Descripción general de Express Path

La ruta Express automatizada está habilitada de forma predeterminada a partir de la versión 21.2R1 de Junos OS. Cuando actualiza a la versión 21.2R1 o posterior de Junos, obtiene un rendimiento de firewall gratuito e incomparable de última generación, sin ninguna configuración adicional ni inversión en hardware. De forma predeterminada, está habilitada una ruta Express automatizada.

En la versión 21.2R1 de Junos OS, para deshabilitar Express Path por regla, use set security policies from-zone [untrust] to-zone ptrust] policy [services-offload-pol1] then permit no-services-offload el comando.

Para revertir al comportamiento anterior habilitando la descarga de servicios por regla, use el set security forwarding-options services-offload disable comando.

La ruta Express automatizada admite las siguientes funciones:

• firewall de inspección de estado

• Traducción de direcciones de red (TDR)

• Políticas unificadas (con aplicaciones dinámicas y categorías de URL)

• Firewall de usuario

• Inteligencia de Seguridad

• Detección y prevención de intrusiones (DPI)

• Filtrado web optimizado

• Puertas de enlace de la capa de aplicación (ALG)

• Pantallas (anti-DDoS)

Cuando el primer paquete llega a una interfaz, el procesador de red lo reenvía al punto central (CP). El punto central, a su vez, reenvía el paquete a la SPU. Luego, la SPU crea una sesión en el procesador de red y verifica si el tráfico califica para la sesión de Express Path o para una sesión normal.

Si el tráfico cumple los requisitos para el procesamiento de Express Path, se crea una sesión de Express Path para el tráfico en la SPU. La sesión Express Path procesa los paquetes de ruta rápida en el procesador de red y los paquetes salen del procesador de red.

Si el tráfico no califica para el procesamiento de Express Path, la SPU crea una sesión normal. La sesión normal reenvía paquetes del procesador de red a la SPU para un procesamiento de ruta rápida.

En el firewall SRX con procesador de red, cuando todos los complementos, incluidos los complementos de paquetes y los complementos de transmisión, ignoran una sesión, descargamos la sesión y, luego, instalamos la sesión en el procesador de red. Cuando el complemento de paquetes ignora la sesión, marcamos los indicadores de ignorar. Cuando el complemento de transmisión ignora la sesión, marcamos los indicadores de ignorar y cortocircuitamos TCP-T y TCP-I. Luego instalamos la sesión en el procesador de red para descargar la sesión.

El procesador de red de la tarjeta de E/S (IOC) procesa los paquetes de ruta rápida sin pasar por la estructura del conmutador o la SPU. Esto reduce la latencia de procesamiento de paquetes.

Cada entrada de flujo tiene un contador por ala en el procesador de red Express Path. El contador captura la cantidad de bytes que el procesador de red envía por el ala.

El comportamiento del procesador de red en diferentes escenarios es el siguiente:

• Flujo de la primera ruta: el flujo de la primera ruta es el mismo que el proceso de flujo del procesador de red actual. Cuando el primer paquete llega al procesador de red, este analiza el paquete TCP o UDP para extraer una clave de 5 tuplas y, luego, realiza la búsqueda de sesión en la tabla de flujo. Luego, el procesador de red reenvía el primer paquete al punto central. El punto central no puede encontrar una coincidencia en este momento porque este es el primer paquete. El punto central y la SPU crean una sesión y la comparan con las políticas configuradas por el usuario para determinar si la sesión es una sesión normal o una sesión de descarga de servicios.

  Si especifica la sesión que se va a administrar con Express Path, la SPU crea una entrada de sesión en la tabla de flujo del procesador de red. Esto habilita el indicador Express Path en la tabla de entrada de sesión; de lo contrario, la SPU crea una entrada de sesión normal en el procesador de red sin el indicador Express Path.

• Flujo de ruta rápida: después de crear la entrada de sesión en el procesador de red, los paquetes posteriores de la sesión coincidirán con la tabla de entrada de sesión.

  1. Si no se establece el indicador Express Path, el procesador de red reenvía el paquete a las SPU especificadas en la tabla de entrada de sesión. El paquete pasa por el proceso de flujo normal.

  2. Si el procesador de red encuentra el indicador de descarga de servicios en la tabla de entrada de sesión, procesará el paquete localmente y lo enviará directamente.

  3. La función de avance rápido en el procesador de red admite sesiones de multidifusión de un fanout. El puerto de salida de la sesión también debe estar asociado al mismo procesador de red que el puerto de entrada. Todos los demás casos de multidifusión deben administrarse como sesiones normales.

• Proceso TDR: la SPU es responsable de la asignación entre la dirección IP o el puerto internos y la dirección IP o el puerto externos. Cuando llega el primer paquete de la sesión, la SPU asigna la dirección IP o la asignación de puerto y almacena la información en la entrada de sesión del procesador de red. Si se establece el indicador TDR, el procesador de red modifica el paquete.

