Processamento de tráfego em firewalls da Série SRX Visão geral

Entendendo o processamento baseado em fluxo

Um pacote passa por processamento baseado em fluxo após filtros baseados em pacotes e algumas telas terem sido aplicadas a ele. Todo o processamento baseado em fluxo para um único fluxo ocorre em uma única unidade de processamento de serviços (SPU). Uma SPU processa os pacotes de um fluxo de acordo com os recursos de segurança e outros serviços configurados para a sessão.

A Figura 1 mostra uma visão conceitual de como o processamento de tráfego baseado em fluxo ocorre no gateway de serviços.

Figura 1: Fluxo de tráfego para processamento baseado em fluxo

Um fluxo é um fluxo de pacotes relacionados que atendem aos mesmos critérios de correspondência e compartilham as mesmas características. O Junos OS trata os pacotes pertencentes ao mesmo fluxo da mesma maneira.

As definições de configuração que determinam o destino de um pacote, como a política de segurança que se aplica a ele, se ele requer um Gateway de Camada de Aplicativo (ALG), se o NAT é aplicado para traduzir o endereço IP de origem e/ou destino do pacote, são avaliadas para o primeiro pacote de um fluxo.

Para determinar se existe um fluxo para um pacote, a NPU tenta combinar as informações do pacote com as de uma sessão existente com base nos seguintes critérios de correspondência:

• Endereço de origem

• Endereço de destino

• Porta de origem

• Porta de destino

• Protocolo

• Número de token de sessão exclusivo para uma determinada zona e roteador virtual

• Zonas e políticas
• Fluxos e sessões

Entendendo o processamento baseado em pacotes

Um pacote passa por processamento baseado em pacotes quando é removido da fila em sua interface de entrada e antes de ser adicionado à fila em sua interface de saída.

O processamento baseado em pacotes aplica filtros de firewall stateless, recursos de CoS e algumas telas a pacotes discretos.

• Quando um pacote chega a uma interface, verificações de sanidade, filtros baseados em pacotes, alguns recursos de CoS e algumas telas são aplicados a ele.

• Antes de um pacote sair do dispositivo, todos os filtros baseados em pacotes, alguns recursos de CoS e algumas telas associadas à interface são aplicados ao pacote.

Filtros e recursos de CoS são normalmente associados a uma ou mais interfaces para influenciar quais pacotes têm permissão para transitar pelo sistema e aplicar ações especiais aos pacotes conforme necessário.

Os tópicos a seguir descrevem os tipos de recursos baseados em pacotes que você pode configurar e aplicar ao tráfego de trânsito.

• Filtros de firewall stateless
• Recursos de classe de serviço
• Telas

Entendendo o processamento de fluxo e o gerenciamento de sessão

Este tópico explica como uma sessão é configurada para processar os pacotes que compõem um fluxo. No tópico a seguir, a SPU refere-se ao thread do plano de dados do Firewall SRX320.

No início, o thread do plano de dados busca o pacote e executa verificações básicas de sanidade nele. Em seguida, ele processa o pacote para filtros sem estado e classificadores CoS e aplica algumas telas.

Entender o processamento do primeiro pacote

Para determinar se um pacote pertence a um fluxo existente, o dispositivo tenta corresponder as informações do pacote às de uma sessão existente com base nos seis critérios de correspondência a seguir:

• Endereço de origem

• Endereço de destino

• Porta de origem

• Porta de destino

• Protocolo

• Token exclusivo de uma determinada zona e roteador virtual

A SPU verifica sua tabela de sessão para uma sessão existente para o pacote. Se nenhuma sessão existente for encontrada, a SPU configurará uma sessão para o fluxo. Se uma correspondência de sessão for encontrada, a sessão já foi criada, então a SPU executa o processamento de caminho rápido no pacote.

Noções básicas sobre a criação de sessão

Ao configurar a sessão, a SPU executa os seguintes serviços para o pacote:

• Telas

• Pesquisa de rota

• Pesquisa de políticas

• Pesquisa de serviço

• NAT, se necessário

Depois que uma sessão é configurada, ela é usada para todos os pacotes pertencentes ao fluxo. Os pacotes de um fluxo são processados de acordo com os parâmetros de sua sessão. Para o restante das etapas envolvidas no processamento de pacotes, prossiga para a Etapa 1 em "Processamento de caminho rápido". Todos os pacotes passam por processamento rápido.

