

Ein Paket durchläuft eine paketbasierte Verarbeitung, wenn es auf seiner Eingabeschnittstelle aus der Warteschlange entfernt wird und bevor es der Warteschlange auf seiner Ausgabeschnittstelle hinzugefügt wird.

Bei der paketbasierten Verarbeitung werden zustandslose Firewall-Filter, CoS-Funktionen und einige Bildschirme auf einzelne Pakete angewendet.

• Wenn ein Paket an einer Schnittstelle ankommt, werden Plausibilitätsprüfungen, paketbasierte Filter, einige CoS-Funktionen und einige Bildschirme darauf angewendet.

• Bevor ein Paket das Gerät verlässt, werden paketbasierte Filter, einige CoS-Funktionen und einige Bildschirme, die mit der Schnittstelle verbunden sind, auf das Paket angewendet.

Filter und CoS-Funktionen sind in der Regel mit einer oder mehreren Schnittstellen verknüpft, um zu beeinflussen, welche Pakete das System passieren dürfen, und um bei Bedarf spezielle Aktionen auf Pakete anzuwenden.

In den folgenden Themen werden die Arten von paketbasierten Features beschrieben, die Sie konfigurieren und auf den Transitdatenverkehr anwenden können.

• Zustandslose Firewall-Filter
• Class-of-Service-Funktionen
• Bildschirme

Grundlegendes zur Datenstromverarbeitung und zum Sitzungsmanagement

In diesem Thema wird erläutert, wie eine Sitzung für die Verarbeitung der Pakete eingerichtet wird, aus denen sich ein Datenfluss zusammensetzt. Im folgenden Thema bezieht sich die SPU auf den Data Plane-Thread der SRX210- oder SRX320-Firewall.

Zu Beginn ruft der Data Plane-Thread das Paket ab und führt grundlegende Plausibilitätsprüfungen durch. Anschließend verarbeitet es das Paket für zustandslose Filter und CoS-Klassifizierer und wendet einige Raster an.

Grundlegendes zur Verarbeitung des ersten Pakets

Um festzustellen, ob ein Paket zu einem vorhandenen Datenstrom gehört, versucht das Gerät, die Informationen des Pakets anhand der folgenden sechs Übereinstimmungskriterien mit denen einer vorhandenen Sitzung abzugleichen:

• Quelladresse

• Zieladresse

• Quell-Port

• Zielhafen

• Protokoll

• Eindeutiges Token aus einer bestimmten Zone und einem bestimmten virtuellen Router

Die SPU überprüft ihre Sitzungstabelle auf eine vorhandene Sitzung für das Paket. Wenn keine vorhandene Sitzung gefunden wird, richtet die SPU eine Sitzung für den Flow ein. Wenn eine Sitzungsübereinstimmung gefunden wird, wurde die Sitzung bereits erstellt, sodass die SPU eine Fast-Path-Verarbeitung für das Paket durchführt.

Grundlegendes zur Sitzungserstellung

Beim Einrichten der Sitzung führt die SPU die folgenden Dienste für das Paket aus:

• Bildschirme

• Routensuche

• Richtliniensuche

• Service-Suche

• NAT, falls erforderlich

Nachdem eine Sitzung eingerichtet wurde, wird sie für alle Pakete verwendet, die zum Datenfluss gehören. Pakete eines Datenstroms werden entsprechend den Parametern seiner Sitzung verarbeitet. Für die restlichen Schritte der Paketverarbeitung fahren Sie mit Schritt 1 in "Fast-Path Processing" fort. Alle Pakete durchlaufen eine schnelle Verarbeitung.

Grundlegendes zur Fast-Path-Verarbeitung

Wenn ein Paket mit einer Sitzung übereinstimmt, führt Junos OS eine Fast-Path-Verarbeitung durch, wie in den folgenden Schritten beschrieben. Nachdem eine Sitzung für das erste Paket in einem Datenstrom eingerichtet wurde, wird auch eine Fast-Path-Verarbeitung durchlaufen. Alle Pakete durchlaufen eine schnelle Verarbeitung.

1. Die SPU wendet datenstrombasierte Sicherheitsfunktionen auf das Paket an.

   • Konfigurierte Bildschirme werden angewendet.

   • TCP-Prüfungen werden durchgeführt.

   • Bei Bedarf werden Datenstromdienste wie NAT, ALG und IPsec angewendet.

2. Die SPU bereitet das Paket für die Weiterleitung vor und überträgt es.

   • Routing-Paketfilter werden angewendet.

   • Traffic Shaping wird angewendet.

   • Die Priorisierung des Datenverkehrs wird angewendet.

   • Die Verkehrsplanung wird angewendet.

   • Das Paket wird übertragen.

Komponenten, die am Einrichten einer Sitzung beteiligt sind

Im Folgenden finden Sie eine Übersicht über die Hauptkomponenten, die beim Einrichten einer Sitzung für ein Paket und beim Verarbeiten der Pakete beim Übertragen der SRX3400 und SRX3600 Geräte eine Rolle spielen:

• Services Processing Units (SPUs): Die Hauptprozessoren der SRX3400- und SRX3600-Geräte befinden sich auf Services Processing Cards (SPCs). Sie etablieren und verwalten Datenverkehrsströme und führen den größten Teil der Paketverarbeitung für ein Paket durch, während es das Gerät durchquert. Jede SPU verwaltet eine Hash-Tabelle für die schnelle Suche nach Sitzungen. Die SPU führt die gesamte datenstrombasierte Verarbeitung für ein Paket durch, einschließlich der Anwendung von Sicherheitsdiensten, Klassifizierern und Traffic-Shapern. Alle Pakete, die zum gleichen Fluss gehören, werden von derselben SPU verarbeitet.

  Die SPU verwaltet eine Sitzungstabelle mit Einträgen für alle Sitzungen, die sie eingerichtet hat und deren Pakete sie verarbeitet. Wenn eine SPU ein Paket von einer NPU empfängt, überprüft sie ihre Sitzungstabelle, um sicherzustellen, dass das Paket zu ihr gehört.

  Für SRX3400 und SRX3600 Geräte agiert eine SPU gemeinsam, indem sie ihre regulären Sitzungsverwaltungs- und Datenflussverarbeitungsfunktionen ausführt und als zentraler Punkt fungiert, an dem sie Sitzungen vermittelt und Ressourcen zuweist. Wenn eine SPU auf diese Weise arbeitet, befindet sie sich im Combo-Modus.

• Zentraler Punkt: Der zentrale Punkt wird verwendet, um SPUs Sitzungsmanagement basierend auf Lastausgleichskriterien zuzuweisen. Sitzungen werden auf intelligente Weise verteilt, um Vorkommnisse zu vermeiden, in denen mehrere SPUs denselben Datenfluss fälschlicherweise verarbeiten. Der zentrale Punkt folgt den Load-Balancing-Kriterien bei der Zuweisung von Sitzungen zu SPUs. Wenn die Sitzung vorhanden ist, leitet der zentrale Punkt Pakete für diesen Datenfluss an die SPU weiter, die ihn hostet. Außerdem werden Pakete an die richtige SPU umgeleitet, falls die NPU dies nicht tut.

