SCTP – Überblick

SCTP-Services

SCTP bietet folgende Dienstleistungen an:

• Aggregate Server Access Protocol (ASAP)

• Trägerunabhängige Call Control (BICC)

• Direkte Datenplatzierung Segment-Chunk (DDP-Segment)

• Direkte Datenplatzierung Stream-Sitzungssteuerung (DDP-Stream)

• Durchmesser in einem DTLS/SCTP-DATENBLOCK (Diameter-DTLS)

• Durchmesser in einem SCTP-DATA-Block (Diameter-SCTP)

• DPNSS/DASS 2-Erweiterungen des IUA-Protokolls (DUA)

• Endpunkt Handlescape Redundancy Protocol (ENRP)

• H.248-Protokoll (H248)

• H.323-Protokoll (H323)

• ISDN User Adaptation Layer (IUA)

• MTP2-Benutzer Peer-to-Peer-Anpassungsschicht (M2PA)

• MTP2-Benutzeranpassungsschicht (M2UA)

• MTP3-Benutzeranpassungsschicht (M3UA)

• Andere nicht näher spezifizierte konfigurierte SCTP-Nutzlastprotokolle (andere)

• Q.IPC

• Reserviert

• S1-Anwendungsprotokoll (S1AP)

• Simple Middlebox Configuration (SIMCO)

• SCCP-Benutzeranpassungsschicht (SUA)

• Transport Adapter Layer Interface (TALI)

• V5.2 Benutzeranpassungsschicht (V5UA)

• X2-Anwendungsprotokoll (X2AP)

SCTP-Einschränkungen und -Einschränkungen

Für SCTP gelten die folgenden Einschränkungen und Einschränkungen:

• IP-Adressen

  • Es wird nur statische IP-NAT unterstützt. Die eingehenden Schnittstellenpakete (von der einen Seite: Client oder Server) müssen zur gleichen Zone gehören.

• Politik

  • Dynamische Richtlinien werden nicht unterstützt. Sie müssen alle Richtlinien für SCTP-Sitzungen konfigurieren.

  • Wenn Richtlinien gelöscht werden, werden die zugehörigen Sitzungen und Zuordnungen gelöscht.

  • Sie konfigurieren eine Richtlinie, um SCTP-Datenverkehr von allen Client-IPs zu allen Server-IPs zuzulassen, und eine andere Richtlinie, um SCTP-Datenverkehr von Server-IPs zu Client-IPs zuzulassen. Wenn eine Richtlinie über ein SCTP-Profil verfügt, wird dasselbe SCTP-Profil für die umgekehrte Richtlinie benötigt.

  • Wenn Sie für jede Sitzung, die zu einer Verbindung gehört, unterschiedliche Richtlinien konfigurieren, gibt es mehrere Richtlinien, die sich auf eine Verbindung beziehen, und die SCTP-Paketverwaltung (Drop, Ratenbegrenzung usw.) verwendet das Profil, das an die Richtlinie der behandelnden SCTP-Sitzung angehängt ist.

  • Die Anwendungen, die in den Sicherheitsrichtlinien verwendet werden, um den SCTP-ALG-Datenverkehr zuzulassen, können nicht mit dieser application-protocol ignore Option konfiguriert werden. Diese Bedingung gilt auch dann, wenn die SCTP-ALG-Prüfung nicht konfiguriert ist.

• Die Aktivieren/Deaktivieren von SCTP wird darüber gesteuert, ob ein SCTP-Profil konfiguriert ist.

  • Wenn kein Profil an eine Richtlinie angehängt ist, werden SCTP-Pakete ohne Prüfung weitergeleitet.

  • Wenn ein Profil mit dieser nat-only Option an eine Richtlinie angehängt ist, wird nur die NAT-Übersetzung für die SCTP-Pakete durchgeführt, die der Richtlinie entsprechen. Wenn für ein Profil die Option nicht festgelegt ist, werden sowohl die NAT-Übersetzung als auch die nat-only SCTP-Überprüfung für jedes SCTP-Paket durchgeführt, das der Richtlinie entspricht.