Noções básicas sobre o processamento rápido de caminhos

Se um pacote corresponder a uma sessão, o Junos OS executa o processamento de caminho rápido conforme descrito nas etapas a seguir. Depois que uma sessão foi configurada para o primeiro pacote em um fluxo, ele também passa por processamento rápido. Todos os pacotes passam por processamento rápido.

1. A SPU aplica recursos de segurança baseados em fluxo ao pacote.

   • As telas configuradas são aplicadas.

   • Verificações de TCP são executadas.

   • Serviços de fluxo, como NAT, ALG e IPsec, são aplicados, se necessário.

2. A SPU prepara o pacote para encaminhamento e o transmite.

   • Filtros de pacote de roteamento são aplicados.

   • A modelagem de tráfego é aplicada.

   • A priorização de tráfego é aplicada.

   • A programação de tráfego é aplicada.

   • O pacote é transmitido.

Entender o processamento do primeiro pacote

A Figura 4 ilustra o caminho que o primeiro pacote em um fluxo segue ao entrar no dispositivo — a NPU determina que não existe sessão para o pacote e a NPU envia o pacote ao ponto central distribuído para configurar uma sessão de ponto central distribuída. O ponto central distribuído envia uma mensagem ao ponto central do aplicativo para selecionar a SPU para configurar uma sessão para o pacote e processá-lo. O ponto central distribuído então envia o pacote para essa SPU. A SPU processa o pacote e o envia à NPU para transmissão do dispositivo. (Esta descrição de alto nível não aborda a aplicação de recursos a um pacote.)

Figura 4: Processamento do primeiro pacote

Depois que o primeiro pacote em um fluxo atravessou o sistema e uma sessão foi estabelecida para ele, ele passa por um processamento rápido.

Os pacotes subsequentes no fluxo também passam por processamento rápido; nesse caso, depois que cada pacote entra na sessão e a NPU encontra uma correspondência para ele em sua tabela de sessão, a NPU encaminha o pacote para a SPU que gerencia sua sessão.

A Figura 5 ilustra o processamento de caminho rápido. Esse é o caminho que um pacote segue quando um fluxo já foi estabelecido para seus pacotes relacionados. (É também o caminho que o primeiro pacote em um fluxo segue após a sessão para o fluxo que o pacote iniciado foi configurado.) Depois que o pacote entra no dispositivo, a NPU encontra uma correspondência para o pacote em sua tabela de sessão e encaminha o pacote para a SPU que gerencia a sessão do pacote. Observe que o pacote ignora a interação com o ponto central.

Noções básicas sobre o processamento rápido de caminhos

A seção a seguir explica como uma sessão é criada e o processo pelo qual um pacote passa à medida que transita pelo dispositivo.

Figura 5: Processamento de caminho rápido

Aqui está uma visão geral dos principais componentes envolvidos na configuração de uma sessão para um pacote e no processamento de pacotes de forma discreta e como parte de um fluxo à medida que transitam pelos dispositivos SRX5400, SRX5600 e SRX5800.

• Unidades de processamento de rede (NPUs) — NPUs residem em IOCs. Eles lidam com a verificação de sanidade de pacotes e a aplicação de algumas telas. As NPUs mantêm tabelas de sessão que usam para determinar se existe uma sessão para um pacote de entrada ou para tráfego reverso.

  A tabela de sessão NPU contém uma entrada para uma sessão se a sessão for estabelecida em uma SPU para um pacote que havia entrado anteriormente no dispositivo por meio da interface e foi processado por essa NPU. A SPU instala a sessão na tabela NPU quando cria a sessão.

  Uma NPU determina se existe uma sessão para um pacote verificando as informações do pacote em relação à tabela de sessão. Se o pacote corresponder a uma sessão existente, a NPU enviará o pacote e os metadados para ele para a SPU. Se não houver sessão, as NPUs enviam o pacote para uma SPU que é calculada usando o algoritmo de hash.