  Für die SRX3400- und SRX3600-Geräte läuft eine SPU immer im sogenannten Combo-Modus, in dem sie sowohl die Funktionalität des zentralen Punktes als auch die Flow- und Session-Management-Funktionalität implementiert. Im Kombinationsmodus teilen sich die SPU und der zentrale Punkt dieselbe Infrastruktur für den Lastausgleichsthread (LBT) und den gleichen POT (Packet Ordering Thread). .

• Routing-Engine (RE): Die Routing-Engine führt die Steuerungsebene aus und verwaltet den Steuerungsebenenprozessor (CPP).

Grundlegendes zum Datenpfad für Unicastsitzungen

Junos OS für die SRX3400 und SRX3600 Services Gateways ist ein verteiltes System mit paralleler Verarbeitung, hohem Durchsatz und hoher Leistung. In diesem Thema wird der Prozess des Einrichtens einer Sitzung für Pakete beschrieben, die zu einem Datenfluss gehören, der das Gerät durchläuft.

Um den Sitzungsaufbau und den Paketspaziergang einschließlich der Punkte, an denen Dienste auf die Pakete eines Datenstroms angewendet werden, zu veranschaulichen, wird im folgenden Beispiel der einfache Fall einer Unicastsitzung verwendet. Dieser Paket-"Walk" führt die paketbasierte Verarbeitung und die datenstrombasierte Verarbeitung zusammen, die das Junos-Betriebssystem für das Paket ausführt.

Session-Lookup und Paketübereinstimmungskriterien

Um festzustellen, ob ein Paket zu einem vorhandenen Datenstrom gehört, versucht das Gerät, die Informationen des Pakets anhand der folgenden sechs Übereinstimmungskriterien mit denen einer vorhandenen Sitzung abzugleichen:

• Quelladresse

• Zieladresse

• Quell-Port

• Zielhafen

• Protokoll

• Eindeutiges Token aus einer bestimmten Zone und einem bestimmten virtuellen Router

Grundlegendes zur Sitzungserstellung: Erste Paketverarbeitung

In diesem Thema wird erläutert, wie eine Sitzung für die Verarbeitung der Pakete eingerichtet wird, aus denen sich ein Datenfluss zusammensetzt. Zur Veranschaulichung des Prozesses wird in diesem Thema ein Beispiel mit einer Quelle "a" und einem Ziel "b" verwendet. Die Richtung von der Quelle zum Ziel für die Pakete des Datenstroms wird als (a -> b) bezeichnet. Die Richtung vom Ziel zur Quelle wird als (b -> a) bezeichnet.

1. Ein Paket kommt an einer Schnittstelle auf dem Gerät an und wird vom IOC verarbeitet.

   Das IOC entfernt das Paket aus der Warteschlange und sendet es an die NPU, mit der es kommuniziert.

2. Die NPU empfängt das Paket vom IOC und verarbeitet es.

   • Die NPU führt grundlegende Plausibilitätsprüfungen für das Paket durch und wendet einige für die Schnittstelle konfigurierte Bildschirme auf das Paket an.

   • Wenn eine Sitzungsübereinstimmung gefunden wird, wurde die Sitzung bereits auf einer SPU erstellt, die ihr zugewiesen wurde, sodass die NPU das Paket zusammen mit der Sitzungs-ID zur Verarbeitung an die SPU weiterleitet.

   Beispiel: Paket (a ->b) kommt von IOC1 bei NPU1 an. NPU1 führt Plausibilitätsprüfungen durch und wendet DoS-Screens auf das Paket an. NPU1 überprüft seine Sitzungstabelle auf eine Tupelübereinstimmung, und es wird keine vorhandene Sitzung gefunden. NPU1 leitet das Paket zur Zuweisung zu einer SPU an den zentralen Punkt auf SPU1 weiter.

3. Der zentrale Punkt erstellt eine Sitzung mit dem Status "Ausstehend".

   Der zentrale Punkt verwaltet eine globale Sitzungstabelle, die Einträge für alle Sitzungen enthält, die für alle SPUs auf dem Gerät vorhanden sind. Er beteiligt sich an der Sitzungserstellung und delegiert und vermittelt die Zuweisung von Sitzungsressourcen.

   Dieser Prozess umfasst die folgenden Teile:

   1. Der zentrale Punkt überprüft seine Sitzungs- und Gate-Tabelle, um festzustellen, ob eine Sitzung oder ein Gate für das Paket existiert, das er von der NPU empfängt. (Eine NPU hat ein Paket an den zentralen Punkt weitergeleitet, weil in der Tabelle angegeben ist, dass keine Sitzung dafür vorhanden ist. Der zentrale Punkt überprüft diese Informationen, bevor eine SPU für die Sitzung zugewiesen wird.)

   2. Wenn es in einer der beiden Tabellen keinen Eintrag gibt, der mit dem Paket übereinstimmt, erstellt der zentrale Punkt einen Pending Wing für die Sitzung und wählt basierend auf seinem Lastausgleichsalgorithmus eine SPU aus, die für die Sitzung verwendet werden soll.

   3. Der zentrale Punkt leitet das erste Paket des Datenstroms in einer Nachricht an die ausgewählte SPU weiter, in der er sie auffordert, lokal eine Sitzung einzurichten, die für den Paketfluss verwendet werden soll.

      Beispiel: Der zentrale Punkt erzeugt einen schwebenden Flügel (a ->b) für die Sitzung. Es wählt SPU1 aus, das für die Sitzung verwendet werden soll. Er sendet SPU1 das (a->b)-Paket zusammen mit einer Nachricht, um eine Sitzung für ihn zu erstellen. (Es ist der Fall, dass SPU1 die SPU ist, die im Combo-Modus läuft. Daher werden die Sitzungsverwaltungs- und Datenflussverarbeitungsdienste für die Sitzung verwendet.

4. Die SPU richtet die Sitzung ein.

   Auch jede SPU verfügt über eine Sitzungstabelle, die Informationen zu ihren Sitzungen enthält. Wenn die SPU eine Nachricht vom zentralen Punkt zum Einrichten einer Sitzung empfängt, überprüft sie ihre Sitzungstabelle, um sicherzustellen, dass für das Paket nicht bereits eine Sitzung vorhanden ist.

