Hvordan å administrere flere sikkerhetspolitikker på SRX Services Gateway - dummies

Hvis SRX bare kunne tilordne grensesnitt til soner og tillate bestemte tjenester inn og ut, ville det ikke vært mye for det. Men SRX er mye kraftigere. Etter at du har satt opp soner og grensesnitt, kan du tappe inn i den virkelige kraften til SRX: sikkerhetspolitikkene selv.

Uten sikkerhetspolitikk kan alt SRX gjøre er å opprette grensesnittsoner og skjerm ut bestemte tjenester. Sikkerhetspolicyer lar deg konfigurere detaljene for hva som er og ikke er tillatt gjennom SRX.

Flere sikkerhetspolitikker

Store SRX-er kan ha hundrevis eller til og med tusenvis av retningslinjer, fordi politikkene blir mer og mer komplekse da de prøver å gjøre for mye. Så, du kan ha flere retningslinjer som brukes til trafikk, alt basert på kilde og destinasjonssone. Politikkene blir brukt en etter en gang til en handling er bestemt. Den endelige standard er selvfølgelig å nekte trafikken og kaste pakken.

Unntaket til standard nektelsesregelen er trafikk på fxp0-administrasjonsgrensesnittet, noe som gjør det mulig å administrere SRX til enhver tid (selv når konfigurasjonene går i gang) og slik at trafikken er liten Fordi ekstern brukertrafikk aldri vises på dette grensesnittet.

Alle SRX-sikkerhetspolitikk følger en IF-THEN-ELSE-algoritme. Hvis trafikk X samsvarer med noen regel, utføres EN handling Y, ELSE blir standardnegivelsen (dråpe) brukt.

IF-delen av politikken undersøker fem aspekter av pakker for å teste for en kamp:

• Den forhåndsdefinerte eller konfigurerte kildesonen til trafikkinspektøren

• Den forhåndsdefinerte eller konfigurerte målssonen hvor trafikken er på vei

• Kildens IP-adresse, eller adressebokinnhold, av trafikken

• Destinasjonsadressen eller innholdet i adresseboken, hvor trafikken er på vei

• Den forhåndsdefinerte eller konfigurerte applikasjonen eller tjenesten som skal tillates eller nektet

Når en innkommende pakke samsvarer med alle fem standard eller konfigurerte parametere i IF-delen av retningslinjene, brukes en av disse handlingene:

• Avvis: Pakken er tydelig tapt.

• Avvis: Pakken er tapt, og en TCP-hvile sendes til opphavsmannen.

• Tillatelse: Pakken kan passere.

• Log: SRX lager en loggoppføring for pakken.

• Count: Pakken regnes som en del av SRX regnskapsprosessen.

Når en handling påføres en pakke, avsluttes policykjeden. Så politikk rekkefølge teller! Vanligvis konfigurerer du de mest spesifikke reglene øverst i kjeden og mer generiske retningslinjer nederst.Ellers kan en policy maskere den tiltenkte effekten av en annen.

Legg nå en eksempelpolicy til sikkerhetssonene du allerede har konfigurert. Her er hva du vil at politikken skal gjøre:

• Tillat all trafikk fra noen verter i admins-sonen til en hvilken som helst destinasjon i untrust-sonen.

• Tillat bestemt trafikk fra alle verter i admins-sonen til noen annen vert i samme sone.

• Nekter trafikk fra den uberørte sone til adminsonen.