• Unidades de processamento de serviços (SPUs) — Os principais processadores dos dispositivos SRX5400, SRX5600 e SRX5800 residem em SPCs. As SPUs estabelecem e gerenciam fluxos de tráfego e realizam a maior parte do processamento de pacotes em um pacote à medida que ele transita pelo dispositivo. Cada SPU mantém uma tabela de hash para pesquisa rápida de sessão. A SPU aplica filtros de firewall stateless, classificadores e modeladores de tráfego ao tráfego. Uma SPU executa todo o processamento baseado em fluxo para um pacote e a maioria dos processamentos baseados em pacotes. Cada SPU multicore processa pacotes de forma independente, com interação mínima entre SPUs no mesmo SPC ou em um SPC diferente. Todos os pacotes que pertencem ao mesmo fluxo são processados pela mesma SPU.

  A SPU mantém uma tabela de sessão com entradas para todas as sessões que estabeleceu e cujos pacotes processa. Quando uma SPU recebe um pacote de uma NPU, ela verifica sua tabela de sessão para garantir que o pacote pertença a ela. Ele também verifica sua tabela de sessão quando recebe um pacote do ponto central distribuído e envia uma mensagem para estabelecer uma sessão para esse pacote para verificar se não há uma sessão existente para o pacote.

• Ponto central — A arquitetura do ponto central é dividida em dois módulos, o ponto central do aplicativo e o ponto central distribuído. O ponto central do aplicativo é responsável pelo gerenciamento global de recursos e balanceamento de carga, enquanto o ponto central distribuído é responsável pela identificação do tráfego (correspondência de sessão global). A funcionalidade de ponto central do aplicativo é executada na SPU de ponto central dedicada, enquanto a funcionalidade de ponto central distribuída é distribuída para o restante das SPUs. Agora, as sessões de ponto central não estão mais na SPU de ponto central dedicada, mas com o ponto central distribuído em outras SPUs de fluxo.

• Mecanismo de Roteamento — O Mecanismo de Roteamento executa o plano de controle.

Entendendo o caminho de dados para sessões unicast

Esta seção descreve o processo de estabelecer uma sessão para pacotes pertencentes a um fluxo que transita pelo dispositivo.

Para ilustrar o estabelecimento da sessão e a "caminhada" do pacote, incluindo os pontos em que os serviços são aplicados aos pacotes em um fluxo, este exemplo usa o caso simples de uma sessão unicast.

Essa "caminhada" de pacotes reúne o processamento baseado em pacotes e o processamento baseado em fluxo que o Junos OS executa no pacote.

• Critérios de pesquisa de sessão e correspondência de pacotes
• Entendendo a criação de sessão: processamento de primeiro pacote
• Noções básicas sobre o processamento rápido de caminhos

Entendendo a criação de sessão: processamento de primeiro pacote

Esta seção explica como uma sessão é configurada para processar os pacotes que compõem um fluxo. Para ilustrar o processo, esta seção usa um exemplo com uma origem "a" e um destino "b". A direção da origem ao destino para os pacotes do fluxo é chamada de (a ->b). A direção do destino à origem é chamada de (b->a).

Etapa 1. Um pacote chega a uma interface no dispositivo e a NPU o processa.

Esta seção descreve como um pacote é tratado quando chega a um IOC de entrada do Firewall da Série SRX.

1. O pacote chega ao IOC do dispositivo e é processado pela NPU no IOC.

2. A NPU executa verificações básicas de sanidade no pacote e aplica algumas telas configuradas para a interface ao pacote.

3. A NPU verifica sua tabela de sessão para uma sessão existente para o pacote. (Ele verifica a tupla do pacote em relação às dos pacotes para sessões existentes em sua tabela de sessão.)

   1. Se nenhuma sessão existente for encontrada, a NPU encaminhará o pacote para a SPU de hash.

   2. Se uma correspondência de sessão for encontrada, a sessão já foi criada em uma SPU que foi atribuída a ela, então a NPU encaminha o pacote para a SPU para processamento junto com o ID da sessão.

Example: O pacote (a ->b) chega ao NPU1. O NPU1 executa verificações de sanidade e aplica telas de DoS ao pacote. O NPU1 verifica sua tabela de sessão em busca de uma correspondência de tupla e nenhuma sessão existente é encontrada. O NPU1 encaminha o pacote para uma SPU.