   1. Wenn keine Sitzung für das Paket vorhanden ist, richtet die SPU die Sitzung lokal ein.

   2. Die SPU sendet eine Nachricht an den zentralen Punkt, in der sie ihn auffordert, die Sitzung zu installieren.

   Wenn NAT während der Verarbeitung des ersten Pakets aktiviert ist, weist die SPU IP-Adressressourcen für NAT zu. In diesem Fall wird die Verarbeitung des ersten Pakets für die Sitzung angehalten, bis der NAT-Zuordnungsprozess abgeschlossen ist.

   Die SPU fügt der Warteschlange alle zusätzlichen Pakete für den Datenstrom hinzu, die sie möglicherweise empfängt, bis die Sitzung installiert wurde.

   Beispiel: SPU1 erstellt die Sitzung für (a ->b) und sendet eine Nachricht zurück an den zentralen Punkt (der auf derselben SPU implementiert ist), in der er aufgefordert wird, die anstehende Sitzung zu installieren.

5. Die zentrale Stelle installiert die Sitzung.

   • Dadurch wird der Status für den ausstehenden Flügel der Sitzung auf aktiv gesetzt.

   • Er installiert den Reverse Wing für die Session als aktiven Schirm.

   • Er sendet eine ACK-Nachricht (Acknowledge) an die SPU, die angibt, dass die Sitzung installiert ist.

   Beispiel: Die Zentrale erhält eine Nachricht von SPU1, um die Sitzung für (a->b) zu installieren. Es setzt den Sitzungsstatus für (a->b) Flügel auf aktiv. Er installiert den Reverse Wing (b->a) für die Session und aktiviert ihn; Dies ermöglicht die Zustellung von Paketen aus der umgekehrten Richtung des Datenstroms: Ziel (B) soll an die Quelle (A) geliefert werden.

6. Die SPU richtet die Sitzung auf den Eingangs- und Ausgangs-NPUs ein.

   NPUs verwalten Informationen über eine Sitzung für die Weiterleitung und Zustellung von Paketen. Sitzungsinformationen werden in den Ausgangs- und Eingangs-NPUs (die manchmal identisch sind) eingerichtet, sodass Pakete direkt an die SPU gesendet werden können, die ihre Datenströme verwaltet, und nicht an den zentralen Punkt zur Umleitung.

7. Es findet eine Fast-Path-Verarbeitung statt.

   Fahren Sie für die restlichen Schritte der Paketverarbeitung mit Schritt 1 in "Grundlegendes zur Fast-Path-Verarbeitung" fort.

Grundlegendes zur Fast-Path-Verarbeitung

Alle Pakete durchlaufen eine schnelle Verarbeitung. Wenn jedoch eine Sitzung für ein Paket vorhanden ist, durchläuft das Paket eine Schnellverarbeitung und umgeht den Prozess des ersten Pakets. Wenn bereits eine Sitzung für den Paketfluss vorhanden ist, durchläuft das Paket den zentralen Punkt nicht.

So funktioniert die Fast-Path-Verarbeitung: NPUs an den Ausgangs- und Eingangsschnittstellen enthalten Sitzungstabellen, die die Identifizierung der SPU enthalten, die den Fluss eines Pakets verwaltet. Da die NPUs über diese Sitzungsinformationen verfügen, wird der gesamte Datenverkehr für den Datenstrom, einschließlich des umgekehrten Datenverkehrs, zur Verarbeitung direkt an diese SPU gesendet.

Auf SRX1400-, SRX3400- und SRX3600-Geräten wird die iflset-Funktionalität für aggregierte Schnittstellen wie reth nicht unterstützt.

Grundlegendes zur Verarbeitung des ersten Pakets

Abbildung 4 veranschaulicht den Pfad, den das erste Paket in einem Datenstrom nimmt, wenn es in das Gerät eintritt – die NPU stellt fest, dass keine Sitzung für das Paket vorhanden ist, und die NPU sendet das Paket an den verteilten zentralen Punkt, um eine verteilte zentrale Punktsitzung einzurichten. Der verteilte zentrale Punkt sendet dann eine Nachricht an den zentralen Punkt der Anwendung, um die SPU auszuwählen, eine Sitzung für das Paket einzurichten und das Paket zu verarbeiten. Der verteilte zentrale Punkt sendet dann das Paket an diese SPU. Die SPU verarbeitet das Paket und sendet es zur Übertragung vom Gerät an die NPU. (Diese allgemeine Beschreibung befasst sich nicht mit der Anwendung von Funktionen auf ein Paket.)

Abbildung 4: Verarbeitung des ersten Pakets

Nachdem das erste Paket in einem Datenstrom das System durchlaufen hat und eine Sitzung für das Paket eingerichtet wurde, wird es auf hohem Pfad verarbeitet.

Nachfolgende Pakete im Datenstrom werden ebenfalls auf hohem Pfad verarbeitet. In diesem Fall leitet die NPU das Paket an die SPU weiter, die ihre Sitzung verwaltet, nachdem jedes Paket in die Sitzung eingetreten ist und die NPU eine Übereinstimmung dafür in ihrer Sitzungstabelle gefunden hat.

Abbildung 5 veranschaulicht die Fast-Path-Verarbeitung. Dies ist der Pfad, den ein Paket nimmt, wenn bereits ein Datenstrom für die zugehörigen Pakete eingerichtet wurde. (Dies ist auch der Pfad, den das erste Paket in einem Datenfluss nach der Sitzung für den Datenfluss nimmt, den das initiierte Paket eingerichtet hat.) Nachdem das Paket das Gerät erreicht hat, findet die NPU eine Übereinstimmung für das Paket in ihrer Sitzungstabelle und leitet das Paket an die SPU weiter, die die Sitzung des Pakets verwaltet. Beachten Sie, dass das Paket die Interaktion mit dem zentralen Punkt umgeht.

Grundlegendes zur Fast-Path-Verarbeitung

Im folgenden Abschnitt wird erläutert, wie eine Sitzung erstellt wird und welcher Prozess ein Paket bei der Übertragung des Geräts durchläuft.

Abbildung 5: Fast-Path-Verarbeitung

Im Folgenden finden Sie eine Übersicht über die Hauptkomponenten, die beim Einrichten einer Sitzung für ein Paket und beim Verarbeiten von Paketen sowohl diskret als auch als Teil eines Datenstroms beim Übertragen der SRX5400-, SRX5600- und SRX5800 Geräte eine Rolle spielen.

• Network Processing Units (NPUs): NPUs befinden sich auf IOCs. Sie kümmern sich um die Überprüfung der Paketintegrität und die Anwendung einiger Bildschirme. NPUs verwalten Sitzungstabellen, anhand derer sie bestimmen, ob eine Sitzung für ein eingehendes Paket oder für umgekehrten Datenverkehr vorhanden ist.

  Die NPU-Sitzungstabelle enthält einen Eintrag für eine Sitzung, wenn die Sitzung auf einer SPU für ein Paket aufgebaut wird, das zuvor über die Schnittstelle in das Gerät gelangt war und von dieser NPU verarbeitet wurde. Die SPU installiert die Sitzung in der NPU-Tabelle, wenn sie die Sitzung erstellt.

