TCP セッション数

デフォルトでは、すべてのTCPセッションでTCP SYNチェックおよびシーケンスチェックオプションが有効になっています。Junosオペレーティングシステム(Junos OS)は、TCPセッション中に以下の操作を実行します。

• セッションの最初のパケットでSYNフラグを確認し、セッションを開始しようとする非SYNフラグを持つTCPセグメントを拒否します。

• ステートフル インスペクション中に TCP シーケンス番号を検証します。

ポリシー単位のTCPセッションチェック機能により、各ポリシーに対してSYNおよびシーケンスチェックを設定できます。現在、サービス ゲートウェイの動作を制御するために、TCP オプション フラグ、no-sequence-check、および no-syn-check がグローバル レベルで利用できます。ポリシーごとの TCP オプションをサポートするために、次の 2 つのオプションを使用できます。

• sequence-check-required: sequence-check-required 値は、グローバル値 no-sequence-check を上書きします。

• syn-check-required: syn-check-required 値はグローバル値 no-syn-check を上書きします。

ポリシーごとのTCPオプションを設定するには、対応するグローバルオプションをオフにする必要があります。それ以外の場合、コミットチェックは失敗します。グローバルTCPオプションが無効で、SYNフラッド保護が最初のパケットを許可する場合、ポリシーごとのTCPオプションがSYNやシーケンスチェックを実行するかどうかを制御します。

メモ：

• ポリシー syn-check-required 単位のオプションは、CLI コマンドの動作を set security flow tcp-session no-syn-check-in-tunnel 上書きしません。

• グローバルSYNチェックを無効にすると、パケットフラッディングからの防御においてデバイスの有効性が低下します。

注意：

グローバルSYNチェックを無効にし、ポリシー検索後にSYNチェックを適用すると、ルーターが処理できるパケット数に大きな影響を与えます。これにより、集中的な CPU 運用が行われます。グローバルSYNチェックを無効にし、ポリシー単位のSYNチェック適用を有効にする場合、このパフォーマンスへの影響を認識する必要があります。

この例では、デバイス内の各ポリシーに対してTCPパケットセキュリティチェックを設定する方法を示しています。

この例では、デバイスでTCPパケットセキュリティチェックを無効にする方法を示しています。

この例では、SRX シリーズ デバイスのすべての TCP セッションの最大セグメント サイズを設定する方法を示します。

パケット交換ネットワーク内では、需要が利用可能な容量を超えた場合、パケットはキューに入るまで余分なパケットを保持するためにキューに入られ、パケットはドロップされます。TCP がそのようなネットワーク全体で動作する場合、エラーのないエンドツーエンドの通信を維持するために是正措置が講じます。

フロー モジュールは既に、セッション作成やセッション 終了などのセッションベースイベントの RTLOG の生成をサポートしています。SRXシリーズデバイスは、セッションを既存にすることなく、パケットドロップなどのパケットベースのイベントに対するRTLOGの生成をサポートするようになりました。

SRX シリーズ デバイスは、フロー モジュールによってドロップされた、同期されていない TCP アウトオブステート パケットのロギングをサポートします。

TCPアウトオブステートパケットドロップロギング機能は、パケットロスを回避し、エラーのない通信のために同期外れパケットをログに記録することでパケットの回復を可能にし、データベースサーバーが同期から外れないようにします。この機能は、RTLOG(セキュリティ ログ)ファシリティ上に構築されています。

TCP アウトオブステート パケット ドロップ ロギングは、以下の条件に基づく TCP パケット ドロップ ログのキャプチャをサポートします。

• Session ages out—長い TCP セッションの上でクラウド アプリケーションが実行されている場合、これらのアプリケーションがセッション終了後に TCP セッションを更新しない場合、TCP パケットはドロップされます。この機能は、これらのドロップされた TCP パケットのロギングをサポートします。

• Unsynchronized first packets due to attacks or asymmetric routes2つのサイトにSRXシリーズデバイスを展開する場合、 ルーティング時に非対称トラフィックを強制する場合、同期(SYN)パケットは1つのサイトで表示されますが、同期確認(SYN_ACK)パケットは別のサイトで確認されます。

  これは、SRXシリーズデバイスに、一致するステートテーブルエントリーがないTCP ACKパケットを確認することを意味します。これは、一定期間接続が非アクティブであったり、接続テーブルがフラッシュされたりしたために発生する可能性があります(ポリシーのインストールや再起動など)。

  この場合、別のサイトで見られるSYN_ACKパケットは、SRXシリーズデバイスによって拒否されましたが、ログに記録されませんでした。この機能は、拒否されたSYN_ACKパケットのロギングをサポートします。

• Other out-of-state conditions (like TCP sequence check fail and synchronization packet received in FIN state)—SRX シリーズ デバイスがシーケンス障害を検出した場合、デバイスが TCP の 4 方向に近い状態でありながら SYN パケットを受信している場合、または 3 方向のハンドシェイク障害が発生した場合、SRX シリーズ デバイスは TCP パケットをドロップして、これらのパケットがログに記録されます。