  • Wenn Sie SCTP deaktivieren, werden alle Zuordnungen gelöscht, und nachfolgende SCTP-Pakete werden gemäß der Richtlinie übergeben oder gelöscht.

  • Wenn Sie SCTP aktivieren, müssen alle vorhandenen SCTP-Sitzungen gelöscht werden, oder der Datenverkehr, der mit alten Sitzungen übereinstimmt, wird ohne Überprüfung durch das SCTP-Modul weitergeleitet.

    Wenn Sie SCTP wieder aktivieren möchten, wird die gesamte ausgeführte SCTP-Kommunikation gelöscht, da keine Zuordnungen vorhanden sind. Neue SCTP-Kommunikationen können eine Assoziation herstellen und die Inspektionen durchführen.

    Anmerkung:

    Löschen Sie alte SCTP-Sitzungen, wenn SCTP wieder aktiviert wird. Dadurch werden Auswirkungen der alten SCTP-Sitzungen auf die neue SCTP-Kommunikation vermieden.

  • Wenn Sie einer vorhandenen Richtlinie ein SCTP-Profil hinzufügen, müssen Sie einen der folgenden Schritte ausführen: Verwandte Sitzungen löschen oder die alte Richtlinie entfernen und eine neue Richtlinie erstellen.

  • Wenn Sie den Timeout-Wert im SCTP-Profil ändern, ändern sich der konfigurierte Handshake und der Timeout-Wert in vorhandenen Zuordnungen nicht.

• SCTP-Ratenbegrenzung

  • Änderungen an der Konfiguration der Ratenbegrenzung wirken sich nicht auf den nachfolgenden Datenverkehr vorhandener Verbindungen aus. Sie gilt für die neu gegründeten Verbände.

  • Der unterstützte Dezimalwert des Protokolls liegt zwischen 0 und 63. Dieser Wert umfasst 48 IANA-zugewiesene Protokolle und 16 nicht zugewiesene Protokolle.

  • Maximal 80 Adressen sind in einem Profil ratenbeschränkt.

  • Maximal 10 Protokolle sind für eine Adresse in einem Profil ratenbeschränkt.

  • Der unterstützte Ratengrenzwert liegt zwischen 1 und 12000.

• SCTP Payload Protocol Blockierung

  • Jede Änderung in der Konfiguration zum Blockieren des Protokolls wirkt sich sofort auf den nachfolgenden Datenverkehr bestehender Verbindungen aus.

  • Der unterstützte Dezimalwert des Protokolls liegt zwischen 0 und 63. Dieser Wert umfasst 48 IANA-zugewiesene Protokolle und 16 nicht zugewiesene Protokolle.

• Ein SCTP-Endgerät unterstützt außerdem NAT-PT in zwei Richtungen: vom IPv4-Adressformat zum IPv6-Adressformat und umgekehrt. Das SCTP-Modul unterstützt kein IPv4- oder IPv6-Multihoming und kein IPv4- oder IPv6-Verwechslungs-NAT-PT.

• Damit statische NAT funktioniert, müssen die eingehenden Schnittstellenpakete (von einer Seite: Client- oder Serverseite) derselben Zone angehören.

• Für Multihome-Fälle wird nur der IPv4-Adressparameter in INIT oder INIT_ACK unterstützt.

• Für SCTP wird nur statische NAT unterstützt.

• Nur eingerichtete SCTP-Zuordnungen werden mit Peer-Sitzungen synchronisiert.

• SCTP-Sitzungen werden nicht mit Zuordnungen gelöscht. Sie laufen in 30 Minuten ab, was der Standardwert ist. Der Timeout-Wert ist konfigurierbar und kann geändert werden.

• Wenn der 4-Wege-Handshake-Prozess nicht auf einem Knoten, sondern auf zwei Knoten behandelt wird (z. B. zwei Sitzungen auf zwei Knoten im Aktiv/Aktiv-Modus) oder wenn sich der Cluster im Failover befindet, bevor der 4-Wege-Handshake abgeschlossen ist, wird die Zuordnung nicht erfolgreich hergestellt.

