Zentrale Punktarchitektur in der Übersicht über Sicherheitsgeräte

Die Central Point (CP)-Architektur verfügt über zwei grundlegende Datenstromfunktionen: Load Balancing und Datenverkehrsidentifikation (globales Session-Matching). Wie in diesem Thema beschrieben, wird die Zentralpunktarchitektur entweder im zentrischen Modus implementiert, in dem die gesamte Sitzungsverteilung und der Sitzungsabgleich vom zentralen Punkt ausgeführt werden, oder im gemischten Modus, in dem ein Prozentsatz der Services Processing Unit (SPU) für die Ausführung der Zentralpunktfunktionalität vorgesehen ist.

Die Hauptfunktion des zentralen Punktes besteht darin, die Sitzungsverarbeitung an eine der SPUs zu delegieren. Wenn die Sitzung noch nicht eingerichtet wurde, wählt der zentrale Punkt eine SPU aus, um die Sitzung für den Flow basierend auf Lastausgleichskriterien einzurichten. Wenn die Sitzung bereits existiert, leitet der zentrale Punkt die Pakete für diesen Datenstrom an die SPU weiter, in der er gehostet wird. Außerdem werden Pakete an die richtige SPU umgeleitet, falls die NPU dies nicht tut.

Der zentrale Punkt verwaltet eine globale Sitzungstabelle mit Informationen über die Eigentümer-SPU einer bestimmten Sitzung. Es fungiert als zentrales Repository und Ressourcenmanager für das gesamte System.

Der Firewall-Typ der SRX-Serie bestimmt in Verbindung mit der Version von Junos OS, welcher Modus unterstützt wird.

Der zentrale Punkt leitet ein Paket bei Sitzungsabgleich an seine Services Processing Unit (SPU) weiter oder verteilt den Datenverkehr zur Sicherheitsverarbeitung an eine SPU, wenn das Paket mit keiner bestehenden Sitzung übereinstimmt. Die zentrale Punktarchitektur ist im CP-zentrierten Modus implementiert, in dem die gesamte Sitzungsverteilung und der Sitzungsabgleich vom CP oder im Combo-Modus durchgeführt werden.

Bei einigen Firewalls der SRX-Serie kann nicht eine gesamte SPU für die Zentralpunktfunktion reserviert werden, aber ein bestimmter Prozentsatz der SPU wird automatisch der Zentralpunktfunktion zugewiesen und der Rest wird für die normale Flow-Verarbeitung zugewiesen. Wenn eine SPU sowohl die Funktion des zentralen Punktes als auch der normalen Strömungsverarbeitung erfüllt, spricht man von einer Kombination oder mixed, einem Modus.

Der Prozentsatz der SPU, der für die Zentralpunktfunktionalität vorgesehen ist, hängt von der Anzahl der SPUs im Gerät ab. Basierend auf der Anzahl der SPUs stehen den Firewalls der SRX-Serie drei Modi zur Verfügung: kleiner zentraler Punkt, mittlerer zentraler Punkt und großer zentraler Punkt.

Im Modus "Kleine Zentralpunkte" ist ein kleiner Prozentsatz einer SPU für die Zentralpunktfunktionalität und der Rest für die normale Flussverarbeitung vorgesehen. Im mittleren Zentralpunktmodus wird eine SPU für die Zentralpunktfunktionalität und die normale Durchflussverarbeitung fast zu gleichen Teilen gemeinsam genutzt. Im Modus "Große zentrale Punkte" ist eine gesamte SPU für die Zentralpunktfunktionalität vorgesehen. Im gemischten Modus nutzen der zentrale Punkt und die SPU dieselbe Load-Balancing-Thread- (LBT) und Paket-Order-Thread- (POT)-Infrastruktur.

Dieses Thema enthält die folgenden Abschnitte:

• Lastverteilung im gemischten Modus
• Gemeinsame Nutzung von Rechenleistung und Speicher im gemischten Modus

Die neue Zentralpunktarchitektur verhindert, dass Datenpakete den Zentralpunkt passieren, indem Sitzungsverwaltungsfunktionalisten an die Services Processing Unit (SPU) ausgelagert werden. Daher werden Datenpakete direkt von der Netzwerkverarbeitungseinheit an die SPU weitergeleitet, anstatt den zentralen Punkt zu durchlaufen.

