PowerMode

PowerMode ist ein neues Standard-Dataplane-Framework, das einen optimierten Fast-Path einführt, der einen höheren Durchsatz und niedrigere Latenz auf Firewalls der SRX-Serie ermöglicht. PowerMode ist in der Lage, IPsec-Vorgänge und generische TCP- und UDP-Datenströme auf die gleiche Weise zu beschleunigen wie Express Path auf Trio-basierten Plattformen.

In Junos OS Version 21.3R1 weist die Funktion die folgenden Einschränkungen auf:

• Nicht-IP-Protokoll.
• IP-Protokolle, die nicht TCP, UDP, ESP, SCTP und GTP sind.
• Multicast-Sitzungen.
• Ausgang Logische Tunnel (LT)-Schnittstellen und LSY-übergreifenden Datenverkehr.
• Sitzungen, für die TCP-Proxy erforderlich ist.
• Firewall-Filter.
• Mac-Lernen und transparenter Modus.
• Aktiv/Aktiv-HA-Cluster, wenn die Sitzungen die Fabric-Verbindung übertragen, der als Z-Mode-Datenverkehr bezeichnet wird.

• PowerMode Express Übersicht
• Wie verarbeitet PowerMode Express den Datenverkehr?
• So aktivieren Sie PowerMode Express wieder
• Verifizierung

PowerMode Express Übersicht

PowerMode Express (PME) ist ein Betriebsmodus, der Leistungsverbesserungen durch die Verarbeitung von Vektorpaketen bereitstellt. PME verwenden einen kleinen Softwareblock innerhalb der Packet Forwarding Engine (PFE), der hilft, mehrere Pakete im Empfangspuffer zu verarbeiten und so den CPU-Cache besser zu nutzen.

Abbildung 1: Paketfluss in PowerMode Express

PowerMode IPsec (PMI) ist ein neuer Betriebsmodus für SRX4100-, SRX4200-, SRX4600-, SRX5400-, SRX5600-, SRX5800- und Virtuelle Firewall vSRX-Instances zur Verbesserung der IPsec-Leistung. Beginnend mit Junos OS Version 19.1R1 wurde die PMI erweitert, um die ein- und ausgehenden Fragmentpakete unter Verwendung der Verarbeitung des ersten Pfads oder des schnellen Pfads zu verarbeiten.

Aktivieren Sie den PMI-Prozess mithilfe des Befehls. set security flow power-mode-ipsec Um zu überprüfen, ob die Pakete PMI nutzen, verwenden Sie den Befehl show security flow pmi statistics.

In einer PMI-Verarbeitung des ersten Pfades:

• Das eingehende Paket des ersten Pfads wird an den Datenfluss übermittelt, um eine Sitzung zu erstellen.

• Die eingehenden Fragmentpakete werden zur erneuten Assemblierung an Flow geliefert.

• Die eingehenden Pakete werden zur erweiterten Verarbeitung des Sicherheitsdienstes an den Fluss übermittelt.

In einer PMI-Fast-Path-Verarbeitung wird der PMI-Treiber verwendet:

• Zum Verschlüsseln und Versenden des eingehenden Klartextes direkt.

• Zum Entschlüsseln und Versenden der eingehenden ESP-Pakete direkt mit Session Match.

Die Verarbeitung des ersten Pfads umfasst mehr Funktionen und Anweisungen, während die PMI-Fast-Path-Verarbeitung eine bessere Leistung bietet. In einer PMI-Sitzung wechselt die Paketverarbeitung basierend auf dem Paketfluss in der Sitzung zwischen dem ersten Pfad und dem schnellen Pfad.

• Die PMI-Sitzung mit Fragment- und Nicht-Fragment-Paketen wird vom ersten Pfad verarbeitet.

• Wenn die Sitzung nur über nicht fragmentierte Pakete verfügt, wechselt die Sitzung vom ersten Pfad zur Fast-Past-Verarbeitung.

Um die Fragmentierung für eingehende IP-Pakete für PMI zu unterstützen, werden im ersten Pfad die folgenden Schritte verwendet:

• PMI überträgt alle fragmentierten IP-Pakete in einer Sitzung zur Verarbeitung an das Datenflussmodul.

• PMI überträgt alle nicht fragmentierten IP-Pakete in derselben Sitzung zur Paketreihenfolge an das Flussmodul.

• Das Flow-Modul schließt die Reassemblierung fragmentierter Pakete ab und überträgt die Pakete zur Verschlüsselung zurück an PMI.

Um die Fragmentierung für ausgehende IP-Pakete für PMI zu unterstützen, werden die folgenden Schritte verwendet:

• PMI erkennt Klartextpakete, die während der Sitzungssuche fragmentiert werden müssen, und übermittelt Pakete an das Datenflussmodul.

• Das Flussmodul führt die Fragmentierung für ausgehende Pakete durch.

• PMI verschlüsselt die Pakete vor der Übertragung.

Auf SRX4100-, SRX4200- und Virtuelle Firewall vSRX Geräten werden Fragment- und Nicht-Fragment-Pakete zur Verarbeitung auf denselben CPU-Kern gehasht. Daher wird NP-Sitzung nicht unterstützt.

Auf SRX5400-, SRX5600- und SRX5800 Geräten mit SPC3 werden Fragment- und Nicht-Fragment-Pakete zur Verarbeitung auf unterschiedliche CPU-Kerne gehasht. Daher wird eine NP-Sitzung unterstützt, um fragmentierte oder nicht-fragmentierte Pakete zur Bestellung an denselben Core zu liefern.