SRX シリーズ デバイスでのトラフィック処理の概要

フローベースの処理について

パケットは、パケットベースフィルターと一部のスクリーンが適用された後、フローベースの処理を受けます。1 つのフローに対するすべてのフローベースの処理は、1 つの SPU(サービス処理ユニット)で行われます。SPUは、セッションに設定されたセキュリティ機能やその他のサービスに従って、フローのパケットを処理します。

図 1 は、サービス ゲートウェイでフローベースのトラフィック処理がどのように行われるかを概念的に示しています。

図 1:フローベース処理 のトラフィック フロー

フローとは、同じ整合条件を満たし、同じ特性を共有する関連パケットのストリームです。Junos OS は、同じフローに属するパケットを同じ方法で処理します。

パケットの行き先を決定する構成設定(適用されるセキュリティ ポリシーなど、ALG(アプリケーション レイヤー ゲートウェイ)が必要な場合、NAT を適用してパケットの送信元または宛先 IP アドレスを変換する場合)は、フローの最初のパケットについて評価されます。

パケットにフローが存在するかどうかを判断するために、NPU は次の一致条件に基づいて、パケットの情報を既存のセッションの情報と一致させようとします。

• 送信元アドレス

• 宛先アドレス

• 送信元ポート

• 宛先ポート

• プロトコル

• 特定のゾーンと仮想ルーターの一意のセッション トークン番号

• ゾーンとポリシー
• フローとセッション

パケットベースの処理について

パケットは、入力インターフェイスのキューから削除され、出力インターフェイスのキューに追加される前に、パケットベースの処理を受けます。

パケットベースの処理は、ステートレス ファイアウォール フィルター、CoS 機能、一部のスクリーンを個別のパケットに適用します。

• パケットがインターフェイスに到着すると、サニティーチェック、パケットベースフィルター、一部のCoS機能、一部の画面が適用されます。

• パケットがデバイスを離れる前に、パケットベースのフィルター、一部の CoS 機能、インターフェイスに関連付けられたいくつかの画面がパケットに適用されます。

フィルタとCoS機能は、通常、1つ以上のインターフェイスに関連付けられて、システムの通過を許可されるパケットに影響を与え、必要に応じてパケットに特別なアクションを適用します。

以下のトピックでは、トランジット トラフィックを設定して適用できるパケットベースの機能の種類について説明します。

• ステートレス ファイアウォール フィルター
• サービス クラスの機能
• 画面

フロー処理とセッション管理について

このトピックでは、フローを構成するパケットを処理するためにセッションがどのように設定されるかについて説明します。以下のトピックでは、SPU は SRX210 または SRX320 サービス ゲートウェイのデータ プレーン スレッドを指します。

最初に、データ プレーン スレッドがパケットをフェッチし、基本的なサニティー チェックを実行します。次に、ステートレス フィルターと CoS 分類子のパケットを処理し、いくつかの画面を適用します。

ファーストパケット処理について

パケットが既存のフローに属しているかどうかを確認するために、デバイスは次の 6 つの一致条件に基づいて、パケットの情報と既存のセッションの情報を一致させようとします。

• 送信元アドレス

• 宛先アドレス

• 送信元ポート

• 宛先ポート

• プロトコル

• 特定のゾーンと仮想ルーターからの一意のトークン

SPU は、そのセッション テーブルでパケットの既存のセッションをチェックします。存在するセッションが見つからない場合、SPU はフローのセッションを設定します。セッションが一致することが見つかった場合、セッションはすでに作成されているため、SPU はパケットに対して高速パス処理を実行します。

セッション作成について

セッションを設定する場合、SPU はパケットに対して以下のサービスを実行します。

• 画面

• ルート ルックアップ

• ポリシーのルックアップ

• サービス ルックアップ

• NAT(必要な場合)

セッションを設定した後、フローに属するすべてのパケットに使用されます。フローのパケットは、セッションのパラメーターに従って処理されます。パケット処理に含まれる残りの手順については、「高速パス処理」のステップ 1 に進みます。すべてのパケットは、高速パス処理を受けます。

ファストパス処理を理解する

パケットがセッションに一致する場合、Junos OS は次の手順で説明するように高速パス処理を実行します。フロー内の最初のパケットに対してセッションが設定された後、高速パス処理も行います。すべてのパケットは、高速パス処理を受けます。

1. SPU は、パケットにフローベースのセキュリティ機能を適用します。

   • 設定した画面が適用されます。

   • TCP チェックが実行されます。

   • 必要に応じて、NAT、ALG、IPsecなどのフローサービスが適用されます。

2. SPU はパケットを転送するための準備をし、それを送信します。

   • ルーティング パケット フィルターが適用されます。

   • トラフィックシェーピングが適用されます。

   • トラフィックの優先度設定が適用されます。

   • トラフィックスケジューリングが適用されます。

   • パケットが送信されます。

セッションの設定に含まれるコンポーネント

以下は、パケットのセッションを設定し、SRX3400およびSRX3600デバイスを通過する際にパケットを処理する際に必要となる主なコンポーネントの概要です。

• サービス処理ユニット(SPU):SRX3400およびSRX3600デバイスのメインプロセッサは、サービス処理カード(SPC)に存在します。トラフィック フローを確立して管理し、デバイスを通過するパケット上でほとんどのパケット処理を実行します。各 SPU は、高速セッション ルックアップのためのハッシュ テーブルを維持します。SPU は、セキュリティ サービス、分類子、トラフィック シェーパーの適用を含め、パケットのすべてのフローベースの処理を実行します。同じフローに属するすべてのパケットは、同じ SPU によって処理されます。

