Procesamiento basado en flujo IPv6

El flujo avanzado de IPv6 agrega compatibilidad IPv6 con firewall, NAT, NAT-PT, multidifusión (vínculo local y tránsito), IPsec, IDP, marco JSF, proxy TCP y administrador de sesiones en firewalls de la serie SRX. Las MIB no se utilizan en el flujo IPv6.

Para evitar el impacto en el entorno IPv4 actual, se utiliza la seguridad IPv6. Si la seguridad IPv6 está habilitada, se asignan las sesiones extendidas y las puertas. Los campos de dirección y puertas existentes se utilizan para almacenar el índice de sesiones extendidas o puertas. Si la seguridad IPv6 está deshabilitada, no se asignan los recursos relacionados con la seguridad IPv6.

Los nuevos registros se usan para el tráfico de flujo IPv6 para evitar el impacto en el rendimiento del sistema IPv4 existente.

El comportamiento y la implementación del flujo avanzado de IPv6 son los mismos que los de IPv4 en la mayoría de los casos.

Las implementaciones de sesiones, puertas, acciones de ip, procesamiento de subprocesos múltiples, distribución, bloqueo, sincronización, serialización, pedidos, colas de paquetes, mensajería asíncrona, problemas de tráfico de IKE, comprobación de cordura y colas para IPv6 son similares a las implementaciones de IPv4.

Algunas de las diferencias se explican a continuación:

• Header Parse El flujo avanzado de IPv6 detiene el análisis de los encabezados e interpreta el paquete como el paquete de protocolo correspondiente si encuentra los siguientes encabezados de extensión:

  • TCP/UDP

  • ESP/AH

  • ICMPv6

  El flujo avanzado de IPv6 continúa analizando los encabezados si encuentra los siguientes encabezados de extensión:

  • Salto a salto

  • Enrutamiento y destino, fragmento

  El flujo avanzado IPv6 interpreta los paquetes como un paquete de protocolo desconocido si encuentra el encabezado No Next Header de extensión

• Sanity Checks— El flujo avanzado IPv6 admite las siguientes comprobaciones de cordura:

  • Longitud TCP

  • Longitud UDP

  • Salto a salto

  • Error de longitud de datos IP

  • Comprobaciones de cordura de capa 3 (por ejemplo, versión y longitud de IP)

  • ICMPv6 Packets En el flujo avanzado de IPv6, los paquetes ICMPv6 comparten el mismo comportamiento que el tráfico IPv6 normal con las siguientes excepciones:

    • Paquete ICMPv6 integrado

    • Mensaje de MTU de ruta

• Host Inbound and Outbound Traffic El flujo avanzado IPv6 admite todos los protocolos de ruta y administración que se ejecutan en el motor de enrutamiento (RE), incluidos OSPF v3, RIPng, Telnet y SSH. Tenga en cuenta que no se utiliza ninguna etiqueta de flujo en el flujo.

• Tunnel Traffic El flujo avanzado IPv6 admite los siguientes tipos de túneles:

  • IPv4 IP-IP

  • IPv4 GRE

  • IPv4 IPsec

  • Lite de doble pila

• Events and Logs Los siguientes registros corresponden al tráfico de flujo relacionado con IPv6:

  • RT_FLOW_IPVX_SESSION_DENY

  • RT_FLOW_IPVX_SESSION_CREATE

  • RT_FLOW_IPVX_SESSION_CLOSE

En este tema se presenta la arquitectura de los dispositivos SRX5400, SRX5600 y SRX5800. El procesamiento de flujo en estos dispositivos es similar al de los firewalls de la serie SRX de sucursal.

Estos dispositivos incluyen tarjetas de E/S (IOC) y tarjetas de procesamiento de servicios (SPC) que contienen unidades de procesamiento que procesan un paquete a medida que atraviesa el dispositivo. Estas unidades de procesamiento tienen diferentes responsabilidades.

• Una unidad de procesamiento de red (NPU) se ejecuta en una IOC. Un COI tiene una o más NPU. Una NPU procesa paquetes discretamente y realiza funciones básicas de administración de flujo.

  Cuando un paquete IPv6 llega a una IOC, comienza el proceso de flujo de paquetes.

  • La NPU realiza las siguientes comprobaciones de cordura IPv6 para el paquete:

    • Para el encabezado básico IPv6, realiza las siguientes comprobaciones de encabezado:

      • Versión. Comprueba que el encabezado especifica IPv6 para la versión.

      • Longitud de la carga útil. Comprueba la longitud de la carga para asegurarse de que la longitud combinada del paquete IPv6 y el encabezado de capa 2 sea inferior a la longitud de trama de capa 2.

      • Límite de salto. Comprueba que el límite de salto no especifique 0 (cero).

      • Comprobaciones de direcciones. Comprueba que la dirección IP de origen no especifica ::0 o FF::00 y que la dirección IP de destino no especifica ::0 ni ::1.

    • La NPU realiza comprobaciones de encabezado de extensión IPv6, incluidas las siguientes:

      • Opciones salto a salto. Comprueba que este es el primer encabezado de extensión que sigue al encabezado básico IPv6.

