配置安全策略

安全策略是一组语句，用于使用指定服务控制从指定源到指定目标的流量。策略允许、拒绝或隧道在两点之间单向传输指定类型的流量。

每个策略包括：

• 策略的唯一名称。

• A from-zone 和 a to-zone，例如：user@host# set security policies from-zone untrust to-zone untrust

• 一组匹配标准，用于定义应用策略规则时必须满足的条件。匹配标准基于源 IP 地址、目标 IP 地址和应用程序。用户身份防火墙通过在策略语句中包含附加元组（源身份）来提供更高的粒度。

• 匹配时要执行的一组操作 - 允许、拒绝或拒绝。

• 记帐和审计元素 - 计数、日志记录或结构化系统日志记录。

如果 SRX 系列收到与这些规格匹配的数据包，它将执行策略中指定的操作。

安全策略对传输流量实施一组规则，用于识别哪些流量可以通过防火墙，以及在流量通过防火墙时对流量执行的操作。符合指定条件的流量操作包括允许、拒绝、拒绝、记录或计数。

对于 SRX300、SRX320、SRX340、SRX345、SRX380 和SRX550M设备，提供了出厂默认安全策略：

• 允许从信任区域到不信任区域的所有流量。

• 允许受信任区域之间的所有流量，即从信任区域到区域内受信任区域的所有流量。

• 拒绝从不信任区域到信任区域的所有流量。

安全策略将安全规则应用于上下文 （from-zone 到 to-zone） 内的传输流量。每个策略都由其名称唯一标识。通过将流量的源和目标区域、源地址和目标地址以及流量在其协议标头中携带的应用程序与数据平面中的策略数据库进行匹配来对流量进行分类。

每个策略都与以下特征相关联：

• 源区域

• 目标区域

• 一个或多个源地址名称或地址集名称

• 一个或多个目标地址名称或地址集名称

• 一个或多个应用程序名称或应用程序集名称

这些特征称为 匹配标准。每个策略还具有与之关联的操作：允许、拒绝、拒绝、计数、日志和 VPN 隧道。配置策略、源地址、目标地址和应用程序名称时，必须指定匹配条件参数。

您可以使用通配符条目 any指定使用 IPv4 或 IPv6 地址配置策略。如果未为 IPv6 流量启用流支持， any 则匹配 IPv4 地址。为 IPv6 流量启用流支持后，将 any 匹配 IPv4 和 IPv6 地址。要为 IPv6 流量启用基于流的转发，请使用 set security forwarding-options family inet6 mode flow-based 命令。您还可以指定通配符 any-ipv4 ，或者 any-ipv6 源地址和目标地址匹配标准分别仅包含 IPv4 地址或仅包含 IPv6 地址。

启用对 IPv6 流量的流支持后，您可以在安全策略中配置的最大 IPv4 或 IPv6 地址数基于以下匹配标准：

• Number_of_src_IPv4_addresses + number_of_src_IPv6_addresses * 4 <= 1024

• Number_of_dst_IPv4_addresses + number_of_dst_IPv6_addresses * 4 <= 1024

匹配标准的原因是 IPv6 地址使用的内存空间是 IPv4 地址使用的内存空间的四倍。

注意：

仅当设备上启用了对 IPv6 流量的流支持时，才能使用 IPv6 地址配置安全策略。

如果不想指定特定应用程序， any 请输入为默认应用程序。要查找默认应用程序，请在配置模式下输入 show groups junos-defaults | find applications (predefined applications)。例如，如果未提供应用程序名称，则会将策略作为通配符随应用程序一起安装（默认）。因此，无论数据流量的应用程序类型如何，与给定策略中其余参数匹配的任何数据流量都将匹配该策略。

注意：

如果策略配置了多个应用程序，并且多个应用程序与流量匹配，则会选择最符合匹配条件的应用程序。

流量匹配的第一个策略的操作将应用于数据包。如果没有匹配的策略，则会丢弃数据包。策略是从上到下搜索的，因此最好将更具体的策略放在列表顶部附近。还应将 IPsec VPN 隧道策略放置在靠近顶部的位置。将更一般的策略（例如允许某些用户访问所有 Internet 应用程序的策略）放在列表底部。例如，在之前解析了所有特定策略并允许/计数/记录了合法流量之后，将“全部拒绝”或“全部拒绝”策略放在底部。

