全局安全策略

在 Junos OS 有状态防火墙中，安全策略强制执行传输流量规则，包括哪些流量可以通过防火墙，以及流量通过防火墙时需要对流量执行的操作。安全策略要求流量进入一个安全区域并退出另一个安全区域。这种从区域和目标区域的组合称为 context.每个上下文都包含一个有序的策略列表。每个策略都按照其在上下文中定义的顺序进行处理。流量通过匹配策略的从区域、到区域、源地址、目标地址以及流量在其协议标头中携带的应用程序来进行分类。与任何其他安全策略一样，每个全局策略都具有以下操作：允许、拒绝、拒绝、记录、计数。

您可以从用户界面配置安全策略。安全策略通过定义在计划时间允许从特定 IP 源到特定 IP 目标的流量类型，控制从一个区域到另一个区域的流量。这在大多数情况下效果很好，但不够灵活。例如，如果要对流量执行操作，则必须为每个可能的上下文配置策略。为避免在每个可能的上下文中创建多个策略，您可以创建包含所有区域的全局策略或包含多个区域的多区域策略。

使用全局策略，您可以通过引用用户定义的地址或预定义地址“any”来调节包含地址和应用程序的流量，无论其安全区域如何。这些地址可以跨越多个安全区域。例如，如果要提供与多个区域的访问权限，则可以创建地址为“any”的全局策略，其中包含所有区域中的所有地址。选择“any”地址可匹配任何 IP 地址，当在任何全局策略配置中将“any”用作源/目标地址时，它将匹配任何数据包的源/目标地址。

使用全局策略，您还可以在一个策略中提供对多个源区域和多个目标区域的访问权限。但是，出于安全原因并避免欺骗流量，我们建议在创建多区域策略时使用相同的匹配标准（源地址、目标地址、应用程序）和相同的操作。例如，在 图 1 中，如果创建包含 DMZ 和 Untrust from 区域的多区域策略，则来自 DMZ 区域的 203.0.113.0/24 的欺骗流量可以成功匹配该策略并到达“信任到”区域中的受保护主机。

注意：

没有从区域和到区域信息的全局策略不支持 VPN 隧道，因为 VPN 隧道需要特定的区域信息。

执行策略查找时，将按以下顺序检查策略：区域内（信任到信任）、区域间（信任到不信任），然后是全局。与常规策略类似，上下文中的全局策略是有序的，以便将第一个匹配的策略应用于流量。

注意：

如果您有全局策略，请确保未在区域内或区域间策略中定义“全部捕获”规则，例如匹配源任意、匹配目标任意或匹配应用程序任意，因为不会检查全局策略。如果您没有全局策略，建议您在区域内或区域间策略中包含“拒绝所有”操作。如果确实有全局策略，则应在全局策略中包含“全部拒绝”操作。

在逻辑系统中，您可以为每个逻辑系统定义全局策略。一个逻辑系统中的全局策略与其他安全策略位于不同的上下文中，并且其优先级低于策略查找中的常规安全策略。例如，如果执行策略查找，则常规安全策略优先于全局策略。因此，在策略查找中，首先搜索常规安全策略，如果没有匹配项，则执行全局策略查找。

与 Junos OS 中的其他安全策略不同，全局策略不引用特定的源和目标区域。全局策略引用可跨越多个安全区域的预定义地址“任意”或用户定义的地址。全局策略使您能够灵活地对流量执行操作，而不受任何区域限制。例如，您可以创建全局策略，以便每个区域中的每个主机都可以访问公司网站，例如 www.example.com。当存在许多安全区域时，使用全局策略是一种方便的快捷方式。流量通过匹配其源地址、目标地址以及流量在其协议标头中携带的应用程序来进行分类。

此示例说明如何配置全局策略以拒绝或允许流量。

与 Junos OS 中的其他安全策略不同，全局策略允许您创建多区域策略。当存在许多安全区域时，全局策略是一种方便的快捷方式，因为它使您能够在一个全局策略中配置多个源区域和多个目标区域，而不必为每个从区域/到区域对创建单独的策略，即使其他属性（如源地址或目标地址）相同也是如此。