配置安全策略

安全策略是一组语句，使用指定服务控制从指定源到指定目标的流量。策略允许、拒绝或隧道在两点之间单向传输指定类型的流量。

每个策略包括：

• 策略的唯一名称。

• A from-zone 和 A to-zone，例如：user@host# set security policies from-zone untrust to-zone untrust

• 一组匹配条件，用于定义应用策略规则必须满足的条件。匹配标准基于源 IP 地址、目标 IP 地址和应用程序。用户身份防火墙通过在策略语句中包含一个附加元组 source-identity，提供了更精细的粒度。

• 发生匹配时要执行的一组作：允许、拒绝或拒绝。

• 计费和审计要素 - 计数、日志记录或结构化系统日志记录。

如果设备收到与这些规格匹配的数据包，它将执行策略中指定的作。

安全策略对传输流量实施一组规则，用于确定哪些流量可以通过防火墙，以及在流量通过防火墙时对流量采取的作。与指定条件匹配的流量的作包括允许、拒绝、拒绝、记录或计数。

安全策略将安全规则应用于上下文 （from-zone 至 to-zone） 中的中转流量。每个策略都由其名称进行唯一标识。通过将流量的源和目标区域、源地址和目标地址、流量在其协议标头中携带的应用与数据平面中的策略数据库进行匹配来对流量进行分类。

每个策略都与以下特征相关联：

• 源区

• 目标区域

• 一个或多个源地址名或地址集名称

• 一个或多个目标地址名或地址集名称

• 一个或多个应用程序名称或应用程序集名称

这些特征称为 匹配标准。每个策略还具有与之关联的作：允许、拒绝、拒绝、计数、日志和 VPN 隧道。在配置策略、源地址、目标地址和应用程序名称时，必须指定匹配条件参数。

您可以使用通配符条目 any指定配置具有 IPv4 或 IPv6 地址的策略。未为 IPv6 流量启用流支持时， any 匹配 IPv4 地址。为 IPv6 流量启用流支持后， any 匹配 IPv4 和 IPv6 地址。要为 IPv6 流量启用基于流的转发，请使用 set security forwarding-options family inet6 mode flow-based 命令。您还可以为源地址和目标地址匹配标准指定通配符 any-ipv4 或 any-ipv6 ，以分别仅包含 IPv4 或仅 IPv6 地址。

启用对 IPv6 流量的流支持后，可在安全策略中配置的最大 IPv4 或 IPv6 地址数基于以下匹配标准：

• Number_of_src_IPv4_addresses + number_of_src_IPv6_addresses * 4 <= 1024

• Number_of_dst_IPv4_addresses + number_of_dst_IPv6_addresses * 4 <= 1024

设置匹配标准的原因是 IPv6 地址使用的内存空间是 IPv4 地址使用的内存空间的四倍。

注意：

仅当设备上启用了对 IPv6 流量的流支持时，您才能配置具有 IPv6 地址的安全策略。

如果不想指定特定应用程序，请输入 any 作为默认应用程序。要查找默认应用程序，请在配置模式下输入 show groups junos-defaults | find applications (predefined applications)。例如，如果未提供应用程序名称，则将使用应用程序作为通配符（默认值）安装策略。因此，无论数据流量的应用类型如何，与给定策略中其余参数匹配的任何数据流量都将与该策略匹配。

注意：

如果策略配置了多个应用程序，并且多个应用程序与流量匹配，则选择最符合匹配条件的应用程序。

流量匹配的第一个策略的作将应用于数据包。如果没有匹配策略，则数据包将被丢弃。策略是从上到下搜索的，因此最好将更具体的策略放在列表顶部附近。还应将 IPsec VPN 隧道策略放在顶部附近。将更通用的策略（例如，允许某些用户访问所有 Internet 应用程序的策略）放在列表底部。例如，在之前解析所有特定策略且允许/计数/记录合法流量之后，将“拒绝所有”或“拒绝所有”策略放在底部。

