Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Express Path 개요

Express Path(이전의 서비스 오프로드)는 SPU(Services Processing Unit) 대신 네트워크 프로세서에서 고속 경로 패킷을 처리하는 메커니즘입니다. Express Path는 SPU에서 네트워크 프로세서로 특정 트래픽을 오프로드하여 성능을 향상합니다.

네트워크 프로세서에서 Express Path 세션을 생성할 때 플로우의 후속 패킷은 네트워크 프로세서의 세션과 일치합니다. 그런 다음 네트워크 프로세서가 패킷을 처리하고 전달합니다.

또한 네트워크 프로세서는 TCP 시퀀스 검사, TTL(Time-to-Live) 처리, 네트워크 주소 변환(NAT), 레이어 2 헤더 변환과 같은 추가 프로세싱을 관리합니다. IOC3의 플로우 테이블은 플로우 모듈의 SPU에 의해 관리됩니다. SPU는 정책 일치 결과를 기반으로 플로우 테이블의 플로우 항목을 삽입하고 삭제합니다. Express Path는 IPv6을 지원합니다.

이 그림은 Express Path의 패킷 플로우를 보여줍니다.

그림 1: 패킷 플로우 및 Express Path Packet flow and Express Path

Express Path의 이점

  • 단일 플로우 및 섀시 수준의 성능을 크게 향상합니다.

  • SPU 활용도와 지연을 줄입니다.

Express Path 제한 사항

Express Path는 다음을 지원하지 않습니다.

  • 기능

    • 투명 모드

    • 팬아웃이 두 개 이상의 멀티캐스트 세션

    • 단편화된 패킷

    • IPsec VPN

    • 다양한 MTU 크기 값

  • ALG(애플리케이션 레이어 Gateway) 데이터 트래픽:

    • Dns

    • IKE 및 ESP

    • Pptp

    • SQL-NET

  • IPv6

    • Nat

    • 투명 모드

    • 다양한 MTU 크기 값

    • 송신 인터페이스의 CoS(Class of Service)

방화벽 필터를 사용하여 트래픽을 가상 라우터 전달하면 Express Path 및 패킷 오프로드가 작동하지 않습니다.

섀시 클러스터 모드에서 작동하는 디바이스에서 Express Path를 활성화하는 경우:

  • 비대칭 I/O 카드(IOC)를 구성할 수 없습니다.

  • LACP 지원 reth 인터페이스의 하위 링크가 꺼지면 이 링크의 모든 트래픽이 인터페이스의 다른 활성 하위 링크로 배포됩니다. 하위 링크가 켜지고 reth 인터페이스에 다시 연결되면 새롭게 다시 연결되는 활성 하위 링크에 기존 트래픽 또는 세션이 재배포되지 않습니다. 새로운 세션은 이 링크를 통해 통과합니다.

  • 새 하위 링크가 LACP 지원 reth 인터페이스에 추가되면 이 새 하위 링크에 기존 트래픽 또는 세션이 재배포되지 않습니다. 새 세션이 이 링크를 통과합니다.

자동화된 Express Path

SRX4600, SRX5400, SRX5600 및 SRX5800 디바이스에서 자동화된 Express Path는 기본적으로 Junos OS 릴리스 21.2R1에서 활성화되어 있습니다. Junos 릴리스 21.2R1 이상으로 업그레이드하면 추가 구성이나 하드웨어 투자 없이도 탁월한 무료 차세대 방화벽 성능을 확보할 수 있습니다. 기본적으로 자동화된 Express Path가 활성화되어 있습니다.

자동화된 Express Path를 전역으로 비활성화하려면 명령을 사용합니다 set security forwarding-options services-offload disable .

정책에서 Express Path를 비활성화하려면 두 개의 명시적 서비스 오프로드 관련 구성이 있습니다.

자동화된 Express Path는 다음과 같은 기능을 지원합니다.

  • 스테이트풀 방화벽

  • 네트워크 주소 변환(NAT)

  • Unified-Policy(동적 애플리케이션 및 URL 범주 포함)

  • 사용자 방화벽

  • 보안 인텔리전스

  • 침입 탐지 및 방지(IDP)

  • 강화된 웹 필터링

  • ALG(애플리케이션 레이어 Gateways)

  • 화면(디도스(DDoS) 차단)

Express Path는 트래픽을 어떻게 처리합니까?