  Eine NPU bestimmt, ob eine Sitzung für ein Paket vorhanden ist, indem sie die Paketinformationen mit der Sitzungstabelle abgleicht. Wenn das Paket mit einer vorhandenen Sitzung übereinstimmt, sendet die NPU das Paket und die Metadaten dafür an die SPU. Wenn keine Sitzung stattfindet, senden die NPUs das Paket an eine SPU, die mit dem Hash-Algorithmus berechnet wird.

• Services Processing Units (SPUs): Die Hauptprozessoren der SRX5400-, SRX5600- und SRX5800-Geräte befinden sich auf SPCs. SPUs etablieren und verwalten Datenverkehrsflüsse und führen den größten Teil der Paketverarbeitung für ein Paket durch, während es das Gerät durchquert. Jede SPU verwaltet eine Hash-Tabelle für die schnelle Suche nach Sitzungen. Die SPU wendet zustandslose Firewallfilter, Klassifizierer und Datenverkehrsformer auf den Datenverkehr an. Eine SPU führt die gesamte datenflussbasierte Verarbeitung für ein Paket und die meisten paketbasierten Verarbeitungsvorgänge aus. Jede Multicore-SPU verarbeitet Pakete unabhängig voneinander mit minimaler Interaktion zwischen SPUs auf demselben oder unterschiedlichen SPC. Alle Pakete, die zum gleichen Fluss gehören, werden von derselben SPU verarbeitet.

  Die SPU verwaltet eine Sitzungstabelle mit Einträgen für alle Sitzungen, die sie eingerichtet hat und deren Pakete sie verarbeitet. Wenn eine SPU ein Paket von einer NPU empfängt, überprüft sie ihre Sitzungstabelle, um sicherzustellen, dass das Paket zu ihr gehört. Er überprüft auch seine Sitzungstabelle, wenn er ein Paket vom verteilten zentralen Punkt empfängt, und sendet eine Nachricht, um eine Sitzung für dieses Paket einzurichten, um sicherzustellen, dass keine Sitzung für das Paket vorhanden ist.

• Zentraler Punkt: Die Architektur des zentralen Punktes ist in zwei Module unterteilt: den zentralen Punkt der Anwendung und den verteilten zentralen Punkt. Der zentrale Punkt der Anwendung ist für das globale Ressourcenmanagement und das Load Balancing zuständig, während der verteilte zentrale Punkt für die Identifizierung des Datenverkehrs (Global Session Matching) zuständig ist. Die Funktionalität des zentralen Punktes der Anwendung wird auf der dedizierten SPU des zentralen Punktes ausgeführt, während die Funktionalität des verteilten zentralen Punktes auf die übrigen SPUs verteilt wird. Jetzt befinden sich die zentralen Punktsitzungen nicht mehr auf der dedizierten zentralen Punkt-SPU, sondern mit dem verteilten zentralen Punkt auf anderen Flow-SPUs.

• Routing-Engine: Die Routing-Engine führt die Steuerungsebene aus.

Grundlegendes zum Datenpfad für Unicastsitzungen

In diesem Abschnitt wird beschrieben, wie eine Sitzung für Pakete eingerichtet wird, die zu einem Datenfluss gehören, der das Gerät durchläuft.

Um den Sitzungsaufbau und den Paketspaziergang einschließlich der Punkte, an denen Dienste auf die Pakete in einem Datenfluss angewendet werden, zu veranschaulichen, wird in diesem Beispiel der einfache Fall einer Unicastsitzung verwendet.

Dieser Paket-"Walk" führt die paketbasierte und die Flow-basierte Verarbeitung zusammen, die Junos OS für das Paket ausführt.

• Session-Lookup und Paketübereinstimmungskriterien
• Grundlegendes zur Sitzungserstellung: Verarbeitung des ersten Pakets
• Grundlegendes zur Fast-Path-Verarbeitung

Grundlegendes zur Sitzungserstellung: Verarbeitung des ersten Pakets

In diesem Abschnitt wird erläutert, wie eine Sitzung für die Verarbeitung der Pakete eingerichtet wird, aus denen sich ein Datenfluss zusammensetzt. Um den Prozess zu veranschaulichen, wird in diesem Abschnitt ein Beispiel mit einer Quelle "a" und einem Ziel "b" verwendet. Die Richtung von der Quelle zum Ziel für die Pakete des Datenstroms wird als (a ->b) bezeichnet. Die Richtung vom Ziel zur Quelle wird als (b->a) bezeichnet.

Schritt 1. Ein Paket kommt an einer Schnittstelle auf dem Gerät an und wird von der NPU verarbeitet.

In diesem Abschnitt wird beschrieben, wie ein Paket behandelt wird, wenn es bei einem Eingangs-IOC einer Firewall der SRX-Serie eintrifft.

1. Das Paket kommt im IOC des Geräts an und wird von der NPU auf dem IOC verarbeitet.

2. Die NPU führt grundlegende Plausibilitätsprüfungen für das Paket durch und wendet einige für die Schnittstelle konfigurierte Bildschirme auf das Paket an.

3. Die NPU prüft ihre Sitzungstabelle auf eine vorhandene Sitzung für das Paket. (Es vergleicht das Tupel des Pakets mit denen von Paketen für vorhandene Sitzungen in seiner Sitzungstabelle.)

   1. Wenn keine vorhandene Sitzung gefunden wird, leitet die NPU das Paket an die Hash-SPU weiter.

   2. Wenn eine Sitzungsübereinstimmung gefunden wird, wurde die Sitzung bereits auf einer SPU erstellt, die ihr zugewiesen wurde, sodass die NPU das Paket zusammen mit der Sitzungs-ID zur Verarbeitung an die SPU weiterleitet.

Example: Paket (a ->b) kommt bei NPU1 an. NPU1 führt Plausibilitätsprüfungen durch und wendet DoS-Screens auf das Paket an. NPU1 überprüft seine Sitzungstabelle auf eine Tupelübereinstimmung, und es wurde keine vorhandene Sitzung gefunden. NPU1 leitet das Paket an eine SPU weiter.

Schritt 2. Der verteilte zentrale Punkt erstellt eine Sitzung mit dem Status "Ausstehend".

Wenn eine NPU ein Paket empfängt, sendet die NPU es basierend auf dem Hash-Algorithmus an den verteilten zentralen Punkt. Der verteilte zentrale Punkt sucht dann nach der Sitzungstabelle des verteilten zentralen Punktes und erstellt bei Bedarf einen Eintrag.