注意：

Junos OS 10.2 版中添加了对 IPv6 地址的支持。Junos OS 10.4 版中添加了对主动/主动机箱群集配置中的 IPv6 地址的支持（除了对主动/被动机箱群集配置的现有支持）。

策略查找可确定目标区域、目标地址和出口接口。

创建策略时，以下策略规则适用：

• 安全策略按 from-zone to to-zone 方向配置。在特定区域方向下，每个安全策略都包含名称、匹配标准、作和其他选项。

• 策略名称、匹配条件和作是必需的。

• 策略名称是一个关键字。

• 匹配条件中的源地址由 中的一个或多个地址名或地址 from-zone集名称组成。

• 匹配条件的目标地址由 中的一个或多个地址名或地址集名称 to-zone组成。

• 匹配条件中的应用程序名称由一个或多个应用程序或应用程序集的名称组成。

• 需要执行以下作之一：允许、拒绝或拒绝。

• 可以指定计费和审计元素：计数和日志。

• 您可以使用命令 session-close 在会话结束时启用日志记录，也可以在会话开始时使用 session-init 命令启用日志记录。

• 当计数警报打开时，以字节/秒或千字节/分钟为单位指定警报阈值。

• 在以下条件下，不能指定 global 为或 from-zone 例外 to-zone ：

  任何配置为 to-zone 全局区域的策略都必须具有单个目标地址，以指示已在策略中配置静态 NAT 或传入 NAT。

• 简化了带有 NAT 的策略许可选项。每个策略都可以选择性地指示它是否允许 NAT 转换、不允许 NAT 转换或不关心。

• 地址名称不能以下列保留前缀开头。这些仅用于地址 NAT 配置：

  • static_nat_

  • incoming_nat_

  • junos_

• 应用程序名称不能以 junos_ 保留的前缀开头。

增强型策略配置同步机制改进了路由引擎 （RE） 和数据包转发引擎 （PFE） 之间的策略配置同步方式，从而增强了系统的可靠性和安全性。该机制可确保策略自动且准确地同步。此外，在安全策略配置更改过程中，系统可有效防止任何流量丢失。

• 文件序列化
• 防止在策略配置更改期间流会话中断

• 内存和错误处理
• 支持逻辑系统和租户系统

您可以为自流量配置安全策略，以便将服务应用于自流量。仅当源自主机设备中的数据包通过流且此数据包的传入接口设置为本地时，主机出站策略才有效。

使用自流量的优点是：

• 您可以利用用于传输流量的大部分现有策略或流量基础架构。

• 您不需要单独的 IP 地址来启用任何服务。

• 您可以使用设备上任何接口的目标 IP 地址，将服务或策略应用于任何主机入站流量。

注意：

默认安全策略规则不会影响自身流量。

注意：

您只能为具有相关服务的自我流量配置安全策略。例如，在主机出站流量上配置 fwauth 服务无关紧要，而 gprs-gtp 服务与自身流量的安全策略无关。

自身流量的安全策略在称为 junos-host 区域的新默认安全区域下配置。junos-host 区域将成为 junos-defaults 配置的一部分，因此用户无法将其删除。现有区域配置（如接口、筛选、tcp-rst 和 host-inbound-traffic 选项）对 junos-host 区域没有意义。因此，junos-host 区域没有专用配置。

注意：

您可以使用 host-inbound-traffic 来控制设备的传入连接;但是，它不限制流出设备的流量。而 junos-host-zone 允许您选择所选的应用并限制传出流量。例如，现在可以使用 junos-host-zone 为进出设备的流量启用 NAT、IDP、内容安全等服务。

