インラインIPsec

概要

インラインIPsecは、IPsecトラフィック処理をCPUからジュニパーネットワークスデバイスのパケット転送エンジンにオフロードするJunos OSの機能です。この機能は、パケット転送エンジンASIC内のIPsecトラフィックを安全に暗号化および復号化します。この機能により、CPUはQuick Assist Technology(QAT)を使用するPowerMode IPsec(PMI)またはIPsec VPNのみを管理します。

インラインIPsecが導入される前は、ファイアウォールはCPUでIPsec操作を実行し、Intel QATなどのハードウェアアクセラレーションやPMIなどのソフトウェア最適化の恩恵を受けていました。インラインIPsecでは、ファイアウォールはパケット転送エンジンASICを使用してIPsecパフォーマンスを向上させることができます。IPsecの暗号化と復号化をASICにオフロードすることで、スループットが向上します。インラインIPsecは、ファイアウォールCPUを他のタスクに解放します。

• PSK(事前共有鍵)のInternet Key Exchange version 2(IKEv2)ネゴシエーション

• ポスト量子事前共有鍵(PPK)

• 公開鍵基盤(PKI)証明書の鍵ネゴシエーション

• インラインIPsecで使用されるさまざまな暗号化およびハッシュ機能

ファイアウォールでインラインIPsec機能を使用するには、有効なライセンスが必要です。ライセンスを適用すると、ファイアウォールがデフォルトで機能を有効にします。

利点

• VPNパフォーマンス:暗号化と復号化をASICにオフロードすることでトンネルのパフォーマンスを向上させ、より高いスループットを実現します。

• CPUの最適化:ASIC内のトンネルを管理することでCPUリソースを解放し、CPUが他の重要なタスクを管理できるようにし、全体的なファイアウォールのパフォーマンスを向上させます。

• VPNセキュリティ:ハードウェアオフロードトンネルにAES-GCM(Advanced Encryption Standard-Galois/Counter Mode)暗号化アルゴリズムを使用することでセキュリティを強化し、パフォーマンスを損なうことなく強力な暗号化基準を確保します。

• 導入:シャーシあたり多数のIPsecトンネルをサポートするため、大規模な導入に適しています。

• 俊敏性:パケット転送エンジンの外部にある少数のトンネルを管理する機能をサポートします。

インラインIPsecの仕組み

図1 は、インラインIPsecデータプレーンのアーキテクチャと、コントロールプレーンおよび管理プレーンとのインターフェースを示しています。インラインIPsecアーキテクチャには、IPsec操作を処理するIPsecエンジンが含まれています。パケット転送エンジンがCPUサイクルに依存せずにIPsecトラフィックを暗号化または復号化するため、インラインIPsecはスループットを大幅に向上させ、ファイアウォールのパフォーマンスを最適化します。

ファイアウォールにおけるインラインIPsecの以下の動作を理解します。

• IPsecイニシエーター、レスポンダー、またはその両方がこの機能を使用できます。

• ファイアウォールは、内蔵ASIC上でIPsecカプセル化セキュリティペイロード(ESP)パケットの暗号化と復号化を実行します。

• 認証と鍵交換に使用されるIKEプロトコルは、CPUで実行されます。

• IKEネゴシエーションの後、ikedプロセスはパケット転送エンジンへのトンネル配信を管理します。

• ファイアウォールは以下をサポートします。

  • IPv4 アドレスと IPv6 アドレスの両方に基づくインライン IPsec プロトコル。

  • IKEv1 プロトコルと IKEv2 プロトコルの両方に対応するインライン IPsec。

インラインIPsecを使用するファイアウォールで、次のアクションが発生します。

• ikedプロセスは、セッションフローにおけるハードウェアオフロードのためのインラインIPsecトンネルをマークします。このアクションにより、トンネルがIPsec暗号化および復号化タスクにCPUを使用することを防ぎます。

• コマンド show security ipsec security association の出力には、以下が表示されます。

  • Hardware Offloaded: Yes インラインIPsec VPNトンネル用。

  • Hardware Offloaded: No CPUがトンネルを処理するとき。

• フロープロセスは、IPsec VPNトラフィックフローの着信パケットと発信パケットを示しています。

パケット転送エンジンASICでのIPsecトンネル処理のインラインIPsecハードウェアオフロードをグローバルに無効にするには:

• コマンド set security ipsec hw-offload-disableを使用します。

  このステートメントを設定すると、ファイアウォールはパケット転送エンジンASICではなく、CPU内のすべてのIPsecトンネルを処理します。 ipsec(セキュリティ)を参照してください。

インラインIPsecの機能サポート

インラインIPsec機能を使用してIPsecトンネルを確立するには、ファイアウォールが特定の基準を満たす必要があります。 表1は 、インラインIPsecの機能サポート情報を示し、この機能のトンネル適格性を決定する基準の概要を示しています。インラインIPsecでは、CPUがASICでサポートされていない機能を管理し、ファイアウォールのパフォーマンスを最適化します。また、CPUはインラインIPsecがサポートするすべての機能をサポートしています。

表1:インラインIPsecの機能サポート

ASICでサポートされている機能	CPUがサポートする機能
YT ASIC上のパケット転送エンジンがIPsec VPNを処理する	CPUは、PMIとQATを使用するすべてのIPsec VPN機能を処理します。この機能には、認証ヘッダー(AH)と、PMIでサポートされているAES-GCMおよびその他の暗号化プロトコルを備えたESPベースのトンネルの両方が含まれます。 PowerMode IPsecを参照してください。 CPU は、PMI および QAT 機能の管理に加えて、パケット転送エンジン ASIC がサポートしていない他のすべての機能も処理します。詳細については、この列の以下のエントリを参照してください。
ESP を使用したトンネル モード	AHを使用したトンネルモード
暗号化アルゴリズム 128ビット鍵または256ビット鍵を使用したAES-GCM	128ビット鍵または256ビット鍵を使用したAES-GCM以外のすべての暗号化アルゴリズム
サイトツーサイトIPsec VPNをサポートする導入モード	ポイントツーマルチポイント(P2MP)VPN、グループVPN、自動検出VPN(ADVPN)をサポートする導入モード。 マルチノード高可用性(MNHA)におけるシャーシ間リンク(ICL)暗号化
アンチリプレイウィンドウサイズ(最大4096)	4096より大きいアンチリプレイウィンドウサイズ
最大4,000のSA(セキュリティアソシエーション)または2,000のトンネル	4000を超えるまたは複数のSA(子SAとも呼ばれます)
ネットワークアドレス変換トラバーサル(NAT-T)トンネル	lifesizeオプション設定によるトンネル

インラインIPsecには以下の制限があります。

• アクティブなオフロードトンネルにDon't Fragment(DF)ビットを設定すると、キー更新後に設定が有効になります。

• アクティブなオフロードトンネルに対してDSCP(差別化されたサービスコードポイント)コピーを設定すると、キー更新後に設定が有効になります。