SRX 시리즈 디바이스에서의 트래픽 처리 개요

플로우 기반 처리 이해하기

패킷은 패킷 기반 필터를 적용한 후 플로우 기반 처리가 진행되며 일부 스크린이 적용됩니다. 단일 플로우에 대한 모든 플로우 기반 처리는 단일 서비스 프로세싱 유닛(SPU)에서 발생합니다. SPU는 세션에 대해 구성된 보안 기능 및 기타 서비스에 따라 플로우 패킷을 처리합니다.

그림 1은 서비스 게이트웨이에서 플로우 기반 트래픽 처리가 어떻게 발생하는지에 대한 개념적 뷰를 보여줍니다.

그림 1: 플로우 기반 처리를 위한 트래픽 플로우

플로우는 동일한 일치 기준을 충족하고 동일한 특성을 공유하는 관련 패킷 스트림입니다. Junos OS 동일한 방식으로 동일한 플로우에 속한 패킷을 처리합니다.

패킷에 적용되는 보안 정책, 즉 ALG(애플리케이션 레이어 Gateway)가 필요한 경우, 패킷의 소스 및/또는 대상 IP 주소를 변환하기 위해 NAT가 적용되는 경우 패킷의 운명을 결정하는 구성 설정이 플로우의 첫 번째 패킷에 대해 평가됩니다.

NPU는 패킷에 대한 플로우가 존재하는지 확인하기 위해 다음 일치 기준에 따라 패킷의 정보를 기존 세션의 정보와 일치시키려 합니다.

• 소스 주소

• 대상 주소

• 소스 포트

• 대상 포트

• 프로토콜

• 지정된 영역 및 가상 라우터 대한 고유한 세션 토큰 번호

• 존(Zone) 및 정책
• 플로우 및 세션

패킷 기반 처리 이해하기

패킷은 입력 인터페이스의 대기열에서 제거되고 출력 인터페이스의 대기열에 추가되기 전에 패킷 기반 처리를 받습니다.

패킷 기반 처리는 스테이트리스 방화벽 필터, CoS 기능 및 일부 스크린을 개별 패킷에 적용합니다.

• 패킷이 인터페이스에 도착하면 온전성 검사, 패킷 기반 필터, 일부 CoS 기능 및 일부 화면이 적용됩니다.

• 패킷이 디바이스를 떠나기 전에 모든 패킷 기반 필터, 일부 CoS 기능 및 인터페이스와 관련된 일부 화면이 패킷에 적용됩니다.

필터 및 CoS 기능은 일반적으로 시스템을 전송할 수 있는 패킷에 영향을 미치고 필요에 따라 패킷에 특별한 조치를 적용하기 위해 하나 이상의 인터페이스와 연결됩니다.

다음 주제는 전송 트래픽에 구성하고 적용할 수 있는 패킷 기반 기능의 종류에 대해 설명합니다.

• 스테이트리스 방화벽 필터
• 서비스 등급(Class of Service) 기능
• 화면

플로우 처리 및 세션 관리 이해

이 주제는 플로우를 구성하는 패킷을 처리하기 위해 세션이 어떻게 설정되는지 설명합니다. 다음 항목에서 SPU는 SRX210 또는 SRX320 서비스 게이트웨이 데이터 플레인 스레드를 나타냅니다.

처음에 데이터 플레인 스레드는 패킷을 가져오고 기본 온전성 검사를 수행합니다. 그런 다음 스테이트리스 필터 및 CoS(classifier)에 대한 패킷을 처리하고 일부 화면을 적용합니다.

첫 번째 패킷 처리 이해하기

패킷이 기존 플로우에 속하는지 판단하기 위해 디바이스는 다음 6개의 일치 기준에 따라 패킷의 정보를 기존 세션의 정보와 일치시키려 합니다.

• 소스 주소

• 대상 주소

• 소스 포트

• 대상 포트

• 프로토콜

• 지정된 영역 및 가상 라우터 고유한 토큰

SPU는 패킷에 대한 기존 세션에 대한 세션 테이블을 확인합니다. 기존 세션이 없으면 SPU가 플로우에 대한 세션을 설정합니다. 세션 일치가 발견되면 세션이 이미 생성되었으므로 SPU는 패킷에서 빠른 경로 처리를 수행합니다.

세션 생성 이해하기

세션을 설정할 때 SPU는 패킷에 대해 다음 서비스를 실행합니다.

• 화면

• 경로 조회

• 정책 조회

• 서비스 조회

• NAT(필요한 경우)

세션이 설정된 후 플로우에 속한 모든 패킷에 사용됩니다. 플로우 패킷은 세션의 매개 변수에 따라 처리됩니다. 패킷 처리에 수반되는 나머지 단계는 "Fast-Path Processing"의 1단계로 진행합니다. 모든 패킷은 빠른 경로 처리를 받습니다.

빠른 경로 처리 이해하기

패킷이 세션과 일치하면 Junos OS 다음 단계에 설명된 대로 빠른 경로 처리를 수행합니다. 플로우의 첫 번째 패킷에 대한 세션이 설정된 후 빠른 경로 처리도 진행됩니다. 모든 패킷은 빠른 경로 처리를 받습니다.

1. SPU는 패킷에 플로우 기반 보안 기능을 적용합니다.

   • 구성된 화면이 적용됩니다.

   • TCP 검사가 수행됩니다.

   • 필요한 경우 NAT, ALG 및 IPsec과 같은 플로우 서비스가 적용됩니다.

2. SPU는 패킷 포워딩을 위해 패킷을 준비하고 전송합니다.

   • 라우팅 패킷 필터가 적용됩니다.

   • 트래픽 셰이핑이 적용됩니다.

   • 트래픽 우선 순위가 적용됩니다.

   • 트래픽 스케줄링이 적용됩니다.

   • 패킷이 전송됩니다.

세션 설정에 관련된 구성 요소

다음은 SRX3400 및 SRX3600 디바이스를 전송할 때 패킷에 대한 세션을 설정하고 패킷을 처리하는 데 관련된 주요 구성 요소에 대한 개요입니다.

