Sessions basées sur les flux

Présentation des caractéristiques de session des pare-feu SRX Series

Les sessions sont créées en fonction des informations de routage et d’autres informations de classification afin de stocker des informations et d’allouer des ressources à un flux. Les sessions ont des caractéristiques, que vous pouvez modifier en partie, par exemple lorsqu’elles sont terminées. Par exemple, vous pouvez vous assurer qu’une table de session n’est jamais entièrement pleine pour vous protéger contre la tentative d’un attaquant de l’inonder et ainsi empêcher les utilisateurs légitimes de démarrer des sessions.

En fonction du protocole et du service, une session est programmée avec une valeur de délai d’expiration. Par exemple, le délai d’expiration par défaut pour TCP est de 1800 secondes. Le délai d’expiration par défaut pour UDP est de 60 secondes.

Si aucun trafic n’utilise la session avant le délai d’expiration du service, celle-ci est expirée et libérée dans un pool de ressources commun pour être réutilisée. Vous pouvez affecter la durée d’une session des manières suivantes :

Vous pouvez spécifier les circonstances de l’arrêt des sessions à l’aide de l’une des méthodes suivantes :
- Âge des sessions en fonction du niveau de remplissage du tableau des sessions
- Définir un délai d’expiration explicite pour la fin des sessions TCP
- Configurer une session TCP pour qu’elle soit invalidée lorsqu’elle reçoit un message TCP RST (réinitialisation)
- Configurez l’instruction pour mettre fin aux sessions lorsque l’un fin-invalidate-session des points de terminaison de session envoie un message FIN(ish) à son homologue.
  
  Lorsque le point de terminaison pair reçoit le paquet avec l’indicateur FIN défini, il envoie un message ACK(nowlege). En règle générale, l’interruption d’une session à l’aide de cette méthode implique la transmission d’une paire de messages FIN-ACK de chaque session.
Vous pouvez configurer les sessions pour prendre en charge d’autres systèmes comme suit :
- Désactiver les contrôles de sécurité des paquets TCP
- Modifier la taille maximale du segment

Comprendre le vieillissement agressif des sessions

La table de session est une ressource limitée pour les pare-feu SRX Series. Si la table des sessions est pleine, toute nouvelle session sera rejetée par l’appareil.

Le mécanisme agressif de vieillissement des sessions accélère le processus de délai d’expiration des sessions lorsque le nombre de sessions dans la table de sessions dépasse le seuil de seuil supérieur spécifié. Ce mécanisme réduit la probabilité que les pare-feu SRX Series rejettent de nouvelles sessions lorsque la table des sessions est pleine.

Configurez les paramètres suivants pour effectuer un vieillissement agressif des sessions :

high-watermark–L’équipement effectue un vieillissement agressif des sessions lorsque le nombre de sessions dans la table de sessions dépasse le high-watermark seuil.
low-watermark–L’équipement cesse de vieillir les sessions de manière agressive et revient à la normale lorsque le nombre de sessions dans le tableau des sessions passe en dessous du low-watermark seuil.
early-ageout –Lors d’un vieillissement de session agressif, les séances avec un temps d’expiration inférieur au early-ageout seuil sont marquées comme invalides.

Exemple : Contrôle de l’arrêt de session pour les pare-feu SRX Series

Cet exemple montre comment mettre fin à des sessions pour des pare-feu SRX Series en fonction de l’expiration d’un certain laps de temps ou lorsque le nombre de sessions dans la table des sessions est plein ou atteint un pourcentage spécifié. Vous spécifiez une valeur de délai d’expiration ou le nombre de sessions dans la table des sessions.

Exigences
Vue d’ensemble
La configuration
Vérification

Exigences

Avant de commencer, comprenez les circonstances de l’interruption des sessions.

Vue d’ensemble

Vous pouvez contrôler l’arrêt de session dans certaines situations, par exemple après avoir reçu un message TCP FIN Close ou RST, lorsque vous rencontrez des erreurs ICMP pour UDP et lorsqu’aucun trafic correspondant n’est reçu avant le délai d’expiration du service. Lorsque des sessions sont arrêtées, leurs ressources sont libérées pour être utilisées par d’autres sessions.

Dans cet exemple, vous configurez les circonstances suivantes pour mettre fin à la session :

Valeur de délai d’attente de 20 secondes.

Remarque :
La valeur minimale que vous pouvez configurer pour l’initialisation de la session TCP est de 4 secondes. La valeur par défaut est de 20 secondes ; si nécessaire, vous pouvez définir la valeur d’initialisation de la session TCP sur moins de 20 secondes.
Valeur de délai d’attente explicite de 280 secondes, qui modifie le délai d’expiration de la session TCP pendant l’établissement de liaison à trois voies.

La commande définit le délai d’expiration initial de la session TCP à 280 dans la table des sessions lors de l’établissement de liaison TCP à trois voies. Le minuteur est lancé lorsque le premier paquet SYN est reçu et réinitialisé avec chaque paquet pendant l’établissement de liaison à trois. Une fois l’établissement de liaison à trois voies terminé, le délai d’expiration de la session est réinitialisé au délai d’expiration défini par l’application spécifique. Si le minuteur expire avant la fin de l’établissement de liaison à trois voies, la session est supprimée de la table des sessions.
Toute session qui reçoit un message TCP RST (réinitialisation) est invalidée.

