パワーモード
パワーモード
PowerModeは、最適化された高速パスを導入した新しいデフォルトデータプレーンフレームワークであり、SRXシリーズファイアウォールで高いスループットと低い遅延を可能にします。PowerMode は、Trio ベースのプラットフォーム上の Express Path と同じ方法で、IPsec 操作と一般的な TCP および UDP フローを高速化できます。
Junos OSリリース21.3R1では、この機能には以下の制限があります。
- 非IPプロトコル。
- TCP、UDP、ESP、SCTP、GTPではないIPプロトコル。
- マルチキャスト セッション。
- エグレス論理トンネル(LT)インターフェイスとクロスLSYSトラフィック
- TCP-Proxyを必要とするセッション
- ファイアウォールフィルター。
- Mac学習および透過モード。
- セッションがファブリックリンクを通過している場合のアクティブ/アクティブHAクラスター(Zモードトラフィック)。
PMI搭載のSRXシリーズファイアウォールは、フローベースのCoS(サービスクラス)のみをサポートします。
関連項目
PowerMode Express
PowerMode Express の概要
PowerMode Express(PME)は、ベクトルパケット処理を使用してパフォーマンスを向上させる動作モードです。PMEは、パケット転送エンジン(PFE)内の小さなソフトウェアブロックを使用して、受信バッファ内の複数のパケットを処理するのに役立つため、CPUキャッシュをより有効に活用できます。
のパケットフロー
利点
-
高速パス処理とUDPススループットパフォーマンスを向上させます。
SRX4100、SRX4200、SRX4600、SRX5400、SRX5600、SRX5800、vSRX デバイスでは、Junos OS リリース 21.3R1 以降、PowerMode Express がデフォルトで有効になっています。Junosリリース21.3R1以降にアップグレードすると、追加の設定やハードウェア投資なしで、比類のない次世代ファイアウォールのパフォーマンスを無料で利用できるようになります。
PowerMode Expressをグローバルに無効にするには、 set security flow power-mode-disable コマンドを使用します。
PowerMode Expressは以下をサポートします。
-
サービスクラス(CoS)
-
ネットワークアドレス変換(NAT)
-
スクリーン(DDoS対策)
-
転送クラス
-
ルーティングインスタンス
PowerMode Expressの制限事項
PowerMode Expressは以下をサポートしていません。
-
非IPプロトコル
-
TCP、UDP、ESP、SCTP、およびGTPではないIPプロトコル
-
マルチキャストセッション
-
エグレス論理トンネル(LT)インターフェイスとクロスLSYSトラフィック
-
ポリサー、syslog、およびカウンターを必要とするセッション
-
ファイアウォールフィルター
-
セッションがファブリックリンク(Zモードトラフィック)を通過するときのアクティブ/アクティブHAクラスター
PowerMode Expressがトラフィックを処理する方法
最初のパケットがインターフェイスに到着すると、PowerModeで新しいセッションが作成されます。新しいセッションがPowerMode Expressの対象となる場合、PowerMode資格チェックが行われます。
PowerMode Expressセッションは、ネットワークプロセッサーの高速パスパケットをjexec処理に処理します。jexec layer2 転送段階では、キャッシュのネクストホップ、転送クラス、サービス クラス(CoS)情報により、PowerMode Express セッションの後続パケットが許可されます。
PowerMode Expressを再度有効にする方法
PowerMode Expressはデフォルトで有効になっています。PowerMode Expressを無効にした場合は、次のコマンドを使用して再度有効にすることができます。
[edit] user@host# delete security flow power-mode-disable user@host# commit
検証
設定が正常に機能していることを確認するために、次のshowコマンドを入力します。
user@host# show security flow status | grep "Flow power mode:" Flow power mode: Enabled
関連項目
PowerMode IPsec
PowerMode IPsec(PMI)は、IPsecパフォーマンスを向上させるための新しい動作モードです。Junos OSリリース19.1R1以降、PMIは、ファーストパスまたはファストパス処理を使用して送受信フラグメントパケットを処理するように強化されています。
機能エクスプローラーを使用して、特定の機能のプラットフォームとリリースのサポートを確認します。
set security flow power-mode-ipsec コマンドを使用して PMI プロセスを使用可能にします。パケットがPMIを活用していることを確認するには、show security flow pmi statisticsコマンドを使用します。
PMIファーストパスとファストパス処理について
PMI ファースト・パス処理では、以下を行います。
-
受信した最初のパスパケットは、セッションを作成するためのフローに配信されます。
-
受信フラグメントパケットは、再アセンブリのためにフローに配信されます。
-
受信パケットは、高度なセキュリティサービス処理のためにフローに配信されます。
PMI 高速パス処理では、PMI ドライバーが使用されます。
-
受信したクリアテキストを暗号化して直接送信します。
-
受信ESPパケットを復号化し、セッションマッチで直接送信します。
PMIファーストパスと高速パス処理の切り替え
最初のパス処理にはより多くの機能と命令が含まれますが、PMI 高速パス処理ではパフォーマンスが向上します。PMIセッションでは、パケット処理は、セッション内のパケットフローに基づいて、ファーストパスとファストパスの間で切り替わります。
-
フラグメントパケットと非フラグメントパケットの両方を含むPMIセッションは、最初のパスで処理されます。
-
セッションにフラグメント化されていないパケットしかない場合、セッションは最初のパスからファストパス処理に切り替わります。
受信IPパケットのフラグメント化
PMIの着信IPパケットのフラグメント化をサポートするには、最初のパスで以下の手順を使用します。
-
PMIは、セッション内のフラグメント化されたすべてのIPパケットをフローモジュールに送信して処理します。
-
PMIは、パケットの順序付けのために、同じセッション内のフラグメント化されていないすべてのIPパケットをフローモジュールに送信します。
-
フロー モジュールは、フラグメント化されたパケットの再構築を完了し、暗号化のためにパケットを PMI に送り返します。
送信IPパケットのフラグメント化
PMI の発信 IP パケットのフラグメント化をサポートするには、以下の手順を使用します。
-
PMIは、セッションルックアップ時にフラグメント化を必要とするクリアテキストパケットを検出し、パケットをフローモジュールに配信します。
-
フローモジュールは、発信パケットのフラグメント化を行います。
-
PMIは、パケットを送信する前に暗号化します。
NPセッション
PMI セッションまたは非 PMI セッションでは、NP セッション容量が制限されているために NP セッションがインストールされていないため、この PMI セッションのパケット順序付けが使用できない可能性があります。
機能エクスプローラーを使用して、特定の機能のプラットフォームとリリースのサポートを確認します。
プラットフォームに関連する注意事項については、「 プラットフォーム固有のNPセッション動作」 セクションを参照してください。
プラットフォーム固有のNPセッションの動作
機能エクスプローラーを使用して、特定の機能のプラットフォームとリリースのサポートを確認します。
お使いのプラットフォームに固有の動作を確認するには、以下の表を使用して下さい:
| プラットフォーム |
違い |
|---|---|
| SRXシリーズファイアウォール |
|
変更履歴テーブル
サポートされる機能は、使用しているプラットフォームとリリースによって決まります。 機能エクスプローラー を使用して、機能がお使いのプラットフォームでサポートされているかどうかを確認します。