• 서비스 처리 유닛(SPU) - SRX3400 및 SRX3600 디바이스의 메인 프로세서는 SPC(Services Processing Card)에 상주합니다. 트래픽 플로우를 설정 및 관리하고 디바이스를 전송할 때 패킷에서 대부분의 패킷 처리를 수행합니다. 각 SPU는 빠른 세션 조회를 위해 해시 테이블을 유지합니다. SPU는 보안 서비스, 분류자 및 트래픽 셰이퍼 애플리케이션을 포함하여 패킷에 대한 모든 플로우 기반 처리를 수행합니다. 동일한 플로우에 속하는 모든 패킷은 동일한 SPU에 의해 처리됩니다.

  SPU는 설정된 모든 세션과 패킷이 처리되는 모든 세션에 대한 항목이 있는 세션 테이블을 유지합니다. SPU가 NPU로부터 패킷을 수신하면 세션 테이블을 확인하여 패킷이 해당 패킷에 속하는지 확인합니다.

  SRX3400 및 SRX3600 디바이스의 경우, 하나의 SPU는 정규 세션 관리 및 플로우 처리 기능을 수행하고 세션을 중재하고 리소스를 할당하는 중앙 지점 역할을 함께 수행합니다. SPU가 이러한 방식으로 작동하면 콤보 모드라고 합니다.

• 센트럴 포인트 - 중앙 포인트는 로드 밸런싱 기준에 따라 SPU에 세션 관리를 할당하는 데 사용됩니다. 여러 SPU가 동일한 플로우를 잘못 처리할 수 있는 발생을 피하기 위해 지능적으로 세션을 배포합니다. 중앙 포인트는 SPU에 세션을 할당할 때 로드 밸런싱 기준을 따릅니다. 세션이 존재하는 경우 중앙 포인트는 해당 플로우에 대한 패킷을 SPU 호스팅로 전달합니다. 또한 NPU가 실패할 경우 패킷을 올바른 SPU로 리디렉션합니다.

  SRX3400 및 SRX3600 디바이스의 경우, 하나의 SPU는 항상 중앙 지점의 기능과 플로우 및 세션 관리 기능을 모두 구현하는 콤보 모드라고 하는 콤보 모드에서 실행됩니다. 콤보 모드에서 SPU와 중앙 지점은 동일한 로드 밸런싱 스레드(LBT) 및 POT(Packet-Ordering Thread) 인프라를 공유합니다. .

• 라우팅 엔진(RE) - 라우팅 엔진 컨트롤 플레인을 실행하고 컨트롤 플레인 프로세서(CPP)를 관리합니다.

유니캐스트 세션을 위한 데이터 경로 이해하기

SRX3400 및 SRX3600 서비스 게이트웨이용 Junos OS 분산 병렬 프로세싱 높은 처리량과 고성능 시스템입니다. 이 주제에서는 디바이스를 전송하는 플로우에 속하는 패킷에 대한 세션을 설정하는 프로세스에 대해 설명합니다.

서비스가 플로우 패킷에 적용되는 지점을 포함하여 세션 설정 및 패킷 "walk"를 설명하려면 다음 예제에서는 유니캐스트 세션의 간단한 케이스를 사용합니다. 이 패킷 "walk"는 Junos OS 패킷에서 수행하는 패킷 기반 처리 및 플로우 기반 처리를 함께 제공합니다.

세션 조회 및 패킷 일치 기준

패킷이 기존 플로우에 속하는지 판단하기 위해 디바이스는 다음 6개의 일치 기준에 따라 패킷의 정보를 기존 세션의 정보와 일치시키려 합니다.

• 소스 주소

• 대상 주소

• 소스 포트

• 대상 포트

• 프로토콜

• 지정된 영역 및 가상 라우터 고유한 토큰

세션 생성 이해: 첫 번째 패킷 처리

이 주제는 플로우를 구성하는 패킷을 처리하기 위해 세션이 어떻게 설정되는지 설명합니다. 프로세스를 설명하기 위해 이 주제는 소스 "a"와 대상 "b"가 있는 예를 사용합니다. 플로우 패킷의 소스에서 목적지로의 방향은 (-> b)라고 합니다. 목적지에서 소스로의 방향을 (b-> a)라고 합니다.

1. 패킷은 디바이스의 인터페이스에 도달하고 IOC는 이를 처리합니다.

   IOC는 패킷을 디퀴우고 통신하는 NPU로 보냅니다.

2. NPU는 IOC로부터 패킷을 수신하고 처리합니다.

   • NPU는 패킷에 대한 기본 온전성 검사를 수행하고 인터페이스에 구성된 일부 화면을 패킷에 적용합니다.

   • 세션 일치가 발견되면, 세션이 할당된 SPU에서 이미 생성되었으므로 NPU는 세션 ID와 함께 처리를 위해 패킷을 SPU로 전달합니다.

   예: 패킷(->b)이 IOC1에서 NPU1에 도착합니다. NPU1은 온전성 검사를 수행하고 패킷에 DoS 화면을 적용합니다. NPU1은 튜플 일치에 대한 세션 테이블을 확인하며 기존 세션은 발견되지 않습니다. NPU1은 SPU에 할당하기 위해 패킷을 SPU1의 중앙 지점으로 전달합니다.

3. 중앙 포인트는 "보류 중" 상태로 세션을 만듭니다.

   중앙 포인트는 디바이스의 모든 SPU에 걸쳐 존재하는 모든 세션에 대한 항목을 포함하는 글로벌 세션 테이블을 유지합니다. 세션 생성에 참여하고 위임하고 세션 리소스 할당을 중재합니다.

   이 프로세스에는 다음 부분이 수반됩니다.

   1. 중앙 포인트는 세션 테이블과 게이트 테이블을 확인하여 NPU에서 수신하는 패킷에 대한 세션 또는 게이트가 존재하는지 확인합니다. (NPU가 패킷을 중앙 포인트로 전달한 이유는 테이블이 세션이 없음을 나타내기 때문입니다. 중앙 포인트는 세션에 SPU를 할당하기 전에 이 정보를 확인합니다.)