La configuration

Procédure

Procédure étape par étape

Pour contrôler l’interruption de session des pare-feu SRX Series :

L’exemple suivant vous oblige à naviguer à différents niveaux dans la hiérarchie de configuration. Pour obtenir des instructions sur la procédure à suivre, consultez Utilisation de l’éditeur CLI en mode Configuration dans leGuide de l’utilisateur de la CLI.

Pour contrôler l’interruption de session des pare-feu SRX Series :

Spécifiez une valeur de dépassement pour la session.

Configurez une valeur vieillissante.

Invalider toute session qui reçoit un message TCP RST.

Si vous avez terminé de configurer l’appareil, validez la configuration.

Vérification

Pour vérifier que la configuration fonctionne correctement, entrez la show security flow commande.

Clearing de sessions pour les passerelles de services SRX Series

Vous pouvez utiliser la commande pour mettre fin à des clear sessions. Vous pouvez effacer toutes les sessions, y compris les sessions d’un type d’application particulier, les sessions qui utilisent un port de destination spécifique, les sessions qui utilisent une interface ou un port spécifique, les sessions qui utilisent un certain protocole IP, les sessions qui correspondent à un préfixe source et les sessions de gestionnaire de ressources.

Fin de sessions pour les passerelles de services SRX Series
Arrêt d’une session spécifique pour les passerelles de services SRX Series
Utilisation de filtres pour spécifier les sessions à terminer pour les passerelles de services SRX Series

Fin de sessions pour les passerelles de services SRX Series

Vous pouvez utiliser la commande suivante pour mettre fin à toutes les sessions, à l’exception des sessions de tunnel et de gestionnaire de ressources. La sortie de la commande indique le nombre de sessions effacées. Sachez que cette commande met fin à la session de gestion par laquelle la commande clear est émise.

Arrêt d’une session spécifique pour les passerelles de services SRX Series

Vous pouvez utiliser la commande suivante pour mettre fin à la session dont vous spécifiez l’ID de session.

Utilisation de filtres pour spécifier les sessions à terminer pour les passerelles de services SRX Series

Vous pouvez mettre fin à une ou plusieurs sessions en fonction du paramètre de filtre que vous spécifiez pour la clear commande. L’exemple suivant utilise le protocole comme filtre.

Configuration de la valeur de délai d’expiration pour les sessions de flux multicast

Vous pouvez configurer la valeur de délai d’expiration pour les sessions de flux de multicast en configurant une application personnalisée et en associant l’application à une stratégie.

Les sessions de flux multicast ont une session modèle et une ou plusieurs sessions Leaf. Ces sessions étant liées entre elles, elles ne peuvent avoir qu’une seule valeur de délai d’expiration. La valeur de délai d’expiration pour les sessions de flux de multicast est déterminée en tenant compte des valeurs de délai d’expiration configurées dans les stratégies de session leaf et des valeurs de délai d’expiration du protocole IP. La plus élevée de ces valeurs de délai d’attente est sélectionnée comme délai d’expiration de session de flux de multicast.

Si aucune valeur de délai d’expiration de session leaf n’est configurée, la valeur de délai d’expiration du protocole IP est automatiquement utilisée comme valeur de délai d’expiration pour la session de flux multicast. Le délai d’expiration du protocole IP est celui par défaut et n’est pas configurable.

La configuration des délais d’expiration des sessions de branche peut être particulièrement utile pour les flux de multicast dont l’intervalle de paquets est plus long que le délai d’expiration par défaut du protocole IP. Par exemple, les flux de multicast avec un intervalle de paquets de plus de 60 secondes connaîtraient un vieillissement prématuré des sessions de flux et des pertes de paquets avec la valeur de délai d’expiration UDP, qui est toujours de 60 secondes. Pour ces flux, vous pouvez configurer un délai d’expiration de session leaf plus élevé et empêcher la perte de paquets.

Pour définir la valeur du délai d’expiration de la session leaf, configurez une application personnalisée et associez-la à une stratégie :

Créez une application personnalisée, spécifiez ses propriétés et spécifiez le contournement du type d’application.

Définissez la valeur de délai d’expiration du protocole d’application.

Créez une stratégie.

Associez l’application personnalisée (avec le délai d’expiration configuré) à la stratégie.

Si vous avez terminé de configurer l’appareil, validez la configuration.
Pour vérifier la valeur du délai d’expiration de la session mise à jour, entrez la show security flow session commande.
Dans cette sortie, la section ID de session 2363 affiche un modèle de session. Une valeur de délai d’expiration de 498 indique que la valeur de délai d’expiration de la session du modèle est inférieure à la valeur configurée de 500 secondes.

La section ID de session 2364 affiche une session leaf. La valeur de délai d’expiration -1 indique essentiellement que la session ne vieillira pas tant que la session modèle n’expirera pas.

Dans cet exemple, la valeur de délai d’expiration de session leaf configurée de 500 secondes est la valeur de délai d’expiration la plus élevée et est acceptée comme valeur de délai d’expiration de session modèle pour la session de flux de multicast.

SUR CETTE PAGE