첫 번째 패킷이 인터페이스에 도달하면 네트워크 프로세서가 이를 중앙 지점(CP)으로 전달합니다. 중앙 지점은 패킷을 SPU로 전달합니다. 그런 다음 SPU는 네트워크 프로세서에서 세션을 생성하고 트래픽이 Express Path 세션 또는 일반 세션에 적합한지 확인합니다.

트래픽이 Express Path 처리에 적합한 경우 트래픽에 대한 Express Path 세션이 SPU에서 생성됩니다. Express Path 세션은 네트워크 프로세서에서 고속 경로 패킷을 처리하고 패킷은 네트워크 프로세서에서 빠져나온다.

트래픽이 Express Path 처리 자격을 갖추지 못하면 SPU는 일반 세션을 만듭니다. 일반 세션은 빠른 경로 처리를 위해 네트워크 프로세서에서 SPU로 패킷을 전달합니다.

Express Path를 지원하는 플랫폼

SRX4600, SRX5400, SRX5600 및 SRX5800 디바이스는 Express Path를 지원합니다.

표 1 은 다른 SRX 시리즈 카드의 Express Path 지원에 대한 세부 정보를 제공합니다.

표 1: SRX 시리즈 디바이스 카드에 대한 Express Path 지원

SRX 시리즈 디바이스

카드 이름 및 모델 번호

초기 지원 릴리스

SRX5600, SRX5800

SRX5K-40GE-SFP

Junos OS 릴리스 11.4

SRX5600, SRX5800

SRX5K-4XGE-XFP

Junos OS 릴리스 11.4

SRX5600, SRX5800

다음 카드 중 하나를 포함하는 SRX5K-FPC-IOC:

  • SRX-IOC-16GE-TX

  • SRX-IOC-4XGE-XFP

  • SRX-IOC-16GE-SFP

Junos OS 릴리스 11.4

SRX5400, SRX5600, SRX5800

다음 MIC 중 하나를 포함하는 SRX5K-MPC:

  • SRX-MIC-10XGE-SFFP

  • SRX-MIC-2X40GE-OSFP

  • SRX-MIC-1X100GE-CFP

  • SRX-MIC-20GE-SFP

Junos OS 릴리스 12.3X48-D10

SRX5400, SRX5600, SRX5800

다음 MPC 중 하나를 포함하는 SRX5K-MPC3(IOC3)

  • SRX5K-MPC3-40G10G(24x10GE + 6x40GE MPC)

  • SRX5K-MPC3-100G10G(2x100GE + 4x10GE MPC)

Junos OS 릴리스 15.1X49-D10

SRX5400, SRX5600, SRX5800

SRX5K-IOC4-10G(IOC4)

SRX5K-IOC4-MRAT

Junos OS 릴리스 19.3R1

SRX4600

해당 없음

Junos OS 릴리스 19.2R1

Express Path를 활성화하는 방법

참고:

Express Path는 Junos OS 릴리스 21.2R1에서 자동화되었습니다.

Express Path 모드를 구성하려면 다음을 수행합니다.

  • • IOC 또는 flex IOC 카드가 있는 SRX5000 라인 장치에서 명령을 사용합니다 set chassis fpc fpc-number pic pic-number services-offload .

  • MPC(Modular Port Concentrator)가 있는 SRX5000 라인 디바이스에서 명령을 사용하여 IOC에서 NP 캐시를 활성화합니다 set chassis fpc fpc-number np-cache .

  • SRX4600 디바이스에서 np-cache 옵션은 기본적으로 활성화됩니다. set chassis fpc fpc- number np-cache 따라서 명령을 적용할 수 없습니다.

Express Path를 사용하지 않는 경우 보안 정책에서 을(를) 구성하지 마십시오.

Express Path 네트워크 프로세서

네트워크 프로세서가 있는 SRX4600, SRX5400, SRX5600 및 SRX5800 디바이스에서는 패킷 플러그인 및 스트림 플러그인을 포함한 모든 플러그인이 세션을 무시할 때 세션을 오프로드한 다음 네트워크 프로세서에 세션을 설치합니다. 패킷 플러그인이 세션을 무시할 때, 우리는 무시 플래그를 표시합니다. 스트리밍 플러그인이 세션을 무시할 때, 우리는 무시 플래그를 표시하고 TCP-T 및 TCP-I의 단락을 표시합니다. 그런 다음 네트워크 프로세서에 세션을 설치하여 세션을 오프로드합니다.