   2. 패킷과 일치하는 항목이 없는 경우 중앙 포인트는 세션에 대한 보류 중인 날개를 생성하고 로드 밸런싱 알고리즘을 기반으로 세션에 사용할 SPU를 선택합니다.

   3. 중앙 포인트는 플로우의 첫 번째 패킷을 선택한 SPU로 전달하여 패킷 플로우에 사용될 세션을 로컬로 설정하라는 메시지를 표시합니다.

      예: 중앙점은 세션에 대한 보류 중인 날개(->b)를 만듭니다. 세션에 사용할 SPU1을 선택합니다. SPU1에 (a->b) 패킷을 메시지와 함께 전송하여 세션을 만듭니다. (SPU1이 콤보 모드에서 실행되는 SPU인 경우 발생합니다. 따라서 세션 관리 및 플로우 처리 서비스가 세션에 사용됩니다.

4. SPU가 세션을 설정합니다.

   각 SPU에도 세션에 대한 정보가 들어 있는 세션 테이블이 있습니다. SPU가 중앙 지점에서 세션을 설정하기 위한 메시지를 수신하면 세션 테이블을 확인하여 패킷에 대한 세션이 존재하지 않았는지 확인합니다.

   1. 패킷에 대한 기존 세션이 없는 경우 SPU는 세션을 로컬로 설정합니다.

   2. SPU는 세션을 설치하라는 메시지를 중앙 지점에 보냅니다.

   첫 번째 패킷 처리 중에 NAT가 활성화된 경우 SPU는 NAT에 IP 주소 리소스를 할당합니다. 이 경우, 세션에 대한 첫 번째 패킷 처리는 NAT 할당 프로세스가 완료될 때까지 일시 중단됩니다.

   SPU는 세션이 설치될 때까지 수신할 수 있는 플로우에 대한 추가 패킷을 대기열에 추가합니다.

   예: SPU1은 (a->b)에 대한 세션을 생성하고 보류 중인 세션을 설치하라는 메시지를 중앙 지점(동일한 SPU에 구현)으로 다시 보냅니다.

5. 중앙 지점은 세션을 설치합니다.

   • 세션 보류 중인 날개의 상태가 활성화됩니다.

   • 세션의 역방향 날개를 활성 날개로 설치합니다.

   • 세션이 설치되었음을 나타내는 ACK(승인) 메시지를 SPU에 보냅니다.

   예: 중앙 포인트는 SPU1에서 (a->b)에 대한 세션을 설치하라는 메시지를 수신합니다. (a->b) 날개의 세션 상태를 활성 상태로 설정합니다. 세션에 대해 역방향 날개(b->a)를 설치하고 활성화합니다. 이를 통해 플로우의 역방향인 대상(b)에서 소스(a)로 패킷을 전달할 수 있습니다.

6. SPU는 수신 및 송신 NPU에 세션을 설정합니다.

   NPU는 패킷 전달 및 전달을 위한 세션에 대한 정보를 유지합니다. 세션 정보는 송신 및 수신 NPU(때로는 동일함)에 설정되므로 패킷은 리디렉션을 위한 중앙 지점이 아닌 플로우를 관리하는 SPU로 직접 전송될 수 있습니다.

7. 빠른 경로 처리가 이루어집니다.

   패킷 처리에 수반되는 나머지 단계는 "빠른 경로 처리 이해하기"의 1단계로 진행됩니다.

빠른 경로 처리 이해하기

모든 패킷은 빠른 경로 처리를 받습니다. 그러나 패킷에 대한 세션이 존재하는 경우 패킷은 빠른 경로 처리를 거치고 첫 번째 패킷 프로세스를 우회합니다. 패킷 플로우에 대한 세션이 이미 있는 경우 패킷은 중앙 지점을 전송하지 않습니다.

다음은 빠른 경로 처리의 작동 방식입니다. 송신 및 수신 인터페이스의 NPU에는 패킷 플로우를 관리하는 SPU 식별이 포함된 세션 테이블이 포함되어 있습니다. NPU는 이 세션 정보를 가지고 있기 때문에 역방향 트래픽을 포함한 플로우에 대한 모든 트래픽은 처리를 위해 해당 SPU로 직접 전송됩니다.

SRX1400, SRX3400 및 SRX3600 디바이스에서는 reth와 같은 어그리게이션 인터페이스에 대해 iflset 기능이 지원되지 않습니다.

첫 번째 패킷 처리 이해하기

그림 4는 플로우의 첫 번째 패킷이 디바이스에 들어갈 때 걸리는 경로를 보여줍니다. NPU는 패킷에 대한 세션이 존재하지 않는다고 결정하고 NPU는 패킷을 분산 중앙 지점으로 전송하여 분산 중앙 포인트 세션을 설정합니다. 그런 다음 분산된 중앙 포인트는 애플리케이션 중앙 포인트로 메시지를 전송하여 SPU를 선택하여 패킷에 대한 세션을 설정하고 패킷을 처리합니다. 그런 다음 분산된 중앙 포인트는 패킷을 해당 SPU로 보냅니다. SPU는 패킷을 처리하고 디바이스에서 전송하기 위해 NPU로 보냅니다. (이 높은 수준의 설명은 패킷에 기능의 적용을 다루지 않습니다.)

그림 4: 첫 번째 패킷 처리

플로우의 첫 번째 패킷이 시스템을 통과하고 세션을 위해 설정된 후에는 빠른 경로 처리를 겪습니다.

플로우 내의 후속 패킷은 또한 빠른 경로 처리를 겪습니다. 이 경우, 각 패킷이 세션에 들어가고 NPU가 세션 테이블에서 이에 대한 일치를 찾은 후 NPU는 패킷을 세션을 관리하는 SPU로 전달합니다.

그림 5 는 빠른 경로 처리를 보여줍니다. 이것은 플로우가 관련 패킷에 대해 이미 설정되었을 때 패킷이 걸리는 경로입니다. (또한 플로우의 첫 번째 패킷이 시작된 패킷이 설정된 플로우에 대한 세션 이후에 걸리는 경로이기도 합니다.) 패킷이 디바이스에 들어간 후 NPU는 세션 테이블에서 패킷과 일치하는 것을 발견하고 패킷의 세션을 관리하는 SPU로 패킷을 전달합니다. 패킷은 중앙 지점과의 상호 작용을 우회합니다.

