CSS で no persistent が正常に動作しない。

CscTsWebDocs · ‎2012-07-05

2008年01月22日（初版）

TAC SR Collection

主な問題

事象:
CSS で no persistent の設定を行っているにもかかわらず、過去に使用したフローを使用し、redirect/remap を行わないことがあります。

原因:
この現象はフロー情報が spoof-list *（internal cache）に存在する場合に発生します。spoof-list は、既存のフロー情報を参照するのみとなり、redirect/remap 等の処理は行いません。このため、アイドルタイムアウト後の通信に関しては no persistent の設定を行っていたとしても redirect/remap が動作せず、過去に使用したフローを使用することになります。これは CSS 実装上、期待される動作となります。

CSS とコネクションを張り続けようとするリバースプロキシ等を使用している場合、通常よりも発生頻度が高まります。

* ）spoof-list : CSS は FIN を受信した場合やアイドルタイムアウト時に、フローエントリをすぐには削除せず、一時的に spoof-list と呼ばれる内部キャッシュへ保存しています。spoof-list にエントリがある場合、CSS はそのエントリを参照し通信を行うことができます。FIN 受信時にエントリをすぐに消去しないのは、FIN 受信直後にエントリを消去した場合、最後の ACK を正常に処理できないためです。アイドルタイムアウト時にエントリをすぐに消去しないのは、後続パケットが遅延して到達した場合を想定し、不必要に RST を送信しパフォーマンスが劣化するのを防ぐためです。

解決策

flow-timeout-multiplier もしくは flow permanent を設定し、redirect/remap を行いたいフローがタイムアウトしないようにしてください。