Hvordan du konfigurerer SRX-sikkerhetssoner med Junos-dummies

Du kan ikke administrere SRX Services Gateway som du ville en ruteren. SRX er en låst enhet. Du kan ikke engang pinge et grensesnitt på SRX i utgangspunktet, selv om det har en gyldig IP-adresse. SRX bruker begrepet nestede sikkerhetssoner. Zones er et kritisk konsept i SRX-konfigurasjonen. Ingen trafikk går inn eller ut med mindre sikkerhetssonene er konfigurert riktig på SRX-grensesnittene.

For å konfigurere en sikkerhetssone, må du knytte grensesnittet til en sikkerhetssone, og deretter må sikkerhetssonene være bundet med en rutingseksempel (hvis det er flere rutingseksempler).

Det høres komplisert, men det er det ikke. Først konfigurerer du sonene og kobler deretter grensesnittene til sonene. Her antar vi at du bare bruker en rutingeksempel. Du kan konfigurere en sone med mer enn ett grensesnitt. Men hvert grensesnitt kan bare tilhøre en sone.

Opprett nå to sikkerhetssoner for en enkel SRX-konfigurasjon. En sone er for et lokalt LAN kalt admins (administrasjon) på grensesnittet ge-0/0/0. 0, og den andre sonen er for to koblinger til Internett som kalles usammenheng med grensesnittene ge-0/0/1. 0 og ge-0/0/2. 0:

root # rediger sikkerhetssoner [rediger sikkerhetssoner] rot # sett sikkerhetsson admins root # sett sikkerhetsson untrust root # sett sikkerhetsson admins grensesnitt ge-0/0/0. 0 root # sett sikkerhetssonen untrust grensesnitt ge-0/0/1. 0 root # sett sikkerhetssonen untrust grensesnitt ge-0/0/2. 0

Konfigurer alltid soner fra perspektivet til SRX du konfigurerer. Mange andre soner kan være på LAN (tillit, regnskap og så videre). Men denne SRX kobler bare til admins og untrust.

Nå kan du legge til tjenester i sonene du nettopp har konfigurert. Anta at innkommende ssh, ftp og ping trafikk er tillatt fra den usikrede sonen.

Dette er bare et eksempel. Før du aktiverer noen tjenester i det hele tatt på din SRX, må du sørge for at du virkelig trenger dem. FTP spesielt anses ofte for risikabelt fordi FTP ikke har noen reell sikkerhet, og du har nettopp slått et stort hull for det i sikkerhetssonen din.

[rediger sikkerhetssoner] root # sett sikkerhetsson untrust vert-innkommende trafikk ssh root # sett sikkerhetsson untrust vert-innkommende trafikk ftp root # sett sikkerhetsson untrust vert-innkommende trafikk ping

Din konfigurasjon nå ser slik ut:

[rediger sikkerhet] soner {sikkerhetssonen untrust {host-inbound-traffic {system-services {ssh; ftp; ping;}} grensesnitt {ge-0/0/1. 0; ge-0/0/2. 0;}} sikkerhetsson admins {grensesnitt {ge-0/0/0. 0;}}

Hvis du ennå ikke har konfigurert ruting og anvendt lisensiering til SRX, får du en henting av feilmelding når du prøver å forplikte sikkerhetskonfigurasjonen.Denne feilen vil gå bort når konfigurasjonen er fullført.