  SPU は、確立したすべてのセッションと、そのパケットが処理するすべてのセッションに対するエントリーを持つセッションテーブルを維持します。SPUがNPUからパケットを受信すると、そのセッションテーブルをチェックして、パケットが属していることを確認します。

  SRX3400 および SRX3600 デバイスでは、1 台の SPU が通常のセッション管理およびフロー処理機能を実行し、セッションをアービトレージし、リソースを割り当てる一元的なポイントとして機能します。この方式でSPUを実行するとコンボモードと言います。

• 中央ポイント— 中央ポイントは、負荷分散基準に基づいてセッション管理を SPU に割り当てるために使用されます。複数の SPU が同じフローを誤って処理する可能性がある状況を回避するために、インテリジェントな方法でセッションを分散します。中心点は、SPU へのセッション割り当ての負荷分散基準に従います。セッションが存在する場合、中央ポイントはそのフローのパケットを、それをホストする SPU に転送します。また、NPU が失敗した場合、パケットを正しい SPU にリダイレクトします。

  SRX3400およびSRX3600デバイスでは、1つのSPUが常にコンボモードと呼ばれるモードで実行され、中央ポイントの機能とフローおよびセッション管理機能の両方が実装されます。コンボ モードでは、SPU と中央ポイントは、同じ負荷分散スレッド(LBT)とパケット順序スレッド(POT)インフラストラクチャを共有します。.

• ルーティング エンジン(RE)—ルーティング エンジンはコントロール プレーンを実行し、CPP(制御プレーン プロセッサー)を管理します。

ユニキャスト セッションのデータ パスについて

SRX3400 および SRX3600 サービス ゲートウェイ向け Junos OS は、高スループットとハイパフォーマンスの分散並列処理システムです。このトピックでは、デバイスを通過するフローに属するパケットのセッションを確立するプロセスについて説明します。

以下の例では、セッション確立と、フローのパケットにサービスが適用されるポイントを含むパケット「ウォーク」を説明するために、ユニキャスト セッションのシンプルなケースを使用しています。このパケット「ウォーク」は、Junos OSがパケットに対して実行するパケットベースの処理とフローベースの処理を組み合わせています。

セッションルックアップとパケット一致条件

パケットが既存のフローに属しているかどうかを確認するために、デバイスは次の 6 つの一致条件に基づいて、パケットの情報と既存のセッションの情報を一致させようとします。

• 送信元アドレス

• 宛先アドレス

• 送信元ポート

• 宛先ポート

• プロトコル

• 特定のゾーンと仮想ルーターからの一意のトークン

セッション作成について:最初のパケット処理

このトピックでは、フローを構成するパケットを処理するためにセッションがどのように設定されるかについて説明します。プロセスを説明するために、このトピックでは、ソース 「a」と宛先「b」の例を使用します。フローのパケットの送信元から宛先への方向は(a -> b)と呼ばれます。宛先から送信元への方向は(b -> a)と呼ばれます。

1. パケットはデバイス上のインターフェイスに到着し、IOC はそれを処理します。

   IOC はパケットをキューに入れ、通信相手の NPU に送信します。

2. NPU は IOC からパケットを受信し、それを処理します。

   • NPU は、パケットに基本的なサニティー チェックを実行し、インターフェイス用に設定されたいくつかの画面をパケットに適用します。

   • セッションが一致するものが見つかった場合、そのセッションは割り当てられた SPU 上で既に作成されているため、NPU はセッション ID と共に処理するためにパケットを SPU に転送します。

   例:パケット(->b)は、IOC1からNPU1に到着します。NPU1 はサニティー チェックを実行し、DoS 画面をパケットに適用します。NPU1 はセッション テーブルでタプル一致をチェックし、既存のセッションは見つかりません。NPU1 は、SPU に割り当てるために、パケットを SPU1 の中央ポイントに転送します。

3. 中央ポイントは、「保留中」状態のセッションを作成します。

   中央ポイントは、デバイス上のすべてのSPUに存在するすべてのセッションのエントリーを含むグローバルセッションテーブルを維持します。セッション作成に参加し、セッション リソースの割り当てを代行し、アービトレージを行います。

   このプロセスには、以下の部分が含まれます。

   1. 中央ポイントは、セッション テーブルとゲート テーブルをチェックして、NPU から受信したパケットに対してセッションまたはゲートが存在するかどうかを判断します。(NPU は、テーブルがセッションがないことを示しているため、パケットを中央ポイントに転送しました。中央ポイントでは、セッションにSPUを割り当てる前に、この情報を検証します。

