SRX 시리즈 방화벽의 트래픽 처리 개요

플로우 기반 처리 이해

패킷은 패킷 기반 필터 및 일부 화면이 적용된 후 플로우 기반 처리를 거칩니다. 단일 플로우에 대한 모든 플로우 기반 프로세싱은 단일 SPU(Services Processing Unit)에서 발생합니다. SPU는 세션에 대해 구성된 보안 기능 및 기타 서비스에 따라 플로우 패킷을 처리합니다.

그림 1 은 서비스 게이트웨이에서 플로우 기반 트래픽 처리가 어떻게 발생하는지에 대한 개념적 관점을 보여줍니다.

그림 1: 플로우 기반 처리를 위한 트래픽 플로우

플로우는 동일한 일치 기준을 충족하고 동일한 특성을 공유하는 관련 패킷의 스트림입니다. Junos OS는 동일한 플로우에 속하는 패킷을 동일한 방식으로 처리합니다.

패킷의 운명을 결정하는 구성 설정(예: 적용되는 보안 정책, ALG(애플리케이션 레이어 게이트웨이)가 필요한 경우, 패킷의 소스 및/또는 대상 IP 주소를 변환하기 위해 NAT가 적용되는 경우)은 흐름의 첫 번째 패킷에 대해 평가됩니다.

패킷에 대한 플로우가 존재하는지 판단하기 위해 NPU는 다음 일치 기준에 따라 패킷의 정보를 기존 세션의 정보와 일치시키려고 시도합니다.

• 소스 주소

• 목적지 주소

• 소스 포트

• 목적지 포트

• 프로토콜

• 지정된 영역 및 가상 라우터에 대한 고유 세션 토큰 번호

• 영역 및 정책
• 플로우 및 세션

패킷 기반 처리 이해

패킷은 입력 인터페이스의 대기열에서 제거될 때와 출력 인터페이스의 대기열에 추가되기 전에 패킷 기반 처리를 거칩니다.

패킷 기반 처리는 상태 비저장 방화벽 필터, CoS 기능 및 일부 화면을 개별 패킷에 적용합니다.

• 패킷이 인터페이스에 도착하면 온전성 검사, 패킷 기반 필터, 일부 CoS 기능 및 일부 화면이 적용됩니다.

• 패킷이 디바이스를 떠나기 전에 인터페이스와 관련된 모든 패킷 기반 필터, 일부 CoS 기능 및 일부 화면이 패킷에 적용됩니다.

필터 및 CoS 기능은 일반적으로 하나 이상의 인터페이스와 연결되어 어떤 패킷이 시스템을 전송할 수 있는지에 영향을 미치고 필요에 따라 패킷에 특수 작업을 적용합니다.

다음 주제에서는 전송 트래픽에 구성하고 적용할 수 있는 패킷 기반 기능의 종류에 대해 설명합니다.

• 상태 비저장 방화벽 필터
• CoS(Class-of-Service) 기능
• 화면

플로우 처리 및 세션 관리 이해

이 주제에서는 플로우를 구성하는 패킷을 처리하기 위해 세션이 어떻게 설정되는지 설명합니다. 다음 항목에서 SPU는 SRX210 또는 SRX320 방화벽의 데이터 플레인 스레드를 나타냅니다.

처음에 데이터 플레인 스레드는 패킷을 가져오고 이에 대한 기본 온전성 검사를 수행합니다. 그런 다음 스테이트리스 필터 및 CoS 분류자에 대한 패킷을 처리하고 일부 화면을 적용합니다.

첫 번째 패킷 처리 이해

패킷이 기존 플로우에 속하는지 확인하기 위해 디바이스는 다음 6가지 일치 기준에 따라 패킷의 정보를 기존 세션의 정보와 일치시키려고 시도합니다.

• 소스 주소

• 목적지 주소

• 소스 포트

• 목적지 포트

• 프로토콜

• 지정된 영역 및 가상 라우터의 고유 토큰

SPU는 패킷에 대한 기존 세션에 대한 세션 테이블을 확인합니다. 존재하는 세션이 발견되지 않으면 SPU는 플로우에 대한 세션을 설정합니다. 세션 일치가 발견되면 세션이 이미 생성되었으므로 SPU는 패킷에 대한 빠른 경로 처리를 수행합니다.

세션 생성 이해

세션 설정 시 SPU는 패킷에 대해 다음 서비스를 실행합니다.

• 화면

• 경로 조회

• 정책 조회

• 서비스 조회

• NAT(필요한 경우)

세션이 설정되면 플로우에 속하는 모든 패킷에 사용됩니다. 플로우의 패킷은 세션의 매개 변수에 따라 처리됩니다. 패킷 처리에 수반되는 나머지 단계는 "빠른 경로 처리"의 1단계로 진행합니다. 모든 패킷은 빠른 경로 처리를 거칩니다.

Fast-Path Processing 이해

패킷이 세션과 일치하는 경우, Junos OS는 다음 단계에 설명된 대로 빠른 경로 처리를 수행합니다. 플로우의 첫 번째 패킷에 대해 세션이 설정된 이후에는 빠른 경로 처리도 거칩니다. 모든 패킷은 빠른 경로 처리를 거칩니다.

1. SPU는 패킷에 플로우 기반 보안 기능을 적용합니다.

   • 구성된 화면이 적용됩니다.

   • TCP 검사가 수행됩니다.

   • 필요한 경우 NAT, ALG, IPsec 등의 플로우 서비스가 적용됩니다.

2. SPU는 포워딩을 위해 패킷을 준비하고 전송합니다.

   • 라우팅 패킷 필터가 적용됩니다.

   • 트래픽 셰이핑이 적용됩니다.

   • 트래픽 우선 순위 지정이 적용됩니다.

   • 트래픽 스케줄링이 적용됩니다.

   • 패킷이 전송됩니다.

세션 설정과 관련된 구성 요소

다음은 패킷에 대한 세션을 설정하고 SRX3400 및 SRX3600 디바이스를 전송할 때 패킷을 처리하는 것과 관련된 주요 구성 요소에 대한 개요입니다.