빠른 경로 처리 이해하기

다음 섹션에서는 세션이 어떻게 생성되고 패킷이 디바이스를 전송할 때 발생하는 프로세스를 설명합니다.

그림 5: 고속 경로 처리

다음은 SRX5400, SRX5600 및 SRX5800 디바이스를 전송할 때 개별 및 플로우의 일부로 패킷에 대한 세션을 설정하고 패킷을 처리하는 데 관련된 주요 구성 요소에 대한 개요입니다.

• 네트워크 처리 유닛(NPU) - NPU가 IOC에 상주합니다. 일부 스크린의 패킷 온전성 검사 및 적용을 처리합니다. NPU는 수신 패킷 또는 역방향 트래픽에 대한 세션이 존재하는지 결정하는 데 사용하는 세션 테이블을 유지합니다.

  NPU 세션 테이블에는 이전에 인터페이스를 통해 디바이스에 들어갔고 이 NPU에 의해 처리된 패킷에 대해 SPU에서 세션이 설정된 경우 세션에 대한 항목이 포함됩니다. SPU는 세션을 생성할 때 NPU 테이블에 세션을 설치합니다.

  NPU는 패킷 정보를 세션 테이블에 대해 확인하여 패킷에 대한 세션이 존재하는지 결정합니다. 패킷이 기존 세션과 일치하면 NPU는 패킷과 메타데이터를 SPU로 보냅니다. 세션이 없는 경우 NPU는 해시 알고리즘을 사용하여 계산되는 하나의 SPU로 패킷을 보냅니다.

• 서비스 처리 유닛(SPU) - SRX5400, SRX5600 및 SRX5800 디바이스의 메인 프로세서는 SPC에 상주합니다. SPU는 트래픽 흐름을 설정 및 관리하고 디바이스를 전송할 때 패킷에서 대부분의 패킷 처리를 수행합니다. 각 SPU는 빠른 세션 조회를 위해 해시 테이블을 유지합니다. SPU는 스테이트리스 방화벽 필터, 분류자 및 트래픽 셰이퍼를 트래픽에 적용합니다. SPU는 패킷 및 대부분의 패킷 기반 처리에 대해 모든 플로우 기반 처리를 수행합니다. 각 멀티코어 SPU는 동일하거나 다른 SPC에서 SPU 간의 최소 상호 작용을 통해 패킷을 독립적으로 처리합니다. 동일한 플로우에 속하는 모든 패킷은 동일한 SPU에 의해 처리됩니다.

  SPU는 설정된 모든 세션과 패킷이 처리되는 모든 세션에 대한 항목이 있는 세션 테이블을 유지합니다. SPU가 NPU로부터 패킷을 수신하면 세션 테이블을 확인하여 패킷이 해당 패킷에 속하는지 확인합니다. 또한 분산된 중앙 포인트에서 패킷을 수신할 때 세션 테이블을 확인하고 패킷에 대한 기존 세션이 없는지 확인하기 위해 해당 패킷에 대한 세션을 설정하는 메시지를 보냅니다.

• 중앙점 - 중앙 포인트 아키텍처는 두 개의 모듈, 즉 애플리케이션 중앙 지점과 분산된 중앙 지점으로 나뉩니다. 애플리케이션 중앙 지점은 글로벌 리소스 관리 및 로드 밸런싱을 담당하는 반면, 분산된 중앙 포인트는 트래픽 식별(글로벌 세션 일치)을 담당합니다. 애플리케이션 중앙 포인트 기능은 전용 중앙 포인트 SPU에서 실행되는 반면 분산된 중앙 포인트 기능은 나머지 SPU에 배포됩니다. 이제 중앙 포인트 세션은 더 이상 전용 중앙 포인트 SPU가 아니라 다른 플로우 SPU의 분산 중앙 지점에 있습니다.

• 라우팅 엔진 - 라우팅 엔진 컨트롤 플레인을 실행합니다.

유니캐스트 세션을 위한 데이터 경로 이해하기

이 섹션에서는 디바이스를 전송하는 플로우에 속하는 패킷에 대한 세션을 설정하는 프로세스를 설명합니다.

이 예에서는 서비스가 플로우의 패킷에 적용되는 지점을 포함하여 세션 설정 및 패킷 "walk"를 보여주기 위해 단순한 유니캐스트 세션 케이스를 사용합니다.

이 패킷 "walk"는 Junos OS 패킷에서 수행하는 패킷 기반 처리 및 플로우 기반 프로세싱을 함께 제공합니다.

• 세션 조회 및 패킷 일치 기준
• 세션 생성 이해: 첫 번째 패킷 처리
• 빠른 경로 처리 이해하기

세션 생성 이해: 첫 번째 패킷 처리

이 섹션에서는 플로우를 구성하는 패킷을 처리하기 위해 세션이 어떻게 설정되는지 설명합니다. 프로세스를 설명하기 위해 이 섹션은 소스 "a"와 대상 "b"가 있는 예를 사용합니다. 플로우 패킷에 대한 소스에서 목적지로의 방향은 (->b)라고 합니다. 목적지에서 소스로의 방향을 (b->a)라고 합니다.

1단계. 패킷이 디바이스의 인터페이스에 도달하고 NPU가 패킷을 처리합니다.

이 섹션에서는 패킷이 SRX 시리즈 디바이스 수신 IOC에 도착하면 어떻게 처리되는지 설명합니다.

1. 패킷은 디바이스의 IOC에 도착하며 IOC의 NPU에 의해 처리됩니다.

2. NPU는 패킷에 대한 기본 온전성 검사를 수행하고 인터페이스에 구성된 일부 화면을 패킷에 적용합니다.

3. NPU는 패킷에 대한 기존 세션에 대한 세션 테이블을 확인합니다. (패킷의 튜플을 세션 테이블의 기존 세션에 대한 패킷과 비교합니다.)

   1. 기존 세션이 없으면 NPU는 패킷을 해시 SPU로 전달합니다.