   2. どちらのテーブルにもパケットと一致するエントリーがない場合、中央ポイントはセッションに保留中のウィングを作成し、ロードバランシングアルゴリズムに基づいてセッションに使用するSPUを選択します。

   3. 中央ポイントは、フローの最初のパケットを選択した SPU に転送し、パケット フローに使用するセッションをローカルに設定するように伝えます。

      例:中央ポイントは、セッションの保留ウィング(->b)を作成します。セッションに使用する SPU1 を選択します。SPU1(a->b)パケットをメッセージとともに送信し、そのセッションを作成します。(SPU1がコンボモードで動作するSPUである場合があります。そのため、セッション管理サービスとフロー処理サービスがセッションに使用されます。

4. SPUがセッションを設定します。

   各SPUにもセッションテーブルがあり、そのセッションに関する情報が含まれています。SPUは、中央ポイントからセッションを設定するメッセージを受信すると、セッションテーブルをチェックして、セッションがまだパケットに存在していないことを確認します。

   1. パケットに既存のセッションがない場合、SPUはセッションをローカルに設定します。

   2. SPU は中央ポイントにメッセージを送信し、セッションをインストールするように指示します。

   最初のパケット処理中に NAT が有効になっている場合、SPU は IP アドレス リソースを NAT に割り当てます。この場合、NAT割り当てプロセスが完了するまで、セッションの最初のパケット処理は中断されます。

   SPU は、セッションがインストールされるまで受信する可能性のあるフローの追加パケットをキューに追加します。

   例:SPU1 は(->b)のセッションを作成し、保留中のセッションをインストールするように伝えるメッセージを中央ポイント(同じ SPU に実装)に戻します。

5. 中央ポイントがセッションをインストールします。

   • セッションの保留中のウィングの状態をアクティブに設定します。

   • セッションのリバース ウィングがアクティブ なウィングとして設置されます。

   • セッションがインストールされていることを示す ACK(確認)メッセージを SPU に送信します。

   例:中央ポイントは、(a->b)のセッションをインストールするためのメッセージをSPU1から受信します。(a->b)ウィングのセッション状態をアクティブに設定します。セッションのリバースウィング(b->a)を取り付けてアクティブにします。これにより、宛先(b)が送信元(a)に配信される、フローの逆方向からのパケット配信が可能になります。

6. SPU は、イングレスとエグレスの NPU でセッションを設定します。

   NPU は、パケットの転送と配信のセッションに関する情報を維持します。セッション情報は、エグレスとイングレス NPU(場合によっては同じ)に設定されるため、パケットはフローを管理する SPU に直接送信でき、リダイレクトのための中央ポイントには送信されません。

7. 高速パス処理が行われます。

   パケット処理に含まれる残りの手順については、「高速パス処理を理解する」のステップ 1 に進みます。

ファストパス処理を理解する

すべてのパケットは、高速パス処理を受けます。ただし、パケットにセッションが存在する場合、パケットはファストパス処理を受け、最初のパケットプロセスをバイパスします。パケットのフローに対するセッションがすでに存在する場合、パケットは中央ポイントを通過しません。

高速パス処理の仕組みは次のとおりです。エグレスインターフェイスとイングレスインターフェイスのNPUには、パケットのフローを管理するSPUの識別を含むセッションテーブルが含まれています。NPU にはこのセッション情報があるため、リバース トラフィックを含むフローのすべてのトラフィックが、その SPU に直接送信されて処理されます。

SRX1400、SRX3400、SRX3600のデバイスでは、 rethなどの集約されたインターフェイスではiflset機能はサポートされていません。

ファーストパケット処理について

図 4 は、フロー内の最初のパケットがデバイスに入る際に実行するパスを示しています。NPU は、パケットにセッションが存在しないことを判断し、NPU がパケットを分散型セントラル ポイントに送信して、分散セントラル ポイント セッションを設定します。その後、分散型の中央ポイントからアプリケーション の中央ポイントにメッセージを送信し、SPU を選択してパケットのセッションを設定し、パケットを処理します。そして、分散型の中央ポイントは、その SPU にパケットを送信します。SPU はパケットを処理し、デバイスから送信するために NPU に送信します。(この高レベルの説明は、パケットへの機能の適用には対応しません。

図 4:ファースト パケット処理

フローの最初のパケットがシステムを通過し、そのパケットに対してセッションが確立された後、高速パス処理を受けます。

フロー内の後続のパケットもファストパス処理を受けます。この場合、各パケットがセッションに入り、NPU がそのセッション テーブルで一致するものを見つけた後、NPU は、そのセッションを管理する SPU にパケットを転送します。

図 5 は、ファストパス処理を示しています。これは、関連するパケットに対してフローが既に確立されているパケットが受け取るパスです。(これは、フローの最初のパケットが、開始されたパケットが設定されたフローのセッション後に取るパスでもあります。パケットがデバイスに入ると、NPU はそのセッション テーブルでパケットの一致を見つけ、パケットのセッションを管理する SPU にパケットを転送します。パケットは中央ポイントとの通信をバイパスする点に注意してください。

