租户系统概述

逻辑系统和租户系统之间的区别

表 1 介绍了逻辑系统和租户系统之间的主要差异。

逻辑系统和租户系统的用例

需要多个虚拟路由器时，将使用逻辑系统。例如，您有多个与外部网络的连接，并且这些连接不能共存于同一虚拟路由器中。当您需要分离部门、组织或客户时，可以使用租户系统，而且每个部门或客户都可以限制为一个虚拟路由器。逻辑系统和租户系统之间的主要区别在于，逻辑系统支持使用多个路由实例的高级路由功能。相比之下，租户系统仅支持一个路由实例，但支持在每系统部署大量租户。

多租户系统的部署场景

您可以在托管安全服务提供商 （MSSP）、企业网络或分支机构网段等许多环境中部署运行多租户系统的 SRX 系列防火墙。 表 2 介绍了各种部署方案，以及租户系统在这种场景中扮演的角色。

租户系统的优势

• 通过减少组织所需的物理设备数量来降低成本。您可以在单个设备上整合针对各种用户组的服务，从而降低硬件成本、功耗支出和机架空间。

• 在租户系统级别提供隔离和逻辑隔离。提供大规模管理分离的租户系统的能力，其中每个租户系统都可以定义自己的安全控制和限制，而不会影响其他租户系统。

主管理员和租户系统管理员的角色和职责

主管理员创建和管理所有租户系统。主逻辑系统在根级别创建并分配了单个路由协议进程。尽管此路由协议进程是共享的，但租户系统还是能够在防火墙上实现逻辑资源分离。默认情况下，所有系统资源均分配给主逻辑系统，主管理员将其分配给租户系统管理员。

创建的租户系统由主逻辑系统子化。尽管主逻辑系统下的所有租户共享一个路由进程，但每个租户系统都有一个路由实例。 表 3 介绍了主要管理员和租户系统管理员的角色和职责。

租户系统容量

表 4 列出了可在设备上创建的最大租户系统数。

从 Junos OS 18.4R1 版开始，可以在配备第三代服务处理卡 （SRX5K-SPC3） 和第二代服务处理卡 （SRX5K-SPC-4-15-320） 的SRX5000线路安全服务网关上受支持。在 Junos OS 18.4R1 版之前，租户系统仅在 SPC2 上受支持。

租户系统安全配置文件

主管理员可以配置安全配置文件并将其分配给特定租户系统或多个租户系统。可配置的最大安全配置文件数量取决于 SRX 系列防火墙的容量。创建最大安全配置文件数后，需要删除安全配置文件并提交配置更改，然后才能创建并提交其他安全配置文件。在许多情况下，由于您可以将单个安全配置文件绑定到多个租户系统，因此需要的安全配置文件更少。

安全配置文件允许您：

• 在所有租户系统之间适当地共享设备的资源，包括策略、区域、地址和地址簿、流会话以及各种形式的 NAT。您可以为租户系统分配各种数量的资源，并允许租户系统有效地利用这些资源。

  安全配置文件可防止一个租户系统耗尽其他租户系统同时需要的资源。当设备流量大时，安全配置文件可保护关键系统资源，并在租户系统之间保持更好的性能。安全配置文件可抵御主导资源的一个租户系统，并允许其他租户系统有效地使用这些资源。

• 以可扩展方式配置设备，以便创建其他租户系统。

您需要先删除租户系统的安全配置文件，然后才能删除该租户系统。

了解系统如何评估整个租户系统的资源分配和使用

要配置具有安全功能的租户系统，主管理员将配置一个安全配置文件，用于为每个安全功能指定资源：

• 保留的配额可确保租户系统始终可以使用指定的资源量。

• 允许的最大配额。如果租户系统需要超过保留配额的其他资源，则如果全局资源未分配给其他租户系统，则它可以利用为全局最大数量配置的资源。允许的最大配额不保证为安全配置文件中的资源指定数量可用。租户系统需要基于可用资源有效地利用全局资源。

如果未为资源配置保留配额，则默认值为 0。如果未为资源配置允许的最大配额，则默认值为该资源的全局系统配额（全局系统配额取决于平台）。主管理员必须在安全配置文件中配置相应的允许的最大配额值，以便特定租户系统的最大资源使用情况不会对设备上配置的其他租户系统产生负面影响。

系统维护所有分配的资源计数，这些资源在删除租户系统时将保留、使用和再次可用。此计数确定资源是否可用于租户系统，还是通过租户系统的安全配置文件增加分配给现有租户系统的资源量。

在安全配置文件中配置的资源的特点是静态模块化资源或动态资源。对于静态资源，我们建议将资源的最大配额设置为等于或接近其保留配额指定的数量，以便允许租户系统的可扩展配置。资源的最大配额通过访问更多资源为租户系统提供了更大的灵活性，但它限制了可分配给其他租户系统的资源量。

可以在安全配置文件中指定以下安全功能资源：

• 安全区域

• 用于安全策略的地址和地址簿

• 应用程序防火墙规则集

• 应用程序防火墙规则

• 防火墙身份验证

• 流会话和门

• NAT，包括：

  • 圆锥 NAT 绑定

  • NAT 目标规则

  • NAT 目标池

  • 源池中的 NAT IP 地址，不带端口地址转换 （PAT）

    注意：

    没有 PAT 的 IPv6 源池中的 IPv6 地址不包括在安全配置文件中。

  • 使用 PAT 的源池中的 NAT IP 地址

  • NAT 端口过载

  • NAT 源池

  • NAT 源规则

  • NAT 静态规则

当该安全配置文件分配给其他租户系统时，您可以动态修改租户系统安全配置文件。但是，为了确保不会超过系统资源配额，系统将采取以下措施：

• 如果静态配额发生变化，则维护租户系统对安全配置文件中指定资源计数的系统进程随后将重新评估分配给与静态配额关联的配置文件的安全配置文件。此检查会识别跨所有租户系统分配的资源数量，以确定分配的资源（包括增加的资源数量）是否可用。

  这些配额检查与添加租户系统并将安全配置文件绑定到该租户系统时执行的配额检查相同。当您将当前分配给它的安全配置文件与当前分配给它的安全配置文件绑定到现有租户系统（或主逻辑系统）时，也会执行这些配置文件。

• 如果修订了动态配额，则不会执行检查，但将对未来的资源使用施加修订后的配额。

案例：评估通过安全配置文件分配的保留资源

要了解系统如何通过安全配置文件评估保留资源的分配，请考虑 表 7 中介绍的以下三种情况以及资源和区域的地址分配。为简化示例，在安全配置文件-1：4 个保留区域和最多 6 个区域中分配了 10 个区域。此示例假定为租户系统指定的最大数量（6 个区域）可用。系统最大区域数为 10。

这三种情况解决了整个租户系统的配置问题。这三种情况验证配置在根据区域分配提交时是成功还是失败。

表 6 显示了安全配置文件及其区域分配。

表 7 显示了三个案例，说明了系统如何根据安全配置文件配置评估租户系统内区域预留资源。

• 第一个案例的配置会成功，因为在绑定到所有租户系统的安全配置文件中配置的区域的累计保留资源配额为 8，低于系统最大资源配额。

• 第二种情况的配置失败，因为在绑定到所有逻辑系统的安全配置文件中配置的区域的累计保留资源配额为 12，大于系统最大资源配额。

• 第三种情况的配置失败，因为在绑定到所有租户系统的安全配置文件中配置的区域的累计保留资源配额为 12，大于系统最大资源配额。