   2. 세션 일치가 발견되면, 세션이 할당된 SPU에서 이미 생성되었으므로 NPU는 세션 ID와 함께 처리를 위해 패킷을 SPU로 전달합니다.

Example: 패킷(->b)이 NPU1에 도착합니다. NPU1은 온전성 검사를 수행하고 패킷에 DoS 화면을 적용합니다. NPU1은 튜플 일치에 대한 세션 테이블을 확인하며 기존 세션은 발견되지 않습니다. NPU1은 패킷을 SPU로 전달합니다.

2단계. 분산된 중앙점은 "보류 중" 상태로 세션을 만듭니다.

NPU가 패킷을 수신하면 NPU는 해시 알고리즘을 기반으로 이를 분산 중앙 지점으로 보냅니다. 그런 다음 분산된 중앙점은 분산된 중앙 포인트 세션 테이블을 올려다 보고 필요한 경우 항목을 만듭니다.

이 프로세스에는 다음 부분이 수반됩니다.

1. 분산된 중앙점은 세션 테이블을 확인하여 NPU에서 수신한 패킷에 대한 세션이 존재하는지 확인합니다. (NPU는 패킷에 대한 기존 세션을 찾을 수 없기 때문에 패킷을 분산 중앙 포인트로 전달합니다)

2. 분산된 중앙 포인트 세션 테이블에 패킷과 일치하는 항목이 없는 경우, 분산된 중앙 포인트는 세션에 대한 보류 중인 날개를 만듭니다. 그런 다음 분산된 중앙 포인트는 애플리케이션 중앙 지점에 쿼리 메시지를 보내 세션에 사용할 SPU를 선택합니다.

3. 쿼리 메시지를 수신할 때 애플리케이션 중앙점은 게이트 테이블을 확인하여 패킷에 대한 게이트가 존재하는지 확인합니다. 게이트가 일치하거나 다른 세션 배포 알고리즘이 트리거되면 애플리케이션 중앙 포인트는 패킷을 처리하기 위해 다른 SPU를 선택합니다. 그렇지 않으면 SPU(즉, 분산 중앙 포인트 SPU)가 선택됩니다. 마지막으로 애플리케이션 중앙 포인트는 분산된 중앙 지점에 대한 쿼리 응답을 보냅니다.

4. 쿼리 응답을 수신할 때, 분산된 중앙 지점은 플로우의 첫 번째 패킷을 선택된 SPU로 전달하여 SPU가 패킷 플로우에 사용될 세션을 로컬로 설정하도록 지시합니다. 예를 들어, 분산된 중앙점은 세션에 대한 보류 중인 날개(->b)를 생성합니다. 애플리케이션 중앙 포인트는 사용할 SPU1을 선택합니다. 분산된 중앙 지점은 SPU1을 (a->b) 패킷과 함께 전송하여 분산된 중앙 지점에 대한 세션을 만듭니다.

Example: 분산된 중앙점은 세션에 대한 보류 중인 날개(->b)를 생성합니다. 사용할 SPU1을 선택합니다. SPU1에 (a->b) 패킷을 메시지와 함께 전송하여 세션을 만듭니다.

3단계. SPU가 세션을 설정합니다.

각 SPU에도 세션에 대한 정보가 들어 있는 세션 테이블이 있습니다. SPU가 분산된 중앙 지점에서 세션을 설정하기 위한 메시지를 수신하면 세션 테이블을 확인하여 패킷에 대한 세션이 존재하지 않았는지 확인합니다.

1. 패킷에 대한 기존 세션이 없는 경우 SPU는 세션을 로컬로 설정합니다.

2. SPU는 분산된 중앙 지점에 세션을 설치하도록 지시하는 메시지를 보냅니다.

   참고:

   첫 번째 패킷 처리 중에 NAT가 활성화된 경우 SPU는 NAT에 IP 주소 리소스를 할당합니다. 이 경우, 세션에 대한 첫 번째 패킷 처리는 NAT 할당 프로세스가 완료될 때까지 일시 중단됩니다.

SPU는 세션이 설치될 때까지 수신할 수 있는 플로우에 대한 추가 패킷을 대기열에 추가합니다.

Example: SPU1은 (->b)에 대한 세션을 생성하고 분산된 중앙 지점으로 다시 메시지를 전송하여 보류 중인 세션을 설치하도록 지시합니다.

4단계. 분산된 중앙 지점은 세션을 설치합니다.

분산된 중앙 지점은 SPU로부터 설치 메시지를 수신합니다.

1. 분산된 중앙 지점은 세션 보류 중인 날개의 상태를 활성 상태로 설정합니다.

2. 분산된 중앙 지점은 세션의 역방향 날개를 활성 날개로 설치합니다.

   참고:

   NAT와 같은 경우에 역방향 날개는 init wing 분산 중앙점과 다른 분산 중앙 지점에 설치될 수 있습니다.

3. 세션이 설치되었음을 나타내는 승인(ACK) 메시지를 SPU에 보냅니다.

Example: 분산된 중앙점은 SPU1로부터 (a->b) 날개에 세션을 설치하는 메시지를 수신합니다. (a->b) 날개의 세션 상태를 활성 상태로 설정합니다. 세션에 대해 역방향 날개(b->a)를 설치하고 활성화합니다. 이를 통해 플로우의 역방향인 대상(b)에서 소스(a)로 패킷을 전달할 수 있습니다.

5단계. SPU는 수신 및 송신 NPU에서 세션을 설정합니다.

NPU는 패킷 전달 및 전달을 위한 세션에 대한 정보를 유지합니다. 세션 정보는 송신 및 수신 NPU(때로는 동일함)에 설정되므로 패킷은 리디렉션을 위해 분산된 중앙 지점이 아닌 플로우를 관리하는 SPU로 직접 전송될 수 있습니다.

6단계. 빠른 경로 처리가 이루어집니다.