• Ein einheitliches In-Service-Software-Upgrade (ISSU) auf frühere Junos OS-Versionen wird nicht unterstützt.

• Die M3UA/SCCP-Nachrichtenanalyse ist aktiviert, die M3UA/SCCP-Stateful Inspection jedoch nicht.

• Es wird nur der Standard ITU-T Rec. Q.711-Q.714 (07/96) unterstützt. ANSI, ETSI, China und andere Standards werden nicht unterstützt.

• Es wird nur RFC 4960 unterstützt.

• Die VPN-Sitzungsaffinität unterstützt GPRS Tunneling Protocol (GTP) und Stream Control Transmission Protocol (SCTP) nicht.

SCTP-Funktionen – Übersicht

Im Folgenden sind die wichtigsten Funktionen von SCTP aufgeführt:

• Multihoming-Unterstützung, bei der ein oder beide Endpunkte einer Verbindung aus mehr als einer IP-Adresse bestehen können. Dies ermöglicht ein transparentes Failover zwischen redundanten Netzwerkpfaden.

• Die Bereitstellung von Daten in Blöcken innerhalb eines unabhängigen Datenstroms eliminiert unnötige Head-of-Line-Blockierungen.

• Pfadauswahl- und Überwachungsfunktionen zur Auswahl eines primären Datenübertragungspfads und zum Testen der Konnektivität des Übertragungspfads.

• Validierungs- und Bestätigungsmechanismen schützen vor Flooding-Angriffen und benachrichtigen über doppelte oder fehlende Datenpakete.

• Verbesserte Fehlererkennung passend für Jumbo-Ethernet-Frames.

Grundlegendes zur Unterstützung der Central Point Architecture für SCTP

Eine SCTP-Zuordnung (Stream Control Transmission Protocol) ist eine Verbindung zwischen zwei SCTP-Endpunkten. Jeder SCTP-Endpunkt identifiziert die Zuordnung mit einem Tag. Während der Einrichtung einer SCTP-Zuordnung tauschen zwei SCTP-Endgeräte ihre eigenen Tags für den Empfang von Paketen aus. Während des Austauschs von Paketen zwischen zwei SCTP-Endpunkten können sich sowohl die Quelladresse als auch die Zieladresse im Lebenszyklus der Zuordnung ändern.

Die SCTP-Datenflusssitzung verwendet ein Verbindungs-Tag, um den SCTP-Datenverkehr auf SRX1500-, SRX4100-, SRX4200-, SRX5400-, SRX5600- und SRX5800-Geräten, die das SCTP-ALG unterstützen, feiner zu verteilen. Das Verbindungstag wird aus dem SCTP-vtag decodiert. Für jedes der ersten drei Pakete wird eine separate SCTP-Sitzung erstellt, d. h. jeweils eine Sitzung für INIT, INIT-ACK und COOKIE-ECHO. Da der Datenverkehr in umgekehrter Richtung über eine eigene Sitzung verfügt, kann die Sitzung nicht mehr mit der vorhandenen Sitzung in Vorwärtsrichtung übereinstimmen und wird automatisch weitergeleitet. Daher ist ähnlich wie bei der Forward-Richtlinie eine explizite Richtlinie für die Genehmigung des Reverse-Direction-SCTP-Datenverkehrs erforderlich. In diesem Szenario erfordert die SCTP-Datenflusssitzung selbst für eine einfache Verbindung eine bidirektionale Richtlinienkonfiguration.

SCTP-Unterstützung für virtuelles Routing und Weiterleitung (VRF)

Die VRF-Funktion (Virtual Routing and Forwarding) ermöglicht die Verwaltung von Remote-IP-Adressen. SCTP-Client sollte vor dem Initiieren einer neuen SCTP-Zuordnung die Socket-Option für den Routing-Tabellenindex/VRF-Index festlegen, wenn die Ausgangsschnittstelle zum SCTP-Server innerhalb von VRF konfiguriert ist, andernfalls wird die Verbindung nicht hergestellt, da der SCTP-Client die Standard-/globale Routing-Instanz für die Zuordnungseinrichtung verwendet. Wenn auf der SCTP-Serverseite die Option für den VRF-Index-Socket nicht auf dem abhörenden Socket festgelegt ist, wird die auf allen VRFs empfangene Assoziationsanforderung berücksichtigt, aber wenn die VRF-Index-Socket-Option auf dem lauschenden Socket festgelegt ist, wird die Zuweisungsaufstellungsanforderung, die auf diesem bestimmten VRF eingeht, nur berücksichtigt.  