您必须完成以下任务才能创建安全策略：

1. 创建区域。请参阅 示例：创建安全区域。

2. 使用策略的地址配置通讯簿。请参阅 示例：配置通讯簿和地址集。

3. 创建一个应用程序（或应用程序集），指示策略适用于该类型的流量。请参阅 示例：配置安全策略应用程序和应用程序集。

4. 创建策略。请参阅 示例：配置安全策略以允许或拒绝所有流量、 示例：配置安全策略以允许或拒绝所选流量，以及 示例：配置安全策略以允许或拒绝通配符地址流量。

5. 如果您计划将计划程序用于策略，请创建计划程序。请参阅 示例：为不包括一天的每日计划配置调度程序。

通过防火墙策略向导，可以执行基本的安全策略配置。如需更高级的配置，请使用 J-Web 界面或 CLI。

安全的网络对企业至关重要。为了保护网络，网络管理员必须创建一个安全策略，其中概述了该业务中的所有网络资源以及这些资源所需的安全级别。安全策略将安全规则应用于上下文（从区域到到区域）内的传输流量，并且每个策略都由其名称唯一标识。通过将源和目的区域、源地址和目的地址、流量在其协议标头中携带的应用与数据平面中的策略数据库进行匹配，对流量进行分类。

平台是否支持取决于设备安装的 Junos OS 版本。

请注意，随着每个规则中地址和应用程序数量的增加，策略定义使用的内存量会增加，有时系统将耗尽少于 80,000 个策略的内存。

要获取数据包转发引擎 （PFE） 和路由引擎 （RE） 上策略的实际内存利用率，需要考虑内存树的各个组件。内存树包括以下两个组件：

• 策略上下文 - 用于组织此上下文中的所有策略。策略上下文包括源区域和目标区域等变量。

• 策略实体 - 用于保存策略数据。策略实体使用策略名称、IP 地址、地址计数、应用、防火墙身份验证、WebAuth、IPsec、计数、应用服务和 Junos 服务框架 （JSF） 等参数计算内存。

此外，用于存储策略、规则集和其他组件的数据结构在数据包转发引擎和路由引擎上使用不同的内存。例如，策略中每个地址的地址名都存储在路由引擎上，但不会在数据包转发引擎级别分配内存。同样，端口范围也扩展到前缀和掩码对并存储在数据包转发引擎上，但不会在路由引擎上分配此类内存。

因此，根据策略配置的不同，路由引擎的策略贡献者与数据包转发引擎的策略贡献者不同，并且内存是动态分配的。

“延迟删除”状态也会消耗内存。在延迟删除状态下，当设备应用策略更改时，会出现暂时性峰值使用情况，其中旧策略和新策略都同时存在。因此，在很短的时间内，数据包转发引擎上会同时存在新旧策略，占用的内存要求是其两倍。

因此，由于内存要求取决于策略的特定配置，并且内存是动态分配的，因此无法明确推断任一组件（数据包转发引擎或路由引擎）在任何给定时间点使用了多少内存。

以下策略实施最佳实践可以帮助您更好地使用系统内存并优化策略配置：

• 对源地址和目标地址使用单个前缀。例如，不要使用 /32 地址并单独添加每个地址，而是使用涵盖所需大部分 IP 地址的大型子网。

• 尽可能使用应用程序“any”。每次在策略中定义单个应用程序时，都可以使用额外的 52 个字节。

• 使用更少的 IPv6 地址，因为 IPv6 地址占用更多内存。

• 在策略配置中使用更少的区域对。每个源区域或目标区域使用大约 16,048 字节的内存。

• 以下参数可以更改字节按指定方式消耗内存的方式：

  • 防火墙身份验证 - 约 16 个字节或更多（未固定）

  • Web 身份验证 - 约 16 个字节或更多（未固定）

  • IPsec - 12 字节

  • 应用服务 - 28 字节

  • 计数 - 64 字节

• 检查编译策略前后的内存利用率。

  注意：

  每台设备的内存要求都不同。某些设备默认支持 512,000 个会话，启动内存通常为 72% 到 73%。其他设备最多可以有 100 万个会话，启动内存最高可达 83% 到 84%。在最坏的情况下，为了在 SPU 中支持大约 80,000 个策略，SPU 应以高达 82% 的流式内核内存消耗启动，并且至少有 170 MB 的可用内存。