• SPU(Services Processing Units) - SRX3400 및 SRX3600 디바이스의 주요 프로세서는 SPC(Services Processing Card)에 상주합니다. 이들은 트래픽 흐름을 설정 및 관리하며 디바이스를 전송할 때 패킷에 대한 대부분의 패킷 처리를 수행합니다. 각 SPU는 빠른 세션 룩업을 위해 해시 테이블을 유지합니다. SPU는 보안 서비스, 분류기, 트래픽 셰이퍼 애플리케이션을 포함하여 패킷에 대한 모든 플로우 기반 처리를 수행합니다. 동일한 플로우에 속하는 모든 패킷은 동일한 SPU에 의해 처리됩니다.

  SPU는 설정한 모든 세션과 처리하는 패킷에 대한 항목이 있는 세션 테이블을 유지합니다. SPU가 NPU로부터 패킷을 수신하면 세션 테이블을 검사하여 패킷이 속하는지 확인합니다.

  SRX3400 및 SRX3600 디바이스의 경우, 하나의 SPU가 협력하여 정기적인 세션 관리 및 플로우 처리 기능을 수행하고, 세션을 중재하고 리소스를 할당하는 중심점 역할을 합니다. SPU가 이러한 방식으로 수행할 때, 이를 콤보 모드라고 합니다.

• 중앙 지점 - 중앙 지점은 로드 밸런싱 기준에 따라 SPU에 세션 관리를 할당하는 데 사용됩니다. 여러 SPU가 동일한 플로우를 잘못 처리할 수 있는 상황을 방지하기 위해 지능적인 방식으로 세션을 배포합니다. 중앙 지점은 SPU에 세션을 할당할 때 로드 밸런싱 기준을 따릅니다. 세션이 존재하는 경우, 중앙 지점은 해당 플로우에 대한 패킷을 세션을 호스팅하는 SPU로 전달합니다. 또한 NPU가 실패할 경우 패킷을 올바른 SPU로 리디렉션합니다.

  SRX3400 및 SRX3600 디바이스의 경우, 하나의 SPU는 항상 중앙 지점의 기능과 플로우 및 세션 관리 기능을 모두 구현하는 콤보 모드로 실행됩니다. 콤보 모드에서 SPU와 중앙 지점은 동일한 LBT(Load-Balancing Thread) 및 POT(Packet-Ordering Thread) 인프라를 공유합니다. .

• 라우팅 엔진(RE) - 라우팅 엔진은 컨트롤 플레인을 실행하고 컨트롤 플레인 프로세서(CPP)를 관리합니다.

유니캐스트 세션의 데이터 경로 이해

SRX3400 및 SRX3600 서비스 게이트웨이용 Junos OS는 분산 병렬 처리, 높은 처리량 및 고성능 시스템입니다. 이 주제는 디바이스를 전송하는 플로우에 속하는 패킷에 대한 세션을 설정하는 프로세스를 설명합니다.

서비스가 흐름의 패킷에 적용되는 지점을 포함하는 세션 설정 및 패킷 "워크"를 설명하기 위해 다음 예제에서는 유니캐스트 세션의 간단한 사례를 사용합니다. 이 패킷 "워크"는 Junos OS가 패킷에서 수행하는 패킷 기반 처리와 플로우 기반 처리를 통합합니다.

세션 조회 및 패킷 일치 기준

패킷이 기존 플로우에 속하는지 확인하기 위해 디바이스는 다음 6가지 일치 기준에 따라 패킷의 정보를 기존 세션의 정보와 일치시키려고 시도합니다.

• 소스 주소

• 목적지 주소

• 소스 포트

• 목적지 포트

• 프로토콜

• 지정된 영역 및 가상 라우터의 고유 토큰

세션 생성 이해: 첫 번째 패킷 처리

이 주제에서는 플로우를 구성하는 패킷을 처리하기 위해 세션이 어떻게 설정되는지 설명합니다. 프로세스를 설명하기 위해 이 항목에서는 소스 "a"와 대상 "b"가 있는 예제를 사용합니다. 흐름의 패킷에 대한 출발지에서 목적지까지의 방향을 (a-> b)라고 합니다. 목적지에서 출발지로의 방향을 (b -> a)라고 합니다.

1. 패킷이 디바이스의 인터페이스에 도착하고 IOC가 이를 처리합니다.

   IOC는 패킷을 대기열에서 제거하고 통신하는 NPU로 보냅니다.

2. NPU는 IOC로부터 패킷을 수신하고 처리합니다.

   • NPU는 패킷에 대한 기본적인 온전성 검사를 수행하고 인터페이스에 대해 구성된 일부 화면을 패킷에 적용합니다.

   • 세션 일치가 발견되면 할당된 SPU에서 세션이 이미 생성되었으므로 NPU는 세션 ID와 함께 처리하기 위해 패킷을 SPU로 전달합니다.

   예: 패킷(a ->b)이 IOC1에서 NPU1로 도착합니다. NPU1은 위생 점검을 수행하고 DoS 스크린을 패킷에 적용합니다. NPU1은 세션 테이블에 튜플 일치가 있는지 확인하지만 기존 세션을 찾을 수 없습니다. NPU1은 SPU에 할당하기 위해 패킷을 SPU1의 중앙 지점으로 전달합니다.

3. 중앙점은 "보류 중" 상태의 세션을 만듭니다.

   중앙 지점은 디바이스의 모든 SPU에 걸쳐 존재하는 모든 세션에 대한 항목을 포함하는 글로벌 세션 테이블을 유지 관리합니다. 세션 생성에 참여하고 세션 리소스 할당을 위임 및 중재합니다.

   이 프로세스에는 다음 부분이 수반됩니다.

   1. 중앙 지점은 세션 테이블과 게이트 테이블을 검사하여 NPU로부터 수신하는 패킷에 세션 또는 게이트가 존재하는지 확인합니다. (NPU가 패킷을 중앙 지점으로 전달한 이유는 해당 테이블에 세션이 없다고 표시되기 때문입니다. 중앙 지점은 세션에 SPU를 할당하기 전에 이 정보를 확인합니다.)

   2. 두 테이블 중 하나에서 패킷과 일치하는 항목이 없는 경우, 중앙 지점은 세션에 대한 보류 중인 윙을 생성하고 로드 밸런싱 알고리즘을 기반으로 세션에 사용할 SPU를 선택합니다.

