逻辑系统的安全性策略

逻辑系统中的安全性策略

安全性策略强制执行有关哪些流量可以通过防火墙的规则，以及在流量通过防火墙时需要对流量执行的作。从安全策略的角度来看，流量进入一个安全区域并退出另一个安全区域。

默认情况下，逻辑系统拒绝所有方向的所有流量，包括区域内和区域间方向。通过创建安全策略，逻辑系统管理员可以定义允许从指定源传递到指定目标的流量类型，从而控制区域之间的流量。

可以在主逻辑系统和用户逻辑系统中配置安全性策略。在逻辑系统中配置安全策略与在未针对逻辑系统配置的设备上配置安全策略相同。在逻辑系统中创建的任何安全策略、策略规则、地址簿、应用程序和应用程序集以及调度程序仅适用于该逻辑系统。逻辑系统之间只能共享预定义的应用程序和应用程序集，例如 junos-ftp。

注意：

在逻辑系统中，您不能在安全策略中指定 global 为始发区域或到区域。

用户逻辑系统管理员可以在用户逻辑系统中配置和查看安全策略的所有属性。用户逻辑系统中安全策略的所有属性也对主管理员可见。

从 Junos OS 18.4R1 版开始，用户可以在逻辑系统中创建动态地址。动态地址条目包含从外部源提取的 IP 地址和前缀。安全策略在源地址字段或目标地址字段中使用动态地址。

动态地址条目 （DAE） 是一组可以手动输入的 IP 地址，也可以从逻辑系统中的外部源导入。DAE 功能允许在安全策略中使用基于源的 IP 对象，以根据源或目标 IP 标准拒绝或允许流量。

注意：

DAE 的最大数量取决于分配给逻辑系统的动态地址。从 Junos 18.4R1 开始，可以在逻辑系统下配置该 set security dynamic-address feed-server 命令。

应用超时

为应用程序设置的应用程序超时值确定会话超时。逻辑系统中的应用程序超时行为与根级别的行为相同。但是，用户逻辑系统管理员可以在安全策略中使用预定义的应用程序，但不能修改预定义应用程序的超时值。这是因为预定义的应用程序由主逻辑系统和所有用户逻辑系统共享，因此不允许用户逻辑系统管理员更改其行为。应用程序超时值存储在应用程序条目数据库以及相应的逻辑系统基于 TCP 和 UDP 端口的超时表中。

如果与流量匹配的应用程序具有超时值，则使用该超时值。否则，查找将按以下顺序进行，直到找到应用程序超时值：

1. 在逻辑系统 TCP 和 UDP 基于端口的超时表中搜索超时值。

2. 在基于根 TCP 和 UDP 端口的超时表中搜索超时值。

3. 在基于协议的默认超时表中搜索超时值。

安全性策略分配

主管理员可以为每个用户逻辑系统配置安全策略的最大数量和保留数量。然后，用户逻辑系统管理员可以在用户逻辑系统中创建安全策略。在用户逻辑系统中，用户逻辑系统管理员可以使用该 show system security-profile policy 命令查看分配给用户逻辑系统的安全策略数量。

注意：

主管理员可以为主逻辑系统配置安全配置文件，用于指定应用于主逻辑系统的安全策略的最大数量和保留数量。在主逻辑系统中配置的策略数将计入设备上可用的最大策略数。