      • Extensión de enrutamiento. Comprueba que solo haya un encabezado de extensión de enrutamiento.

      • Opciones de destino. Verifica que no se incluyan más de dos encabezados de extensión de opciones de destino.

      • Fragmento. Comprueba que solo haya un encabezado de fragmento.

      Nota:

      La NPU trata cualquier otro encabezado de extensión como un encabezado de capa 4.

    • La NPU realiza comprobaciones de los protocolos TCP, UDP e ICMP6 de capa 4, incluidas las siguientes:

      • UDP. Comprueba que los paquetes de longitud de carga IP, que no sean un paquete de primer fragmento, tengan al menos 8 bytes de longitud.

      • TCP. Comprueba que los paquetes de longitud de carga IP, que no sean un paquete de primer fragmento, tengan al menos 20 bytes de longitud.

      • ICMPv6. Comprueba que los paquetes de longitud de carga IP, que no sean un paquete de primer fragmento, tengan al menos 8 bytes de longitud.

  • Si el paquete especifica un protocolo TCP o UDP, la NPU crea una tupla a partir de los datos del encabezado del paquete utilizando la siguiente información:

    • Dirección IP de origen

    • Dirección IP de destino

    • Puerto de origen

    • Puerto de destino

    • Protocolo

    • Identificador de enrutador virtual (VRID)

      El dispositivo busca el VRID desde una tabla VRID.

  • Para los paquetes del Protocolo de mensajes de control de Internet versión 6 (ICMPv6), la tupla contiene la misma información que se utiliza para la clave de búsqueda TCP y UDP, excepto para los campos puerto de origen y destino. Los campos puerto de origen y destino se sustituyen por la siguiente información extraída del paquete ICMPv6:

    • Para paquetes de error ICMP: El patrón "0x00010001"

    • Para paquetes de información ICMP: El tipo, código, identificador de campo

  • Para los paquetes con un encabezado de encabezado de autenticación (AH) o un encabezado de carga de seguridad de encapsulación (ESP), la clave de búsqueda es la misma que la utilizada para TCP y la tupla UDP, excepto para los campos puerto de origen y destino. En este caso, se utiliza el valor del campo índice de parámetros de seguridad (SPI) en lugar de los puertos de origen y destino. Para el encabezado de carga de seguridad encapsulada (ESP) y el encabezado de autenticación (AH), antes de las mejoras en la arquitectura del punto cenral, se aplica un algoritmo hash mediante el campo 3-tupla y el campo de índice de parámetros de seguridad (SPI), después de las mejoras en la arquitectura del punto cenral, un par de IP lo hashe.

  • Si existe una sesión para el flujo del paquete, la NPU envía el paquete a la SPU que administra la sesión.

  • Si no existe una sesión coincidente,

    • La NPU envía la información del paquete al punto central, que crea una sesión pendiente.

    • El punto central selecciona una SPU para procesar el paquete y crear sesiones para él.

    • Luego, la SPU envía mensajes de creación de sesión al punto central y a las NPU de entrada y salida, indicándoles que creen una sesión para el flujo de paquetes.

• Un punto central, que puede ejecutarse en una SPU dedicada, o compartir los recursos de una si solo hay una SPU. Un punto central se encarga del arbitraje y la asignación de recursos, y distribuye las sesiones de forma inteligente. El punto central asigna una SPU para ser utilizada para una sesión determinada cuando la SPU procesa el primer paquete de su flujo.

  • Para los dispositivos de línea de SRX5000, la arquitectura de punto central se divide en dos módulos: el punto central de aplicación y el punto central distribuido (DCP). La App-CP es responsable de la gestión de recursos globales y del equilibrio de carga, mientras que DCP es responsable de la identificación del tráfico (coincidencia de sesión global). La funcionalidad App-CP se ejecuta en la SPU de punto central dedicada, mientras que la funcionalidad DCP se distribuye al resto de las SPU.

• Una o más SPU que se ejecutan en una tarjeta de procesamiento de servicios (SPC). Todos los servicios basados en flujo para un paquete se ejecutan en una sola SPU, en el contexto de una sesión configurada para el flujo de paquetes.

  El SPC para dispositivos de línea SRX5000 tiene dos SPU.

  Se pueden instalar varias SPC en un chasis.

  Principalmente, una SPU realiza las siguientes tareas:

  • Administra la sesión y aplica funciones de seguridad y otros servicios al paquete.

  • Aplica filtros, clasificadores y formadores de tráfico de firewall sin estado basados en paquetes.

  • Si aún no existe una sesión para un paquete, la SPU envía un mensaje de solicitud a la NPU que realizó la búsqueda de la sesión del paquete, para indicarle que agregue una sesión para él.

Estas partes discretas y cooperantes del sistema almacenan la información que identifica si existe una sesión para una secuencia de paquetes y la información con la que se compara un paquete para determinar si pertenece a una sesión existente.

• Propósito
• Acción