注意：

Junos OS 10.2 版中添加了对 IPv6 地址的支持。Junos OS 10.4 版中添加了对主动/主动机箱群集配置中 IPv6 地址的支持（除了对主动/被动机箱群集配置的现有支持）。

在处理完防火墙过滤器和屏幕并且服务处理单元 （SPU）（针对 SRX5400、SRX5600 和 SRX5800 设备）完成路由查找之后，将在流处理期间查找策略。策略查找确定目标区域、目标地址和出口接口。

创建策略时，以下策略规则适用：

• 安全策略是按 from-zone to to-zone 方向配置的。在特定区域方向下，每个安全策略都包含一个名称、匹配标准、一个操作和其他选项。

• 策略名称、匹配标准和操作是必需的。

• 策略名称是一个关键字。

• 匹配标准中的源地址由 中的 from-zone一个或多个地址名称或地址集名称组成。

• 匹配标准的目标地址由 中的 to-zone一个或多个地址名称或地址集名称组成。

• 匹配标准中的应用程序名称由一个或多个应用程序或应用程序集的名称组成。

• 需要执行以下操作之一：允许、拒绝或拒绝。

• 可以指定会计和审计元素：计数和日志。

• 您可以使用命令 session-close 在会话结束时启用日志记录，也可以在会话 session-init 开始时使用命令启用日志记录。

• 打开计数警报后，请指定警报阈值（以字节/秒或千字节/分钟为单位）。

• 除非在以下情况下，否则不能指定global为 或from-zoneto-zone：

  使用 as to-zone 作为全局区域配置的任何策略都必须具有单个目标地址，以指示已在策略中配置静态 NAT 或传入 NAT。

• 在 SRX 系列防火墙中，简化了带 NAT 的策略允许选项。每个策略都会选择性地指示它是否允许 NAT 转换、不允许 NAT 转换或不关心。

• 地址名称不能以以下保留前缀开头。这些仅用于地址 NAT 配置：

  • static_nat_

  • incoming_nat_

  • junos_

• 应用程序名称不能以保留前缀 junos_ 开头。

您可以配置自我流量的安全策略，以将服务应用于自我流量。主机出站策略仅在源自主机设备的数据包通过流且此数据包的传入接口设置为本地的情况下才有效。

使用自流量的优点是：

• 您可以利用用于传输流量的大多数现有策略或流基础架构。

• 您不需要单独的 IP 地址即可启用任何服务。

• 您可以将服务或策略应用于设备上任何接口的目标 IP 地址的任何主机入站流量。

注意：

在 SRX 系列防火墙上，默认安全策略规则不会影响自身流量。

注意：

您只能为具有相关服务的自流量配置安全策略。例如，在主机出站流量上配置 fwauth 服务无关，gprs-gtp 服务与自我流量的安全策略无关。

自身流量的安全策略在称为区域 junos-host 的新默认安全区域下配置。junos 主机区域将是 junos 默认配置的一部分，因此用户无法将其删除。接口、屏幕、tcp-rst 和主机入站流量选项等现有区域配置对 junos 主机区域没有意义。因此，没有针对 junos 主机区域的专用配置。

注意：

您可以使用主机入站流量来控制与设备的传入连接;但是，它不会限制流出设备的流量。而 junos-host-zone 允许您选择所需的应用程序并限制传出流量。例如，现在可以使用 junos-host-zone 为进出 SRX 系列防火墙的流量启用 NAT、IDP、内容安全等服务。

您必须完成以下任务才能创建安全策略：

1. 创建区域。请参见 示例：创建安全区域。

2. 使用策略地址配置地址簿。请参阅 示例：配置通讯簿和地址集。

3. 创建一个应用程序（或应用程序集），指示策略适用于该类型的流量。请参阅 示例：配置安全策略应用程序和应用程序集。

4. 创建策略。请参阅 示例：配置安全策略以允许或拒绝所有流量、 示例：配置安全策略以允许或拒绝选定流量和 示例：配置安全策略以允许或拒绝通配符地址流量。

5. 如果您计划将计划程序用于策略，请创建计划程序。请参阅 示例：为不包括一天的每日计划配置计划程序。

防火墙策略向导使您能够执行基本安全策略配置。如需更高级的配置，请使用 J-Web 界面或 CLI。

安全的网络对企业至关重要。要保护网络，网络管理员必须创建一个安全策略，概述该企业中的所有网络资源以及这些资源所需的安全级别。安全策略将安全规则应用于上下文（从区域到区域）中的传输流量，并且每个策略都由其名称唯一标识。通过将源和目标区域、源地址和目标地址以及流量在其协议标头中携带的应用程序与数据平面中的策略数据库进行匹配来对流量进行分类。