Etapa 2. O ponto central distribuído cria uma sessão com um estado "pendente".

Quando uma NPU recebe um pacote, a NPU o envia para o ponto central distribuído, com base no algoritmo de hash. O ponto central distribuído então procura a tabela de sessão do ponto central distribuído e cria uma entrada, se necessário.

Este processo envolve as seguintes partes:

1. O ponto central distribuído verifica sua tabela de sessão para determinar se existe uma sessão para o pacote recebido da NPU. (Uma NPU encaminha um pacote para o ponto central distribuído porque não consegue encontrar uma sessão existente para o pacote)

2. Se não houver nenhuma entrada que corresponda ao pacote na tabela de sessão de ponto central distribuído, o ponto central distribuído criará uma ala pendente para a sessão. O ponto central distribuído envia uma mensagem de consulta ao ponto central do aplicativo para selecionar uma SPU a ser usada para a sessão.

3. Ao receber a mensagem de consulta, o ponto central do aplicativo verifica sua tabela de portas para determinar se existe uma porta para o pacote. Se uma porta for correspondida ou algum outro algoritmo de distribuição de sessão for acionado, o ponto central do aplicativo selecionará outra SPU para processar o pacote; caso contrário, a SPU (ou seja, a SPU de ponto central distribuída) será selecionada. Por fim, o ponto central do aplicativo envia uma resposta de consulta ao ponto central distribuído.

4. Ao receber a resposta da consulta, o ponto central distribuído encaminha o primeiro pacote em fluxo para a SPU selecionada em uma mensagem direcionando a SPU a configurar uma sessão localmente a ser usada para o fluxo de pacotes. Por exemplo, o ponto central distribuído cria uma ala pendente (um ->b) para a sessão. O ponto central do aplicativo seleciona SPU1 para ser usado para ele. O ponto central distribuído envia ao SPU1 o pacote (a->b) junto com uma mensagem para criar uma sessão para o ponto central distribuído.

Example: O ponto central distribuído cria uma ala pendente (a ->b) para a sessão. Ele seleciona SPU1 para ser usado para ele. Ele envia ao SPU1 o pacote (a->b) junto com uma mensagem para criar uma sessão para ele.

Etapa 3. A SPU configura a sessão.

Cada SPU também tem uma tabela de sessão, que contém informações sobre suas sessões. Quando a SPU recebe uma mensagem do ponto central distribuído para configurar uma sessão, ela verifica sua tabela de sessão para garantir que ainda não exista uma sessão para o pacote.

1. Se não houver uma sessão existente para o pacote, a SPU configurará a sessão localmente.

2. A SPU envia uma mensagem ao ponto central distribuído direcionando-o para instalar a sessão.

   Observação:

   Durante o processamento do primeiro pacote, se o NAT estiver habilitado, a SPU alocará recursos de endereço IP para o NAT. Nesse caso, o processamento do primeiro pacote para a sessão é suspenso até que o processo de alocação de NAT seja concluído.

A SPU adiciona à fila todos os pacotes adicionais para o fluxo que ela pode receber até que a sessão seja instalada.

Example: O SPU1 cria a sessão para (a ->b) e envia uma mensagem de volta ao ponto central distribuído direcionando-o para instalar a sessão pendente.

Etapa 4. O ponto central distribuído instala a sessão.

O ponto central distribuído recebe a mensagem de instalação da SPU.

1. O ponto central distribuído define o estado da asa pendente da sessão como ativo.

2. O ponto central distribuído instala a asa reversa para a sessão como uma asa ativa.

   Observação:

   Para alguns casos, como o NAT, a asa reversa pode ser instalada em um ponto central distribuído diferente do ponto central distribuído da asa inicial.

3. Ele envia uma mensagem de confirmação (ACK) para a SPU, indicando que a sessão está instalada.

Example: O ponto central distribuído recebe uma mensagem da SPU1 para instalar a sessão para a ala (a->b). Ele define o estado da sessão para a asa (a->b) como ativa. Ele instala a asa reversa (b->a) para a sessão e a torna ativa; Isso permite a entrega de pacotes da direção inversa do fluxo: destino (B) a ser entregue à fonte (A).