   3. 중앙 지점은 패킷 흐름에 사용할 세션을 로컬로 설정하도록 지시하는 메시지에서 흐름의 첫 번째 패킷을 선택한 SPU로 전달합니다.

      예: 중앙점은 세션에 대해 보류 중인 윙(a ->b)을 생성합니다. 세션에 사용할 SPU1을 선택합니다. SPU1에 세션을 생성하기 위한 메시지와 함께 (a->b) 패킷을 전송합니다. (SPU1이 콤보 모드에서 실행되는 SPU인 경우가 있습니다. 따라서 세션 관리 및 흐름 처리 서비스가 세션에 사용됩니다.

4. SPU가 세션을 구성합니다.

   각 SPU에도 세션에 대한 정보가 포함된 세션 테이블이 있습니다. SPU가 세션을 구성하기 위해 중앙 지점에서 메시지를 수신하면 세션 테이블을 검사하여 패킷에 대한 세션이 이미 존재하지 않는지 확인합니다.

   1. 패킷에 대한 기존 세션이 없는 경우, SPU는 세션을 로컬로 설정합니다.

   2. SPU는 중앙 지점으로 메시지를 보내 세션을 설치하도록 지시합니다.

   첫 번째 패킷 처리 중에 NAT가 활성화되면 SPU는 NAT를 위한 IP 주소 리소스를 할당합니다. 이 경우 NAT 할당 프로세스가 완료될 때까지 세션에 대한 첫 번째 패킷 처리가 일시 중단됩니다.

   SPU는 세션이 설치될 때까지 수신할 수 있는 플로우에 대한 추가 패킷을 대기열에 추가합니다.

   예: SPU1은 (a ->b)에 대한 세션을 생성하고 보류 중인 세션을 설치하라는 메시지를 중앙 지점(동일한 SPU에서 구현)으로 다시 보냅니다.

5. 중앙점은 세션을 설치합니다.

   • 세션의 보류 중인 윙의 상태를 active로 설정합니다.

   • 세션의 리버스 윙을 활성 윙으로 설치합니다.

   • SPU에 ACK (승인) 메시지를 전송하여 세션이 설치되었음을 나타냅니다.

   예: 중앙 지점은 SPU1로부터 (a->b)에 대한 세션을 설치하라는 메시지를 수신합니다. (a->b) 윙의 세션 상태를 active로 설정합니다. 세션에 대한 리버스 윙(b->a)을 설치하고 활성화합니다. 이를 통해 흐름의 역방향인 목적지(B)에서 소스(A)로 패킷을 전달할 수 있습니다.

6. SPU는 수신 및 송신 NPU에서 세션을 설정합니다.

   NPU는 패킷 전달 및 전달을 위해 세션에 대한 정보를 유지합니다. 세션 정보는 송신 및 수신 NPU(때로는 동일)에 설정되므로 리디렉션을 위한 중앙 지점이 아닌 플로우를 관리하는 SPU로 패킷을 직접 보낼 수 있습니다.

7. 빠른 경로 처리가 수행됩니다.

   패킷 처리에 수반되는 나머지 단계는 "빠른 경로 처리 이해"의 1단계로 진행합니다.

Fast-Path Processing 이해

모든 패킷은 빠른 경로 처리를 거칩니다. 그러나 패킷에 대한 세션이 존재하는 경우 패킷은 빠른 경로 처리를 거치고 첫 번째 패킷 프로세스를 우회합니다. 패킷 흐름에 대한 세션이 이미 있는 경우 패킷은 중앙 지점을 전송하지 않습니다.

빠른 경로 처리의 작동 방식은 다음과 같습니다. 송신 및 수신 인터페이스의 NPU에는 패킷의 플로우를 관리하는 SPU의 식별을 포함하는 세션 테이블이 포함되어 있습니다. NPU가 이 세션 정보를 가지고 있기 때문에 역방향 트래픽을 포함한 플로우의 모든 트래픽은 처리를 위해 해당 SPU로 직접 전송됩니다.

SRX1400, SRX3400 및 SRX3600 디바이스에서 iflset 기능은 reth와 같은 집계된 인터페이스에 대해 지원되지 않습니다.

첫 번째 패킷 처리 이해

그림 4는 플로우의 첫 번째 패킷이 디바이스에 들어갈 때 취하는 경로를 보여줍니다. NPU는 패킷에 대한 세션이 존재하지 않는다고 판단하고 NPU는 패킷을 분산된 중앙 지점으로 보내 분산 중앙 지점 세션을 설정합니다. 그런 다음 분산된 중앙 지점은 애플리케이션 중앙 지점으로 메시지를 전송하여 패킷에 대한 세션을 설정하고 패킷을 처리할 SPU를 선택합니다. 그런 다음 분산된 중앙 지점은 패킷을 해당 SPU로 보냅니다. SPU는 패킷을 처리하고 디바이스에서 전송하기 위해 NPU로 보냅니다. (이 개략적인 설명은 패킷에 대한 기능 적용을 다루지 않습니다.)

그림 4: 첫 번째 패킷 처리

플로우의 첫 번째 패킷이 시스템을 통과하고 이에 대한 세션이 설정된 후에는 빠른 경로 처리를 거칩니다.

플로우의 후속 패킷도 빠른 경로 처리를 거칩니다. 이 경우, 각 패킷이 세션에 진입하고 NPU가 세션 테이블에서 이에 대한 일치 항목을 찾으면 NPU는 세션을 관리하는 SPU에 패킷을 전달합니다.

그림 5 는 빠른 경로 처리를 보여줍니다. 이는 관련 패킷에 대해 플로우가 이미 설정되었을 때 패킷이 취하는 경로입니다. (또한 패킷이 시작된 플로우에 대한 세션 이후에 플로우의 첫 번째 패킷이 취하는 경로이기도 합니다.) 패킷이 디바이스에 들어간 후 NPU는 세션 테이블에서 패킷에 대한 일치 항목을 찾아 패킷 세션을 관리하는 SPU로 전달합니다. 패킷은 중앙 지점과의 상호 작용을 우회합니다.

Fast-Path Processing 이해

다음 섹션에서는 세션이 생성되는 방법과 패킷이 디바이스를 전송할 때 겪는 프로세스에 대해 설명합니다.

