TCPセッション

デフォルトでは、TCP SYNチェックとシーケンスチェックのオプションは、すべてのTCPセッションで有効になっています。Junos OS(Junosオペレーティングシステム)は、TCPセッション中に以下の操作を実行します。

• セッションの最初のパケットに含まれる SYN フラグをチェックし、セッションを開始しようとする非 SYN フラグを持つ TCP セグメントを拒否します。

• ステートフルインスペクション中に TCP シーケンス番号を検証します。

ポリシーごとのTCPセッションチェック機能により、各ポリシーのSYNおよびシーケンスチェックを設定できます。現在、TCP オプション フラグの no-sequence-check と no-syn-check は、サービス ゲートウェイの動作を制御するためにグローバル レベルで使用できます。ポリシーごとのTCPオプションをサポートするために、次の2つのオプションを使用できます。

• sequence-check-required: sequence-check-required 値は、グローバル値 no-sequence-check を上書きします。

• syn-check-required: syn-check-required 値は、グローバル値 no-syn-check をオーバーライドします。

ポリシーごとの TCP オプションを設定するには、それぞれのグローバル オプションをオフにする必要があります。そうしないと、コミット・チェックが失敗します。グローバルTCPオプションが無効で、SYNフラッド保護が最初のパケットを許可する場合、ポリシーごとのTCPオプションは、SYNおよび/またはシーケンスチェックを実行するかどうかを制御します。

手記：

• per-policy syn-check-required オプションは、 set security flow tcp-session no-syn-check-in-tunnel CLIコマンドの動作を上書きしません。

• グローバル SYN チェックを無効にすると、パケット フラッディングに対するデバイスの防御の有効性が低下します。

注意：

グローバル SYN チェックを無効にし、ポリシー検索後に SYN チェックを実施すると、ルータが処理できるパケット数に大きく影響します。これにより、CPUの動作が集中します。グローバルSYNチェックを無効にし、ポリシーごとのSYNチェックの適用を有効にする場合は、このパフォーマンスへの影響に注意する必要があります。

この例では、デバイス内のポリシーごとにTCPパケットセキュリティチェックを設定する方法を示しています。

この例では、デバイスでTCPパケットセキュリティチェックを無効にする方法を示しています。

この例では、SRXシリーズファイアウォールのすべてのTCPセッションに最大セグメントサイズを設定する方法を示しています。

パケット交換ネットワークでは、需要が利用可能な容量を超えると、パケットはキューに入れられ、キューがいっぱいになるまで超過したパケットを保持し、その後パケットは破棄されます。TCPがこのようなネットワーク上で動作する場合、エラーのないエンドツーエンドの通信を維持するために是正措置を講じます。

フローモジュールは、セッションの作成やセッションの終了などのセッションベースのイベントのRTLOGの生成をすでにサポートしています。SRXシリーズファイアウォールは、セッションが存在しないパケットドロップなどのパケットベースのイベントに対するRTLOGの生成をサポートするようになりました。

SRXシリーズファイアウォールは、フローモジュールによって破棄された、同期されていないTCP状態外パケットのロギングをサポートします。

TCP アウトオブステート パケット ドロップ ロギング機能は、パケットの損失を回避し、エラーのない通信のために非同期パケットをログに記録することでパケットの回復を可能にし、データベース サーバーの同期が取れなくなるのを防ぎます。この機能は、セキュリティ ログ (RTLOG) 機能の上に構築されています。

TCP状態外パケットドロップロギングは、次の条件下でのTCPパケットドロップログのキャプチャをサポートします。

• Session ages out—長いTCPセッション上でクラウドアプリケーションが実行されており、セッションが終了した後もこれらのアプリケーションがTCPセッションを更新しない場合、TCPパケットはドロップされます。この機能は、これらのドロップされた TCP パケットのロギングをサポートします。

• Unsynchronized first packets due to attacks or asymmetric routes—2つのサイトにSRXシリーズファイアウォールを導入し、ルーティングによって非対称トラフィックが強制されることがある場合、同期(SYN)パケットは1つのサイトで見られますが、同期確認(SYN_ACK)パケットは別のサイトで見られます。

  つまり、SRXシリーズファイアウォールは、一致する状態テーブルエントリーがないTCP ACKパケットを認識します。これは、接続が一定期間非アクティブであったか、接続テーブルがフラッシュされたために発生する可能性があります(たとえば、ポリシーのインストールまたは再起動が原因です)。

  この場合、別のサイトで見られるSYN_ACKパケットは、SRXシリーズファイアウォールによって拒否されましたが、ログに記録されませんでした。この機能は、拒否されたSYN_ACKパケットのロギングをサポートします。

• Other out-of-state conditions (like TCP sequence check fail and synchronization packet received in FIN state)—SRXシリーズファイアウォールがシーケンス障害を検出した場合、デバイスがTCPの4ウェイクローズ状態であるがSYNパケットを受信した場合、またはスリーウェイハンドシェイクの失敗があった場合、SRXシリーズファイアウォールはTCPパケットをドロップし、これらのドロップされたパケットはログに記録されます。

