VPN-Sitzungs-Affinität
Erfahren Sie, wie Sie die Leistung von IPsec-VPN mithilfe der VPN-Sitzungsaffinität verbessern können.
Die Leistung des IPsec-VPN-Datenverkehrs zur Minimierung des Paketweiterleitungs-Overheads kann durch die Aktivierung von VPN-Sitzungsaffinität und Leistungsbeschleunigung optimiert werden.
Verwenden Sie den Feature-Explorer , um die Plattform- und Release-Unterstützung für bestimmte Funktionen zu bestätigen.
Im Abschnitt Plattformspezifisches Verhalten der VPN-Loopback-Schnittstelle mit hoher Verfügbarkeit finden Sie Hinweise zu Ihrer Plattform.
Verstehen der VPN-Sitzungsaffinität
VPN-Sitzungsaffinität tritt auf, wenn sich eine Klartextsitzung in einer Services Processing Unit (SPU) befindet, die sich von der SPU unterscheidet, in der sich die IPsec-Tunnelsitzung befindet. Das Ziel der VPN-Sitzungsaffinität besteht darin, die Klartext- und die IPsec-Tunnelsitzung in derselben SPU zu lokalisieren.
Ohne VPN-Sitzungsaffinität kann sich eine von einem Flow erstellte Klartextsitzung in einer SPU und die von IPsec erstellte Tunnelsitzung in einer anderen SPU befinden. Ein SPU-zu-SPU-Forward oder -Hop ist erforderlich, um Klartextpakete an den IPsec-Tunnel weiterzuleiten.
Standardmäßig ist die VPN-Sitzungsaffinität auf den Firewalls deaktiviert. Wenn die VPN-Sitzungsaffinität aktiviert ist, wird eine neue Klartextsitzung auf derselben SPU wie die IPsec-Tunnelsitzung platziert. Bestehende Klartextprogramme sind davon nicht betroffen.
Die Firewalls unterstützen VPN-Sitzungsaffinität durch verbessertes Flow-Modul und Sitzungs-Cache. Bei IOCs erstellt das Flow-Modul Sitzungen für IPsec-Tunnel-basierten Datenverkehr vor der Verschlüsselung und nach der Entschlüsselung auf seiner im Tunnel verankerten SPU und installiert den Sitzungs-Cache für die Sitzungen, damit das IOC die Pakete an dieselbe SPU umleiten kann, um den Overhead für die Paketweiterleitung zu minimieren. Express Path-Datenverkehr (früher als Services Offloading bezeichnet) und NP-Cache-Datenverkehr verwenden dieselbe Sitzungscache-Tabelle auf den IOCs.
Um aktive Tunnel-Sitzungen auf SPUs anzuzeigen, verwenden Sie den show security ipsec security-association Befehl und geben Sie die Steckplätze für Flexible PIC Concentrator (FPC) und Physical Interface Card (PIC) an, die die SPU enthalten. Zum Beispiel:
user@host> show security ipsec security-association fpc 3 pic 0 Total active tunnels: 1 ID Algorithm SPI Life:sec/kb Mon vsys Port Gateway <131073 ESP:aes-128/sha1 18c4fd00 491/ 128000 - root 500 203.0.113.11 >131073 ESP:aes-128/sha1 188c0750 491/ 128000 - root 500 203.0.113.11
Sie müssen die Tunnel-Verteilung und die Datenverkehrsmuster in Ihrem Netzwerk auswerten, um zu bestimmen, ob die VPN-Sitzungsaffinität aktiviert werden sollte.
Wenn die VPN-Sitzungsaffinität auf der Firewall aktiviert ist, wird der Tunnel-Overhead gemäß den ausgehandelten Verschlüsselungs- und Authentifizierungsalgorithmen für die Anker-Services Processing Unit (SPU) berechnet. Wenn sich die konfigurierte Verschlüsselung oder Authentifizierung ändert, wird der Tunnel-Overhead auf der Anker-SPU aktualisiert, wenn eine neue IPsec-Sicherheitszuordnung eingerichtet wird.
Die Einschränkungen für die VPN-Sitzungsaffinität lauten wie folgt:
Datenverkehr über logische Systeme hinweg wird nicht unterstützt.