表 1 提供了 SRX300、SRX320、SRX340、SRX345、SRX380、SRX550、SRX650、SRX550M、SRX1400、SRX1500、SRX3400、SRX3600、SRX4100、SRX4200、SRX4600、SRX5400、SRX5600和SRX5800设备的策略限制。平台支持取决于安装中的 Junos OS 版本。

注意：

从 Junos OS 版本 12.3X48-D15 和 Junos OS 版本 17.3R1 开始，SRX5400、SRX5600 和 SRX5800 设备的每个策略的最大地址对象数从 1024 个增加到 4096 个，每个情景的最大策略数从 10240 个增加到 80,000 个。

从 Junos OS 17.3R1 版开始，SRX5400、SRX5600和SRX5800设备的安全策略数量和每个情景的最大策略数从 80,000 增加到 100,000。

从 Junos OS 版本 15.1X49-D120 开始，每个策略用于 SRX5400、SRX5600 和 SRX5800 的地址对象数从 4096 个增加到 16,000 个。

表 1： SRX 系列设备的策略限制

SRX 系列设备	地址对象	应用程序对象	安全策略	策略上下文（区域对）	每个情景的策略	启用了计数的策略
SRX300SRX320	2048	128	1024	256	1024	256
SRX340	2048	128	2048	512	2048	256
SRX345	2048	128	4096	1024	4096	256
SRX380	2048	128	4096	1024	4096	256
SRX550M	2048	128	10240	2048	10240	1024
SRX1500	4096	3072	16000	4096	16000	1024
SRX4100	4096	3072	60000	4096	60000	1024
SRX4200	4096	3072	60000	4096	60000	1024
SRX4600	4096	3072	80000	8192	80000	1024
SRX5400 SRX5600 SRX5800	16384	3072	100000	8192	100000	1024

因此，随着每个规则中的地址和应用程序数量的增加，策略定义使用的内存量会增加，有时系统会在策略少于 80,000 个的情况下耗尽内存。

要获取数据包转发引擎 （PFE） 和路由引擎 （RE） 上策略的实际内存利用率，需要考虑内存树的各个组件。内存树包括以下两个组件：

• 策略上下文 – 用于组织此上下文中的所有策略。策略上下文包括源区域和目标区域等变量。

• 策略实体 – 用于保存策略数据。策略实体使用策略名称、IP 地址、地址计数、应用程序、防火墙身份验证、WebAuth、IPsec、计数、应用程序服务和 Junos 服务框架 （JSF） 等参数计算内存。

此外，用于存储策略、规则集和其他组件的数据结构在数据包转发引擎和路由引擎上使用不同的内存。例如，策略中每个地址的地址名称存储在路由引擎上，但不会在数据包转发引擎级别分配内存。同样，端口范围扩展到前缀和掩码对，并存储在数据包转发引擎上，但路由引擎上未分配此类内存。

因此，根据策略配置，路由引擎的策略贡献者与数据包转发引擎的策略贡献者不同，内存是动态分配的。

内存也会被“延迟删除”状态消耗。在延迟删除状态下，当 SRX 系列防火墙应用策略更改时，会出现暂时的峰值使用量，其中旧策略和新策略都存在。因此，在短时间内，数据包转发引擎上同时存在新旧策略，占用的内存要求是其两倍。

因此，没有明确的方法来清楚地推断任一组件（数据包转发引擎或路由引擎）在任何给定时间点使用了多少内存，因为内存要求取决于策略的特定配置，并且内存是动态分配的。

以下策略实施最佳实践使您能够更好地使用系统内存并优化策略配置：

• 对源地址和目标地址使用单个前缀。例如，不要使用 /32 地址并单独添加每个地址，而是使用覆盖所需大部分 IP 地址的大型子网。

• 尽可能使用应用程序“any”。每次在策略中定义单个应用程序时，都可以使用额外的 52 个字节。

• 使用较少的 IPv6 地址，因为 IPv6 地址消耗更多内存。

• 在策略配置中使用较少的区域对。每个源或目标区域使用大约 16,048 字节的内存。

• 以下参数可以更改指定字节消耗内存的方式：

  • 防火墙身份验证 – 大约 16 个字节或更多（未固定）

  • Web 身份验证 – 大约 16 个字节或更多（未固定）

  • IPsec–12 字节

  • 应用程序服务 – 28 字节

  • 计数–64 字节

• 检查编译策略前后的内存利用率。

  注意：

  每个设备的内存要求不同。某些设备默认支持 512,000 个会话，启动内存通常为 72% 到 73%。其他设备最多可以有 100 万个会话，启动内存可以高达 83% 到 84%。在最坏的情况下，要在 SPU 中支持大约 80,000 个策略，SPU 应在流内核内存消耗高达 82% 且至少有 170 MB 可用内存的情况下启动。

