SRX防火墙TCP参数说明

SRX TCP参数的解释

一、 基本信息

文档名称 客户 受理工程师 SRX TCP参数的解释 联系电话 联系电话 Case ID 问题受理开始时间

二、描述

描述 1） TCP-MSS MSS: Maxitum Segment Size 最大分段大小， SRX设备默认设置为1460 命令： lab@srx-240-1# set security flow tcp-mss all-tcp mss ? Possible completions: MSS value (64..65535) 将这个数值改小一般不会影响业务的正常运行，只是会影响设备的处理效率。 MSS就是TCP数据包每次能够传输的最大数据分段。为了达到最佳的传输效能TCP协议在建立连接的时候通常要协商双方的MSS值，这个值TCP协议在实现的时候往往用MTU值代替（需要减去IP数据包包头的大小20Bytes和TCP数据段的包头20Bytes）所以往往MSS为1460。通讯双方会根据双方提供的MSS值得最小值确定为这次连接的最大MSS值。 之前我们曾遇到过这种情况：用户在使用路由器访问Internet时，经常会反馈不能访问部分网页以及使用Outlook收发邮件有问题（这些应用是基于TCP或UDP的），但进行Ping包时没有问题，这时候检查配置时也没有错误。出现这种情况的时候，多半是因为在设备上进行了NAT应用，同时设备对报文进行了分片操作。 IP报文里是有五元组的，但报文要进行分片时，只有第一片报文带有IP的五元组信息（源目的ip位址，源目的端口号，协议号），后续的分片不会保留TCP/UDP报文所有的标识信息，如端口号信息等，这种情况下，如果设备又实现了NAT转换操作，并且应用又是基于TCP/UDP的，这就导致报文不能正确组包，会出现上述的问题现象。 TCP/IP连接时建立的过程中会协商很多参数的，其中TCP MSS参数就是用于协商TCP报文大小的，如果协商出来的TCP MSS的参数值小于设备的MTU的值时，TCP报文在设备上就不会被分片，否则就会出现报文分片并导致上述现象的发生，因此，为了避免上述情况的发生，可以调整保证协商的TCP MSS参数小于设备的MTU的值。 但如果TCP MSS值设置的过小，报文数量明显增多会导致设备处理数据报文效率下降。 第1页共2页

2）TCP-session TCP-session主要针对TCP会话的一些检查，改动此参数可能会对业务产生影响。 lab@srx-240-1# set security flow tcp-session ? Possible completions: + apply-groups Groups from which to inherit configuration data + apply-groups-except Don't inherit configuration data from these groups no-sequence-check Disable sequence-number checking no-syn-check Disable creation-time SYN-flag check no-syn-check-in-tunnel Disable creation-time SYN-flag check for tunnel packets rst-invalidate-session Immediately end session on receipt of reset (RST) segment rst-sequence-check Check sequence number in reset (RST) segment strict-syn-check Enable strict syn check tcp-initial-timeout Timeout for TCP session when initialization fails no-sequence-check 此参数作用：当数据包经过防火墙时不检查TCP 的sequence number检查。默认TCP SEQ检查是开启的 no-syn-check 此参数作用：当数据包经过防火墙时不检查TCP 的sequence number检查。当启用了 SYN 标志检查的安全设备接收到不属于现有会话的不含 SYN 标志的 TCP片段时，它将丢弃相应的封包并向源主机发送 TCP RST。默认TCP SYN检查是开启的。 no-syn-check-in-tunnel 此参数作用：对于tunnel传输的数据，不进行TCP syn的检查。默认 TCP SYN in tunnel检查是开启的。 rst-invalidate-session 此参数作用：当防火墙收到一个会话的reset包，就会将此session终止。默认此功能是禁用的。 rst-sequence-check 此参数作用：当防火墙收到一个会话的reset包，检查TCP sequence number，防止黑客模拟reset包终止会话，默认此功能是禁止的。 strict-syn-check 此参数作用：要求建立TCP会话严格要求三次握手，在三次握手前，丢弃一切该会话的数据传输报文，默认此功能是禁止的。 tcp-initial-timeout 此参数作用：定义一个会话在初始化失败前的timeout时间。默认20秒。 三、遗留问题或其他

遗留问题 第2页共2页