Traitement IPv6 basé sur les flux

IPv6 Advanced Flow ajoute la prise en charge IPv6 du pare-feu, du NAT et du NAT-PT, du multicast (liaison et transit locaux), de l’IPsec, de l’IDP, du framework JSF, du proxy TCP et du gestionnaire de session sur les pare-feu SRX Series. Les MIB ne sont pas utilisées dans le flux IPv6.

Afin d’éviter tout impact sur l’environnement IPv4 actuel, la sécurité IPv6 est utilisée. Si la sécurité IPv6 est activée, des sessions et des portes étendues sont allouées. Les champs d’adresse et les portes existants sont utilisés pour stocker l’index des sessions étendues ou des portes. Si la sécurité IPv6 est désactivée, les ressources liées à la sécurité IPv6 ne sont pas allouées.

Les nouveaux journaux sont utilisés pour le trafic de flux IPv6 afin d’éviter tout impact sur les performances du système IPv4 existant.

Dans la plupart des cas, le comportement et l’implémentation du flux avancé IPv6 sont identiques à ceux d’IPv4.

Les implémentations des sessions, des portes, des actions ip, du traitement du multithread, de la distribution, du verrouillage, de la synchronisation, de la sérialisation, de l’ordonnancement, de la mise en file d’attente des paquets, de la messagerie asynchrone, des problèmes de trafic IKE, de la vérification de l’intégrité et des files d’attente pour IPv6 sont similaires aux implémentations IPv4.

Certaines des différences sont expliquées ci-dessous :

• Header Parse Le flux avancé IPv6 arrête l’analyse des en-têtes et interprète le paquet comme le paquet de protocole correspondant s’il rencontre les en-têtes d’extension suivants :

  • TCP/UDP

  • ESP/AH

  • ICMPv6

  Le flux avancé IPv6 continue d’analyser les en-têtes s’il rencontre les en-têtes d’extension suivants :

  • Saut par saut

  • Routage et destination, fragment

  IPv6 Advanced Flow interprète les paquets comme un paquet de protocole inconnu s’il rencontre l’en-tête No Next Header d’extension

• Sanity Checks— IPv6 Advanced Flow prend en charge les contrôles d’intégrité suivants :

  • Longueur TCP

  • Longueur UDP

  • Saut par saut

  • Erreur de longueur des données IP

  • Vérifications d’intégrité de couche 3 (par exemple, la version IP et la longueur IP)

  • ICMPv6 Packets Dans le flux avancé IPv6, les paquets ICMPv6 partagent le même comportement que le trafic IPv6 normal, à quelques exceptions près :

    • Paquet ICMPv6 embarqué

    • Message MTU du chemin

• Host Inbound and Outbound Traffic Le flux avancé IPv6 prend en charge tous les protocoles de routage et de gestion s’exécutant sur le moteur de routage (RE), y compris OSPF v3, RIPng, Telnet et SSH. Notez qu’aucune étiquette de flux n’est utilisée dans le flux.

• Tunnel Traffic Le flux avancé IPv6 prend en charge les types de tunnels suivants :

  • IPv4 IP-IP

  • IPv4 GRE

  • IPv4 IPsec

  • Lite à double pile

• Events and Logs Les journaux suivants concernent le trafic de flux lié à IPv6 :

  • RT_FLOW_IPVX_SESSION_DENY

  • RT_FLOW_IPVX_SESSION_CREATE

  • RT_FLOW_IPVX_SESSION_CLOSE

Cette rubrique présente l’architecture des appareils SRX5400, SRX5600 et SRX5800. Le traitement des flux sur ces équipements est similaire à celui des pare-feu SRX Series de filiale.

Ces périphériques comprennent des cartes d’E/S (IOC) et des cartes de traitement des services (SPC) qui contiennent chacune des unités de traitement qui traitent un paquet lorsqu’il traverse l’appareil. Ces unités de traitement ont des responsabilités différentes.

• Une unité de traitement de réseau (NPU) fonctionne sur un IOC. Un IOC possède une ou plusieurs NPU. Un NPU traite les paquets discrètement et assure des fonctions de gestion de flux de base.

  Lorsqu’un paquet IPv6 arrive à un IOC, le processus de flux de paquets commence.

  • Le NPU effectue les vérifications d’intégrité IPv6 suivantes pour le paquet :

    • Pour l’en-tête de base IPv6, il effectue les vérifications d’en-tête suivantes :

      • Version. Il vérifie que l’en-tête spécifie IPv6 pour la version.

      • Longueur de la charge utile. Il vérifie la longueur de la charge utile pour s’assurer que la longueur combinée du paquet IPv6 et de l’en-tête de couche 2 est inférieure à la longueur de trame de couche 2.

      • Limite de saut. Il vérifie que la limite de saut ne spécifie pas 0 (zéro).

      • Vérifications d’adresses. Il vérifie que l’adresse IP source ne spécifie pas ::0 ou FF ::00 et que l’adresse IP de destination ne spécifie pas ::0 ou ::1.

