遅いパスでパケットの違いはパスを高速、オフロード

120872

Created On 09/25/18 19:21 PM - Last Modified 03/26/21 16:47 PM

Resolution

A パロアルトネットワークスが受信したパケット firewall は、マッチングセッションの状態に応じて処理されます。このドキュメントでは、パケットのパケット Offloaded、高速パス遅いパスの処理の違いについて説明します。

このドキュメントでは、 hardware パロアルトネットワークスアプライアンスのほとんどで一般的に使用されるコンポーネントについても説明します。

MAC 物理チップ

物理層接続 SFP (、イーサネットポート) を処理し、イーサネットフレームを実行します。

フローエンジン

フロールックアップを実行し、ルックアップ結果に基づいてデータプレーンに転送する可能性があります(フローが見つからないか、フローが見つかりましたが、Layer7 は有効です)。

データプレーン・

L4 L7 セキュリティ処理を処理するマルチコアプロセッサ。

遅いパス

ユーザー追加イメージ

注: このドキュメントの図の番号付き四角形は、同じセッションの着信パケット(パケットごとに 1 つの正方形)を表します。

非常に最初のパケットを受信すると、セッションがまだ作成されません。

このパケットは、データプレーン・で行われるユニークな操作のセットを持っているので遅いパスで考えられます。

高速パス

ユーザー追加イメージ

同じセッションの次のパケットは、高速パスで考慮されます。

遅いパスの操作は、出力インターフェイスにパケットを転送する前にパケットごとに行っている検索を転送を除いて、もはや達成する必要はありません。

転送遅いパスで参照は、ポリシー参照に必要な出口ゾーンを取得することです。

オフロード

ユーザー追加イメージ

App- ID およびコンテンツインスペクションが完全に完了すると、セッションとその後のパケットをフローエンジンに完全にオフロードできます。入力パケットはデータプレーンに到達しなくなり、フローエンジンはパケット転送を完全に管理します。この操作は、データプレーン・のコアの負荷を軽減します。

注: セッションがオフロードされていない場合でも、すべてのパケットが常にフローエンジンを通過することを理解することが重要です。セッションをオフロード用決定アルゴリズムは、この記事の範囲を超えています。

アクティブなセッションをフローエンジンでオフロードして、CPU の負荷を軽減できます。

既定では、すべてのセッションは、オフロードの対象となるが、これを回避いくつかの条件もあります。

A アプリケーションが認識されない ( APP-ID 完了していない) セッションは、オフロードできません。

A コンテンツ検査がまだ終了していないセッションは、オフロードできません。

この条件は次のとおりです。

また、処理されるトラフィックの種類は決 CPU してありません。

所有者: nbilly