ファストパス処理を理解する

以下のセクションでは、セッションがどのように作成され、パケットがデバイスを通過する際に処理されるかについて説明します。

図 5:高速パス処理

以下に、SRX5400、SRX5600、SRX5800デバイスを通過する際に、パケットのセッションを設定し、フローの一部としてパケットを処理する際の主なコンポーネントの概要を示します。

• ネットワーク処理ユニット(NPU):NPU は IOC 上に存在します。パケットサニティーチェックや一部の画面の適用を処理します。NPU は、受信パケットまたはリバース トラフィックに対してセッションが存在するかどうかを判断するために使用するセッション テーブルを維持します。

  以前にインターフェイスを介してデバイスに入力され、このNPUによって処理されたパケットのSPUでセッションが確立されている場合、NPUセッションテーブルにはセッションのエントリーが含まれます。SPUは、セッションを作成するときに、NPUテーブルにセッションをインストールします。

  NPU は、セッションテーブルに対してパケット情報をチェックすることで、パケットに対してセッションが存在するかどうかを判断します。パケットが既存のセッションに一致する場合、NPU はパケットとそのメタデータを SPU に送信します。セッションがない場合、NPU はハッシュ アルゴリズムを使用して計算された 1 つの SPU にパケットを送信します。

• SPU(サービス処理ユニット):SRX5400、SRX5600、SRX5800の主要なプロセッサがSPC上に存在します。SPUは、トラフィックフローを確立して管理し、デバイスを通過するパケット上でほとんどのパケット処理を実行します。各 SPU は、高速セッション ルックアップのためのハッシュ テーブルを維持します。SPUは、ステートレスファイアウォールフィルター、分類子、およびトラフィックシェーパーをトラフィックに適用します。SPU は、パケットとほとんどのパケットベースの処理のすべてのフローベース処理を実行します。各マルチコア SPU は、同じ SPC 上または異なる SPC 上の SPU 間の最小相互作用により、パケットを独立して処理します。同じフローに属するすべてのパケットは、同じ SPU によって処理されます。

  SPU は、確立したすべてのセッションと、そのパケットが処理するすべてのセッションに対するエントリーを持つセッションテーブルを維持します。SPUがNPUからパケットを受信すると、そのセッションテーブルをチェックして、パケットが属していることを確認します。また、分散した中央ポイントからパケットを受信するとセッションテーブルを確認し、そのパケットのセッションを確立するメッセージを送信して、パケットの既存のセッションが存在しないことを確認します。

• 中央点 - 中央ポイント アーキテクチャは、アプリケーションの中央ポイントと分散した中央ポイントの 2 つのモジュールに分けられます。アプリケーションの中央ポイントは、グローバルリソース管理とロードバランシングを担当し、分散型セントラルポイントはトラフィック識別(グローバルセッションマッチング)を担当します。アプリケーションの中央ポイント機能は専用の中央ポイント SPU で実行され、分散型の中央ポイント機能は他の SPU に分散されます。現在では、中央ポイント セッションは専用の中央ポイント SPU ではなく、他のフロー SPU 上の分散した中央ポイントにあります。

• ルーティングエンジン—ルーティングエンジンはコントロールプレーンを実行します。

ユニキャスト セッションのデータ パスについて

このセクションでは、デバイスを通過するフローに属するパケットのセッションを確立するプロセスについて説明します。

この例では、セッション確立と、フロー内のパケットにサービスが適用されるポイントを含むパケット「ウォーク」を説明するために、ユニキャスト セッションのシンプルなケースを使用します。

このパケット「ウォーク」は、Junos OSがパケットに対して実行するパケットベースの処理とフローベースの処理を組み合わせています。

• セッションルックアップとパケット一致条件
• セッション作成について:ファーストパケット処理
• ファストパス処理を理解する

セッション作成について:ファーストパケット処理

このセクションでは、フローを構成するパケットを処理するためにセッションがどのように設定されるかについて説明します。プロセスを説明するために、このセクションでは送信元「a」と宛先「b」の例を使用します。フローのパケットの送信元から宛先への方向は(->b)と呼ばれます。宛先から送信元への方向を(b->a)と呼びます。

ステップ 1:パケットはデバイス上のインターフェイスに到着し、NPU がそれを処理します。

このセクションでは、パケットが SRX シリーズ デバイスイングレス IOC に到着したときにどのように処理されるかについて説明します。

1. パケットはデバイスの IOC に到着し、IOC 上の NPU によって処理されます。

2. NPU は、パケットに基本的なサニティー チェックを実行し、インターフェイス用に設定されたいくつかの画面をパケットに適用します。

3. NPU は、そのセッション テーブルでパケットの既存のセッションをチェックします。(セッション テーブル内の既存のセッションについて、パケットのタプルと照合します)。

   1. 既存のセッションが見つからない場合、NPU はパケットをハッシュ SPU に転送します。

   2. セッションが一致するものが見つかった場合、そのセッションは割り当てられた SPU 上で既に作成されているため、NPU はセッション ID と共に処理するためにパケットを SPU に転送します。

Example: パケット(->b)はNPU1に到着します。NPU1 はサニティー チェックを実行し、DoS 画面をパケットに適用します。NPU1 はセッション テーブルでタプル一致をチェックし、既存のセッションは見つかりません。NPU1 は、パケットを SPU に転送します。