그림 5: 빠른 경로 처리

다음은 패킷에 대한 세션을 설정하고 패킷이 SRX5400, SRX5600 및 SRX5800 디바이스를 전송할 때 개별적으로 또는 흐름의 일부로 패킷을 처리하는 것과 관련된 주요 구성 요소에 대한 개요입니다.

• 네트워크 처리 장치(NPU) - NPU는 IOC에 상주합니다. 패킷 온전성 검사 및 일부 화면 적용을 처리합니다. NPU는 수신 패킷 또는 역방향 트래픽에 대한 세션이 존재하는지 확인하는 데 사용하는 세션 테이블을 유지 관리합니다.

  NPU 세션 테이블에는 이전에 인터페이스를 통해 디바이스에 진입하여 이 NPU에 의해 처리된 패킷에 대해 SPU에서 세션이 설정된 경우 세션에 대한 항목이 포함됩니다. SPU는 세션을 생성할 때 NPU 테이블에 세션을 설치합니다.

  NPU는 세션 테이블에 대해 패킷 정보를 확인하여 패킷에 대한 세션이 존재하는지 판단합니다. 패킷이 기존 세션과 일치하면 NPU는 패킷과 이에 대한 메타데이터를 SPU로 보냅니다. 세션이 없는 경우, NPU는 해시 알고리즘을 사용하여 계산된 하나의 SPU로 패킷을 전송합니다.

• SPU(Services Processing Units) - SRX5400, SRX5600 및 SRX5800 디바이스의 주요 프로세서는 SPC에 상주합니다. SPU는 트래픽 플로우를 설정 및 관리하며 디바이스를 전송할 때 패킷에 대한 대부분의 패킷 처리를 수행합니다. 각 SPU는 빠른 세션 룩업을 위해 해시 테이블을 유지합니다. SPU는 스테이트리스 방화벽 필터, 분류자 및 트래픽 셰이퍼를 트래픽에 적용합니다. SPU는 패킷에 대한 모든 플로우 기반 프로세싱과 대부분의 패킷 기반 프로세싱을 수행합니다. 각 멀티코어 SPU는 동일하거나 다른 SPC에 있는 SPU 간의 상호 작용을 최소화하면서 패킷을 독립적으로 처리합니다. 동일한 플로우에 속하는 모든 패킷은 동일한 SPU에 의해 처리됩니다.

  SPU는 설정한 모든 세션과 처리하는 패킷에 대한 항목이 있는 세션 테이블을 유지합니다. SPU가 NPU로부터 패킷을 수신하면 세션 테이블을 검사하여 패킷이 속하는지 확인합니다. 또한 분산된 중앙 지점에서 패킷을 수신할 때 세션 테이블을 확인하고 해당 패킷에 대한 세션을 설정하라는 메시지를 보내 패킷에 대한 기존 세션이 없는지 확인합니다.

• 중심점 - 중심점 아키텍처는 애플리케이션 중심점과 분산된 중심점이라는 두 개의 모듈로 나뉩니다. 애플리케이션 중앙 지점은 글로벌 리소스 관리 및 로드 밸런싱을 담당하고, 분산된 중앙 지점은 트래픽 식별(글로벌 세션 매칭)을 담당합니다. 애플리케이션 중앙점 기능은 전용 중앙점 SPU에서 실행되는 반면, 분산된 중앙점 기능은 나머지 SPU에 분산됩니다. 이제 중앙 지점 세션은 더 이상 전용 중앙 지점 SPU가 아니라 다른 플로우 SPU의 분산된 중앙 지점에 있습니다.

• 라우팅 엔진—라우팅 엔진은 컨트롤 플레인을 실행합니다.

유니캐스트 세션의 데이터 경로 이해

이 섹션에서는 디바이스를 전송하는 플로우에 속하는 패킷에 대한 세션을 설정하는 프로세스에 대해 설명합니다.

세션의 설정과 서비스가 흐름의 패킷에 적용되는 지점을 포함하는 패킷 "walk"를 설명하기 위해 이 예에서는 유니캐스트 세션의 간단한 사례를 사용합니다.

이 패킷 "워크"는 Junos OS가 패킷에서 수행하는 패킷 기반 처리와 플로우 기반 처리를 통합합니다.

• 세션 조회 및 패킷 일치 기준
• 세션 생성 이해: 첫 번째 패킷 처리
• Fast-Path Processing 이해

세션 생성 이해: 첫 번째 패킷 처리

이 섹션에서는 플로우를 구성하는 패킷을 처리하기 위해 세션이 어떻게 설정되는지 설명합니다. 프로세스를 설명하기 위해 이 섹션에서는 소스 "a"와 대상 "b"가 있는 예제를 사용합니다. 흐름의 패킷에 대한 소스에서 목적지까지의 방향을 (a->b)라고 합니다. 목적지에서 출발지로의 방향을 (b->a)라고 합니다.

1 단계. 패킷이 디바이스의 인터페이스에 도착하면 NPU가 이를 처리합니다.

이 섹션에서는 패킷이 SRX 시리즈 방화벽 수신 IOC에 도착할 때 패킷이 어떻게 처리되는지 설명합니다.

1. 패킷은 디바이스의 IOC에 도착하고 IOC의 NPU에 의해 처리됩니다.

2. NPU는 패킷에 대한 기본적인 온전성 검사를 수행하고 인터페이스에 대해 구성된 일부 화면을 패킷에 적용합니다.

3. NPU는 패킷에 대한 기존 세션에 대한 세션 테이블을 확인합니다. (세션 테이블의 기존 세션에 대한 패킷의 튜플과 패킷의 튜플을 확인합니다.)

   1. 기존 세션이 발견되지 않으면 NPU는 패킷을 해시 SPU로 전달합니다.

   2. 세션 일치가 발견되면 할당된 SPU에서 세션이 이미 생성되었으므로 NPU는 세션 ID와 함께 처리하기 위해 패킷을 SPU로 전달합니다.

Example: 패킷(a ->b)이 NPU1에 도착합니다. NPU1은 위생 점검을 수행하고 DoS 스크린을 패킷에 적용합니다. NPU1은 세션 테이블에서 튜플 일치를 확인하며, 기존 세션을 찾을 수 없습니다. NPU1은 패킷을 SPU로 전달합니다.

2 단계. 분산된 중앙 지점은 "보류 중" 상태의 세션을 생성합니다.