Dieser Prozess umfasst die folgenden Teile:

1. Der verteilte zentrale Punkt überprüft seine Sitzungstabelle, um festzustellen, ob eine Sitzung für das von der NPU empfangene Paket vorhanden ist. (Eine NPU leitet ein Paket an den verteilten zentralen Punkt weiter, da sie keine vorhandene Sitzung für das Paket finden kann.)

2. Wenn in der Sitzungstabelle für den verteilten zentralen Punkt kein Eintrag vorhanden ist, der mit dem Paket übereinstimmt, erstellt der verteilte zentrale Punkt einen ausstehenden Flügel für die Sitzung. Der verteilte zentrale Punkt sendet dann eine Abfragenachricht an den zentralen Punkt der Anwendung, um eine SPU auszuwählen, die für die Sitzung verwendet werden soll.

3. Nach Erhalt der Abfragenachricht überprüft der zentrale Punkt der Anwendung seine Gate-Tabelle, um festzustellen, ob ein Gate für das Paket vorhanden ist. Wenn ein Gate übereinstimmt oder ein anderer Sitzungsverteilungsalgorithmus ausgelöst wird, wählt der zentrale Punkt der Anwendung eine andere SPU aus, um das Paket zu verarbeiten. Andernfalls wird die SPU (d. h. die SPU für den verteilten zentralen Punkt) ausgewählt. Schließlich sendet der zentrale Punkt der Anwendung eine Abfrageantwort an den verteilten zentralen Punkt.

4. Nach Erhalt der Abfrageantwort leitet der verteilte zentrale Punkt das erste Paket im Fluss an die ausgewählte SPU in einer Nachricht weiter, in der die SPU angewiesen wird, lokal eine Sitzung einzurichten, die für den Paketfluss verwendet werden soll. Beispielsweise erstellt der verteilte zentrale Punkt einen ausstehenden Flügel (a ->b) für die Sitzung. Der zentrale Punkt der Anwendung wählt SPU1 aus, das dafür verwendet werden soll. Der verteilte zentrale Punkt sendet SPU1 das (a->b)-Paket zusammen mit einer Nachricht, um eine Sitzung für den verteilten zentralen Punkt zu erstellen.

Example: Der verteilte zentrale Punkt erzeugt einen Pending Wing (a ->b) für die Session. Es wählt SPU1 aus, das dafür verwendet werden soll. Er sendet SPU1 das (a->b)-Paket zusammen mit einer Nachricht, um eine Sitzung für ihn zu erstellen.

Schritt 3. Die SPU richtet die Sitzung ein.

Auch jede SPU verfügt über eine Sitzungstabelle, die Informationen zu ihren Sitzungen enthält. Wenn die SPU eine Nachricht vom verteilten zentralen Punkt zum Einrichten einer Sitzung empfängt, überprüft sie ihre Sitzungstabelle, um sicherzustellen, dass für das Paket nicht bereits eine Sitzung vorhanden ist.

1. Wenn keine Sitzung für das Paket vorhanden ist, richtet die SPU die Sitzung lokal ein.

2. Die SPU sendet eine Nachricht an den verteilten zentralen Punkt, in der sie ihn anweist, die Sitzung zu installieren.

   Hinweis:

   Wenn NAT während der Verarbeitung des ersten Pakets aktiviert ist, weist die SPU IP-Adressressourcen für NAT zu. In diesem Fall wird die Verarbeitung des ersten Pakets für die Sitzung angehalten, bis der NAT-Zuordnungsprozess abgeschlossen ist.

Die SPU fügt der Warteschlange alle zusätzlichen Pakete für den Datenstrom hinzu, die sie möglicherweise empfängt, bis die Sitzung installiert wurde.

Example: SPU1 erstellt die Sitzung für (a ->b) und sendet eine Nachricht zurück an den verteilten zentralen Punkt, in der er ihn anweist, die ausstehende Sitzung zu installieren.

Schritt 4. Der verteilte zentrale Punkt installiert die Sitzung.

Der verteilte zentrale Punkt empfängt die Installationsnachricht von der SPU.

1. Der verteilte zentrale Punkt setzt den Status für den ausstehenden Flügel der Sitzung auf aktiv.

2. Der verteilte Mittelpunkt installiert den Reverse-Wing für die Session als aktiven Wing.

   Hinweis:

   In einigen Fällen, wie z. B. NAT, kann der umgekehrte Flügel an einem anderen verteilten zentralen Punkt als dem verteilten zentralen Punkt des init-Flügels installiert werden.

3. Er sendet eine Bestätigungsnachricht (ACK) an die SPU, die angibt, dass die Sitzung installiert ist.

Example: Die verteilte Zentrale erhält eine Nachricht von SPU1, um die Sitzung für den (a->b)-Flügel zu installieren. Es setzt den Sitzungsstatus für den (a->b)-Flügel auf aktiv. Er installiert den Reverse Wing (b->a) für die Session und aktiviert ihn; Dies ermöglicht die Zustellung von Paketen aus der umgekehrten Richtung des Datenstroms: Ziel (B) soll an die Quelle (A) geliefert werden.

Schritt 5. Die SPU richtet die Sitzung auf den Eingangs- und Ausgangs-NPUs ein.

NPUs verwalten Informationen über eine Sitzung für die Weiterleitung und Zustellung von Paketen. Sitzungsinformationen werden in den Ausgangs- und Eingangs-NPUs (die manchmal identisch sind) eingerichtet, sodass Pakete direkt an die SPU gesendet werden können, die ihre Datenströme verwaltet, und nicht zur Umleitung an den verteilten zentralen Punkt.

Schritt 6. Es findet eine Fast-Path-Verarbeitung statt.

Fahren Sie für die restlichen Schritte der Paketverarbeitung mit Schritt 1 in Grundlegendes zur Fast-Path-Verarbeitung fort.

Abbildung 6 veranschaulicht den ersten Teil des Prozesses, den das erste Paket in einem Datenstrom durchläuft, nachdem es das Gerät erreicht hat. An diesem Punkt wird eine Sitzung eingerichtet, um das Paket und die restlichen Pakete, die zu seinem Fluss gehören, zu verarbeiten. Anschließend werden es und die übrigen Pakete im Datenfluss einer Fast-Path-Verarbeitung unterzogen.

Abbildung 6: Sitzungserstellung: Verarbeitung des ersten Pakets

Grundlegendes zur Fast-Path-Verarbeitung

Alle Pakete durchlaufen eine schnelle Verarbeitung. Wenn jedoch eine Sitzung für ein Paket vorhanden ist, durchläuft das Paket eine Schnellverarbeitung und umgeht den Prozess des ersten Pakets. Wenn bereits eine Sitzung für den Paketfluss vorhanden ist, durchläuft das Paket den zentralen Punkt nicht.