Bei einer Routenänderung verbleiben etablierte Klartextsitzungen auf einer SPU und der Datenverkehr wird, wenn möglich, umgeleitet. Sitzungen, die nach der Routenänderung erstellt wurden, können auf einer anderen SPU eingerichtet werden.
Die VPN-Sitzungsaffinität wirkt sich nur auf den eigenen Datenverkehr aus, der auf dem Gerät endet (auch bekannt als Host-Inbound-Datenverkehr). Der vom Gerät ausgehende Datenverkehr (auch als ausgehender Host-Datenverkehr bezeichnet) ist nicht betroffen.
Die Multicast-Replikations- und Weiterleitungsleistung wird nicht beeinträchtigt.
Siehe auch
Aktivieren der VPN-Sitzungsaffinität
Standardmäßig ist die VPN-Sitzungsaffinität auf den Firewalls deaktiviert. Die Aktivierung der VPN-Sitzungsaffinität kann unter bestimmten Bedingungen den VPN-Durchsatz verbessern. In diesem Abschnitt wird beschrieben, wie Sie die CLI verwenden, um die VPN-Sitzungsaffinität zu aktivieren.
Stellen Sie fest, ob Klartextsitzungen an IPsec-Tunnelsitzungen auf einer anderen SPU weitergeleitet werden. Verwenden Sie den show security flow session Befehl, um Sitzungsinformationen zu Klartextsitzungen anzuzeigen.
user@host> show security flow session Flow Sessions on FPC3 PIC0: Session ID: 60000001, Policy name: N/A, Timeout: N/A, Valid In: 203.0.113.11/6204 --> 203.0.113.6/41264;esp, If: ge-0/0/2.0, Pkts: 0, Bytes: 0 Session ID: 60000002, Policy name: N/A, Timeout: N/A, Valid In: 203.0.113.11/0 --> 203.0.113.6/0;esp, If: ge-0/0/2.0, Pkts: 0, Bytes: 0 Session ID: 60000003, Policy name: self-traffic-policy/1, Timeout: 58, Valid In: 203.0.113.6/500 --> 203.0.113.11/500;udp, If: .local..0, Pkts: 105386, Bytes: 12026528 Out: 203.0.113.11/500 --> 203.0.113.6/500;udp, If: ge-0/0/2.0, Pkts: 106462, Bytes: 12105912 Session ID: 60017354, Policy name: N/A, Timeout: 1784, Valid In: 0.0.0.0/0 --> 0.0.0.0/0;0, If: N/A, Pkts: 0, Bytes: 0 Out: 198.51.100.156/23 --> 192.0.2.155/53051;tcp, If: N/A, Pkts: 0, Bytes: 0 Total sessions: 4 Flow Sessions on FPC6 PIC0: Session ID: 120000001, Policy name: N/A, Timeout: N/A, Valid In: 203.0.113.11/0 --> 203.0.113.6/0;esp, If: ge-0/0/2.0, Pkts: 0, Bytes: 0 Session ID: 120000002, Policy name: N/A, Timeout: N/A, Valid In: 203.0.113.11/0 --> 203.0.113.6/0;esp, If: ge-0/0/2.0, Pkts: 0, Bytes: 0 Session ID: 120031730, Policy name: default-policy-00/2, Timeout: 1764, Valid In: 192.0.2.155/53051 --> 198.51.100.156/23;tcp, If: ge-0/0/1.0, Pkts: 44, Bytes: 2399 Out: 198.51.100.156/23 --> 192.0.2.155/53051;tcp, If: st0.0, Pkts: 35, Bytes: 2449 Total sessions: 3
Im Beispiel gibt es eine Tunnel-Sitzung auf FPC 3, PIC 0 und eine Klartext-Sitzung auf FPC 6, PIC 0. Eine Weiterleitungssitzung (Session-ID 60017354) wird auf FPC 3, PIC 0 eingerichtet.
Sie können die Sitzungsaffinität für die IPsec-Tunnelsitzung auf den IOC-FPCs aktivieren. Um die IPsec-VPN-Affinität zu aktivieren, müssen Sie auch den Sitzungscache auf IOCs mithilfe des set chassis fpc fpc-slot np-cache Befehls aktivieren.