NPU가 패킷을 수신하면, NPU는 해시 알고리즘에 기반하여 분산된 중앙 지점으로 보냅니다. 그런 다음 분산된 중앙점은 분산된 중앙점 세션 테이블을 조회하고 필요한 경우 항목을 생성합니다.

이 프로세스에는 다음 부분이 수반됩니다.

1. 분산된 중앙 지점은 세션 테이블을 검사하여 NPU에서 수신한 패킷에 대한 세션이 존재하는지 확인합니다. (NPU는 패킷에 대한 기존 세션을 찾을 수 없기 때문에 패킷을 분산된 중앙 지점으로 전달합니다.)

2. 분산된 중앙점 세션 테이블의 패킷과 일치하는 항목이 없는 경우, 분산된 중앙점은 세션에 대한 보류 중인 윙을 생성합니다. 그런 다음 분산된 중앙 지점은 애플리케이션 중앙 지점으로 쿼리 메시지를 전송하여 세션에 사용할 SPU를 선택합니다.

3. 쿼리 메시지를 수신하면 애플리케이션 중앙 지점은 게이트 테이블을 검사하여 패킷에 대한 게이트가 있는지 확인합니다. 게이트가 일치하거나 다른 세션 분배 알고리즘이 트리거되면 애플리케이션 중앙 지점은 패킷을 처리할 다른 SPU를 선택합니다. 그렇지 않으면 SPU(즉, 분산된 중앙 지점 SPU)가 선택됩니다. 마지막으로, 응용 프로그램 중앙 지점은 분산된 중앙 지점에 쿼리 응답을 보냅니다.

4. 쿼리 응답을 수신하면, 분산된 중앙 지점은 패킷 플로우에 사용할 세션을 로컬로 설정하도록 SPU에 지시하는 메시지에서 플로우의 첫 번째 패킷을 선택된 SPU로 전달합니다. 예를 들어, 분산된 중앙점은 세션에 대해 보류 중인 윙(a ->b)을 생성합니다. 애플리케이션 중앙 지점은 이를 위해 사용될 SPU1을 선택합니다. 분산된 중앙 지점은 SPU1에 (a->b) 패킷과 함께 메시지를 전송하여 분산된 중앙 지점에 대한 세션을 생성합니다.

Example: 분산된 중앙점은 세션에 대한 보류 중인 윙(a ->b)을 생성합니다. 이를 위해 사용할 SPU1을 선택합니다. SPU1에 세션을 생성하기 위한 메시지와 함께 (a->b) 패킷을 전송합니다.

3 단계. SPU가 세션을 구성합니다.

각 SPU에도 세션에 대한 정보가 포함된 세션 테이블이 있습니다. SPU가 세션을 구성하기 위해 분산된 중앙 지점으로부터 메시지를 수신하면 세션 테이블을 검사하여 패킷에 대한 세션이 이미 존재하지 않는지 확인합니다.

1. 패킷에 대한 기존 세션이 없는 경우, SPU는 세션을 로컬로 설정합니다.

2. SPU는 세션을 설치하도록 지시하는 메시지를 분산된 중앙 지점으로 보냅니다.

   메모:

   첫 번째 패킷 처리 중에 NAT가 활성화되면 SPU는 NAT를 위한 IP 주소 리소스를 할당합니다. 이 경우 NAT 할당 프로세스가 완료될 때까지 세션에 대한 첫 번째 패킷 처리가 일시 중단됩니다.

SPU는 세션이 설치될 때까지 수신할 수 있는 플로우에 대한 추가 패킷을 대기열에 추가합니다.

Example: SPU1은 (a ->b)에 대한 세션을 생성하고 보류 중인 세션을 설치하도록 지시하는 메시지를 분산된 중앙 지점으로 다시 보냅니다.

4 단계. 분산된 중앙 지점이 세션을 설치합니다.

분산된 중앙 지점은 SPU로부터 설치 메시지를 수신합니다.

1. 분산된 중앙 지점은 세션의 보류 중인 윙의 상태를 활성으로 설정합니다.

2. 분산된 중앙 지점은 세션에 대한 역방향 날개를 활성 날개로 설치합니다.

   메모:

   NAT와 같은 일부 경우, 리버스 윙은 init wing 분산 중심점과 다른 분산 중심점에 설치될 수 있다.

3. SPU에 승인(ACK) 메시지를 전송하여 세션이 설치되었음을 나타냅니다.

Example: 분산된 중앙 지점은 SPU1로부터 (a->b) 윙을 위한 세션을 설치하라는 메시지를 수신합니다. (a->b) 윙의 세션 상태를 active로 설정합니다. 세션에 대한 리버스 윙(b->a)을 설치하고 활성화합니다. 이를 통해 흐름의 역방향인 목적지(B)에서 소스(A)로 패킷을 전달할 수 있습니다.

5 단계. SPU는 수신 및 송신 NPU에서 세션을 설정합니다.

NPU는 패킷 전달 및 전달을 위해 세션에 대한 정보를 유지합니다. 세션 정보는 송신 및 수신 NPU(때로는 동일)에 설정되므로 리디렉션을 위해 분산된 중앙 지점이 아닌 플로우를 관리하는 SPU로 패킷을 직접 보낼 수 있습니다.

6 단계. 빠른 경로 처리가 이루어집니다.

패킷 처리에 수반되는 나머지 단계는 빠른 경로 처리 이해의 1단계로 진행합니다.

그림 6은 플로우의 첫 번째 패킷이 디바이스에 도달한 후 거치는 프로세스의 첫 번째 부분을 보여줍니다. 이 시점에서 패킷과 해당 흐름에 속하는 나머지 패킷을 처리하기 위해 세션이 설정됩니다. 그 후, 이 패킷과 플로우의 나머지 패킷은 빠른 경로 처리를 거칩니다.

그림 6: 세션 생성: 첫 번째 패킷 처리

Fast-Path Processing 이해

모든 패킷은 빠른 경로 처리를 거칩니다. 그러나 패킷에 대한 세션이 존재하는 경우 패킷은 빠른 경로 처리를 거치고 첫 번째 패킷 프로세스를 우회합니다. 패킷 흐름에 대한 세션이 이미 있는 경우 패킷은 중앙 지점을 전송하지 않습니다.