So funktioniert die Fast-Path-Verarbeitung: NPUs an den Ausgangs- und Eingangsschnittstellen enthalten Sitzungstabellen, die die Identifizierung der SPU enthalten, die den Fluss eines Pakets verwaltet. Da die NPUs über diese Sitzungsinformationen verfügen, wird der gesamte Datenverkehr für den Datenstrom, einschließlich des umgekehrten Datenverkehrs, zur Verarbeitung direkt an diese SPU gesendet.

Um den Fast-Path-Prozess zu veranschaulichen, wird in diesem Abschnitt ein Beispiel mit einer Quelle "a" und einem Ziel "b" verwendet. Die Richtung von der Quelle zum Ziel für die Pakete des Datenstroms wird als (a->b) bezeichnet. Die Richtung vom Ziel zur Quelle wird als (b->a) bezeichnet.

Schritt 1. Ein Paket kommt am Gerät an und wird von der NPU verarbeitet.

In diesem Abschnitt wird beschrieben, wie ein Paket behandelt wird, wenn es im IOC eines Services Gateways eintrifft.

1. Das Paket kommt am IOC des Geräts an und wird von der NPU auf der Karte verarbeitet.

   Die NPU führt Plausibilitätsprüfungen durch und wendet einige Screens, wie z. B. Denial-of-Service-Screens (DoS), auf das Paket an.

2. Die NPU identifiziert einen Eintrag für eine vorhandene Sitzung in ihrer Sitzungstabelle, mit dem das Paket übereinstimmt.

3. Die NPU leitet das Paket zusammen mit Metadaten aus ihrer Sitzungstabelle, einschließlich der Sitzungs-ID und der Pakettupelinformationen, an die SPU weiter, die die Sitzung für den Datenstrom verwaltet, zustandslose Firewall-Filter und CoS-Funktionen auf ihre Pakete anwendet und die Datenflussverarbeitung des Pakets sowie die Anwendung von Sicherheits- und anderen Funktionen übernimmt.

Example: Paket (a ->b) kommt bei NPU1 an. NPU1 führt Plausibilitätsprüfungen für das Paket durch, wendet DoS-Screens darauf an und überprüft seine Sitzungstabelle auf eine Tupelübereinstimmung. Es findet eine Übereinstimmung und dass eine Sitzung für das Paket auf SPU1 existiert. NPU1 leitet das Paket zur Verarbeitung an SPU1 weiter.

Schritt 2. Die SPU für die Sitzung verarbeitet das Paket.

Der größte Teil der Verarbeitung eines Pakets findet auf der SPU statt, der seine Sitzung zugewiesen ist. Das Paket wird für paketbasierte Funktionen wie zustandslose Firewallfilter, Datenverkehrsformer und Klassifizierer verarbeitet, falls zutreffend. Konfigurierte datenflussbasierte Sicherheit und zugehörige Dienste wie Firewall-Funktionen, NAT, ALGs usw. werden auf das Paket angewendet. (Informationen dazu, wie Sicherheitsdienste für eine Sitzung bestimmt werden.

1. Bevor das Paket verarbeitet wird, überprüft die SPU ihre Sitzungstabelle, um sicherzustellen, dass das Paket zu einer ihrer Sitzungen gehört.

2. Die SPU verarbeitet das Paket für die entsprechenden Funktionen und Dienste.

Example: SPU1 empfängt das Paket (a->b) von NPU1. SPU1 überprüft seine Sitzungstabelle, um sicherzustellen, dass das Paket zu einer seiner Sitzungen gehört. Dann verarbeitet es Pakete (a ->b) gemäß Eingabefiltern und CoS-Funktionen, die für seine Eingabeschnittstelle gelten. Die SPU wendet die Sicherheitsfunktionen und -dienste an, die für den Fluss des Pakets konfiguriert sind, basierend auf ihrer Zone und ihren Richtlinien. Falls konfiguriert, werden Ausgabefilter, Traffic-Shaper und zusätzliche Bildschirme auf das Paket angewendet.

Schritt 3. Die SPU leitet das Paket an die NPU weiter.

1. Die SPU leitet das Paket an die NPU weiter.

2. Die NPU wendet alle anwendbaren Bildschirme, die der Schnittstelle zugeordnet sind, auf das Paket an.

Example: SPU1 leitet das Paket (a ->b) an NPU2 weiter, und NPU2 wendet DoS-Screens an.

Schritt 4. Die Schnittstelle überträgt das Paket vom Gerät.

Example: Die Schnittstelle überträgt das Paket (a->b) vom Gerät.

Schritt 5. Ein Reverse-Traffic-Paket kommt an der Ausgangsschnittstelle an und wird von der NPU verarbeitet.

Dieser Schritt spiegelt Schritt 1 genau umgekehrt wider. Weitere Informationen finden Sie in Schritt 1 in diesem Abschnitt.

Example: Paket (b->a) trifft bei NPU2 ein. NPU2 überprüft seine Sitzungstabelle auf eine Tupelübereinstimmung. Es findet eine Übereinstimmung und dass eine Sitzung für das Paket auf SPU1 existiert. NPU2 leitet das Paket zur Verarbeitung an SPU1 weiter.

Schritt 6. Die SPU für die Sitzung verarbeitet das Reverse-Traffic-Paket.

Dieser Schritt ist derselbe wie Schritt 2, mit der Ausnahme, dass er für den umgekehrten Datenverkehr gilt. Weitere Informationen finden Sie in Schritt 2 in diesem Abschnitt.

Example: SPU1 empfängt das Paket (b->a) von NPU2. Er überprüft seine Sitzungstabelle, um sicherzustellen, dass das Paket zu der von NPU2 identifizierten Sitzung gehört. Anschließend werden paketbasierte Funktionen, die für die Schnittstelle der NPU1 konfiguriert sind, auf das Paket angewendet. Er verarbeitet Pakete (b->a) gemäß den Sicherheitsfunktionen und anderen Diensten, die für seinen Datenfluss konfiguriert sind, basierend auf seiner Zone und seinen Richtlinien.

Schritt 7. Die SPU leitet das Reverse-Traffic-Paket an die NPU weiter.

Dieser Schritt ist derselbe wie Schritt 3, mit der Ausnahme, dass er für den umgekehrten Datenverkehr gilt. Weitere Informationen finden Sie in Schritt 3 in diesem Abschnitt.

Example: SPU1 leitet das Paket (b->a) an NPU1 weiter. NPU1 verarbeitet alle für die Schnittstelle konfigurierten Bildschirme.

8. Die Schnittstelle überträgt das Paket vom Gerät.

Dieser Schritt ist derselbe wie Schritt 4, mit der Ausnahme, dass er für den umgekehrten Datenverkehr gilt. Weitere Informationen finden Sie in Schritt 4 in diesem Abschnitt.

Beispiel: Die Schnittstelle überträgt das Paket (b->a) vom Gerät.

Abbildung 7 veranschaulicht den Prozess, den ein Paket durchläuft, wenn es das Gerät erreicht und eine Sitzung für den Datenstrom existiert, zu dem das Paket gehört.