I/O 카드(IOC) 네트워크 프로세서는 스위치 패브릭이나 SPU를 거치지 않고 고속 경로 패킷을 처리합니다. 이는 패킷 처리 지연을 줄여줍니다.

각 플로우 엔트리는 Express Path 네트워크 프로세서에 날개당 카운터가 있습니다. 카운터는 네트워크 프로세서가 날개 위로 전송하는 바이트 수를 캡처합니다.

다양한 시나리오에서 네트워크 프로세서의 동작은 다음과 같습니다.

  • 첫 번째 경로 플로우 - 첫 번째 경로 플로우는 현재 네트워크 프로세서 플로우 프로세스와 동일합니다. 첫 번째 패킷이 네트워크 프로세서에 도착하면 네트워크 프로세서는 TCP 또는 UDP 패킷을 구문 분석하여 5-튜플 키를 추출한 다음 플로우 테이블에서 세션 조회를 수행합니다. 그런 다음 네트워크 프로세서는 첫 번째 패킷을 중앙 지점으로 전달합니다. 중앙 포인트는 첫 번째 패킷이기 때문에 현재 일치를 찾을 수 없습니다. 중앙 지점과 SPU는 세션을 생성하고 사용자 구성 정책과 일치하여 세션이 정상적인 세션인지 또는 서비스 오프로드 세션인지 여부를 결정합니다.

    Express Path로 관리할 세션을 지정하면 SPU가 네트워크 프로세서 플로우 테이블에 세션 항목을 생성합니다. 이를 통해 세션 항목 테이블에서 Express Path flag를 사용할 수 있습니다. 그렇지 않으면 SPU는 Express Path flag 없이 네트워크 프로세서에 일반 세션 항목을 생성합니다.

  • Fast-path flow - 네트워크 프로세서에서 세션 항목을 생성한 후 세션의 후속 패킷이 세션 항목 테이블과 일치합니다.

    1. Express Path flag가 설정되지 않은 경우 네트워크 프로세서는 패킷을 세션 항목 테이블에 지정된 SPU로 전달합니다. 패킷은 일반적인 플로우 프로세스를 통과합니다.

    2. 네트워크 프로세서가 세션 엔트리 테이블에서 서비스 오프로드 플래그를 발견하면 패킷을 로컬로 처리하고 패킷을 직접 보냅니다.

    3. 네트워크 프로세서의 빠른 포워딩 기능은 단일 팬아웃 멀티캐스트 세션을 지원합니다. 세션의 송신 포트는 수신 포트와 동일한 네트워크 프로세서와도 연결되어야 합니다. 다른 모든 멀티캐스트 케이스는 일반 세션으로 관리되어야 합니다.

  • NAT 프로세스 - SPU는 내부 IP 주소 또는 포트와 외부 IP 주소 또는 포트 간의 매핑을 담당합니다. 세션의 첫 번째 패킷이 도착하면 SPU는 IP 주소 또는 포트 매핑을 할당하고 해당 정보를 네트워크 프로세서 세션 엔트리에 저장합니다. NAT 플래그가 설정된 경우 네트워크 프로세서는 패킷을 수정합니다.

  • 세션 사용 기간 초과 —서비스 오프로드 세션의 트래픽 처리량을 개선하기 위해 패킷 복사본은 사전 정의된 기간마다 SPU로 전송되어 SPU에 대한 패킷 처리 수요를 줄입니다. SPU로 전송되는 패킷 사본의 수를 제한하기 위해 각 서비스 오프로드 세션에 대해 타임스탬프가 구현됩니다. 네트워크 프로세서는 마지막 세션 일치 이후 경과 시간을 계산합니다. 경과 시간이 사전 정의된 시간 기간보다 큰 경우 네트워크 프로세서는 패킷 사본을 SPU에 보내고 세션 타임스탬프를 업데이트합니다.