빠른 경로 처리의 작동 방식은 다음과 같습니다. 송신 및 수신 인터페이스의 NPU에는 패킷의 플로우를 관리하는 SPU의 식별을 포함하는 세션 테이블이 포함되어 있습니다. NPU가 이 세션 정보를 가지고 있기 때문에 역방향 트래픽을 포함한 플로우의 모든 트래픽은 처리를 위해 해당 SPU로 직접 전송됩니다.

빠른 경로 프로세스를 설명하기 위해 이 섹션에서는 소스 "a"와 대상 "b"가 있는 예제를 사용합니다. 흐름의 패킷에 대한 소스에서 목적지까지의 방향을 (a->b)라고 합니다. 목적지에서 출발지로의 방향을 (b->a)라고 합니다.

1 단계. 패킷이 디바이스에 도착하면 NPU가 이를 처리합니다.

이 섹션에서는 패킷이 서비스 게이트웨이의 IOC에 도착할 때 어떻게 처리되는지 설명합니다.

1. 패킷은 디바이스의 IOC에 도착하고 카드의 NPU에 의해 처리됩니다.

   NPU는 온전성 검사를 수행하고 DoS(Denial-of-Service) 화면과 같은 일부 화면을 패킷에 적용합니다.

2. NPU는 패킷이 일치하는 세션 테이블에서 기존 세션에 대한 항목을 식별합니다.

3. NPU는 세션 ID 및 패킷 튜플 정보를 포함한 세션 테이블의 메타데이터와 함께 패킷을 플로우에 대한 세션을 관리하고, 스테이트리스 방화벽 필터 및 CoS 기능을 패킷에 적용하며, 패킷의 플로우 처리와 보안 및 기타 기능의 적용을 처리하는 SPU로 전달합니다.

Example: 패킷(a ->b)이 NPU1에 도착합니다. NPU1은 패킷에 대한 온전성 검사를 수행하고, DoS 화면을 적용하며, 세션 테이블에서 튜플 일치를 확인합니다. 일치하는 항목을 찾고 SPU1의 패킷에 대한 세션이 존재한다는 것을 확인합니다. NPU1은 처리를 위해 패킷을 SPU1로 전달합니다.

2 단계. 세션용 SPU가 패킷을 처리합니다.

패킷 처리의 대부분은 세션이 할당된 SPU에서 발생합니다. 패킷은 상태 비저장 방화벽 필터, 트래픽 셰이퍼 및 분류자(해당하는 경우)와 같은 패킷 기반 기능에 대해 처리됩니다. 구성된 플로우 기반 보안 및 방화벽 기능, 네트워크 주소 변환(NAT), ALG, 등과 같은 관련 서비스가 패킷에 적용됩니다. (세션에 대해 보안 서비스가 결정되는 방법에 대한 자세한 내용입니다.

1. 패킷을 처리하기 전에 SPU는 세션 테이블을 검사하여 패킷이 세션 중 하나에 속하는지 확인합니다.

2. SPU는 해당 기능 및 서비스에 대한 패킷을 처리합니다.

Example: SPU1은 NPU1로부터 패킷(a->b)을 수신합니다. SPU1은 패킷이 세션 중 하나에 속하는지 확인하기 위해 세션 테이블을 검사합니다. 그런 다음 입력 인터페이스에 적용되는 입력 필터 및 CoS 기능에 따라 패킷(a->b)을 처리합니다. SPU는 해당 영역과 정책에 따라 패킷의 흐름에 대해 구성된 보안 기능과 서비스를 적용합니다. 구성된 경우 출력 필터, 트래픽 셰이퍼 및 추가 화면을 패킷에 적용합니다.

3 단계. SPU는 패킷을 NPU로 전달합니다.

1. SPU는 패킷을 NPU로 전달합니다.

2. NPU는 인터페이스와 관련된 모든 적용 가능한 화면을 패킷에 적용합니다.

Example: SPU1은 NPU2에 패킷(a->b)을 전달하고 NPU2는 DoS 스크린을 적용합니다.

4 단계. 인터페이스는 디바이스에서 패킷을 전송합니다.

Example: 인터페이스는 디바이스에서 패킷(a->b)을 전송합니다.

5 단계. 역방향 트래픽 패킷이 송신 인터페이스에 도착하면 NPU가 이를 처리합니다.

이 단계는 1단계를 정확히 반대로 미러링합니다. 자세한 내용은 이 섹션의 1단계를 참조하십시오.

Example: 패킷(b->a)이 NPU2에 도착합니다. NPU2는 세션 테이블에서 튜플 일치를 확인합니다. 일치하는 항목을 찾고 SPU1의 패킷에 대한 세션이 존재한다는 것을 확인합니다. NPU2는 처리를 위해 패킷을 SPU1로 전달합니다.

6 단계. 세션용 SPU는 역방향 트래픽 패킷을 처리합니다.

이 단계는 역방향 트래픽에 적용된다는 점을 제외하고 2단계와 동일합니다. 자세한 내용은 이 섹션의 2단계를 참조하십시오.

Example: SPU1은 NPU2로부터 패킷(b->a)을 수신합니다. 세션 테이블을 검사하여 패킷이 NPU2에 의해 식별된 세션에 속하는지 확인합니다. 그런 다음 NPU1의 인터페이스에 구성된 패킷 기반 기능을 패킷에 적용합니다. 패킷(b->a)은 해당 영역과 정책을 기반으로 플로우에 대해 구성된 보안 기능 및 기타 서비스에 따라 처리합니다.

7 단계. SPU는 역방향 트래픽 패킷을 NPU로 전달합니다.

이 단계는 역방향 트래픽에 적용된다는 점을 제외하고 3단계와 동일합니다. 자세한 내용은 이 섹션의 3단계를 참조하십시오.

Example: SPU1은 패킷(b->a)을 NPU1로 전달합니다. NPU1은 인터페이스에 구성된 모든 화면을 처리합니다.

8. 인터페이스가 디바이스에서 패킷을 전송합니다.

이 단계는 역방향 트래픽에 적용된다는 점을 제외하고 4단계와 동일합니다. 자세한 내용은 이 섹션의 4단계를 참조하십시오.

예: 인터페이스는 디바이스에서 패킷(b->a)을 전송합니다.