ステップ 2:分散セントラルポイントは、「保留中」状態のセッションを作成します。

NPU がパケットを受信すると、NPU はハッシュ アルゴリズムに基づいて、分散した中央ポイントに送信します。次に、分散集中ポイントは、分散セントラル・ポイント・セッション・テーブルを調べて、必要に応じてエントリーを作成します。

このプロセスには、以下の部分が含まれます。

1. 分散型の中央ポイントは、セッション テーブルをチェックして、NPU から受信したパケットに対してセッションが存在するかどうかを判断します。(NPU は、パケットの既存のセッションを見つけることができないため、分散した中央ポイントにパケットを転送します)

2. 分散セントラル ポイント セッション テーブル内のパケットに一致するエントリーがない場合、分散中央ポイントはセッションの保留ウィングを作成します。その後、分散された中央ポイントからアプリケーション の中央ポイントにクエリー メッセージが送信され、セッションに使用される SPU が選択されます。

3. クエリー メッセージを受信すると、アプリケーション の中央ポイントがゲート テーブルをチェックして、パケットにゲートが存在するかどうかを判断します。ゲートが一致した場合、または他のセッション配信アルゴリズムがトリガーされた場合、アプリケーション中央ポイントは別のSPUを選択してパケットを処理します。それ以外の場合、SPU(つまり、分散型中央ポイント SPU)が選択されます。最後に、アプリケーションの中央ポイントは、分散した中央ポイントにクエリ応答を送信します。

4. クエリーの応答を受信すると、分散された中央ポイントは、フロー中の最初のパケットを選択されたSPUに転送し、SPUにパケットフローに使用されるローカルにセッションを設定するよう指示します。たとえば、分散した中央ポイントは、セッションの保留中のウィング(->b)を作成します。アプリケーションの中央ポイントは、SPU1 を選択して使用します。分散型中央ポイントは、SPU1(a->b)パケットをメッセージとともに送信し、分散型セントラル ポイントのセッションを作成します。

Example: 分散した中央ポイントは、セッションの保留中のウィング(->b)を作成します。使用するSPU1を選択します。SPU1(a->b)パケットをメッセージとともに送信し、そのセッションを作成します。

ステップ 3:SPUがセッションを設定します。

各SPUにもセッションテーブルがあり、そのセッションに関する情報が含まれています。SPUは、分散型セントラルポイントからセッションを設定するメッセージを受信すると、セッションテーブルをチェックして、セッションがまだパケットに存在していないことを確認します。

1. パケットに既存のセッションがない場合、SPUはセッションをローカルに設定します。

2. SPUは、分散型セントラルポイントにメッセージを送信し、セッションをインストールするよう指示します。

   メモ：

   最初のパケット処理中に NAT が有効になっている場合、SPU は IP アドレス リソースを NAT に割り当てます。この場合、NAT割り当てプロセスが完了するまで、セッションの最初のパケット処理は中断されます。

SPU は、セッションがインストールされるまで受信する可能性のあるフローの追加パケットをキューに追加します。

Example: SPU1 は(->b)のセッションを作成し、メッセージを分散セントラル ポイントに送信して、保留中のセッションをインストールするように指示します。

ステップ 4:分散型セントラルポイントがセッションをインストールします。

分散した中央ポイントは、SPU からインストール メッセージを受信します。

1. 分散された中央ポイントは、セッションの保留中のウィングの状態をアクティブに設定します。

2. 分散型中央点は、セッションのリバース ウィングをアクティブなウィングとして設置します。

   メモ：

   NATなどの場合によっては、逆翼は、init翼分散型中央点とは異なる分散型中央点に設置され得る。

3. セッションがインストールされていることを示す確認(ACK)メッセージをSPUに送信します。

Example: 分散型中央ポイントは、(a->b)ウィングのセッションをインストールするためのメッセージを SPU1 から受信します。(a->b)ウィングのセッション状態をアクティブに設定します。セッションのリバースウィング(b->a)を取り付けてアクティブにします。これにより、宛先(b)が送信元(a)に配信される、フローの逆方向からのパケット配信が可能になります。

ステップ 5:SPU は、イングレスとエグレスの NPU でセッションを設定します。

NPU は、パケットの転送と配信のセッションに関する情報を維持します。セッション情報は、エグレスとイングレス NPU(場合によっては同じ)に設定されるため、パケットはフローを管理する SPU に直接送信でき、リダイレクトのために分散した中央ポイントには送信されません。

ステップ 6:高速パス処理が行われます。

パケット処理に含まれる残りの手順については、 高速パス処理についてのステップ 1 に進みます。

図 6 は、フロー内の最初のパケットがデバイスに到達した後に受けるプロセスの最初の部分を示しています。この時点で、セッションはパケットとそのフローに属する残りのパケットを処理するように設定されます。その後、そのパケットとフロー内の残りのパケットは、高速パス処理を受けます。