Abbildung 7: Packet Walk für Fast-Path-Verarbeitung

Grundlegendes zu Services Processing Units

Für eine bestimmte physische Schnittstelle empfängt die SPU eingehende Pakete von allen Netzwerkprozessoren im Netzwerkprozessorpaket, das der physischen Schnittstelle zugeordnet ist. Die SPU extrahiert Netzwerkprozessor-Bundle-Informationen von der physischen Schnittstelle und verwendet denselben 5-Tupel-Hash-Algorithmus, um einen Datenfluss einem Netzwerkprozessorindex zuzuordnen. Um den Netzwerkprozessor zu ermitteln, führt die SPU eine Suche im Netzwerkprozessorindex im Netzwerkprozessorpaket durch. Die SPU sendet Ausgangspakete für den ausgehenden Datenverkehr an das lokale Physical Interface Module (PIM) der physischen Schnittstelle.

Grundlegendes zu den Scheduler-Merkmalen

Für SRX5400-, SRX5600- und SRX5800 Geräte unterstützt der IOC die folgenden hierarchischen Scheduler-Merkmale:

• IFL – Die Konfiguration des Netzwerkprozessorpakets wird in der Datenstruktur der physischen Schnittstelle gespeichert. Beispielsweise verfügen SRX5400-, SRX5600- und SRX5800-Geräte über maximal 48 PIMs. Die physische Schnittstelle kann eine 48-Bit-Maske verwenden, um das PIM anzuzeigen, oder der Datenverkehr des Netzwerkprozessors von dieser physischen Schnittstelle wird zusätzlich zum primären Netzwerkprozessor der physischen Schnittstelle verteilt.

  Auf SRX5000-Line-Geräten wird die iflset-Funktionalität für aggregierte Schnittstellen wie reth nicht unterstützt.

• IFD – Die logische Schnittstelle , die der physischen Schnittstelle eines Netzwerkprozessorpakets zugeordnet ist, wird an alle IOCs übergeben, die über ein PIM im Netzwerkprozessorpaket verfügen.

Grundlegendes zur Bündelung von Netzwerkprozessoren

Die Bündelungsfunktion für Netzwerkprozessoren ist auf Geräten der SRX5000-Reihe verfügbar. Diese Funktion ermöglicht die Verteilung des Datenverkehrs von einer Schnittstelle auf mehrere Netzwerkprozessoren für die Paketverarbeitung. Ein primärer Netzwerkprozessor wird einer Schnittstelle zugewiesen, die den eingehenden Datenverkehr empfängt und die Pakete auf mehrere andere sekundäre Netzwerkprozessoren verteilt. Ein einzelner Netzwerkprozessor kann als primärer Netzwerkprozessor oder als sekundärer Netzwerkprozessor für mehrere Schnittstellen fungieren. Ein einzelner Netzwerkprozessor kann nur einem Netzwerkprozessorpaket beitreten.

Übersicht

SRX5K-MPC (IOC2), SRX5K-MPC3-100G10G (IOC3) und SRX5K-MPC3-40G10G (IOC3) auf SRX5400-, SRX5600- und SRX5800 Geräten unterstützen den Sitzungscache und die selektive Installation des Sitzungscaches.

Der Sitzungscache wird verwendet, um eine Konversation zwischen dem Netzwerkprozessor (NP) und der SPU auf einem IOC zwischenzuspeichern. Bei einer Konversation kann es sich um eine Sitzung, GTP-U-Tunnelverkehr, IPsec-VPN-Tunnelverkehr usw. handeln. Eine Konversation hat zwei Sitzungscache-Einträge, einen für eingehenden Datenverkehr und den anderen für umgekehrten Datenverkehr. Je nachdem, wo sich die Eingangs- und Ausgangsports des Datenverkehrs befinden, können sich zwei Einträge im selben Netzwerkprozessor oder in verschiedenen Netzwerkprozessoren befinden. IOCs unterstützen den Sitzungscache für IPv6-Sitzungen.

Ein Session-Cache-Eintrag wird auch als Session-Wing bezeichnet.

Der Sitzungscache auf dem IOC nutzt die Express Path-Funktionalität (früher bekannt als Services Offloading) und hilft, Probleme wie hohe Latenz und IPsec-Leistungseinbußen zu vermeiden.

Ein Sitzungscacheeintrag zeichnet Folgendes auf:

• An welche SPU der Traffic der Conversion weitergeleitet werden soll

• An welchen Ausgangsport der Datenverkehr der Konvertierung im Express-Path-Modus weitergeleitet werden soll

• Verarbeitung für ausgehenden Datenverkehr, z. B. NAT-Übersetzung im Express-Path-Modus

Ab Junos OS Version 15.1X49-D10 und Junos OS Version 17.3R1 hilft der Sitzungscache der Sitzungen im IOC bei der Lösung bestimmter Leistungsprobleme. Die SPU kann nun den IOC-Sitzungscache anweisen, nachfolgenden Datenverkehr an eine bestimmte Anker-SPU weiterzuleiten.

Ab Junos OS Version 15.1X49-D10 unterstützen der SRX5K-MPC (IOC2) und der IOC3 VPN-Sitzungsaffinität durch verbessertes Flow-Modul und verbesserten Sitzungs-Cache. Ab Junos OS Version 12.3X48-D30 wird auf dem IOC2 VPN-Sitzungsaffinität über den Sitzungscache unterstützt.

Anderer Datenverkehr wurde basierend auf ihren 5-Tupel-Schlüsselinformationen an SPUs gehasht. Beim VPN-Datenverkehr wurde das Konzept der verankerten SPU verwendet, das nicht unbedingt mit den Funktionen der Flow-SPU übereinstimmte. Der Netzwerkprozessor konnte die Pakete nur basierend auf dem 5-Tupel-Hash an die Flow-SPU weiterleiten. Die Flow-SPU leitete das Paket dann an die verankerte SPU weiter. Dadurch entstand ein zusätzlicher Hop für VPN-Datenverkehr, wodurch die Bandbreite der Switch-Fabric verschwendet und der VPN-Durchsatz um etwa die Hälfte reduziert wurde. Diese Leistungsminderung trat auf, weil der Datenverkehr nach der Verarbeitung auf der verankerten SPU immer noch zur Flow-SPU zurückkehren musste.

Die Sitzungs-Cache-Tabelle wurde jetzt auf IOC erweitert, um die NP-Sitzungen zu unterstützen. Express-Path-Datenverkehr und NP-Datenverkehr verwenden dieselbe Sitzungscachetabelle auf IOCs. Express Path-Datenverkehr wird vom IOC selbst entweder lokal oder an ein anderes IOC weitergeleitet, da für den Datenverkehr keine Services von der SPU erforderlich sind. NP-Datenverkehr wird zur weiteren Verarbeitung an die im Sitzungscache angegebene SPU weitergeleitet. Alle Sitzungscacheeinträge werden sowohl vom Express Path-Sitzungsdatenverkehr als auch vom NP-Datenverkehr gemeinsam genutzt.