Etapa 5. A SPU configura a sessão nas NPUs de entrada e saída.

As NPUs mantêm informações sobre uma sessão para encaminhamento e entrega de pacotes. As informações de sessão são configuradas nas NPUs de saída e entrada (que às vezes são as mesmas) para que os pacotes possam ser enviados diretamente para a SPU que gerencia seus fluxos e não para o ponto central distribuído para redirecionamento.

Etapa 6. O processamento rápido ocorre.

Para o restante das etapas envolvidas no processamento de pacotes, vá para a Etapa 1 em Noções Básicas Sobre o Processamento de Caminho Rápido.

A Figura 6 ilustra a primeira parte do processo pelo qual o primeiro pacote em um fluxo passa depois de atingir o dispositivo. Neste ponto, uma sessão é configurada para processar o pacote e o restante dos pacotes pertencentes ao seu fluxo. Posteriormente, ele e o restante dos pacotes no fluxo passam por processamento rápido.

Figura 6: Criação de sessão: processamento do primeiro pacote

Noções básicas sobre o processamento rápido de caminhos

Todos os pacotes passam por processamento rápido. No entanto, se existir uma sessão para um pacote, o pacote passará por processamento rápido e ignorará o processo do primeiro pacote. Quando já existe uma sessão para o fluxo do pacote, o pacote não transita pelo ponto central.

Veja como o processamento rápido de caminhos funciona: As NPUs nas interfaces de saída e entrada contêm tabelas de sessão que incluem a identificação da SPU que gerencia o fluxo de um pacote. Como as NPUs têm essas informações de sessão, todo o tráfego do fluxo, incluindo o tráfego reverso, é enviado diretamente para essa SPU para processamento.

Para ilustrar o processo de caminho rápido, esta seção usa um exemplo com uma origem "a" e um destino "b". A direção da origem ao destino para os pacotes do fluxo é chamada de (a->b). A direção do destino à origem é chamada de (b->a).

Etapa 1. Um pacote chega ao dispositivo e a NPU o processa.

Esta seção descreve como um pacote é tratado quando chega ao IOC de um gateway de serviços.

1. O pacote chega ao IOC do dispositivo e é processado pela NPU na placa.

   A NPU executa verificações de sanidade e aplica algumas telas, como telas de negação de serviço (DoS), ao pacote.

2. A NPU identifica uma entrada para uma sessão existente em sua tabela de sessão que o pacote corresponde.

3. A NPU encaminha o pacote junto com os metadados de sua tabela de sessão, incluindo o ID da sessão e as informações de tupla do pacote, para a SPU que gerencia a sessão do fluxo, aplica filtros de firewall stateless e recursos de CoS a seus pacotes e lida com o processamento do fluxo do pacote e a aplicação de segurança e outros recursos.

Example: O pacote (a ->b) chega ao NPU1. O NPU1 executa verificações de sanidade no pacote, aplica telas de DoS a ele e verifica sua tabela de sessão em busca de uma correspondência de tupla. Ele encontra uma correspondência e que existe uma sessão para o pacote no SPU1. O NPU1 encaminha o pacote para a SPU1 para processamento.

Etapa 2. A SPU da sessão processa o pacote.

A maior parte do processamento de um pacote ocorre na SPU à qual sua sessão é atribuída. O pacote é processado para recursos baseados em pacotes, como filtros de firewall stateless, modeladores de tráfego e classificadores, se aplicável. A segurança baseada em fluxo configurada e os serviços relacionados, como recursos de firewall, NAT, ALGs e assim por diante, são aplicados ao pacote. (Para obter informações sobre como os serviços de segurança são determinados para uma sessão.

1. Antes de processar o pacote, a SPU verifica sua tabela de sessão para verificar se o pacote pertence a uma de suas sessões.

2. A SPU processa o pacote para os recursos e serviços aplicáveis.

Example: O SPU1 recebe o pacote (a->b) do NPU1. O SPU1 verifica sua tabela de sessão para verificar se o pacote pertence a uma de suas sessões. Em seguida, ele processa o pacote (a ->b) de acordo com os filtros de entrada e CoS recursos que se aplicam à sua interface de entrada. A SPU aplica os recursos e serviços de segurança configurados para o fluxo do pacote, com base em sua zona e políticas. Se algum estiver configurado, ele aplica filtros de saída, modeladores de tráfego e telas adicionais ao pacote.