그림 7은 패킷이 디바이스에 도달하고 패킷이 속한 플로우에 대한 세션이 존재할 때 패킷이 겪는 프로세스를 보여줍니다.

그림 7: 빠른 경로 처리를 위한 패킷 워크

서비스 처리 장치 이해

주어진 물리적 인터페이스에 대해 SPU는 물리적 인터페이스와 연결된 네트워크 프로세서 번들의 모든 네트워크 프로세서로부터 수신 패킷을 수신합니다. SPU는 물리적 인터페이스에서 네트워크 프로세서 번들 정보를 추출하고 동일한 5-튜플 해시 알고리즘을 사용하여 플로우를 네트워크 프로세서 인덱스에 매핑합니다. 네트워크 프로세서를 결정하기 위해 SPU는 네트워크 프로세서 번들의 네트워크 프로세서 인덱스를 조회합니다. SPU는 외부 트래픽을 위해 물리적 인터페이스의 로컬 물리적 인터페이스 모듈(PIM)로 송신 패킷을 보냅니다.

스케줄러 특성 이해

SRX5400, SRX5600 및 SRX5800 장치의 경우 IOC는 다음과 같은 계층적 스케줄러 특성을 지원합니다.

• IFL – 네트워크 프로세서 번들의 구성은 물리적 인터페이스 데이터 구조에 저장됩니다. 예를 들어 SRX5400, SRX5600 및 SRX5800 디바이스에는 최대 48개의 PIM이 있습니다. 물리적 인터페이스는 48비트 비트 마스크를 사용하여 PIM을 나타내거나, 이 물리적 인터페이스의 네트워크 프로세서 트래픽이 물리적 인터페이스의 기본 네트워크 프로세서와 함께 분산될 수 있습니다.

  SRX5000 라인 디바이스에서 iflset 기능은 reth와 같은 집계된 인터페이스에 대해 지원되지 않습니다.

• IFD – 네트워크 프로세서 번들의 물리적 인터페이스와 연결된 논리적 인터페이스는 네트워크 프로세서 번들에 PIM이 있는 모든 IOC에 전달됩니다.

네트워크 프로세서 번들링 이해

네트워크 프로세서 번들링 기능은 SRX5000 회선 디바이스에서 사용할 수 있습니다. 이 기능을 사용하면 패킷 처리를 위해 하나의 인터페이스에서 여러 네트워크 프로세서로 데이터 트래픽을 분산할 수 있습니다. 기본 네트워크 프로세서는 수신 트래픽을 수신하고 패킷을 여러 다른 보조 네트워크 프로세서에 배포하는 인터페이스에 할당됩니다. 단일 네트워크 프로세서는 기본 네트워크 프로세서 또는 여러 인터페이스에 대한 보조 네트워크 프로세서 역할을 할 수 있습니다. 단일 네트워크 프로세서는 하나의 네트워크 프로세서 번들에만 조인할 수 있습니다.

개요

SRX5400, SRX5600 및 SRX5800 디바이스의 SRX5K-MPC(IOC2), SRX5K-MPC3-100G10G(IOC3) 및 SRX5K-MPC3-40G10G(IOC3)는 세션 캐시와 세션 캐시의 선택적 설치를 지원합니다.

세션 캐시는 IOC에서 네트워크 프로세서(NP)와 SPU 간의 대화를 캐시하는 데 사용됩니다. 대화는 세션, GTP-U 터널 트래픽, IPsec VPN 터널 트래픽 등이 될 수 있습니다. 대화에는 두 개의 세션 캐시 항목이 있는데, 하나는 들어오는 트래픽에 대한 항목이고 다른 하나는 역방향 트래픽에 대한 항목입니다. 트래픽 수신 및 송신 포트가 있는 위치에 따라 두 개의 항목이 동일한 네트워크 프로세서 또는 다른 네트워크 프로세서에 상주할 수 있습니다. IOC는 IPv6 세션에 대한 세션 캐시를 지원합니다.

세션 캐시 항목은 세션 윙이라고도 합니다.

IOC의 세션 캐시는 Express Path(이전의 서비스 오프로딩) 기능을 활용하고 긴 대기 시간 및 IPsec 성능 저하와 같은 문제를 방지하는 데 도움이 됩니다.

세션 캐시 항목은 다음을 기록합니다.

• 변환 트래픽이 어떤 SPU로 전달되어야 하는지

• 변환 트래픽이 Express Path 모드로 전달되어야 하는 송신 포트

• 송신 트래픽에 대해 수행할 처리(예: Express Path 모드에서 NAT 변환)

Junos OS 릴리스 15.1X49-D10 및 Junos OS 릴리스 17.3R1부터 IOC 세션의 세션 캐시는 특정 성능 문제를 해결하는 데 도움이 됩니다. SPU는 이제 IOC 세션 캐시에 후속 트래픽을 특정 앵커 SPU로 전달하도록 지시할 수 있습니다.

Junos OS 릴리스 15.1X49-D10부터 SRX5K-MPC(IOC2) 및 IOC3는 향상된 플로우 모듈 및 세션 캐시를 통해 VPN 세션 선호도를 지원합니다. Junos OS 릴리스 12.3X48-D30부터 IOC2에서는 세션 캐시를 통한 VPN 세션 선호도가 지원됩니다.

다른 트래픽은 5튜플 키 정보를 기반으로 SPU로 해시되었습니다. VPN 트래픽은 앵커된 SPU의 개념을 사용했으며, 이는 플로우 SPU의 기능과 반드시 일치하지는 않습니다. 네트워크 프로세서는 5튜플 해시를 기반으로 패킷을 플로우 SPU로만 전달할 수 있습니다. 그런 다음 플로우 SPU는 패킷을 고정된 SPU로 전달했습니다. 이로 인해 VPN 트래픽에 대한 추가 홉이 생성되어 스위치 패브릭 대역폭이 낭비되고 VPN 처리량이 약 절반으로 줄었습니다. 이러한 성능 감소는 트래픽이 앵커된 SPU에서 처리된 후에도 플로우 SPU로 다시 이동해야 했기 때문에 발생했습니다.