    • Le NPU effectue des vérifications d’en-tête d’extension IPv6, notamment les suivantes :

      • Options saut par saut. Il vérifie qu’il s’agit du premier en-tête d’extension à suivre l’en-tête de base IPv6.

      • Extension de routage. Il vérifie qu’il n’existe qu’un seul en-tête d’extension de routage.

      • Options de destination. Il vérifie qu’il n’y a pas plus de deux en-têtes d’extension d’options de destination.

      • Fragment. Il vérifie qu’il n’y a qu’un seul en-tête de fragment.

      Note:

      Le NPU traite tout autre en-tête d’extension comme un en-tête de couche 4.

    • Le NPU effectue des vérifications de protocole TCP, UDP et ICMP6 de couche 4, notamment les suivantes :

      • UDP. Il vérifie que les paquets IP de longueur utile, autres qu’un paquet de premier fragment, ont une longueur d’au moins 8 octets.

      • TCP. Il vérifie que les paquets IP de longueur utile, autres qu’un paquet de premier fragment, ont une longueur d’au moins 20 octets.

      • ICMPv6. Il vérifie que les paquets IP de longueur utile, autres qu’un paquet de premier fragment, ont une longueur d’au moins 8 octets.

  • Si le paquet spécifie un protocole TCP ou UDP, le NPU crée un tuple à partir des données d’en-tête du paquet à l’aide des informations suivantes :

    • Adresse IP source

    • Adresse IP de destination

    • Port source

    • Port de destination

    • Protocole

    • Identifiant de routeur virtuel (VRID)

      L’appareil recherche le VRID à partir d’une table VRID.

  • Pour les paquets ICMPv6 (Internet Control Message Protocol version 6), le tuple contient les mêmes informations que celles utilisées pour la clé de recherche TCP et UDP, à l’exception des champs de port source et de destination. Les champs du port source et du port de destination sont remplacés par les informations suivantes, extraites du paquet ICMPv6 :

    • Pour les paquets d’erreur ICMP : le modèle « 0x00010001 »

    • Pour les paquets d’informations ICMP : le type, ou le code, identificateur de champ

  • Pour les paquets avec un en-tête d’authentification (AH) ou un en-tête ESP (Encapsulating Security Payload), la clé de recherche est la même que celle utilisée pour le tuple TCP et UDP, à l’exception des champs de port source et de destination. Dans ce cas, la valeur du champ SPI (Security Parameter Index) est utilisée à la place des ports source et de destination. Pour l’en-tête ESP (Encapsulating Security Payload) et l’en-tête d’authentification (AH), avant les améliorations apportées à l’architecture des points centraux, il est haché par le champ 3-tuple et le champ SPI (Security Parameter Index), après les améliorations apportées à l’architecture des points centraux, il est haché par une paire IP.

  • S’il existe une session pour le flux du paquet, le NPU envoie le paquet au SPU qui gère la session.

  • S’il n’existe pas de session correspondante,

    • Le NPU envoie les informations sur les paquets au point central, ce qui crée une session en attente.

    • Le point central sélectionne une SPU pour traiter le paquet et créer des sessions pour celui-ci.

    • L’USP envoie ensuite des messages de création de session au point central et aux NPU d’entrée et de sortie, en leur demandant de créer une session pour le flux de paquets.

• Un point central, qui peut fonctionner sur un SPU dédié, ou partager les ressources d’un SPU s’il n’y a qu’un seul SPU. Un point central s’occupe de l’arbitrage et de l’allocation des ressources, et il distribue les sessions de manière intelligente. Le point central assigne un SPU à utiliser pour une session particulière lorsque le SPU traite le premier paquet de son flux.

  • Pour les équipements de la gamme SRX5000, l’architecture des points centraux est divisée en deux modules : le point central de l’application et le point central distribué (DCP). App-CP est responsable de la gestion globale des ressources et de l’équilibrage de charge, tandis que le DCP est responsable de l’identification du trafic (correspondance de session globale). La fonctionnalité App-CP s’exécute sur le SPU du point central dédié, tandis que la fonctionnalité DCP est distribuée aux autres SPU.

• Une ou plusieurs SPU qui s’exécutent sur une carte de traitement des services (SPC). Tous les services basés sur les flux d’un paquet sont exécutés sur une seule SPU, dans le contexte d’une session configurée pour le flux de paquets.

  Le SPC des équipements de la gamme SRX5000 comporte deux SPU.

  Plusieurs SPC peuvent être installés dans un châssis.

  Principalement, une SPU effectue les tâches suivantes :

  • Il gère la session et applique des fonctionnalités de sécurité et d’autres services au paquet.

  • Il applique des filtres, des classificateurs et des modélisateurs de trafic sans état basés sur les paquets.

  • Si une session n’existe pas encore pour un paquet, le SPU envoie un message de requête au NPU qui a effectué la recherche de la session du paquet, pour lui demander d’ajouter une session pour celui-ci.

Ces parties discrètes et coopérantes du système stockent les informations permettant d’identifier l’existence ou non d’une session pour un flux de paquets et les informations par rapport auxquelles un paquet est apparié pour déterminer s’il appartient à une session existante.

• But
• Action