Übersicht über den Router-Datenfluss
Das Junos-Betriebssystem (Junos OS) stellt ein Richtlinien-Framework bereit, bei dem es sich um eine Sammlung von Junos® OS-Richtlinien handelt, mit denen Sie den Fluss von Routing-Informationen und Paketen innerhalb des Routers steuern können.
Fluss der Routing-Informationen
Routing-Informationen sind die Informationen über Routen, die von den Routing-Protokollen von den Nachbarn eines Routers gelernt wurden. Diese Informationen werden in Routing-Tabellen gespeichert. Die Routing-Protokolle kündigen aktive Routen nur aus den Routing-Tabellen an. Eine aktive Route ist eine Route, die aus allen Routen in der Routing-Tabelle ausgewählt wird, um ein Ziel zu erreichen.
Um zu steuern, welche Routen die Routingprotokolle in den Routingtabellen platzieren und welche Routen die Routingprotokolle aus den Routingtabellen ankündigen, können Sie Routingrichtlinien konfigurieren, bei denen es sich um Regelsätze handelt, die das Richtlinienframework verwendet, um Standardroutingrichtlinien vorwegzunehmen.
Die Routing-Engine, auf der die Steuerungsebenensoftware des Routers ausgeführt wird, verwaltet den Fluss der Routing-Informationen zwischen den Routing-Protokollen und den Routing-Tabellen sowie zwischen den Routing-Tabellen und der Weiterleitungstabelle. Die Routing-Engine führt das Junos-Betriebssystem und die Routing-Richtlinien aus und speichert die aktive Routerkonfiguration, die Master-Routing-Tabelle und die Master-Weiterleitungstabelle.
Fluss von Datenpaketen
Datenpakete sind Datenblöcke, die den Router passieren, wenn sie von einer Quelle zu einem Ziel weitergeleitet werden. Wenn ein Router ein Datenpaket auf einer Schnittstelle empfängt, bestimmt er, wohin das Paket weitergeleitet werden soll, indem er in der Weiterleitungstabelle nach der besten Route zu einem Ziel sucht. Der Router leitet das Datenpaket dann über die entsprechende Schnittstelle an sein Ziel weiter.
Die Packet Forwarding Engine, das zentrale Verarbeitungselement der Weiterleitungsebene des Routers, verwaltet den Fluss von Datenpaketen in und aus den physischen Schnittstellen des Routers. Obwohl die Packet Forwarding Engine Layer-3- und Layer-4-Header-Informationen enthält, enthält sie nicht die Paketdaten selbst (die Nutzlast des Pakets).
Um den Fluss von Datenpaketen zu steuern, die das Gerät passieren, während die Pakete von einer Quelle zu einem Ziel weitergeleitet werden, können Sie zustandslose Firewall-Filter auf die Ein- oder Ausgabe der physischen Schnittstellen des Routers oder Switches anwenden.
Um eine bestimmte Bandbreite und maximale Burst-Größe für Datenverkehr zu erzwingen, der über eine Schnittstelle gesendet oder empfangen wird, können Sie Policer konfigurieren. Policer sind eine spezielle Art von zustandslosen Firewall-Filtern und eine Hauptkomponente der Junos OS Class-of-Service (CoS).
Fluss lokaler Pakete
Lokale Pakete sind Datenblöcke, die für den Router bestimmt sind oder von diesem gesendet werden. Lokale Pakete enthalten in der Regel Routingprotokolldaten, Daten für IP-Dienste wie Telnet oder SSH und Daten für administrative Protokolle wie das Internet Control Message Protocol (ICMP). Wenn die Routing-Engine ein lokales Paket empfängt, leitet sie das Paket an den entsprechenden Prozess oder an den Kernel weiter, die beide Teil der Routing-Engine sind, oder an die Paketweiterleitungs-Engine.
Die Routing-Engine verarbeitet den Fluss lokaler Pakete von den physischen Schnittstellen des Routers zur Routing-Engine.
Um den Fluss lokaler Pakete zwischen den physischen Schnittstellen und der Routing-Engine zu steuern, können Sie zustandslose Firewallfilter auf die Ein- oder Ausgabe der Loopback-Schnittstelle anwenden. Die Loopback-Schnittstelle (lo0) ist die Schnittstelle zur Routing-Engine und überträgt keine Datenpakete.
Voneinander abhängige Flüsse von Routing-Informationen und Paketen
Abbildung 1 veranschaulicht den Datenfluss durch einen Router. Obwohl sich Routing-Informationsflüsse und Paketflüsse stark voneinander unterscheiden, sind sie auch voneinander abhängig.
Routingrichtlinien bestimmen, welche Routen das Routingmodul in der Weiterleitungstabelle platziert. Die Weiterleitungstabelle wiederum spielt eine wesentliche Rolle bei der Bestimmung der geeigneten physischen Schnittstelle, über die ein Paket weitergeleitet werden soll.
Zustandslose und zustandsbehaftete Firewall-Filter
Ein zustandsloser Firewallfilter, der auch als Zugriffssteuerungsliste (Access Control List, ACL) bezeichnet wird, überprüft den Datenverkehr nicht zustandsbehaftet. Stattdessen wertet es den Paketinhalt statisch aus und verfolgt nicht den Status von Netzwerkverbindungen. Im Gegensatz dazu verwendet ein zustandsbehafteter Firewallfilter Verbindungsstatusinformationen, die von anderen Anwendungen und früheren Kommunikationen im Datenfluss abgeleitet wurden, um dynamische Steuerungsentscheidungen zu treffen.
Der Hauptzweck eines zustandslosen Firewall-Filters besteht darin, die Sicherheit durch die Verwendung von Paketfiltern zu erhöhen. Mit der Paketfilterung können Sie die Komponenten eingehender oder ausgehender Pakete überprüfen und dann die von Ihnen angegebenen Aktionen für Pakete ausführen, die den von Ihnen angegebenen Kriterien entsprechen. Die typische Verwendung eines zustandslosen Firewallfilters besteht darin, die Routing-Engine-Prozesse und -Ressourcen vor bösartigen oder nicht vertrauenswürdigen Paketen zu schützen.