패킷 처리에 수반되는 나머지 단계는 Fast Path Processing 이해하기의 1단계로 진행됩니다.

그림 6은 플로우의 첫 번째 패킷이 디바이스에 도달한 후 발생하는 프로세스의 첫 번째 부분을 보여줍니다. 이 시점에서 패킷 및 플로우에 속하는 나머지 패킷을 처리하기 위한 세션이 설정됩니다. 그 후, 해당 패킷과 플로우의 나머지 패킷은 빠른 경로 처리를 받습니다.

그림 6: 세션 생성: 첫 번째 패킷 처리

빠른 경로 처리 이해하기

모든 패킷은 빠른 경로 처리를 받습니다. 그러나 패킷에 대한 세션이 존재하는 경우 패킷은 빠른 경로 처리를 거치고 첫 번째 패킷 프로세스를 우회합니다. 패킷 플로우에 대한 세션이 이미 있는 경우 패킷은 중앙 지점을 전송하지 않습니다.

다음은 빠른 경로 처리의 작동 방식입니다. 송신 및 수신 인터페이스의 NPU에는 패킷 플로우를 관리하는 SPU 식별이 포함된 세션 테이블이 포함되어 있습니다. NPU는 이 세션 정보를 가지고 있기 때문에 역방향 트래픽을 포함한 플로우에 대한 모든 트래픽은 처리를 위해 해당 SPU로 직접 전송됩니다.

빠른 경로 프로세스를 보여주기 위해 이 섹션은 소스 "a"와 대상 "b"가 있는 예를 사용합니다. 플로우 패킷의 소스에서 목적지까지의 방향은 (a->b)라고 합니다. 목적지에서 소스로의 방향을 (b->a)라고 합니다.

1단계. 패킷이 디바이스에 도착하며 NPU는 패킷을 처리합니다.

이 섹션은 서비스 게이트웨이의 IOC에 도달할 때 패킷이 어떻게 처리되는지 설명합니다.

1. 패킷은 디바이스의 IOC에 도착하며 카드의 NPU에 의해 처리됩니다.

   NPU는 건전성 검사를 수행하고 서비스 거부(DoS) 화면과 같은 일부 화면을 패킷에 적용합니다.

2. NPU는 패킷이 일치하는 세션 테이블의 기존 세션에 대한 항목을 식별합니다.

3. NPU는 세션 ID 및 패킷 튜플 정보를 포함한 세션 테이블의 메타데이터와 함께 패킷을 플로우에 대한 세션을 관리하는 SPU로 전달하고, 스테이트리스 방화벽 필터와 CoS 기능을 패킷에 적용하며, 패킷의 플로우 처리 및 보안 및 기타 기능 적용을 처리합니다.

Example: 패킷(->b)이 NPU1에 도착합니다. NPU1은 패킷에 대한 온전성 검사를 수행하고, DoS 화면을 적용하고, 세션 테이블을 확인하여 튜플 일치를 확인합니다. 일치를 발견하고 SPU1의 패킷에 대한 세션이 존재합니다. NPU1은 처리를 위해 패킷을 SPU1로 전달합니다.

2단계. 세션용 SPU는 패킷을 처리합니다.

패킷 처리의 대부분은 세션이 할당된 SPU에서 발생합니다. 해당되는 경우 스테이트리스 방화벽 필터, 트래픽 셰이퍼 및 분류자와 같은 패킷 기반 기능에 대해 패킷이 처리됩니다. 구성된 플로우 기반 보안 및 방화벽 기능, NAT, ALG 등과 같은 관련 서비스가 패킷에 적용됩니다. (보안 서비스가 세션에 대해 어떻게 결정되는지에 대한 정보.

1. 패킷을 처리하기 전에 SPU는 세션 테이블을 확인하여 패킷이 해당 세션 중 하나에 속하는지 확인합니다.

2. SPU는 해당 기능 및 서비스에 대한 패킷을 처리합니다.

Example: SPU1은 NPU1에서 패킷(a->b)을 수신합니다. SPU1은 세션 테이블을 확인하여 패킷이 해당 세션 중 하나에 속하는지 확인합니다. 그런 다음 입력 인터페이스에 적용되는 입력 필터 및 CoS 기능에 따라 패킷(->b)을 처리합니다. SPU는 영역 및 정책을 기반으로 패킷의 플로우에 구성된 보안 기능과 서비스를 적용합니다. 구성된 경우 출력 필터, 트래픽 셰이퍼 및 추가 스크린을 패킷에 적용합니다.

3단계. SPU는 패킷을 NPU로 전달합니다.

1. SPU는 패킷을 NPU로 전달합니다.

2. NPU는 인터페이스와 관련된 모든 해당 스크린을 패킷에 적용합니다.

Example: SPU1은 패킷(->b)을 NPU2로 전달하고 NPU2는 DoS 스크린을 적용합니다.

4단계. 인터페이스는 디바이스에서 패킷을 전송합니다.

Example: 인터페이스는 디바이스로부터 패킷(a->b)을 전송합니다.

5단계. 역방향 트래픽 패킷이 송신 인터페이스에 도달하고 NPU가 이를 처리합니다.

이 단계는 1단계를 역으로 정확히 미러합니다. 자세한 내용은 이 섹션 1단계를 참조하십시오.

Example: 패킷(b->a)이 NPU2에 도착합니다. NPU2는 튜플 일치에 대한 세션 테이블을 확인합니다. 일치를 발견하고 SPU1의 패킷에 대한 세션이 존재합니다. NPU2는 처리를 위해 패킷을 SPU1로 전달합니다.

6단계. 세션용 SPU는 역방향 트래픽 패킷을 처리합니다.

이 단계는 역 트래픽에 적용된다는 점을 제외하고는 2단계와 동일합니다. 자세한 내용은 이 섹션 2단계를 참조하십시오.

Example: SPU1은 NPU2로부터 패킷(b->a)을 수신합니다. 세션 테이블을 확인하여 패킷이 NPU2로 식별된 세션에 속하는지 확인합니다. 그런 다음 NPU1의 인터페이스를 위해 구성된 패킷 기반 기능을 패킷에 적용합니다. 영역 및 정책을 기반으로 플로우에 구성된 보안 기능 및 기타 서비스에 따라 패킷(b->a)을 처리합니다.