Die Architektur des zentralen Punktes ist in zwei Module unterteilt, den zentralen Punkt der Anwendung und den verteilten zentralen Punkt. Die Anwendungszentrale ist für die Verwaltung der globalen Ressourcen und das Load Balancing zuständig, während die verteilte zentrale Stelle für die Identifizierung des Datenverkehrs (Global Session Matching) zuständig ist. Die Anwendungszentralpunkt-Funktionalität wird auf der dedizierten zentralen Punkt-SPU ausgeführt, während die verteilte zentrale Punktfunktionalität an die übrigen SPUs verteilt wird. Jetzt befinden sich die Zentralpunktsitzungen nicht mehr auf der dedizierten Zentralpunkt-SPU, sondern mit verteilten Zentralpunkten auf anderen Datenstrom-SPUs.

Der zentrale Punkt für die SRX5000-Reihe bezieht sich auf den zentralen Punkt der Anwendung oder den verteilten zentralen Punkt oder beides, in Bezug auf globales Ressourcenmanagement und Load Balancing bezieht er sich auf den zentralen Punkt der Anwendung, während er sich in Bezug auf die Datenverkehrsidentifizierung und das Sitzungsmanagement auf den verteilten zentralen Punkt (manchmal auch als SPU bezeichnet) bezieht.

Das SNMP-Protokoll und das SNMP-Trap wurden vom zentralen Punkt mit Ratenbegrenzung generiert. Jetzt werden das SNMP-Protokoll und das SNMP-Trap von der SPU oder dem zentralen Punkt generiert. Da es mehr als eine SPU gibt, sind die Anzahl der SNMP-Protokolle und der erzeugten Traps höher. Führen Sie den Befehl aus SNMP MIB walk nxJsNodeSessionCreationPerSecond , um die Anzahl der Verbindungen pro Sekunde (CPS) auf dem Gerät zu überprüfen. Der SNMP-Polling-Mechanismus berechnet den CPS-Wert basierend auf der durchschnittlichen Anzahl von CPS in den letzten 96 Sekunden. Wenn also der CPS nicht konstant ist, ist die Anzahl der gemeldeten CPS ungenau.

Die zentrale Punktarchitektur, die auf den Geräten SRX5400, SRX5600 und SRX5800 unterstützt wird, wurde erweitert, um die Begrenzung der GTP-C-Nachrichtenrate zu adressieren, den GPRS-Support-Knoten (GGSN) des Gateways vor GTP-C-Nachrichtenflut zu schützen, Probleme mit GTP-C-Paketverlusten während der SGSN-Übergabe zu verhindern und den GTP-U-Datenverkehr, der von einem GGSN- und SGSN-Paar verarbeitet wird, auf alle SPUs zu verteilen, indem Switching auf eine TEID-basierte Hash-Verteilung (Endgerät Identifier) Tunnel wird. Verwenden Sie den Befehl, um die enable-gtpu-distribution GTP-U-Sitzungsverteilung zu aktivieren oder zu deaktivieren. Standardmäßig ist der enable-gtpu-distribution Befehl deaktiviert.

Das Verbindungs-Tag zum Flow-Sitzungstupel wird eingeführt, um das GTP/SCTP-Lastenausgleichsproblem zu beheben. Alle Sitzungen, einschließlich verteilter CP (DCP) und SPU-Sitzungen, werden geändert, um Verbindungs-Tags zu berücksichtigen. Die Sitzungserstellung hat folgende Tupel: src-ip, dst-ip, src-port, dst-port, protocol, session-token und connection tag.