  • 세션 종료 및 삭제 - 네트워크 프로세서가 FIN(완료된 데이터) 또는 RST(연결 재설정) 플래그가 있는 IP 패킷을 수신하면 패킷을 SPU로 전달합니다. 그런 다음 SPU는 네트워크 프로세서의 세션 캐시를 삭제합니다. 네트워크 프로세서는 상태 전환 중에 모든 패킷을 계속 수신하고 SPU로 전달합니다.

날개 통계 카운터

Express Path에서 네트워크 프로세서는 각 플로우 입력에 대해 옵션을 제공하여 날개당 바이트 카운터를 유지합니다. 카운터는 네트워크 프로세서가 날개 위로 전송하는 바이트 수를 캡처합니다.

카운터를 활성화하면 네트워크 프로세서가 모든 수신 패킷에 대한 플로우 입력(세션 날개)을 검색합니다. 패킷이 설정된 플로우 항목에 속하는 경우 네트워크 프로세서는 패킷에서 플로우 항목의 바이트 카운터를 증가합니다. 네트워크 프로세서는 각 플로우 입력의 패킷(카피 패킷)을 관련 SPU에 주기적으로 복사하여 SPU가 세션을 유지할 수 있도록 합니다. 네트워크 프로세서는 카피 패킷 패킷 헤더에서 플로우 바이트 카운터 값을 보냅니다. SPU는 날개별 통계 카운터를 축적하고 유지합니다.

라이브 세션의 수명 주기 동안 통계 구성을 변경할 수 없습니다. 네트워크 프로세서에서 세션이 활성화된 동안 날개별 통계 구성을 비활성화하거나 활성화하면 현재 세션의 세션 통계가 무효화됩니다. 새 세션 통계는 구성 변경이 커밋된 후에만 유효합니다. 네트워크 프로세서 날개 카운터를 삭제할 수 없습니다. SRX5K-MPC(IOC2), SRX 5K-MPC3(IOC3) 및 SRX5K-IOC4-10G(IOC4)가 있는 SRX5800 디바이스에서 날개 통계 카운터 구성은 기본적으로 SRX4600 디바이스에서 날개 통계 카운터를 활성화합니다.

날개별 세션 통계

네트워크 프로세서는 세션 리소스를 수용할 수 있는 더 큰 정적 RAM(SRAM)을 가지고 있으므로 PIC당 더 많은 세션을 호스팅합니다. 표 2 는 Express Path 및 Non-Express Path를 포함한 총 세션 날개 수를 표시합니다. SRX4600 디바이스에서 IMIX 처리량은 400Gbps입니다.

표 2: 네트워크 프로세서 Express Path 구성 모드에서 날개당 총 세션 수

총 날개 수

Express Path UDP 윙 수

Express Path TCP 윙 수

카드 및 SRX 시리즈 디바이스 비 Express 경로 모드 세션 통계 없는 기능 통계와 함께 통계 없는 기능 통계와 함께

SRX5000 라인 디바이스 SRX5K-MPC(IOC2)

180만 개

180만 개

180만 개

180만 개

180만 개

SRX5000 라인 디바이스 SRX5K-MPC3(IOC3)

2천만 개

2천만 개

2천만 개

2천만 개

2천만 개

SRX5000 라인 디바이스 SRX5K IOC4

1,000만 개

1,000만 개

1,000만 개

1,000만 개

1,000만 개

SRX4600

2천만 개

2천만 개

2천만 개

2천만 개

2천만 개

IOC 카드의 Express Path Packet Processing

IOC 카드의 Express Path는 일부 기본 방화벽 기능을 IOC 카드에 오프로드하기 위해 SPU 대신 네트워크 프로세서 칩셋을 통해 고속 패킷을 처리하는 것을 기반으로 합니다.

Express Path 기능을 활성화한 경우 IOC 카드는 더 낮은 지연 시간을 제공하고 SPU의 과부하를 제거하여 더 높은 처리량을 지원합니다. IOC 카드는 카드 내 트래픽 플로우와 카드 간 트래픽 플로우 모두를 지원합니다. 최고의 지연 결과를 얻으려면 트래픽 플로우의 수신 포트와 송신 포트 모두 IOC 카드의 동일한 XM 칩에 있어야 합니다.