Um den Sitzungscache auf den IOCs zu aktivieren, müssen Sie den set chassis fpc <fpc-slot> np-cache Befehl ausführen.

Selektive Session-Cache-Installation

Um hohe Latenzzeiten zu vermeiden, die IPSec-Leistung zu verbessern und die wertvollen Ressourcen besser zu nutzen, werden bestimmte Prioritätsmechanismen sowohl auf das Flow-Modul als auch auf das IOC angewendet.

Die IOCs verwalten und überwachen die Schwellenwerte für die Nutzung des Sitzungscaches. Die IOCs übermitteln auch die Sitzungscachenutzung an die SPU, sodass die SPU bei Erreichen eines bestimmten Schwellenwerts für die Sitzungscachenutzung nur für selektive Datenverkehrssitzungen mit hoher Priorität Sitzungscache-Installationsanforderungen sendet.

Anwendungen wie IDP und ALG müssen Pakete der Reihe nach verarbeiten. Eine SPU verfügt über mehrere Flow-Threads, um Pakete zu verarbeiten, die zu einer Sitzung gehören, Load Balancing Thread (LBT) und Paketreihenfolge (Packet Ordering Thread, POT) kann sicherstellen, dass der Datenverkehr in der richtigen Reihenfolge durch die Firewall geleitet wird, es kann nicht garantiert werden, dass die Anwendung Pakete, die zu derselben Sitzung gehören, in der richtigen Reihenfolge verarbeitet. Die Flow-Serialisierung bietet die Methode, dass jeweils nur ein SPU-Flow-Thread-Verarbeitungspaket zur gleichen Sitzung gehört, sodass Anwendungen Pakete der Reihe nach empfangen, verarbeiten und senden können. Andere Flow-Threads können gleichzeitig die Verarbeitung der Flow-Serialisierung für andere Sitzungen durchführen.

Die folgenden vier Prioritätsstufen werden verwendet, um zu bestimmen, welcher Datenverkehrstyp Sitzungscache auf den IOCs installieren kann:

• Priority 1 (P1)— IPSec- und Express-Path-qualifizierter Datenverkehr

• Priority 2 (P2)— Reihenfolge der Fragmentierung

• Priority 3 (P3)— NAT/SZ-Datenverkehr (Sitzungsserialisierung)

• Priority 4(P3)— Alle anderen Arten von Datenverkehr

Die IOCs verwalten und überwachen die Schwellenwerte für die Sitzungscachenutzung und aktualisieren die aktuelle Sitzungscachenutzung in Echtzeit auf die SPU. Die SPU fordert das IOC auf, den Sitzungscache für bestimmte Datenverkehrssitzungen mit hoher Priorität zu installieren. Die Verwendung des Sitzungscaches für Datenverkehrssitzungen mit hoher Priorität ist in der folgenden Tabelle definiert:

Um Sitzungseinträge auf dem IOC zu erhalten, installiert das Flow-Modul selektiv Sitzungen auf dem IOC. Um die Auswahl der Sitzungsinstallation zu erleichtern, verwaltet der IOC entsprechende Schwellenwerte, um dem Flow-Modul einen Hinweis zu geben (wie voll die Sitzungscachetabelle auf den IOCs ist). Zwei Bits im Meta-Header werden hinzugefügt, um den aktuellen Auslastungsstatus der Cache-Tabelle anzugeben. Alle Pakete, die an die SPU gesendet werden, tragen diese beiden Statusbits, um das Flow-Modul über die Verwendung der Cache-Tabelle auf dem IOC zu informieren.

Verbesserung der IPsec-VPN-Sitzungsaffinität mithilfe des Sitzungscaches

Bei Firewalls der SRX-Serie handelt es sich um vollständig verteilte Systeme, bei denen ein IPsec-Tunnel einer bestimmten SPU zugewiesen und verankert ist. Der gesamte Datenverkehr, der zu einem IPsec-Tunnel gehört, wird auf seiner im Tunnel verankerten SPU verschlüsselt und entschlüsselt. Um eine bessere IPsec-Leistung zu erzielen, verbessert IOC das Datenstrommodul, um Sitzungen für IPsec-Tunnel-basierten Datenverkehr (vor der Verschlüsselung und nach der Entschlüsselung) auf seiner Tunnel-verankerten SPU zu erstellen, und installiert einen Sitzungscache für die Sitzungen, sodass der IOC die Pakete direkt an dieselbe SPU umleiten kann, um den Paketweiterleitungsaufwand zu minimieren. Express-Path-Datenverkehr und NP-Datenverkehr verwenden dieselbe Sitzungscachetabelle auf IOCs.

Sie müssen den Sitzungscache auf den IOCs aktivieren und die Sicherheitsrichtlinie festlegen, um zu bestimmen, ob sich eine Sitzung auf dem ausgewählten Flexible PIC Concentrator (FPC) für den Express-Path-Modus (früher als Services Offloading bezeichnet) befindet.

Um die Verwendung der IPsec-VPN-Affinität zu aktivieren, verwenden Sie den set security flow load-distribution session-affinity ipsec Befehl.

Reihenfolge von Fragmentierungspaketen mithilfe des NP-Sitzungscaches

Eine Sitzung kann sowohl aus normalen als auch aus fragmentierten Paketen bestehen. Bei der Hash-basierten Verteilung können 5-Tupel- und 3-Tupel-Schlüssel verwendet werden, um normale bzw. fragmentierte Pakete an verschiedene SPUs zu verteilen. Bei Firewalls der SRX-Serie werden alle Pakete der Sitzung an eine Verarbeitungs-SPU weitergeleitet. Aufgrund der Weiterleitungs- und Verarbeitungslatenz garantiert die Verarbeitungs-SPU möglicherweise nicht die Paketreihenfolge der Sitzung.

Der Sitzungscache auf den IOCs stellt die Reihenfolge der Pakete einer Sitzung mit fragmentierten Paketen sicher. Ein Sitzungscache-Eintrag wird für normale Pakete der Sitzung zugewiesen und ein 3-Tupel-Schlüssel wird verwendet, um die fragmentierten Pakete zu finden. Nach dem Empfang des ersten fragmentierten Pakets der Sitzung ermöglicht das Flow-Modul dem IOC, den Sitzungscache-Eintrag zu aktualisieren, um die fragmentierten Pakete für die SPU zu speichern. Später leitet IOC alle nachfolgenden Pakete der Sitzung an die SPU weiter, um die Reihenfolge der Pakete einer Sitzung mit fragmentierten Paketen sicherzustellen.