図 6:セッション作成:ファーストパケット処理

ファストパス処理を理解する

すべてのパケットは、高速パス処理を受けます。ただし、パケットにセッションが存在する場合、パケットはファストパス処理を受け、最初のパケットプロセスをバイパスします。パケットのフローに対するセッションがすでに存在する場合、パケットは中央ポイントを通過しません。

高速パス処理の仕組みは次のとおりです。エグレスインターフェイスとイングレスインターフェイスのNPUには、パケットのフローを管理するSPUの識別を含むセッションテーブルが含まれています。NPU にはこのセッション情報があるため、リバース トラフィックを含むフローのすべてのトラフィックが、その SPU に直接送信されて処理されます。

このセクションでは、ファストパス プロセスを説明するために、ソース「a」と宛先「b」の例を使用します。フローのパケットの送信元から宛先への方向は(a->b)と呼ばれます。宛先から送信元への方向を(b->a)と呼びます。

ステップ 1:パケットはデバイスに到着し、NPU がそれを処理します。

このセクションでは、サービス ゲートウェイの IOC に到着したときにパケットがどのように処理されるかについて説明します。

1. パケットはデバイスの IOC に到着し、カード上の NPU によって処理されます。

   NPU はサニティー チェックを実行し、サービス拒否(DoS)画面などの一部の画面をパケットに適用します。

2. NPU は、パケットが一致するセッション テーブル内の既存のセッションのエントリーを識別します。

3. NPUは、セッションIDとパケットタプル情報を含むセッションテーブルからのメタデータとともにパケットをフローのセッションを管理するSPUにパケットを転送し、そのパケットにステートレスファイアウォールフィルターとCoS機能を適用し、パケットのフロー処理とセキュリティなどの機能の適用を処理します。

Example: パケット(->b)はNPU1に到着します。NPU1 は、パケットにサニティー チェックを実行し、DoS 画面を適用して、セッション テーブルのタプル一致をチェックします。一致するものが見つけ、SPU1 のパケットに対してセッションが存在します。NPU1 は、処理のためにパケットを SPU1 に転送します。

ステップ 2:セッションのSPUがパケットを処理します。

パケットの処理のほとんどは、セッションが割り当てられている SPU で発生します。パケットは、ステートレスファイアウォールフィルター、トラフィックシェーパー、分類子(該当する場合)などのパケットベースの機能に対して処理されます。設定されたフローベースのセキュリティと、ファイアウォール機能、NAT、ALG などの関連サービスがパケットに適用されます。(セッションのセキュリティ サービスの決定方法に関する情報。

1. パケットを処理する前に、SPU はセッション テーブルをチェックして、パケットがそのセッションの 1 つに属していることを確認します。

2. SPU は、該当する機能とサービスのパケットを処理します。

Example: SPU1 は NPU1 からパケット(a->b)を受信します。SPU1 はセッション テーブルをチェックし、パケットがそのセッションの 1 つに属していることを確認します。次に、入力フィルターとその入力インターフェイスに適用されるCoS機能に従って、パケット(->b)を処理します。SPU は、ゾーンとポリシーに基づいて、パケットのフローに設定されたセキュリティ機能とサービスを適用します。構成されている場合は、出力フィルター、トラフィック シェーパー、追加のスクリーンをパケットに適用します。

ステップ 3:SPU はパケットを NPU に転送します。

1. SPU はパケットを NPU に転送します。

2. NPU は、インターフェイスに関連付けられた該当する画面をパケットに適用します。

Example: SPU1 はパケット(->b)を NPU2 に転送し、NPU2 は DoS スクリーンを適用します。

ステップ 4:インターフェイスは、デバイスからパケットを送信します。

Example: インターフェイスは、デバイスからパケット(a->b)を送信します。

ステップ 5:リバース トラフィック パケットはエグレス インターフェイスに到着し、NPU がそれを処理します。

このステップでは、ステップ 1 を正確に逆にミラーリングします。詳細については、このセクションのステップ 1 を参照してください。

Example: パケット(b->a)はNPU2に到着します。NPU2 は、セッション テーブルでタプルの一致をチェックします。一致するものが見つけ、SPU1 のパケットに対してセッションが存在します。NPU2 は、処理のためにパケットを SPU1 に転送します。

ステップ 6:セッションのSPUは、トラフィックパケットを逆に処理します。

このステップはステップ 2 と同じですが、トラフィックを逆に適用する場合を除きます。詳細については、このセクションのステップ 2 を参照してください。

Example: SPU1 は NPU2 からパケット(b->a)を受信します。セッションテーブルをチェックして、パケットがNPU2によって識別されたセッションに属していることを確認します。次に、NPU1 のインターフェイスに設定されたパケットベースの機能をパケットに適用します。ゾーンとポリシーに基づいて、フロー用に設定されたセキュリティ機能やその他のサービスに従ってパケット(b->a)を処理します。