手記：

非同期 TCP 状態外パケット ドロップ ログは、セッションベースのログではなく、パケットベースのログです。

TCP 状態外パケット ドロップ ロギングは、CPU が攻撃されるのを防ぐためのスロットル メカニズムを使用して設計されており、各スロットル間隔内で一部のログをドロップできます。

フロー モジュールによってドロップされた TCP アウトオブステート パケットのみがログに記録されます。TCPプロキシおよびIDPによってドロップされたTCPパケットはログに記録されません。

• TCPアウトオブステートパケットドロップロギングについて
• サポートされるTCP状態外ロギング機能

あるホストから別のホストにデータが送信されると、一連のパケットとして送信されます。最大サイズのパケットが、データパス内のどのリンクでもフラグメント化されることなく、送信元ノードから宛先ノードへのパスを通過できる場合、パフォーマンスが向上し、ネットワークリソースが節約されます。パケットがそのリンクに確立された最大伝送単位(MTU)のパケットよりも大きいために、パス内のリンクを通過するためにパケットをより小さいパケットにフラグメント化する必要がある場合、結果として得られる各フラグメントには、ペイロードまたはデータに加えて、パケットヘッダー情報が含まれている必要があります。オーバーヘッドが増加すると、スループットが低下し、ネットワークパフォーマンスが低下する可能性があります。また、パケットフラグメントは宛先ノードで再構成する必要があり、これは追加のネットワークリソースを消費します。

一方、ホストがパスMTU(パス最大送信単位)よりもはるかに小さいパケットを送信すると、ネットワークリソースが浪費され、スループットが最適ではありません。パスMTUディスカバリープロセスは、セッションのソースノードから宛先ノードにデータパスを通過するフラグメントの最適なMTUサイズを検出するために機能します。したがって、最適なパケット サイズはパス MTU のサイズです。フラグメント化は、パケットのサイズがパス MTU を超えた場合に発生します。

SRXシリーズファイアウォールでアプリケーションレイヤーサービスが設定されている場合、サービスを適用してコンテンツを検査する前に、イングレスインターフェイスのパケットフラグメントを再構成する必要があります。これらの再構成されたパケットフラグメントは、データがエグレスインターフェイスから送信される前に、再度分解する必要があります。通常、SRXシリーズファイアウォールから次のリンクに送信されるフラグメントのサイズを決定するのは、エグレスインターフェイスのMTUサイズです。SRXシリーズファイアウォールのエグレスMTUサイズがパスMTUよりも大きい場合、データパスでパケットフラグメント化が発生し、パフォーマンスが低下したり、パケットがドロップしたりする可能性があります。パケットフラグメントは、送信元から宛先へのパスのすべてのリンクを通過するのに十分な大きさである必要があります。

デフォルトでは、SRXシリーズファイアウォールは、エグレスインターフェイスに設定されたMTUサイズを使用して、送信するパケットフラグメントのサイズを決定します。しかし、受信フラグメント特性を保持する機能を有効にすると、SRXシリーズファイアウォールは受信パケットフラグメントのサイズを検出して保存します。

データパスでパケットがフラグメント化される可能性を低減するために、SRXシリーズファイアウォールは、そのフローのエグレスMTUを追跡し、調整します。これは、すべての受信フラグメントの最大サイズを識別します。その情報をエグレスインターフェイスの既存のMTUと組み合わせて使用し、エグレスインターフェイスから送信されるフラグメントパケットの正しいMTUサイズを決定します。SRXシリーズファイアウォールは、この2つの数値を比較します。小さい方の番号を取り、それをエグレスインターフェイスのMTUサイズに使用します。

set security flow preserve-incoming-frag-size コマンドを使用してデバイスを設定し、着信パケットフラグメントのサイズを考慮した機能を有効にします。

表1 は、SRXシリーズのエグレスMTUサイズを決定する方法をまとめたものです。

表1:SRXシリーズファイアウォールから出るフラグメントの最終的な出口MTUサイズを決定する方法

受信フラグメント サイズ(Incoming Fragment Size)	既存のエグレスMTUサイズ	最終エグレスMTUサイズ
最大のフラグメントが	既存のegress MTUサイズより小さい	最大の受信フラグメント サイズが使用されます。
最大のフラグメントが	既存のegress MTUサイズよりも大きい	既存のエグレスインターフェイスMTUが使用されます。

手記：

この機能は、SRXシリーズファイアウォールでサポートされています。通過トラフィックとトンネルを出るトラフィックをサポートします。これは、IPv4 と IPv6 の両方のトラフィックに適用されます。

次の 2 つの考慮事項がフラグメント サイズに影響します。

• コンテンツセキュリティやALGなどのストリームベースのアプリケーションでは、フラグメントを受信していなくても、アプリケーション自体がパケットを変更または再構成できます。この場合、既存のエグレスインターフェイスMTUが使用されます。

• パス MTU ディスカバリーパケットがセッションに配信されると、そのセッションのパス MTU はパス MTU パケットによって確立された値にリセットされます。