Das GTP ALG erfordert, dass GTP-C-Sitzungen durch Hashing von GGSN-IP-Adressen behoben werden. Die GTP ALG verweigern die Erstellung von GTP-C-Sitzungen, wenn das erste Paket eine unsichere Richtung hat, was zu Paketverlusten führt. Um zu verhindern, dass die GTP-C-Pakete verworfen werden, wird eine neue Datenstromsitzung erstellt, und der GTP-C-Datenverkehr kann auch dann durchgelassen werden, wenn die GGSN- oder SGSN-Richtung nicht festgelegt wurde. Später wird die GGSN-IP mithilfe der richtigen SPU bestimmt, um die Flow-Sitzung zu erstellen und die alte Sitzung auszuschalten. Die intermittierenden Pakete, die auf die alte Sitzung treffen, werden an die neue SPU weitergeleitet und in der neuen Sitzung verarbeitet.

Um Load-Balancing-Probleme zu beheben, wird eine Tag-basierte Hash-Verteilung verwendet, um eine gleichmäßige Verteilung des GTP-U/SCTP-Datenverkehrs auf alle SPUs zu gewährleisten. Es wird ein 32-Bit-Verbindungs-Tag eingeführt, das die GTP-U- und die SCTP-Sitzung eindeutig identifiziert. Das Verbindungs-Tag für GTP-U ist das TEID und für SCTP das vTag. Das Standardverbindungs-Tag ist 0. Das Verbindungstag bleibt 0, wenn es nicht von den Sitzungen verwendet wird. Flow bestimmt das Verbindungs-Tag für GTP-U/SCTP-Sitzungen und verteilt sie nach Hashing-Verbindungs-Tag.

Eine SCTP-Zuordnung ist eine Verbindung zwischen zwei SCTP-Endpunkten. Jedes SCTP-Endgerät identifiziert die Zuordnung mit einem Tag. Während der Assoziationseinrichtung (4-Wege-Handshakes) tauschen zwei SCTP-Endpunkte ihre eigenen Tags für den Paketempfang aus. Während des 4-Wege-Handshakes zeichnet der Empfänger von INIT/INIT-ACK den Wert von itag auf und platziert ihn in das vtag-Feld jedes SCTP-Pakets, das innerhalb dieser Zuordnung übertragen wird. Dann verwendet der Peer das vtag, um den Absender dieses Pakets zu validieren.

Nach CP-Lite erstellte Flow-Sitzungen wie folgt:

SPU wird nach Hash (Tag) ausgewählt, der Client-to-Server-Datenverkehr wird auf Hash (tagB) SPU verarbeitet und dann an Hash (tagA) SPU weitergeleitet. Der Datenverkehr zwischen Server und Client wird direkt über eine Hash-SPU (tagA) abgewickelt.

1. Nach Erhalt des INIT-Pakets auf Hash (tagA) SPU:

   DCP-Sitzung A1: Client=>Server, SCTP, Conn ID: 0x0;

   Sitzung A1: client=> Server, SCTP, Conn ID: 0x0;

   Auf Hash (tagB) SPU: keine Sitzung.

2. Nach Erhalt des INIT-ACK-Pakets auf Hash (tagA) SPU:

   DCP-Sitzung A1: Client=>Server, SCTP, Conn ID: 0x0;

   DCP-Sitzung A2: Server => Client, SCTP, Conn ID: tagA;

   Sitzung A1: client=> Server, SCTP, Conn ID: 0x0;

   Sitzung A2: Server = > Client, SCTP, Conn ID: tagA;

   Auf Hash (tagB) SPU: keine Sitzung.

3. Nach Erhalt des COOKIE-ECHO-Pakets auf Hash (tagA) SPU:

   DCP-Sitzung A1: Client=>Server, SCTP, Conn ID: 0x0;

   DCP-Sitzung A2: Server => Client, SCTP, Conn ID: tagA;

   Sitzung A1: client=> Server, SCTP, Conn ID: 0x0;

   Sitzung A2: Server = > Client, SCTP, Conn ID: tagA;

   Sitzung A3: client=> Server, SCTP, Conn ID: tagB;

   Über Hash (tagB) SPU:

   DCP-Sitzung: Client = > Server, SCTP, Conn ID: Tag B

4. Nach dem Empfang des COOKIE-ACK-Pakets ändern sich die Flow-Sitzungen nicht.

5. Nachdem der Handshake erfolgreich war, wird HEARBEAT auf allen Pfaden gesendet.