パワーモード

PowerModeは新しいデフォルトのデータプレーンフレームワークで、最適化された高速パスを導入し、SRXシリーズファイアウォールでのスループット向上と低レイテンシを実現します。PowerModeは、Trioベースのプラットフォーム上のExpress Pathと同じ方法で、IPsec操作と一般的なTCPおよびUDPフローを高速化できます。

Junos OS リリース 21.3R1 では、この機能には以下の制限があります。

• 非 IPプロトコル。
• TCP、UDP、ESP、SCTP、GTP以外のIPプロトコル。
• マルチキャスト セッション。
• エグレス論理トンネル(LT)インターフェイスとクロスLSYSトラフィック。
• TCP プロキシを必要とするセッション。
• ファイアウォールフィルター。
• Mac学習および透過モード。
• セッションが Z モード トラフィックと呼ばれるファブリック リンクを通過している場合のアクティブ/アクティブ HA クラスター。

• PowerMode Express の概要
• PowerMode Expressはどのようにトラフィックを処理しますか
• PowerMode Expressを再度有効にする方法
• 検証

PowerMode Express の概要

PowerMode Express (PME) は、ベクトル パケット処理を使用してパフォーマンスを向上させる動作モードです。PMEは、受信バッファ内の複数のパケットを処理するのに役立つパケット転送エンジン(PFE)内の小さなソフトウェアブロックを使用して、CPUキャッシュをより有効に活用します。

図1:PowerMode Express のパケットフロー

PowerMode IPsec (PMI) は、SRX4100、SRX4200、SRX4600、SRX5400、SRX5600、SRX5800、および vSRX仮想ファイアウォール インスタンス向けの、IPsec パフォーマンスを向上させるための新しい動作モードです。Junos OS リリース 19.1R1 以降、PMI は、ファースト パスまたはファスト パス処理を使用して着信および発信フラグメント パケットを処理するように拡張されています。

set security flow power-mode-ipsec コマンドを使用して PMI プロセスを使用可能にします。パケットが PMI を利用していることを確認するには、 コマンドを show security flow pmi statistics 使用します。

PMI の最初のパス処理では、次のようになります。

• 受信した最初のパスパケットがフローに配信され、セッションが作成されます。

• 受信フラグメント パケットは、再構成のために flow に配信されます。

• 受信パケットは、高度なセキュリティ サービス処理のために フローに配信されます。

PMI 高速機能処理では、PMI ドライバーが次のように使用されます。

• 受信したクリアテキストを暗号化して直接送信します。

• 受信 ESP パケットをセッション一致で直接復号化して送信します。

最初のパス処理には、より多くのフィーチャーと命令が含まれますが、PMI 高速機能処理は、より優れたパフォーマンスを提供します。PMI セッションでは、パケット処理は、セッション内のパケット・フローに基づいて、最初のパスとファスト・パスの間で切り替わります。

• フラグメント・パケットと非フラグメント・パケットの両方を含む PMI セッションは、最初のパスで処理されます。

• セッションにフラグメント化されていないパケットのみがある場合、セッションは最初のパスからファストパス処理に切り替わります。

PMI の着信 IP パケットのフラグメント化をサポートするために、次のステップが最初のパスで使用されます。

• PMI は、セッション内のすべてのフラグメント化された IP パケットを処理のためにフロー モジュールに送信します。

• PMI は、パケット順序付けのために、同じセッション内のすべてのフラグメント化されていない IP パケットをフロー モジュールに送信します。

• フロー モジュールは、フラグメント化されたパケットの再構成を完了し、暗号化のためにパケットを PMI に送り返します。

PMI の発信 IP パケットのフラグメント化をサポートするには、以下のステップを使用します。

• PMI は、セッション検索中にフラグメント化を必要とするクリア テキスト パケットを検出し、フロー モジュールにパケットを配信します。

• フロー モジュールは、発信パケットのフラグメント化を行います。

• PMI は、パケットを暗号化してから送信します。

SRX4100、SRX4200、および vSRX仮想ファイアウォール デバイスでは、フラグメント パケットと非フラグメント パケットは、処理のために同じ CPU コアにハッシュされます。そのため、NP セッションはサポートされていません。

SPC3 を搭載した SRX5400、SRX5600、SRX5800 デバイスでは、フラグメント パケットと非フラグメント パケットが異なる CPU コアにハッシュされて処理されます。したがって、NP セッションは、フラグメント パケットまたは非フラグメント パケットを順序付けのために同じコアに配信するようにサポートされています。