IOC 카드는 240Gbps FPC를 지원하며 3세대 NP(Network Processing) 칩셋 라인을 사용합니다. 이 최신 조회 및 큐잉 칩은 대용량에 최적화되어 있습니다. IOC 카드는 SCB2 및 SCB3와 호환되며, 이전 SCB는 지원되지 않습니다.

전력 및 열 제약으로 인해 IOC 카드의 4개의 PIC 모두에 동시에 전원을 공급할 수 없습니다. 짝수 또는 홀수 순서로 최대 2개의 PIC에 전원을 공급합니다. 명령을 사용하여 set chassis fpc <slot> pic <pic> power off PIC를 선택하여 전원을 공급할 수 있습니다.

시스템 로그 메시지는 다음과 같습니다.

  • XMCHIP_CMERROR_DDRIF_INT_REG_CHKSUM_ERR_MINOR

  • XMCHIP_CMERROR_DDRIF_INT_REG_CHKSUM_ERR_MAJOR

오류 메시지는 FPC(Flexible PIC Concentrator)의 XM 칩이 체크섬 오류를 감지하여 패킷 드롭을 발생했음을 나타냅니다. 다음 오류 임계값은 오류를 주요 오류 또는 사소한 오류로 분류합니다.

  • 사소한 오류 —초당 5번의 오류 >

  • 주요 오류 —> 초당 255 오류(최대 수)

데이터 플레인에서 IOC 카드는 패킷을 구문 분석하여 플로우 테이블에서 찾습니다. IOC 카드가 플로우 테이블에서 일치하는 것을 발견하면 플로우 테이블에 제시된 지침에 따라 패킷을 전달합니다. IOC 카드는 NAT를 수행하고, 레이어 2(L2) 헤더를 캡슐화하고, 패킷을 송신 인터페이스 밖으로 전달할 수 있습니다. 송신 인터페이스는 동일한 IOC 카드(카드 내 케이스) 또는 다른 IOC 카드(카드 간 케이스)에 위치할 수 있습니다.

IOC 카드가 첫 번째 패킷을 수신하면 기존의 고속 전달 세션과 일치하지 않습니다. 기본 해시 기반 포워딩은 첫 번째 패킷을 SPU로 전송하기 위해 수행됩니다. 그런 다음 SPU가 보안 세션을 만듭니다. SPU가 트래픽이 빠른 포워딩에 적합한 것으로 판단되고 관련 IOC 카드가 빠른 포워딩을 지원하는 경우 IOC 카드에 fast-forward 세션을 설치합니다. 트래픽에 빠른 포워딩을 적용할 수 없는 경우 세션 메시지가 전송되지 않으며 IOC 카드는 기본 해시 기반 포워딩을 사용하여 패킷을 SPU로 전달합니다.

고속 전달 IOC 카드 프로세싱에서 Fast-Forward 세션이 일치하는 경우 패킷은 세션 플로우 결과에 따라 직접 전달될 수 있습니다. IOC 카드는 패킷 전달, TTL 확인 및 NAT 변환 감소, 레이어 2 헤더 캡슐화와 같은 필요한 모든 작업을 수행합니다.

또한 XL 칩은 미리 정의된 시간에 SPU로 포워딩 패킷 사본을 전송합니다. 이 카피는 SPU 세션을 새로 고치고 현재 XL 칩 상태를 감지하는 데 사용됩니다. SPU는 이 패킷을 소비하고 전달하지 않습니다. 실제 패킷이 처리 및 전송되었기 때문입니다.

그림 2: IOC3 내부-PFE Express 경로 IOC3 Intra-PFE Express Path
그림 3: IOC3 PFE 간 고속 경로
그림 4: Inter-IOC3 Express Path

예: IOC 카드를 사용하여 SRX5400, SRX5600 또는 SRX5800 디바이스에서 Express Path 구성

이 예는 SRX5400, SRX5600 또는 SRX5800 디바이스의 IOC 카드에서 Express Path를 구성하는 방법을 보여줍니다.

Express Path는 SPU(Services Processing Unit) 대신 네트워크에서 고속 경로 패킷을 처리하는 메커니즘입니다. 이 방법은 패킷이 처리를 위해 네트워크 프로세서에서 SPU로 전달되고 전송을 위해 IOC로 다시 전달될 때 발생하는 긴 패킷 처리 지연 시간을 줄여줍니다.

