Memahami Pemprosesan Arus Gateway Services - dummies

Dalam TCP / IP, aliran ditakrifkan sebagai satu set paket yang berkongsi nilai yang sama dalam beberapa bidang pengepala. SRX menguatkuasakan dasar keselamatan dengan memproses aliran paket melalui peranti. Oleh itu, pemprosesan aliran merupakan konsep penting dalam konfigurasi dan pengurusan SRX.

SRX sebenarnya melakukan banyak perkara rumit sebelum melihat dasar keselamatan (peraturan) yang ditetapkan, dan banyak bergantung pada apakah SRX telah melihat aliran (sesi). Sekiranya begitu, banyak maklumat mengenai aliran telah wujud dan dipasang pada SRX.

Apabila tidak ada padanan untuk sesi, SRX menyerahkan paket ke laluan pertama pemprosesan. Jika medan pengetikan paket sepadan dengan sesi yang dipasang, SRX akan memproses paket ke laluan pantas memproses (kira-kira separuh langkah pemprosesan laluan pertama).

Juga, peraturan yang dipanggil polis dikenakan pada paket apabila mereka memasuki SRX. Polis ini menentukan sama ada paket itu perlu diproses lebih lanjut atau tidak. (Di sisi keluaran, peraturan yang disebut pembentuk digunakan untuk menentukan jika dan bila SRX akan menghantar paket.)

Langkah-langkah pemproses aliran SRX utama adalah seperti berikut:

1. Tarik paket dari antrian antara muka input.

2. Guna polis kepada paket.

3. Lakukan penapisan paket stateless (iaitu, bukan aliran).

4. Tentukan jalan pertama atau laluan pantas.

5. Penapis paket untuk output.

6. Gunakan pembentuk untuk paket.

7. Menghantar paket itu.

Policing dan penentukuran dan penapisan tanpa nama adalah perkara yang hampir boleh dilakukan oleh mana-mana router. Nilai sebenar SRX berada di laluan pertama dan pemproses aliran laluan yang seterusnya.

Berikut ialah langkah-langkah untuk pemprosesan aliran laluan pertama:

1. Lakukan pemeriksaan skrin.

2. Lakukan destinasi atau tujuan statik NAT untuk menggantikan satu set maklumat alamat pengepala paket dengan yang lain.

3. Lakukan carian laluan untuk menentukan hop seterusnya.

4. Cari antara muka destinasi dan zon.

5. Lihat dasar firewall.

6. Lakukan carian NAT untuk menggantikan maklumat alamat.

7. Tetapkan vektor perkhidmatan pintu masuk lapisan (ALG) aplikasi (medan).

8. Guna pengesanan dan pencegahan pencerobohan (IDP), VPN, atau perkhidmatan lain.

9. Pasang sesi baru dalam SRX.

Berikut ialah langkah-langkah untuk pemprosesan laluan laju:

1. Lakukan pemeriksaan skrin.

2. Lakukan tandakan TCP dan tandakan bendera.

3. Lakukan carian laluan dan terjemahan NAT.

4. Guna perkhidmatan ALG.

5. Terapkan IDP, VPN, dan perkhidmatan lain.

Semua pemprosesan aliran keselamatan bermula dengan pemeriksaan skrin.Dalam SRX, skrin adalah mekanisme perlindungan terbina dalam (tetapi boleh diubah) yang melakukan pelbagai fungsi keselamatan. Penalaan boleh melaraskan perlindungan skrin untuk perusahaan kecil atau rangkaian pembawa besar, untuk kelebihan rangkaian ke teras dalaman. Skrin adalah untuk mengesan dan mencegah pelbagai jenis lalu lintas yang berniat jahat, seperti serangan denial-of-service (DoS).

Pemeriksaan skrin berlaku sebelum pemprosesan aliran keselamatan lain dalam percubaan untuk menghapuskan isu sebelum serangan dapat menimbulkan kekacauan langkah-langkah lain. Pemeriksaan skrin menggali lebih dalam ke dalam paket dan aliran daripada penapis firewall dan membolehkan SRX menghalang serangan besar dan rumit. Pada model SRX mewah, banyak pemeriksaan skrin berlaku dalam perkakasan, dekat dengan antara muka ingress.

Perhatikan bahawa walaupun sesi aliran ditetapkan dan laluan cepat digunakan bukan jalan pertama, pemeriksaan skrin masih berlaku. Lalu lintas yang berniat jahat masih boleh mencuba dan mengendalikan aliran yang mantap, dan SRX masih boleh menyekat dan menurunkan serangan paket mid-session.

Skrin dinilai pada lalu lintas masuk dan dikumpulkan ke dalam profil skrin. Penjagaan yang baik diperlukan semasa menukar atau membuat skrin baru, kerana mereka boleh mempunyai kesan sampingan yang serius dan tidak diingini.

Anda boleh menggunakan kata kunci tanpa penggejap penggera untuk mengesan lalu lintas yang akan ditangkap oleh profil skrin tanpa benar-benar menjatuhkannya. Ini membolehkan anda menguji profil skrin tanpa menjejaskan trafik langsung.