Etapa 3. A SPU encaminha o pacote para a NPU.

1. A SPU encaminha o pacote para a NPU.

2. A NPU aplica todas as telas aplicáveis associadas à interface ao pacote.

Example: O SPU1 encaminha o pacote (a ->b) para o NPU2 e o NPU2 aplica DoS telas.

Etapa 4. A interface transmite o pacote do dispositivo.

Example: A interface transmite o pacote (a->b) do dispositivo.

Etapa 5. Um pacote de tráfego reverso chega à interface de saída e a NPU o processa.

Esta etapa reflete a Etapa 1 exatamente ao contrário. Consulte a Etapa 1 nesta seção para obter detalhes.

Example: O pacote (b->a) chega ao NPU2. O NPU2 verifica se há uma correspondência de tupla em sua tabela de sessão. Ele encontra uma correspondência e que existe uma sessão para o pacote no SPU1. O NPU2 encaminha o pacote para a SPU1 para processamento.

Etapa 6. A SPU da sessão processa o pacote de tráfego reverso.

Essa etapa é igual à Etapa 2, exceto que se aplica ao tráfego reverso. Consulte a Etapa 2 desta seção para obter detalhes.

Example: O SPU1 recebe o pacote (b->a) do NPU2. Ele verifica sua tabela de sessão para verificar se o pacote pertence à sessão identificada pelo NPU2. Em seguida, ele aplica recursos baseados em pacotes configurados para a interface do NPU1 ao pacote. Ele processa o pacote (b->a) de acordo com os recursos de segurança e outros serviços configurados para seu fluxo, com base em sua zona e políticas.

Etapa 7. A SPU encaminha o pacote de tráfego reverso para a NPU.

Esta etapa é a mesma que a Etapa 3, exceto que se aplica ao tráfego reverso. Consulte a Etapa 3 nesta seção para obter detalhes.

Example: O SPU1 encaminha o pacote (b->a) para NPU1. O NPU1 processa todas as telas configuradas para a interface.

8. A interface transmite o pacote do dispositivo.

Esta etapa é a mesma que a Etapa 4, exceto que se aplica ao tráfego reverso. Consulte a Etapa 4 nesta seção para obter detalhes.

Exemplo: A interface transmite o pacote (b->a) do dispositivo.

A Figura 7 ilustra o processo pelo qual um pacote passa quando chega ao dispositivo e existe uma sessão para o fluxo ao qual o pacote pertence.

Figura 7: Caminhada de pacotes para processamento rápido de caminho

Entendendo as unidades de processamento de serviços

Para uma determinada interface física, a SPU recebe pacotes de entrada de todos os processadores de rede no pacote de processadores de rede associados à interface física. A SPU extrai informações de pacote do processador de rede da interface física e usa o mesmo algoritmo de hash de 5 tuplas para mapear um fluxo para um índice de processador de rede. Para determinar o processador de rede, a SPU faz uma pesquisa no índice do processador de rede no pacote do processador de rede. A SPU envia pacotes de saída para o Módulo de Interface Física (PIM) local da interface física para o tráfego de saída.

Noções básicas sobre as características do agendador

Para dispositivos SRX5400, SRX5600 e SRX5800, o IOC oferece suporte às seguintes características do agendador hierárquico:

• IFL – A configuração do pacote do processador de rede é armazenada na estrutura de dados da interface física. Por exemplo, os dispositivos SRX5400, SRX5600 e SRX5800 têm no máximo 48 PIMs. A interface física pode usar uma máscara de bits de 48 bits para indicar o PIM ou o tráfego do processador de rede dessa interface física é distribuído além do processador de rede primário da interface física.

  Nos dispositivos da Linha SRX5000, a funcionalidade iflset não é compatível com interfaces agregadas, como reth.

• IFD – a interface lógica associada à interface física de um pacote de processador de rede é passada para todos os IOCs que têm um PIM no pacote de processador de rede.