세션 캐시 테이블은 이제 NP 세션을 지원하기 위해 IOC에서 확장되었습니다. Express Path 트래픽과 NP 트래픽은 IOC에서 동일한 세션 캐시 테이블을 공유합니다. Express Path 트래픽은 SPU의 서비스를 필요로 하지 않기 때문에 IOC 자체에 의해 로컬 또는 다른 IOC로 전달됩니다. NP 트래픽은 추가 처리를 위해 세션 캐시에 지정된 SPU로 전달됩니다. 모든 세션 캐시 항목은 Express Path 세션 트래픽과 NP 트래픽 모두에서 공유됩니다.

IOC에서 세션 캐시를 활성화하려면 명령을 실행해야 set chassis fpc <fpc-slot> np-cache 합니다.

선택적 세션 캐시 설치

높은 지연 시간을 방지하고, IPSec 성능을 개선하고, 귀중한 리소스를 더 잘 활용하기 위해 플로우 모듈과 IOC 모두에 특정 우선 순위 메커니즘이 적용됩니다.

IOC는 세션 캐시 사용 임계값 수준을 유지 및 모니터링합니다. IOC는 또한 세션 캐시 사용량을 SPU에 전달하므로 특정 세션 캐시 사용량 임계치에 도달하면 SPU는 선택적 우선 순위가 높은 트래픽 세션에 대해서만 세션 캐시 설치 요청을 보냅니다.

IDP, ALG와 같은 애플리케이션은 패킷을 순서대로 처리해야 합니다. 하나의 SPU에는 여러 개의 플로우 스레드가 있어 하나의 세션에 속하는 패킷을 처리할 수 있으며, 로드 밸런싱 스레드(LBT) 및 패킷 순서 스레드(POT) 패킷 순서는 트래픽이 방화벽을 순서대로 통과하도록 할 수 있지만, 애플리케이션이 동일한 세션에 속하는 패킷을 순서대로 처리하도록 보장할 수는 없습니다. 플로우 직렬화는 한 번에 하나의 SPU 플로우 스레드 처리 패킷만 동일한 세션에 속하는 방법을 제공하므로, 애플리케이션은 패킷을 순서대로 수신, 처리 및 전송할 수 있습니다. 다른 플로우 스레드는 동시에 다른 세션에 대한 플로우 직렬화 처리를 수행할 수 있습니다.

다음 네 가지 우선 순위 수준은 IOC에 세션 캐시를 설치할 수 있는 트래픽 유형을 결정하는 데 사용됩니다.

• Priority 1 (P1)— IPSec 및 Express Path 인증 트래픽

• Priority 2 (P2)— 단편화 순서

• Priority 3 (P3)— NAT/SZ(세션 직렬화) 트래픽 트래픽

• Priority 4(P3)— 다른 모든 유형의 트래픽

IOC는 세션 캐시 사용량에 대한 임계값 레벨을 유지 및 모니터링하고 현재 실시간 세션 캐시 사용량을 SPU에 업데이트합니다. SPU는 IOC에 우선 순위가 높은 특정 트래픽 세션에 대한 세션 캐시를 설치하도록 요청합니다. 우선 순위가 높은 트래픽 세션에 대한 세션 캐시 사용량은 테이블에 정의되어 있습니다.

IOC에서 세션 항목을 보존하기 위해 플로우 모듈은 IOC에 세션을 선택적으로 설치합니다. 세션 설치 선택을 용이하게 하기 위해 IOC는 플로우 모듈에 표시(IOC의 세션 캐시 테이블이 얼마나 가득 찼는지)를 제공하기 위해 해당 임계값을 유지합니다. 메타 헤더에 2비트가 추가되어 현재 캐시 테이블 활용 상태를 나타냅니다. SPU로 가는 모든 패킷은 이 두 상태 비트를 전달하여 IOC의 캐시 테이블 활용을 플로우 모듈에 알립니다.

세션 캐시를 이용한 IPSec VPN 세션 선호도 향상

SRX 시리즈 방화벽은 완전히 분산된 시스템으로, IPsec 터널이 할당되어 특정 SPU에 고정됩니다. IPsec 터널에 속한 모든 트래픽은 터널 고정 SPU에서 암호화 및 복호화됩니다. 더 나은 IPsec 성능을 달성하기 위해 IOC는 플로우 모듈을 개선하여 터널 고정 SPU에서 IPsec 터널 기반 트래픽(암호화 전 및 복호화 후)에 대한 세션을 생성하고, IOC가 패킷을 동일한 SPU로 직접 리디렉션하여 패킷 전달 오버헤드를 최소화할 수 있도록 세션에 대한 세션 캐시를 설치합니다. Express Path 트래픽과 NP 트래픽은 IOC에서 동일한 세션 캐시 테이블을 공유합니다.

IOC에서 세션 캐시를 활성화하고 보안 정책을 설정하여 선택한 FPC(Flexible PIC Concentrator)에서 세션이 Express Path(이전의 서비스 오프로드) 모드에 대한 것인지 여부를 결정해야 합니다.

IPsec VPN 선호도를 활성화하려면 명령을 사용합니다 set security flow load-distribution session-affinity ipsec .

NP 세션 캐시를 사용한 조각화 패킷 순서 지정

세션은 일반 패킷과 단편화된 패킷 모두로 구성될 수 있습니다. 해시 기반 배포를 통해 5-튜플 및 3-튜플 키를 사용하여 일반 및 단편화된 패킷을 각각 다른 SPU에 배포할 수 있습니다. SRX 시리즈 방화벽에서는 세션의 모든 패킷이 처리 SPU로 전달됩니다. 포워딩 및 처리 지연으로 인해 처리 SPU는 세션의 패킷 순서를 보장하지 않을 수 있습니다.

IOC의 세션 캐시는 조각화된 패킷이 있는 세션의 패킷 순서를 보장합니다. 세션 캐시 항목은 세션의 일반 패킷에 할당되며 3-튜플 키는 조각화된 패킷을 찾는 데 사용됩니다. 세션의 첫 번째 단편화된 패킷을 수신하면 플로우 모듈은 IOC가 세션 캐시 항목을 업데이트하여 SPU의 단편화된 패킷을 기억할 수 있도록 합니다. 나중에 IOC는 세션의 모든 후속 패킷을 SPU로 전달하여 단편화된 패킷이 있는 세션의 패킷 순서를 보장합니다.