第 7 段階:SPU は、リバース トラフィック パケットを NPU に転送します。

このステップはステップ 3 と同じですが、トラフィックを逆に適用する場合を除きます。詳細については、このセクションのステップ 3 を参照してください。

Example: SPU1 は、パケット(b->a)を NPU1 に転送します。NPU1 は、インターフェイス用に設定された画面を処理します。

8. インターフェイスがデバイスからパケットを送信します。

このステップはステップ 4 と同じですが、トラフィックを逆に適用する場合を除きます。詳細については、このセクションのステップ 4 を参照してください。

例:インターフェイスは、デバイスからパケット(b->a)を送信します。

図 7 は、パケットがデバイスに到達し、そのパケットが属するフローに対してセッションが存在する際に受けるプロセスを示しています。

図 7:高速パス処理 のためのパケット ウォーク

サービス処理ユニットについて

特定の物理インターフェイスに対して、SPU は物理インターフェイスに関連付けられたネットワーク プロセッサー バンドル内のすべてのネットワーク プロセッサーからイングレス パケットを受信します。SPU は、物理インターフェイスからネットワーク プロセッサー バンドル情報を抽出し、同じ 5 タプル ハッシュ アルゴリズムを使用してフローをネットワーク プロセッサー インデックスにマッピングします。ネットワーク プロセッサーを決定するために、SPU はネットワーク プロセッサー バンドル内のネットワーク プロセッサー インデックスでルックアップを行います。SPU は、外部トラフィックに対して、物理インターフェイスのローカル PIM(物理インターフェイス モジュール)にエグレス パケットを送信します。

スケジューラの特性を理解する

SRX5400、SRX5600、SRX5800のデバイスでは、IOCは以下の階層スケジューラ特性をサポートします。

• IFL – ネットワークプロセッサーバンドルの設定は、物理インターフェイスのデータ構造に保存されます。たとえば、SRX5400、SRX5600、SRX5800の各デバイスのPIMは最大48個です。物理インターフェイスは、48 ビット ビット のビット マスクを使用して PIM を示したり、物理インターフェイスのプライマリ ネットワーク プロセッサーに加えて、この物理インターフェイスからのネットワーク プロセッサー トラフィックを分散させたりすることができます。

  SRX5000 シリーズ デバイスでは、 reth などの集約されたインターフェイスでは iflset 機能はサポートされていません。

• IFD – ネットワークプロセッサーバンドルの物理インターフェイスに関連付けられた 論理 インターフェイスは、ネットワークプロセッサーバンドル内のPIMを持つすべてのIOCに渡されます。

ネットワーク プロセッサ バンドリングについて

ネットワーク プロセッサー バンドリング機能は、SRX5000 シリーズ デバイスで使用できます。この機能により、パケット処理のために、1つのインターフェイスから複数のネットワークプロセッサにデータトラフィックを分散できます。プライマリネットワークプロセッサは、イングレストラフィックを受信し、他の複数のセカンダリネットワークプロセッサにパケットを配信するインターフェイスに割り当てられます。単一のネットワーク プロセッサーは、プライマリ ネットワーク プロセッサーとして、または複数のインターフェイスへのセカンダリ ネットワーク プロセッサーとして機能します。単一のネットワーク プロセッサーは、1 つのネットワーク プロセッサー バンドルにのみ参加できます。

概要

SRX5400、SRX5600、SRX5800 デバイスの SRX5K-MPC(IOC2)、SRX5K-MPC3-100G10G(IOC3)は、セッション キャッシュをサポートし、セッション キャッシュの選択的インストールをサポートします。

セッションキャッシュは、IOC上のネットワークプロセッサ(NP)とSPU間の会話をキャッシュするために使用されます。セッション、GTP-U トンネル トラフィック、IPsec VPN トンネル トラフィックなどです。会話には、受信トラフィック用とリバーストラフィック用の2つのセッションキャッシュエントリーがあります。トラフィックイングレスポートとエグレスポートの場所によっては、2つのエントリーが同じネットワークプロセッサーまたは異なるネットワークプロセッサーに存在する場合があります。IOCは、IPv6セッションのセッションキャッシュをサポートしています。

セッション・キャッシュ・エントリーは、 セッション・ウィングとも呼ばれます。

IOCのセッションキャッシュは、Express Path(以前は サービスオフロードと呼ばれる)機能を活用し、高レイテンシやIPsecパフォーマンス低下などの問題を回避するのに役立ちます。

セッション・キャッシュのエントリーは、以下を記録します。

• 変換のトラフィックを転送するSPU

• 変換のトラフィックを Express Path モードで転送するエグレス ポート

• Express Path モードでの NAT 変換など、エグレス トラフィックに対して行う処理

Junos OS リリース 15.1X49-D10 および Junos OS リリース 17.3R1 以降では、IOC 内のセッションのセッション キャッシュが特定のパフォーマンス問題の解決に役立ちます。SPU は、後続のトラフィックを特定のアンカー SPU に転送するように IOC セッション キャッシュに指示できるようになりました。

Junos OS リリース 15.1X49-D10 以降、SRX5K-MPC(IOC2)と IOC3 は、改善されたフロー モジュールとセッション キャッシュによる VPN セッション アフィニティをサポートします。Junos OSリリース12.3X48-D30以降、IOC2では、セッションキャッシュを介したVPNセッションアフィニティがサポートされています。

