VPN 会话关联

当明文会话位于与 IPsec 隧道会话所在的 SPU 不同的服务处理单元 （SPU） 中时，就会发生 VPN 会话关联。VPN 会话关联的目标是在同一 SPU 中定位明文和 IPsec 隧道会话。此功能仅在 SRX5400、SRX5600 和 SRX5800 设备上受支持。

如果没有 VPN 会话关联，流创建的明文会话可能位于一个 SPU 中，而 IPsec 创建的隧道会话可能位于另一个 SPU 中。需要 SPU 到 SPU 转发或跃点才能将明文数据包路由到 IPsec 隧道。

默认情况下，在 SRX 系列防火墙上禁用 VPN 会话关联性。启用 VPN 会话关联后，新的明文会话将与 IPsec 隧道会话放置在同一 SPU 上。现有明文会话不受影响。

Junos OS 15.1X49-D10 版引入了适用于SRX5400、SRX5600和SRX5800设备的 SRX5K-MPC3-100G10G （IOC3） 和 SRX5K-MPC3-40G10G （IOC3）。

SRX5K-MPC （IOC2） 和 IOC3 通过改进的流模块和会话缓存支持 VPN 会话关联。借助 IOC，流模块在其隧道锚定的 SPU 上加密之前和解密之后为 IPsec 隧道流量创建会话，并为会话安装会话缓存，以便 IOC 可以将数据包重定向到同一 SPU，从而最大程度地减少数据包转发开销。Express Path（以前称为服务卸载）流量和 NP 缓存流量在 IOC 上共享同一个会话缓存表。

要在 SPU 上显示活动隧道会话，请使用命令并 show security ipsec security-association 指定包含 SPU 的灵活 PIC 集中器 （FPC） 和 物理接口卡 （PIC） 插槽。例如：

您需要评估网络中的隧道分布和流量模式，以确定是否应启用 VPN 会话关联性。

从 Junos OS 版本 12.3X48-D50、Junos OS 版本 15.1X49-D90 和 Junos OS 版本 17.3R1 开始，如果在 SRX5400、SRX5600 和 SRX5800 设备上启用了 VPN 会话关联，则会根据锚点服务处理单元 （SPU） 上协商的加密和身份验证算法计算隧道开销。如果配置的加密或身份验证发生更改，则在建立新的 IPsec 安全关联时，锚点 SPU 上的隧道开销将会更新。

VPN 会话关联限制如下：

• 不支持跨逻辑系统的流量。

• 如果路由发生更改，已建立的明文会话将保留在 SPU 上，并在可能的情况下重新路由流量。路由更改后创建的会话可以在其他 SPU 上设置。

• VPN 会话相关性仅影响在设备上终止的自身流量（也称为主机入站流量）;源自设备的自身流量（也称为主机出站流量）不受影响。

• 组播复制和转发性能不受影响。

从 Junos OS 19.2R1 版开始，您可以为 IPsec 安全关联 （SA） 配置一个或多个 IPsec 分发配置文件。隧道在配置的分布配置文件中指定的所有资源 （SPC） 上均匀分布。仅在 SPC3 和混合模式 （SPC3 + SPC2） 中受支持，在 SPC1 和 SPC2 系统上不受支持。使用 IPsec 分布配置文件，使用命令将 set security ipsec vpn vpn-name distribution-profile distribution-profile-name 隧道关联到指定的：

• 插槽

• PIC

或者，您可以使用默认的 IPsec 分发配置文件：

• default-spc2-profile — 使用此预定义的默认配置文件将 IPsec 隧道关联到所有可用的 SPC2 卡。

• default-spc3-profile — 使用此预定义的默认配置文件可将 IPsec 隧道关联到所有可用的 SPC3 卡。

现在，您可以将配置文件分配给特定 VPN 对象，其中所有关联的隧道都将基于此配置文件进行分布。如果未将配置文件分配给 VPN 对象，SRX 系列防火墙会自动在所有资源上均匀分配这些隧道。

您可以将 VPN 对象与用户定义的配置文件或预定义（默认）配置文件相关联。

从 Junos OS 20.2R2 版开始，配置到分发配置文件的无效线程 ID 将被忽略，并且不会显示提交检查错误消息。IPsec 隧道根据配置的分发配置文件进行锚定，忽略该配置文件的无效线程 ID（如果有）。

在以下示例中，与配置文件 ABC 关联的所有隧道都将分布 在 FPC 0、PIC 0 上。

在 IPsec VPN 隧道配置中，必须指定外部接口才能与对等 IKE 网关通信。当有多个物理接口可用于访问对等网关时，最好为 VPN 的外部接口指定环路接口。在环路接口上锚定 VPN 隧道可消除对物理接口的依赖，从而实现成功路由。

独立 SRX 系列防火墙以及机箱群集中的 SRX 系列防火墙都支持对 VPN 隧道使用环路接口。在机箱群集主动-被动部署中，您可以创建逻辑环路接口并使其成为冗余组的成员，以便可用于锚定 VPN 隧道。环路接口可以在任何冗余组中配置，并被分配为 IKE 网关的外部接口。VPN 数据包在冗余组处于活动状态的节点上处理。

在 SRX5400、SRX5600 和 SRX5800 设备上 -

• 对于运行 kmd 进程的基于 SPC2 的设备，如果环路接口用作 IKE 网关外部接口，请在 RG0 以外的冗余组中配置接口绑定。

• 对于运行 iked 进程的基于 SPC3 或 SPC3+SPC2 的设备，不需要将环路接口绑定到冗余组。

在机箱群集设置中，外部接口处于活动状态的节点会选择一个 SPU 来锚定 VPN 隧道。IKE 和 IPsec 数据包在该 SPU 上处理。因此，活动外部接口确定锚点 SPU。

您可以使用命令 show chassis cluster interfaces 查看冗余伪接口上的信息。