メモ：

同期されていない TCP の状態外パケット ドロップ ログは、セッションベースのログではなく、パケットベースのログです。

TCPアウトオブステートパケットドロップロギングは、CPUが攻撃されるのを防ぐスロットルメカニズムで設計されており、スロットル間隔ごとに一部のログをドロップすることができます。

フローモジュールがドロップしたTCPアウトオブステートパケットのみが記録されます。TCPプロキシとIDPによってドロップされたTCPパケットは記録されません。

• TCPアウトオブステートパケットドロップロギングについて
• サポートされている TCP アウトオブステート ロギング機能

データがあるホストから別のホストに送信されると、一連のパケットとして送信されます。最大サイズのパケットがデータパス内のリンクでフラグメント化されることなく、ソースノードから宛先ノードへのパスを転送できる場合、パフォーマンスが向上し、ネットワークリソースが節約されます。パケットがそのリンクのために確立された最大送信単位(MTU)よりも大きいため、パス内のリンクを通過するためにパケットをより小さなパケットにフラグメント化する必要がある場合、その結果得られる各フラグメントには、ペイロード、またはデータに加えて、パケットヘッダー情報が含まれている必要があります。オーバーヘッドが増加すると、スループットが低下し、ネットワークパフォーマンスが低下する可能性があります。また、パケット フラグメントは宛先ノードで再構築する必要があり、追加のネットワーク リソースを消費します。

一方、ホストがパスMTU(パス最大送信単位)よりもはるかに小さいパケットを送信すると、ネットワークリソースが無駄になり、最適でないスループットになります。パスMTU検出プロセスは、データパスをソースノードからセッションの宛先ノードに転送するフラグメントに最適なMTUサイズを検出するために機能します。最適なパケット サイズはパス MTU です。フラグメント化は、パケットのサイズがパスMTUを超えた場合に発生します。

SRX シリーズ デバイスでアプリケーションレイヤー サービスが設定されている場合、サービスを適用してコンテンツを検査する前に、イングレス インターフェイスのパケット フラグメントを再構築する必要があります。これらの再アセンブリされたパケットフラグメントは、データがエグレスインターフェイスから送信される前に、再び分解する必要があります。通常、SRX シリーズ デバイスから次のリンクに送信されるフラグメントのサイズを決定するのは、エグレス インターフェイスの MTU サイズです。SRX シリーズ デバイスのエグレス MTU サイズがパス MTU よりも大きい場合、再びデータパスでパケットがフラグメント化され、パフォーマンスが低下したり、パケット ドロップが発生したりする可能性があります。パケット フラグメントは、送信元から宛先へのパス内のすべてのリンクを通過するのに十分小さくなければなりません。

デフォルトでは、SRXシリーズデバイスは、エグレスインターフェイスに設定されたMTUサイズを使用して、送信するパケットフラグメントのサイズを決定します。ただし、受信フラグメント特性を保持する機能を有効にすると、SRX シリーズ デバイスが検出し、受信パケット フラグメントのサイズを節約します。

データパスにおけるパケットフラグメント化の可能性を減らすには、SRXシリーズデバイスがそのフローのエグレスMTUを追跡して調整します。これは、すべての受信フラグメントの最大サイズを識別します。この情報をエグレスインターフェイスの既存のMTUと組み合わせて使用して、エグレスインターフェイスから送信されたフラグメントパケットの正しいMTUサイズを決定します。SRX シリーズ デバイスは、2 つの数値を比較しています。より小さな数を取得し、エグレスインターフェイスMTUサイズに使用します。

コマンドを使用してデバイスを set security flow preserve-incoming-frag-size 設定し、受信パケット フラグメントのサイズを考慮した機能を有効にします。

表1 は、SRXシリーズのエグレスMTUサイズの決定方法をまとめたものです。

表 1:SRX シリーズ デバイスから出るフラグメントの最終エグレス MTU サイズの決定方法

受信フラグメント サイズ	既存のエグレス MTU サイズ	最終エグレスMTUサイズ
最大フラグメントが	既存のエグレスMTUサイズよりも小さい	最大の受信フラグメント サイズが使用されます。
最大フラグメントが	既存のエグレスMTUサイズよりも大きい場合	既存のエグレスインターフェイスMTUが使用されます。

メモ：

この機能は、SRXシリーズデバイスでサポートされています。トンネルから出る通過トラフィックとトラフィックをサポートします。これは、IPv4とIPv6の両方のトラフィックに適用されます。

フラグメント サイズに影響を与える 2 つの考慮事項を次に示します。

• UTMやALGなどのストリームベースのアプリケーションでは、フラグメントを受信しなくても、アプリケーション自体がパケットを変更または再構築できます。この場合、既存のエグレスインターフェイスMTUが使用されます。

• パスMTU検出パケットがセッションに配信されると、そのセッションのパスMTUはパスMTUパケットによって確立された値にリセットされます。