Die Anwendung kann entweder eine Socket-Option mit einem benutzerdefinierten Flag setzen, um SCTP einen Routing-Tabellenindex zur Verfügung zu stellen, um die VRF-basierte SCTP-Assoziation zu verarbeiten, um die Assoziation in dieser bestimmten Verbindung zu platzieren, oder den SCTP-Kernel während der Einrichtung im Prozess des 4-Wege-Handshakes VRF für die Assoziation auswählen zu lassen, basierend auf VRF, in dem die Eingangsschnittstelle konfiguriert ist.

Wenn eine SCTP-Assoziation über eine VRF-Instanz hergestellt wird, muss der Kernel einen zusätzlichen Parameter, die eindeutige VRF-ID, berücksichtigen, wenn er nach eindeutigen Assoziationen sucht, indem er das vorhandene 4-Tupel verwendet, das in SCTP verwendet wird (Quell-IP, Quell-Port, Ziel-IP, Ziel-Port).

• Eingehende SCTP-Pakete über VRF:

  Wenn ein SCTP-Paket auf einer Eingangsschnittstelle eintrifft, wird eine Suche mit dem 5-Tupel (Quell-IP, Quell-Port, Ziel-IP, Ziel-Port und 'VRF-ID, auf der das Paket empfangen wurde') durchgeführt, um festzustellen, ob eine vorhandene SCTP-Assoziation im Kernel vorhanden ist.

• Ausgehende SCTP-Pakete über VRF:

  Für jedes SCTP-Paket, das vom Kernel gesendet wird, wird die entsprechende VRF-ID aus den Assoziationsdaten unter Verwendung des 5-Tupels (Quell-IP, Quell-Port, Ziel-IP, Ziel-Port und 'VRF-ID, an die das Paket gesendet werden soll') erhalten.

SCTP-Sockel im Eins-zu-Viele-Stil

SCTP unterstützt zwei Socket-Stile: 1 zu 1 (vergleichbar mit TCP) und 1 zu Viele (ermöglicht mehrere aktive Assoziationen auf einem einzigen Socket). Letzteres erleichtert die Kommunikation mit mehreren Peer-Endpunkten gleichzeitig, indem Assoziationskennungen (assoc-id) verwendet werden, um zwischen ihnen zu unterscheiden.

Die folgenden System-APIs werden von der Anwendung verwendet, die den SCTP-Socket im 1:1- oder 1:N-Stil verwendet:

Das System erfordert eine 1-zu-1-Steckdose

• Serverrolle: socket(), bind(), listen(), accept(), write()/read(), close()

• Client-Rolle: socket(), connect(), write()/read(), close()

Das System erfordert 1 bis viele Steckdosen

• Serverrolle: socket(), bind(), listen(), recvmsg(), sendmsg(), close()

• Client-Rolle: socket(), sendmsg(), recvmsg(), close()

Allgemeiner Header-Abschnitt

Für alle SCTP-Pakete ist ein gemeinsamer Header-Abschnitt erforderlich. Dieser Abschnitt belegt die ersten 12 Bytes des Pakets. In Tabelle 1 werden die Felder im allgemeinen Header-Abschnitt beschrieben:

Abschnitt "Datenblock"

Datenblockabschnitt: Dieser Abschnitt nimmt den verbleibenden Teil des Pakets ein. In Tabelle 2 werden die Felder im Abschnitt "Datenblock" beschrieben:

Der Ressourcen-Manager (RM) lässt während einer SCTP-Kommunikation 8 Quell-IP-Adressen und 8 Ziel-IP-Adressen zu.