• Antigüedad de la sesión: para mejorar la transferencia de datos de las sesiones de descarga de servicios, se envía una copia de un paquete a la SPU en cada período de tiempo predefinido para reducir la demanda de procesamiento de paquetes en la SPU. Para limitar el número de copias de paquetes enviadas a la SPU, se implementa una marca de hora para cada sesión de descarga de servicio. El procesador de red calcula el tiempo transcurrido desde la última coincidencia de sesión. Si el tiempo transcurrido es mayor que el período de tiempo predefinido, el procesador de red envía una copia del paquete a la SPU y actualiza la marca de tiempo de la sesión.

• Finalización y eliminación de la sesión: si el procesador de red recibe un paquete IP con un indicador de datos terminados (FIN) o RST (restablecimiento de conexión), reenvía el paquete a la SPU. A continuación, la SPU elimina la caché de sesión en el procesador de red. El procesador de red sigue recibiendo y reenviando cualquier paquete a la SPU durante la transición de estado.

• Contador de estadísticas de alas
• Estadísticas de sesiones por ala

Express Path en las tarjetas IOC se basa en el procesamiento de paquetes de ruta rápida a través del conjunto de chips del procesador de red en lugar de en la SPU para descargar algunas funciones básicas del firewall a la tarjeta IOC.

Si habilitó la característica Express Path, la tarjeta IOC proporciona una latencia más baja y también admite una mayor transferencia de datos mediante la eliminación de la sobrecarga en la SPU. La tarjeta IOC admite tanto el flujo de tráfico dentro de la tarjeta como el flujo de tráfico entre tarjetas. Para lograr los mejores resultados de latencia, tanto el puerto de entrada como el puerto de salida de un flujo de tráfico deben estar en el mismo chip XM de la tarjeta IOC.

La tarjeta IOC admite FPC de 240 Gbps y utiliza una línea de conjuntos de chips de procesamiento de red (NP) de tercera generación. Este último chip de búsqueda y cola está optimizado para una mayor capacidad. La tarjeta IOC es compatible con SCB2 y SCB3, no se admite el SCB anterior.

No puede encender las cuatro PIC de la tarjeta IOC simultáneamente debido a la restricción térmica y de alimentación. Encienda un máximo de dos PIC, ya sea en orden par o impar. Puede usar el set chassis fpc <slot> pic <pic> power off comando para elegir la PIC que desea encender.

Los mensajes de registro del sistema son:

• XMCHIP_CMERROR_DDRIF_INT_REG_CHKSUM_ERR_MINOR

• XMCHIP_CMERROR_DDRIF_INT_REG_CHKSUM_ERR_MAJOR

Los mensajes de error indican que el chip XM en un concentrador de PIC flexible (FPC) detectó un error de suma de comprobación que está provocando caídas de paquetes. Los siguientes valores de umbral de error clasifican el error como un error grave o menor:

• Error menor: > 5 errores por segundo

• Error importante: > 255 errores por segundo (recuento máximo)

En el plano de datos, la tarjeta IOC analiza los paquetes y los busca en la tabla de flujo. Si la tarjeta IOC encuentra una coincidencia en la tabla de flujo, reenvía paquetes según las instrucciones dadas en la tabla de flujo. La tarjeta IOC puede realizar TDR, encapsular el encabezado de capa 2 (L2) y reenviar los paquetes fuera de la interfaz de salida. La interfaz de salida puede estar ubicada en la misma tarjeta IOC (carcasa entre tarjetas) o en otra tarjeta IOC (carcasa entre tarjetas).

Cuando la tarjeta IOC recibe el primer paquete, no coincide con ninguna sesión de avance rápido existente. El reenvío basado en hash predeterminado se realiza para enviar el primer paquete a la SPU. Luego, la SPU crea la sesión de seguridad. Si la SPU encuentra que el tráfico está calificado para el reenvío rápido y la tarjeta IOC relacionada admite el reenvío rápido, instalará la sesión de avance rápido en la tarjeta IOC. Si no se puede aplicar el reenvío rápido al tráfico, no se envía ningún mensaje de sesión y la tarjeta IOC utiliza el reenvío basado en hash predeterminado para reenviar los paquetes a la SPU.

En el procesamiento de tarjetas IOC de avance rápido, si se coincide con una sesión de avance rápido, el paquete se puede reenviar directamente de acuerdo con el resultado del flujo de la sesión. La tarjeta IOC realiza todas las acciones necesarias, por ejemplo, reenviar el paquete, comprobar TTL y disminuir la traducción de TDR y encapsular el encabezado de capa 2.

Además, el chip XL envía una copia del paquete de reenvío a la SPU en un momento predefinido. Esta copia se utiliza para actualizar la sesión de SPU, detectar el estado actual del chip XL, etc. La SPU consume este paquete y no lo reenvía, ya que el paquete real se procesó y transmitió.