37、网络安全防护：SRX 设备的深入解析与实践

网络安全防护：SRX 设备的深入解析与实践

1. 关键协议与会话表保护

在网络安全防护中，有两个重要的协议需要了解：
| 缩写 | 全称 |
| ---- | ---- |
| sap | Session Announcement Protocol（会话通告协议） |
| vrrp | Virtual Router Redundancy Protocol（虚拟路由器冗余协议） |

为了防止会话表被填满，Juniper 提供了主动老化（aggressive ageout）功能。正常情况下，SRX 会使用服务超时机制从连接表中移除空闲连接。但当会话表接近容量上限时，SRX 可以动态地主动老化空闲会话。

以下是配置早期老化时间为 20 秒的示例：

[edit]
juniper@SRX5800# set security flow aging early-ageout 20

这样配置的目的是保护会话表，尽管可能会快速老化有效会话。因为如果会话表被填满，SRX 将无法建立新的会话，新的流量也会开始失败。

此外，还需要配置主动老化的触发条件和恢复正常老化时间的条件，即高水位线（high watermark）和低水位线（low watermark）。高水位线是指会话表达到该百分比时启动主动老化，低水位线是指会话表降至该百分比时停止主动老化。示例配置如下：

[edit]
juniper@SRX5800# set securit