So aktivieren Sie die VPN-Sitzungsaffinität:
Nachdem Sie die VPN-Sitzungsaffinität aktiviert haben, verwenden Sie den show security flow session Befehl, um Sitzungsinformationen zu Klartextsitzungen anzuzeigen.
user@host> show security flow session Flow Sessions on FPC3 PIC0: Session ID: 60000001, Policy name: N/A, Timeout: N/A, Valid In: 203.0.113.11/6352 --> 203.0.113.6/7927;esp, If: ge-0/0/2.0, Pkts: 0, Bytes: 0 Session ID: 60000002, Policy name: N/A, Timeout: N/A, Valid In: 203.0.113.11/0 --> 203.0.113.6/0;esp, If: ge-0/0/2.0, Pkts: 0, Bytes: 0 Session ID: 60000003, Policy name: self-traffic-policy/1, Timeout: 56, Valid In: 203.0.113.6/500 --> 203.0.113.11/500;udp, If: .local..0, Pkts: 105425, Bytes: 12031144 Out: 203.0.113.11/500 --> 203.0.113.6/500;udp, If: ge-0/0/2.0, Pkts: 106503, Bytes: 12110680 Session ID: 60017387, Policy name: default-policy-00/2, Timeout: 1796, Valid In: 192.0.2.155/53053 --> 198.51.100.156/23;tcp, If: ge-0/0/1.0, Pkts: 10, Bytes: 610 Out: 198.51.100.156/23 --> 192.0.2.155/53053;tcp, If: st0.0, Pkts: 9, Bytes: 602 Total sessions: 4 Flow Sessions on FPC6 PIC0: Session ID: 120000001, Policy name: N/A, Timeout: N/A, Valid In: 203.0.113.11/0 --> 203.0.113.6/0;esp, If: ge-0/0/2.0, Pkts: 0, Bytes: 0 Session ID: 120000002, Policy name: N/A, Timeout: N/A, Valid In: 203.0.113.11/0 --> 203.0.113.6/0;esp, If: ge-0/0/2.0, Pkts: 0, Bytes: 0 Total sessions: 2
Nachdem die VPN-Sitzungsaffinität aktiviert wurde, befindet sich die Klartextsitzung immer auf FPC 3, PIC 0.
Siehe auch
Beschleunigung der IPsec-VPN-Datenverkehrsleistung
Sie können die IPsec-VPN-Leistung beschleunigen, indem Sie den Parameter für die Leistungsbeschleunigung konfigurieren. Standardmäßig ist die VPN-Leistungsbeschleunigung auf den Firewalls deaktiviert. Durch Aktivieren der VPN-Leistungsbeschleunigung kann der VPN-Durchsatz bei aktivierter VPN-Sitzungsaffinität verbessert werden.
In diesem Thema wird beschrieben, wie Sie die CLI verwenden, um die VPN-Leistungsbeschleunigung zu aktivieren.
Um die Leistungsbeschleunigung zu aktivieren, müssen Sie sicherstellen, dass Klartextsitzungen und IPsec-Tunnelsitzungen auf derselben Services Processing Unit (SPU) eingerichtet werden. Die IPsec-VPN-Leistung wird optimiert, wenn die VPN-Sitzungsaffinität und die Leistungsbeschleunigungsfunktionen aktiviert sind. Weitere Informationen zum Aktivieren der Sitzungsaffinität finden Sie unter Grundlegendes zur VPN-Sitzungsaffinität.
So aktivieren Sie die IPsec-VPN-Leistungsbeschleunigung:
Nachdem Sie die VPN-Leistungsbeschleunigung aktiviert haben, verwenden Sie den Befehl, um den show security flow status Flow-Status anzuzeigen.