Entendendo o agrupamento do processador de rede

O recurso de empacotamento do processador de rede está disponível nos dispositivos da Linha SRX5000. Esse recurso permite a distribuição do tráfego de dados de uma interface para vários processadores de rede para processamento de pacotes. Um processador de rede primário é atribuído a uma interface que recebe o tráfego de entrada e distribui os pacotes para vários outros processadores de rede secundários. Um único processador de rede pode atuar como um processador de rede primário ou como um processador de rede secundário para várias interfaces. Um único processador de rede pode ingressar em apenas um pacote de processadores de rede.

Visão geral

O SRX5K-MPC (IOC2), SRX5K-MPC3-100G10G (IOC3) e SRX5K-MPC3-40G10G (IOC3) nos dispositivos SRX5400, SRX5600 e SRX5800 oferecem suporte ao cache de sessão e à instalação seletiva do cache de sessão.

O cache de sessão é usado para armazenar em cache uma conversa entre o processador de rede (NP) e a SPU em um IOC. Uma conversa pode ser uma sessão, tráfego de túnel GTP-U, tráfego de túnel VPN IPsec e assim por diante. Uma conversa tem duas entradas de cache de sessão, uma para tráfego de entrada e outra para tráfego reverso. Dependendo de onde estão as portas de entrada e saída de tráfego, duas entradas podem residir no mesmo processador de rede ou em processadores de rede diferentes. Os IOCs oferecem suporte ao cache de sessão para sessões IPv6.

Uma entrada de cache de sessão também é chamada de asa de sessão.

O cache de sessão no IOC aproveita a funcionalidade Express Path (anteriormente conhecida como descarregamento de serviços) e ajuda a evitar problemas como alta latência e queda de desempenho de IPsec.

Uma entrada de cache de sessão registra:

• Para qual SPU o tráfego da conversão deve ser encaminhado

• Para qual porta de saída o tráfego da conversão deve ser encaminhado no modo Express Path

• Qual processamento fazer para tráfego de saída, por exemplo, tradução de NAT no modo Express Path

Outro tráfego foi hash para SPUs com base em suas informações de chave de 5 tuplas. O tráfego VPN empregou o conceito de SPU ancorada, que não coincidiu necessariamente com as funções da SPU de fluxo. O processador de rede só podia encaminhar os pacotes para a SPU de fluxo com base no hash de 5 tuplas. A SPU de fluxo então encaminhou o pacote para a SPU ancorada. Isso criou um salto extra para o tráfego de VPN, o que desperdiçou a largura de banda da malha de switches e reduziu a taxa de transferência da VPN aproximadamente pela metade. Essa redução de desempenho ocorreu porque o tráfego ainda precisava voltar para a SPU de fluxo após o processamento na SPU ancorada.

A tabela de cache de sessão agora é estendida no IOC para dar suporte às sessões NP. O tráfego Express Path e o tráfego NP compartilham a mesma tabela de cache de sessão em IOCs. O tráfego do Express Path é encaminhado pelo próprio IOC localmente ou para outro IOC, porque o tráfego não requer nenhum serviço da SPU. O tráfego NP é encaminhado para a SPU especificada no cache de sessão para processamento posterior. Todas as entradas de cache de sessão são compartilhadas pelo tráfego de sessão do Express Path e pelo tráfego NP.

Para habilitar o cache de sessão nos IOCs, você precisa executar o set chassis fpc <fpc-slot> np-cache comando.

Instalação de cache de sessão seletiva

Para evitar a alta latência, melhorar o desempenho do IPSec e utilizar melhor os recursos valiosos, certos mecanismos de prioridade são aplicados ao módulo de fluxo e ao IOC.

Os IOCs mantêm e monitoram os níveis de limite de uso do cache de sessão. Os IOCs também comunicam o uso do cache de sessão à SPU, de modo que, quando um determinado limite de uso do cache de sessão for atingido, a SPU enviará apenas solicitações de instalação de cache de sessão para sessões de tráfego seletivo de alta prioridade.