その他のトラフィックは、5タプルキー情報に基づいてSPUにハッシュされました。VPN トラフィックは、必ずしもフロー SPU の機能と一致しないアンカー SPU の概念を採用しました。ネットワーク プロセッサーは、5 タプルハッシュに基づいて、パケットをフロー SPU にのみ転送できます。その後、フロー SPU は、アンカー SPU にパケットを転送しました。これにより、VPNトラフィックに余分なホップが生じ、スイッチファブリックの帯域幅を無駄にし、VPNスループットを約半分に削減しました。このパフォーマンスの低下は、アンカーされた SPU での処理後もトラフィックがフロー SPU に戻る必要があるためです。

セッション キャッシュ テーブルが IOC で拡張され、NP セッションがサポートされるようになりました。Express Path トラフィックと NP トラフィックは、IOC で同じセッション キャッシュ テーブルを共有します。Express Path トラフィックは、SPU からのサービスを必要としないため、ローカルまたは別の IOC に IOC 自体によって転送されます。NP トラフィックは、さらに処理するためにセッション キャッシュで指定された SPU に転送されます。すべてのセッション キャッシュ エントリーは、Express Path セッション トラフィックと NP トラフィックの両方で共有されます。

IOCでセッションキャッシュを有効にするには、 コマンドを set chassis fpc <fpc-slot> np-cache 実行する必要があります。

選択的セッションキャッシュのインストール

高遅延を回避し、IPSec パフォーマンスを向上させ、貴重なリソースを有効活用するために、フロー モジュールと IOC の両方に特定の優先メカニズムが適用されます。

IOCは、セッションキャッシュの使用しきい値レベルを維持および監視します。また、IOCはセッションキャッシュの使用率をSPUに伝え、特定のセッションキャッシュ使用しきい値に達すると、SPUは選択的な高優先度トラフィックセッションに対してのみセッションキャッシュのインストール要求を送信します。

IDP、ALGなどのアプリケーションでは、パケットを順番に処理する必要があります。1つのSPUには、1つのセッションに属するパケットを処理する複数のフロースレッドがあり、ロードバランシングスレッド(LBT)、パケット順序(POT)パケットの順序で、トラフィックがファイアウォールを通過することを確認でき、同じセッションに属するパケットを順番に処理するようにアプリケーションを保証することはできません。フローのシリアル化は、1 つの SPU フロー スレッド処理パケットのみが一度に同じセッションに属するメソッドを提供するため、アプリケーションはパケットを順番に受信、処理、送信できます。他のフロー スレッドは、他のセッションに対して同時にフローのシリアル化処理を行うことができます。

IOC にセッション キャッシュをインストールできるトラフィックのタイプを決定するには、以下の 4 つの優先度レベルを使用します。

• Priority 1 (P1)— IPSec および Express Path 認定トラフィック

• Priority 2 (P2)— フラグメント化の順序付け

• Priority 3 (P3)— NAT/SZ(セッションのシリアル化)トラフィック トラフィック

• Priority 4(P3)— その他すべてのタイプのトラフィック

IOCは、セッションキャッシュ使用のしきい値レベルを維持および監視し、現在のリアルタイムセッションキャッシュ使用率をSPUに更新します。SPUは、特定の優先度の高いトラフィックセッションに対して、IOCにセッションキャッシュをインストールするよう要求します。優先度の高いトラフィックセッションに対するセッションキャッシュの使用は、テーブルで定義されています。

IOC 上のセッション エントリーを節約するために、フロー モジュールは IOC にセッションを選択的にインストールします。セッションインストールの選択を容易にするために、IOCは対応するしきい値を維持してフローモジュールに指示します(IOC上のセッションキャッシュテーブルのフル量に関する)。現在のキャッシュ・テーブルの使用率を示すために、メタ・ヘッダーの 2 ビットが追加されます。SPU に向かうすべてのパケットは、この 2 つのステータス ビットを伝送して、IOC 上のキャッシュ テーブルの使用率をフロー モジュールに通知します。

セッションキャッシュを使用したIPsec VPNセッションアフィニティの強化

SRX シリーズ デバイスは完全に分散したシステムであり、IPsec トンネルが割り当てられ、特定の SPU に固定されます。IPsecトンネルに属するすべてのトラフィックは、トンネルアンカーのSPUで暗号化および復号化されます。IPsecパフォーマンスの向上を実現するために、IOCはフローモジュールを改善して、IPsecトンネルベースのトラフィック(暗号化の前および暗号化後)のセッションをトンネルアンカーSPUに作成し、セッションにセッションキャッシュをインストールして、IOCがパケットを同じSPUに直接リダイレクトしてパケット転送オーバーヘッドを最小限に抑えることができます。Express Path トラフィックと NP トラフィックは、IOC で同じセッション キャッシュ テーブルを共有します。

IOC でセッション キャッシュを有効にし、セキュリティ ポリシーを設定して、選択した FPC(フレキシブル PIC コンセントレータ)でセッションが Express Path(以前は サービス オフロードと呼ばれる)モードかどうかを判断する必要があります。

IPsec VPN アフィニティを有効にするには、 コマンドを set security flow load-distribution session-affinity ipsec 使用します。