Flow forwarding mode:
Inet forwarding mode: flow based
Inet6 forwarding mode: drop
MPLS forwarding mode: drop
ISO forwarding mode: drop
Flow trace status
Flow tracing status: off
Flow session distribution
Distribution mode: Hash-based
Flow packet ordering
Ordering mode: Hardware
Flow ipsec performance acceleration: on
Siehe auch
IPsec-Verteilungsprofil
Sie können ein oder mehrere IPsec-Verteilungsprofile für IPsec-Sicherheitszuordnungen (SAs) konfigurieren. Die Tunnel werden gleichmäßig auf alle im konfigurierten Verteilungsprofil angegebenen Ressourcen (SPCs) verteilt. Es wird nur in SPC3 und im gemischten Modus (SPC3 + SPC2) unterstützt, es wird nicht auf SPC1- und SPC2-Systemen unterstützt. Verwenden Sie mit dem IPsec-Verteilungsprofil den set security ipsec vpn vpn-name distribution-profile distribution-profile-name Befehl, um Tunnel einem angegebenen zuzuordnen:
-
Slot
-
PIC
Alternativ können Sie die standardmäßigen IPsec-Verteilungsprofile verwenden:
-
default-spc2-profile– Verwenden Sie dieses vordefinierte Standardprofil, um IPsec-Tunnel allen verfügbaren SPC2-Karten zuzuordnen. -
default-spc3-profile– Verwenden Sie dieses vordefinierte Standardprofil, um IPsec-Tunnel allen verfügbaren SPC3-Karten zuzuordnen.
Sie können jetzt einem bestimmten VPN-Objekt ein Profil zuweisen, wobei alle zugehörigen Tunnel auf der Grundlage dieses Profils verteilt werden. Wenn dem VPN-Objekt kein Profil zugewiesen ist, verteilt die Firewall diese Tunnel automatisch gleichmäßig auf alle Ressourcen.
Sie können ein VPN-Objekt entweder einem benutzerdefinierten Profil oder einem vordefinierten (Standard-)Profil zuordnen.
Im folgenden Beispiel werden alle Tunnel, die dem Profil ABC zugeordnet sind, auf FPC 0, PIC 0 verteilt.
userhost# show security {
distribution-profile ABC {
fpc 0 {
pic 0;
}
}
}
Verständnis der Loopback-Schnittstelle für ein VPN mit hoher Verfügbarkeit
In einer IPsec-VPN-Tunnel-Konfiguration muss eine externe Schnittstelle für die Kommunikation mit dem Peer-IKE-Gateway angegeben werden. Die Angabe einer Loopback-Schnittstelle für die externe Schnittstelle eines VPN empfiehlt sich, wenn mehrere physische Schnittstellen vorhanden sind, die zum Erreichen eines Peer-Gateways verwendet werden können. Durch die Verankerung eines VPN-Tunnels auf der Loopback-Schnittstelle wird die Abhängigkeit von einer physischen Schnittstelle für ein erfolgreiches Routing beseitigt.
Die Verwendung einer Loopback-Schnittstelle für VPN-Tunnel wird sowohl auf Standalone-Firewalls als auch auf Firewalls in Chassis-Clustern unterstützt. In einer aktiv-passiv-Bereitstellung eines Chassis-Clusters können Sie eine logische Loopback-Schnittstelle erstellen und sie zum Mitglied einer Redundanz-Gruppe machen, damit sie zur Verankerung von VPN-Tunneln verwendet werden kann. Die Loopback-Schnittstelle kann in jeder Redundanz-Gruppe konfiguriert werden und ist als externe Schnittstelle für das IKE-Gateway zugewiesen. VPN-Pakete werden auf dem Knoten verarbeitet, auf dem die Redundanzgruppe aktiv ist.
In einer Chassis-Cluster-Konfiguration wählt der Knoten, auf dem die externe Schnittstelle aktiv ist, eine SPU zur Verankerung des VPN-Tunnels aus. IKE- und IPsec-Pakete werden auf dieser SPU verarbeitet. Somit bestimmt eine aktive externe Schnittstelle die Anker-SPU.
Sie können den show chassis cluster interfaces Befehl verwenden, um Informationen zur redundanten Pseudoschnittstelle anzuzeigen.
Siehe auch
Plattformspezifisches Verhalten der hochverfügbaren VPN-Loopback-Schnittstelle
Verwenden Sie den Feature-Explorer , um die Plattform- und Release-Unterstützung für bestimmte Funktionen zu bestätigen.
In der folgenden Tabelle finden Sie Informationen zu plattformspezifischen Verhaltensweisen für Ihre Plattformen.
| Plattform | Unterschied |
|---|---|
| SRX-Serie |
|
Tabellarischer Änderungsverlauf
Die Unterstützung der Funktion hängt von der Plattform und der Version ab, die Sie benutzen. Verwenden Sie den Feature-Explorer , um festzustellen, ob eine Funktion auf Ihrer Plattform unterstützt wird.