ファイアウォールでのTCP最適化

セキュリティポリシーを通じてTCPプロキシを明示的に有効にすることで、セッションの動作を正確に制御し、輻輳制御、バッファ管理、選択的確認設定などのTCPパラメーターを最適化できます。

システムは、TCPプロキシを必要とする可能性のあるセッションに対してFlow TCPプロキシモジュールを使用します。現在、このプロセスは暗黙的に実行されるため、TCPプロキシを使用するセッションを制御することはできません。また、TCPプロキシが有効になっている場合、パラメーターを設定することはできません。すべてのTCPプロキシパラメーターはグローバルであり、変更することはできません。

この機能により、SRXファイアウォールはTCPプロキシとしてのみ動作できます。TCPパラメーターを設定するオプションも用意されています。

TCPプロキシプロファイルを設定するには、 set security flow tcp-proxy tcp-profile <tcp-profile-name> コマンドを使用します。デフォルト(グローバルTCPプロファイル)でセキュリティポリシーを設定するには、 set security policies from-zone <src zone> to-zone <dst-zone> policy <policy-name> then permit tcp-proxy コマンドを使用します。

TCPプロキシを活用するようにセキュリティポリシーを設定する場合は、特定のCLIコマンドを使用してTCPプロファイルをポリシーに関連付けます。TCPプロキシをクライアント側、サーバー側、またはその両方のいずれに適用するかを指定するルールを設定します。たとえば、コマンド set security policies from-zone trust to-zone untrust policy p1 then permit tcp-proxy client-profile mobile-tcp を使用して、信頼できるゾーンから信頼できないゾーンに発信されるセッションの TCP プロキシ設定を明示的に定義します。さらに、 show security policies detail を使用してポリシー内のTCPプロキシ設定を検証し、正しいプロファイルとパラメーターが適用されていることを確認します。