릴리스 15.1X49-D40 Junos OS 시작 시, IPv6 트래픽에 대해 구성이 유효하며, 이 릴리스 이전 버전에서는 IPv4 트래픽에만 지원되었습니다.

요구 사항

이 예는 다음과 같은 하드웨어 및 소프트웨어 구성 요소를 사용합니다.

  • IOC 카드가 있는 SRX5400, SRX5600 또는 SRX5800 디바이스 1개

  • SRX 시리즈 디바이스용 Junos OS 릴리스 15.1X49-D40 이상

참고:

Express Path는 Junos OS 릴리스 21.2R1에서 자동화되었습니다.

개요

이 예에서 IPv6 트래픽에 대한 SRX5000 라인 디바이스에서 IOC 카드에 Express Path를 구성합니다.

IOC 카드에 두 개의 인터페이스를 구성하고 IPv6 주소를 할당합니다. 그런 다음 IPv6 트래픽에 대한 플로우 기반 처리를 활성화합니다. 그런 다음, 영역을 설정하고 인터페이스를 추가합니다. 그런 다음 두 영역 간의 트래픽을 허용하는 보안 정책을 구성하여 두 서로 다른 영역 간의 통신을 제공합니다. 또한 보안 정책에서 Express Path를 활성화하여 트래픽이 Express Path에 적합한지 여부를 지정합니다.

구성

절차

CLI 빠른 구성

이 예를 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브러브를 제거하고, 네트워크 구성을 일치하는 데 필요한 세부 사항을 바꾸고 계층 수준에서 명령을 CLI[edit] 로 복사해 붙여 넣은 다음, 구성 모드에서 을(를) 입력 commit 합니다.

단계별 절차

IOC 카드를 사용하여 SRX5400, SRX5600 또는 SRX5800 라인 디바이스에서 Express Path를 구성하려면 다음을 수행합니다.

  1. 이더넷 인터페이스를 구성하고 IPv6 주소를 할당합니다.

  2. IPv6 트래픽에 대한 플로우 기반 처리를 활성화합니다.

  3. 보안 영역을 구성하고 인터페이스를 추가하며 모든 시스템 서비스와 인터페이스를 허용합니다. 보안 영역을 구성하고 인터페이스 et-2/1/0.0에서 허용되는 트래픽 및 프로토콜 유형을 지정합니다.

  4. 보안 영역을 구성하고 인터페이스를 추가하며 모든 시스템 서비스와 인터페이스를 허용합니다. 보안 영역을 구성하고 인터페이스 et-2/3/0.0에서 허용되는 트래픽 및 프로토콜 유형을 지정합니다.

  5. 정책을 생성하고 해당 정책에 대한 일치 기준을 지정합니다. 일치 기준은 디바이스가 모든 소스에서 모든 대상 및 애플리케이션의 트래픽을 허용하도록 지정합니다. 보안 정책에서 Express Path를 활성화합니다.

    참고:

    소스 및 대상 주소 일치 기준에 대해 와일드카드 any-ipv6을 지정하여 IPv6 주소만 포함할 수 있습니다. 소스 및 대상 주소 일치 기준에 대한 옵션을 지정하여 IPv4 및 IPv6 주소 모두를 포함합니다.

  6. IOC 카드에서 Express Path 모드를 설정합니다.

결과

구성 모드에서 show chassis 명령을 입력하여 구성을 확인합니다. 출력에 의도한 구성이 표시되지 않으면 이 예의 지침을 반복하여 구성을 수정합니다.

디바이스 구성이 완료되면 구성 모드에서 커밋을 입력합니다.

Express Path용 IOC 카드 구성 확인

목적

Express Path에 대해 IOC 카드가 올바르게 구성되었는지 확인합니다.

작업

운영 모드에서 show chassis fpc pic-status 명령을 입력합니다.

의미

출력은 Express Path가 활성화된 PIC의 상태를 제공합니다.

디바이스에서 모든 활성 세션 확인

목적

디바이스에서 현재 활성화된 모든 Express Path 세션에 대한 정보를 표시합니다.

작업

운영 모드에서 show security flow 세션 서비스 오프로드 명령을 입력합니다.

의미

출력은 Express Path가 활성화된 세션에 대한 정책 세부 정보를 제공합니다.