Aplicativos como IDP, ALG precisam processar pacotes em ordem. Uma SPU tem vários threads de fluxo para lidar com pacotes pertencentes a uma sessão, o thread de balanceamento de carga (LBT) e o thread de pedido de pacotes (POT) podem garantir que o tráfego passe pelo firewall em ordem, não pode garantir que o aplicativo processe pacotes que pertencem à mesma sessão em ordem. A serialização de fluxo fornece o método de que apenas um pacote de processamento de thread de fluxo SPU pertence à mesma sessão por vez, para que os aplicativos possam receber, processar e enviar pacotes em ordem. Outros threads de fluxo podem fazer o processamento de serialização de fluxo para outras sessões ao mesmo tempo.

Os quatro níveis de prioridade a seguir são usados para determinar qual tipo de tráfego pode instalar o cache de sessão nos IOCs:

• Priority 1 (P1)— tráfego qualificado IPSec e Express Path

• Priority 2 (P2)— Ordenação de fragmentação

• Priority 3 (P3)— tráfego de tráfego NAT/SZ (serialização de sessão)

• Priority 4(P3)— Todos os outros tipos de tráfego

Os IOCs mantêm e monitoram os níveis de limite para o uso do cache de sessão e atualizam o uso atual do cache de sessão em tempo real para a SPU. A SPU solicita que o IOC instale o cache de sessão para determinadas sessões de tráfego de alta prioridade. O uso do cache de sessão para sessões de tráfego de alta prioridade é definido na tabela:

Para conservar entradas de sessão no IOC, o módulo de fluxo instala seletivamente sessões no IOC. Para facilitar a seleção de instalação da sessão, o IOC mantém os limites correspondentes para fornecer uma indicação ao módulo de fluxo (sobre o quão cheia a tabela de cache de sessão está nos IOCs). Dois bits no metacabeçalho são adicionados para indicar o status atual de utilização da tabela de cache. Todos os pacotes que vão para a SPU transportarão esses dois bits de status para informar o módulo de fluxo sobre a utilização da tabela de cache no IOC.

Aprimoramento da afinidade de sessão da VPN IPsec usando o cache de sessão

Os firewalls da Série SRX são sistemas totalmente distribuídos, e um túnel IPsec é alocado e ancorado em uma SPU específica. Todo o tráfego que pertence a um túnel IPsec é criptografado e descriptografado em sua SPU ancorada no túnel. Para obter um melhor desempenho de IPsec, o IOC melhora o módulo de fluxo para criar sessões para tráfego baseado em túnel IPsec (antes da criptografia e após a descriptografia) em sua SPU ancorada em túnel e instala o cache de sessão para as sessões para que o IOC possa redirecionar os pacotes diretamente para a mesma SPU para minimizar a sobrecarga de encaminhamento de pacotes. O tráfego Express Path e o tráfego NP compartilham a mesma tabela de cache de sessão em IOCs.

Você precisa habilitar o cache de sessão nos IOCs e definir a política de segurança para determinar se uma sessão é para o modo Express Path (anteriormente conhecido como descarregamento de serviços) no Concentrador PIC Flexível (FPC) selecionado.

Para habilitar a afinidade VPN IPsec, use o set security flow load-distribution session-affinity ipsec comando.

Ordenação de pacotes de fragmentação usando cache de sessão NP

Uma sessão pode consistir em pacotes normais e fragmentados. Com a distribuição baseada em hash, a chave de 5 tuplas e 3 tuplas pode ser usada para distribuir pacotes normais e fragmentados para diferentes SPUs, respectivamente. Nos firewalls da Série SRX, todos os pacotes da sessão são encaminhados para uma SPU de processamento. Devido à latência de encaminhamento e processamento, a SPU de processamento pode não garantir a ordenação de pacotes da sessão.

O cache de sessão nos IOCs garante a ordenação dos pacotes de uma sessão com pacotes fragmentados. Uma entrada de cache de sessão é alocada para pacotes normais da sessão e uma chave de 3 tuplas é usada para localizar os pacotes fragmentados. Ao receber o primeiro pacote fragmentado da sessão, o módulo de fluxo permite que o IOC atualize a entrada de cache de sessão para lembrar os pacotes fragmentados da SPU. Posteriormente, o IOC encaminha todos os pacotes subseqüentes da sessão para a SPU para garantir a ordenação dos pacotes de uma sessão com pacotes fragmentados.