7단계. SPU는 역방향 트래픽 패킷을 NPU로 전달합니다.

이 단계는 역방향 트래픽에 적용된다는 점을 제외하고는 3단계와 동일합니다. 자세한 내용은 이 섹션 3단계를 참조하십시오.

Example: SPU1은 패킷(b->a)을 NPU1로 전달합니다. NPU1은 인터페이스에 대해 구성된 모든 화면을 처리합니다.

8. 인터페이스가 디바이스에서 패킷을 전송합니다.

이 단계는 역방향 트래픽에 적용된다는 점을 제외하고는 4단계와 동일합니다. 자세한 내용은 이 섹션 4단계를 참조하십시오.

예: 인터페이스는 디바이스에서 패킷(b->a)을 전송합니다.

그림 7은 패킷이 디바이스에 도달할 때 발생하는 프로세스와 패킷이 속한 플로우에 대한 세션이 존재하는 것을 보여줍니다.

그림 7: 고속 경로 처리를 위한 패킷 워크

서비스 처리 단위 이해하기

주어진 물리적 인터페이스의 경우, SPU는 물리적 인터페이스와 연결된 네트워크 프로세서 번들의 모든 네트워크 프로세서로부터 수신 패킷을 수신합니다. SPU는 물리적 인터페이스에서 네트워크 프로세서 번들 정보를 추출하고 동일한 5-튜플 해시 알고리즘을 사용하여 네트워크 프로세서 인덱스로 플로우를 매핑합니다. 네트워크 프로세서를 결정하기 위해 SPU는 네트워크 프로세서 번들의 네트워크 프로세서 인덱스 조회를 수행합니다. SPU는 외부 트래픽을 위해 물리적 인터페이스의 로컬 PIM(Physical Interface Module)으로 송신 패킷을 보냅니다.

스케줄러 특성 이해

SRX5400, SRX5600 및 SRX5800 디바이스의 경우 IOC는 다음과 같은 계층적 스케줄러 특성을 지원합니다.

• IFL – 네트워크 프로세서 번들의 구성은 물리적 인터페이스 데이터 구조에 저장됩니다. 예를 들어, SRX5400, SRX5600 및 SRX5800 디바이스는 최대 48개의 PIM을 갖습니다. 물리적 인터페이스는 48비트 비트 마스크를 사용하여 PIM을 나타낼 수 있으며, 물리적 인터페이스의 기본 네트워크 프로세서 외에 이 물리적 인터페이스의 네트워크 프로세서 트래픽이 분산됩니다.

  SRX5000 라인 디바이스에서는 reth와 같은 어그리게이션 인터페이스에 대해 iflset 기능이 지원되지 않습니다.

• IFD – 네트워크 프로세서 번들의 물리적 인터페이스와 연관된 논리적 인터페이스 가 네트워크 프로세서 번들에 PIM이 있는 모든 IOC에 전달됩니다.

네트워크 프로세서 묶음 이해하기

네트워크 프로세서 묶음 기능은 SRX5000 라인 장치에서 사용할 수 있습니다. 이 기능을 사용하면 패킷 처리를 위해 한 인터페이스에서 여러 네트워크 프로세서로 데이터 트래픽을 배포할 수 있습니다. 기본 네트워크 프로세서는 수신 트래픽을 수신하고 패킷을 다른 여러 보조 네트워크 프로세서에 배포하는 인터페이스에 할당됩니다. 단일 네트워크 프로세서는 기본 네트워크 프로세서 또는 여러 인터페이스에 대한 보조 네트워크 프로세서 역할을 할 수 있습니다. 단일 네트워크 프로세서는 하나의 네트워크 프로세서 번들에만 참여할 수 있습니다.

개요

SRX5K-MPC(IOC2), SRX5K-MPC3-100G10G(IOC3) 및 SRX5400, SRX5600 및 SRX5800 디바이스의 SRX5K-MPC3-40G10G(IOC3)는 세션 캐시의 선택적 설치와 세션 캐시의 선택적 설치를 지원합니다.

세션 캐시는 IOC의 네트워크 프로세서(NP)와 SPU 간의 대화를 캐시하는 데 사용됩니다. 대화는 세션, GTP-U 터널 트래픽, IPSec VPN 터널 트래픽 등이 될 수 있습니다. 대화에는 수신 트래픽에 대해 하나, 다른 하나는 역방향 트래픽을 위한 두 개의 세션 캐시 항목이 있습니다. 트래픽 수신 및 송신 포트의 위치에 따라 두 개의 항목이 동일한 네트워크 프로세서 또는 다른 네트워크 프로세서에 상주할 수 있습니다. IOC는 IPv6 세션에 대한 세션 캐시를 지원합니다.

세션 캐시 엔트리는 세션 윙이라고도 불립니다.

IOC의 세션 캐시는 Express Path(이전 의 서비스 오프로드) 기능을 활용하고 높은 지연 시간 및 IPsec 성능 저하와 같은 문제를 방지하는 데 도움이 됩니다.

세션 캐시 항목 레코드:

• 변환의 트래픽이 전달되어야 하는 SPU

• 송신 포트에 변환의 트래픽이 Express Path 모드에서 전달되어야 하는 경우

• 송신 트래픽에 대해 수행할 처리 작업(예: Express Path 모드의 NAT 변환)

Junos OS 릴리스 15.1X49-D10 및 Junos OS 릴리스 17.3R1부터 IOC 내 세션의 세션 캐시는 특정 성능 문제를 해결하는 데 도움이 됩니다. 이제 SPU는 IOC 세션 캐시에 후속 트래픽을 특정 앵커 SPU로 전달하도록 지시할 수 있습니다.

Junos OS 릴리스 15.1X49-D10부터 SRX5K-MPC(IOC2)와 IOC3는 향상된 플로우 모듈 및 세션 캐시를 통해 VPN 세션 선호도를 지원합니다. Junos OS 릴리스 12.3X48-D30부터는 IOC2에서 세션 캐시를 통한 VPN 세션 선호도가 지원됩니다.