此示例说明如何配置安全策略以允许或拒绝所有流量。

此示例说明如何配置安全策略以允许或拒绝所选流量。

此示例说明如何配置安全策略以允许或拒绝通配符地址流量。

此示例说明如何配置安全策略以将设备上生成的流量日志发送到外部系统日志服务器。

手动将地址条目添加到策略中可能非常耗时。有些外部源提供具有特定用途（例如阻止列表）或具有共同属性（例如可能构成威胁的特定位置或行为）的 IP 地址列表。您可以使用外部源按 IP 地址识别威胁源，然后将这些地址分组到动态地址条目中，并在安全策略中引用该条目。因此，您可以控制进出这些地址的流量。每个这样的 IP 地址组称为一个动态地址条目。

支持以下类型的 IP 地址：

• 单个 IP。例如：192.0.2.0

• IP 范围。例如：192.0.2.0- 192.0.2.10

• CIDR.例如：192.0.2.0/24

每个条目占用一行。从 Junos OS 19.3R1 版开始，IP 地址范围无需按升序排序，IP 条目的值可以重叠在同一源文件中。在 19.3R1 之前的 Junos OS 版本中，IP 地址范围需要按升序排序，并且 IP 条目的值不能在同一源文件中重叠。

注意：

动态地址条目是一组 IP 地址，而不是单个 IP 前缀。动态地址条目不同于通讯簿和地址条目地址的安全地址概念。

以下是在安全策略中部署动态地址条目的好处：

• 网络管理员可以更好地控制进出 IP 地址组的流量。

• 外部服务器向 SRX 系列防火墙提供更新的 IP 地址源。

• 管理员的工作量大大减少。例如，在旧版安全策略配置中，添加 1000 个地址条目供策略引用将需要大约 2000 行配置。通过定义动态地址条目并在安全策略中引用该条目，多达数百万个条目可以流入 SRX 系列防火墙，而无需进行太多额外的配置工作。

• 添加新地址不需要提交过程。通过传统方法向配置添加数千个地址需要很长时间才能提交。或者，动态地址条目中的 IP 地址来自外部源，因此当条目中的地址更改时不需要提交过程。

图 3 说明了安全策略中的动态地址条目如何工作的功能概述。

安全策略引用源地址或目标地址字段中的动态地址条目（与安全策略引用旧地址条目的方式大致相同）。

图 4 说明了在“目标地址”字段中使用动态地址条目的策略。

在图 4 中，策略 1 使用目标地址 10.10.1.1，这是一个旧的安全地址条目。策略 2 使用目标地址供应商阻止列表，这是网络管理员指定的动态地址条目。其内容是从外部源文件中检索的 IP 地址列表。符合所有五个条件（名为 untrust 的起始区域、名为工程师的至区域、任何源地址、属于供应商阻止列表动态地址条目的目标 IP 地址和邮件应用程序）的数据包将根据拒绝和记录数据包的策略操作进行处理。

注意：

动态地址条目名称与旧版安全地址条目共享相同的名称空间，因此不要对多个条目使用相同的名称。Junos OS 提交过程会检查名称是否不重复以避免冲突。

动态地址组支持以下数据馈送：

• 自定义列表（允许列表和阻止列表）

• 地理IP

• 源服务器
• 捆绑包馈送
• 源服务器对 SRX 系列防火墙的支持

总结 使用此示例为 EVPN（以太网 VPN） 虚拟可扩展 LAN （VXLAN） 隧道检测配置安全策略。

总结 使用此配置可在 vSRX 虚拟防火墙 3.0 上为日内瓦数据包流隧道检查启用安全策略。

借助 vSRX 虚拟防火墙 3.0 实例对 Geneve 的支持，您可以使用 vSRX3.0 执行以下操作：

• 连接园区、数据中心和公共云环境中的端点及其区域。

• 利用嵌入式安全性保护这些环境。