다른 트래픽은 5-tuple 키 정보를 기반으로 SPU에 해시되었습니다. VPN 트래픽은 반드시 플로우 SPU의 기능과 일치하지 않는 고정된 SPU의 개념을 채택했습니다. 네트워크 프로세서는 5-tuple 해시를 기반으로 패킷을 flow SPU로만 전달할 수 있습니다. 그런 다음 플로우 SPU는 패킷을 고정된 SPU로 전달했습니다. 이로 인해 VPN 트래픽에 대한 추가 홉이 생성되어 스위치 패브릭 대역폭을 낭비하고 VPN 처리량을 약 절반으로 줄이게 되었습니다. 이러한 성능 감소는 트래픽이 고정된 SPU에서 처리된 후에도 플로우 SPU로 돌아가야 했기 때문에 발생했습니다.

세션 캐시 테이블은 이제 NP 세션을 지원하기 위해 IOC에서 확장됩니다. Express Path 트래픽과 NP 트래픽은 IOC에서 동일한 세션 캐시 테이블을 공유합니다. Express Path 트래픽은 트래픽이 SPU에서 어떤 서비스도 필요로 하지 않기 때문에 IOC 자체에서 로컬 또는 다른 IOC로 전달됩니다. NP 트래픽은 추가 처리를 위해 세션 캐시에 지정된 SPU로 전달됩니다. 모든 세션 캐시 항목은 Express Path 세션 트래픽과 NP 트래픽 모두에서 공유됩니다.

IOC에서 세션 캐시를 활성화하려면 명령을 실행 set chassis fpc <fpc-slot> np-cache 해야 합니다.

선택적 세션 캐시 설치

높은 지연 시간을 방지하고, IPSec 성능을 개선하고, 귀중한 리소스를 더 잘 활용하기 위해 플로우 모듈과 IOC 모두에 특정 우선 순위 메커니즘이 적용됩니다.

IOC는 세션 캐시 사용 임계값 수준을 유지 및 모니터링합니다. 또한 IOC는 세션 캐시 사용량을 SPU에 전달하므로 특정 세션 캐시 사용 임계값에 도달하면 SPU는 선택적 높은 우선 순위 트래픽 세션에 대한 세션 캐시 설치 요청만 보냅니다.

IDP와 같은 애플리케이션에서는 ALG가 패킷을 순서대로 처리해야 합니다. 하나의 SPU에는 하나의 세션에 속하는 패킷을 처리하기 위한 여러 플로우 스레드가 있으며, 로드 밸런싱 스레드(LBT) 및 PACKET-Ordering 스레드(POT) 패킷 순서는 트래픽이 방화벽을 확실히 통과하도록 보장할 수 있으며, 애플리케이션이 동일한 세션에 속하는 패킷을 순서대로 처리하도록 보장할 수 없습니다. 플로우 직렬화는 하나의 SPU 플로우 스레드 처리 패킷만 한 번에 동일한 세션에 속하는 방법을 제공하므로 애플리케이션은 패킷을 순서대로 수신, 처리 및 전송할 수 있습니다. 다른 플로우 스레드는 다른 세션에 대한 직렬화 처리를 동시에 수행할 수 있습니다.

IOC에 세션 캐시를 설치할 수 있는 트래픽 유형을 결정하는 데 다음 네 가지 우선 순위 수준이 사용됩니다.

• Priority 1 (P1)— IPSec 및 Express Path 자격을 갖춘 트래픽

• Priority 2 (P2)— 단편화 순서 지정

• Priority 3 (P3)— NAT/SZ(세션 직렬화) 트래픽 트래픽

• Priority 4(P3)— 기타 모든 유형의 트래픽

IOC는 세션 캐시 사용 임계값을 유지 및 모니터링하고 현재 실시간 세션 캐시 사용을 SPU로 업데이트합니다. SPU는 IOC에 특정 높은 우선 순위 트래픽 세션에 대한 세션 캐시를 설치하도록 요청합니다. 우선 순위가 높은 트래픽 세션에 대한 세션 캐시 사용은 표에 정의되어 있습니다.

IOC에서 세션 항목을 보존하기 위해 플로우 모듈은 IOC에 세션을 선택적으로 설치합니다. 세션 설치 선택을 용이하게 하기 위해 IOC는 플로우 모듈에 대한 표시를 제공하기 위해 해당 임계값을 유지합니다(세션 캐시 테이블이 IOC에 얼마나 가득 차 있는지). 메타 헤더에 두 비트가 추가되어 현재 캐시 테이블 사용 상태를 나타냅니다. SPU로 가는 모든 패킷은 이 두 상태 비트를 전송하여 플로우 모듈에 IOC의 캐시 테이블 활용도를 알려줍니다.

세션 캐시를 사용한 IPSec VPN 세션 선호도 향상

SRX 시리즈 디바이스는 완전히 분산된 시스템이며 IPsec 터널이 할당되어 특정 SPU에 고정됩니다. IPsec 터널에 속하는 모든 트래픽은 암호화되어 터널 고정 SPU에서 복호화됩니다. IOC는 더 나은 IPsec 성능을 달성하기 위해 플로우 모듈을 개선하여 터널 고정 SPU에서 IPsec 터널 기반 트래픽(암호화 전 및 복호화 후)에 대한 세션을 생성하고, IOC가 패킷을 동일한 SPU로 직접 리디렉션하여 패킷 전달 오버헤드를 최소화할 수 있도록 세션에 세션 캐시를 설치합니다. Express Path 트래픽과 NP 트래픽은 IOC에서 동일한 세션 캐시 테이블을 공유합니다.

IOC에서 세션 캐시를 활성화하고 선택한 FPC(Flexible PIC Concentrator)에서 Express Path(이전 서비스 오프로드) 모드에 대한 세션인지 여부를 확인하기 위해 보안 정책을 설정해야 합니다.

IPsec VPN 선호도 사용을 활성화하려면 명령입니다 set security flow load-distribution session-affinity ipsec .