此示例说明如何配置安全策略以允许或拒绝所有流量。

此示例说明如何配置安全策略以允许或拒绝所选流量。

此示例说明如何配置安全策略以允许或拒绝通配符地址流量。

此示例说明如何配置安全策略，以便将设备上生成的流量日志发送到外部系统日志服务器。

手动将地址条目添加到策略中可能很耗时。有些外部源提供了具有特定用途（如阻止列表）或具有通用属性（如可能构成威胁的特定位置或行为）的 IP 地址列表。您可以使用外部源按威胁源的 IP 地址识别威胁源，然后将这些地址分组为动态地址条目，并在安全策略中引用该条目。因此，您可以控制进出这些地址的流量。每个这样的 IP 地址组称为动态地址条目。

支持以下类型的 IP 地址：

• 单一 IP。例如：192.0.2.0

• IP 范围。例如：192.0.2.0- 192.0.2.10

• CIDR。例如：192.0.2.0/24

每个条目占用一行。从 Junos OS 19.3R1 版开始，IP 地址范围不需要按升序排序，并且 IP 条目的值可以在同一源文件中重叠。在 19.3R1 之前的 Junos OS 版本中，IP 地址范围需要按升序排序，并且 IP 条目的值不能在同一源文件中重叠。

注意：

动态地址条目是一组 IP 地址，而不是单个 IP 前缀。动态地址条目不同于通讯簿和地址条目地址的安全地址概念。

以下是在安全策略中部署动态地址条目的好处：

• 网络管理员可以更好地控制进出 IP 地址组的流量。

• 外部服务器向 SRX 系列防火墙提供更新的 IP 地址源。

• 管理员的工作量大大减少。例如，在旧有安全策略配置中，为要引用的策略添加 1000 个地址条目将需要大约 2000 行配置。通过定义动态地址条目并在安全策略中引用它，多达数百万个条目可以流入 SRX 系列防火墙，而无需进行太多额外的配置工作。

• 添加新地址不需要提交过程。通过传统方法将数千个地址添加到配置中需要很长时间才能提交。或者，动态地址条目中的 IP 地址来自外部源，因此当条目中的地址发生变化时，不需要提交过程。

图 3 展示了安全策略中动态地址条目的工作原理的功能概述。

安全策略引用源地址或目标地址字段中的动态地址条目（与安全策略引用旧地址条目的方式大致相同）。

图 4 演示了在 Destination-address 字段中使用动态地址条目的策略。

在 图 4 中，策略 1 使用目标地址 10.10.1.1，这是一个旧版安全地址条目。策略 2 使用目标地址供应商阻止列表，这是由网络管理员命名的动态地址条目。其内容是从外部源文件检索到 IP 地址的列表。符合所有五个条件（名为 untrust 的发件人区域、名为工程师的收件人区域、任何源地址、属于供应商阻止列表动态地址条目的目标 IP 地址和邮件应用程序）的数据包将根据拒绝和记录数据包的策略作进行处理。

注意：

动态地址条目名称与旧安全地址条目共享相同的命名空间，因此不要对多个条目使用相同的名称。Junos OS 提交过程会检查名称是否重复，以避免冲突。

动态地址组支持以下数据馈送：

• 自定义列表（允许列表和黑名单）

• GeoIP

• 源服务器
• 捆绑源

使用 功能浏览器 确认平台和版本对特定功能的支持。

使用下表查看您的平台特定于平台的行为：

• 特定于平台的安全策略配置规则行为
• 特定于平台的策略配置同步行为
• 特定于平台的 IDP 支持行为
• 特定于平台的防火墙策略向导支持行为

使用 功能浏览器 确认平台和版本对特定功能的支持。可能支持其他平台。

支持文件源服务器的 SRX 系列设备和 vSRX 虚拟防火墙 3.0 支持：	SRX300、SRX320、SRX340、SRX345、SRX550 和 SRX550M	SRX4100、SRX4200、SRX4600、SRX5400、SRX5600、SRX5800设备和 vSRX 虚拟防火墙 3.0	SRX1500
源服务器的最大数量	10	100	40
最大源数	500	5000	200
最大动态地址条目数	500	5000	200

支持策略对象的 SRX 系列设备，支持：	SRX300 和 SRX320	SRX340	SRX345 和 SRX380	SRX550M	SRX1500、SRX1600和SRX4100	SRX4200和SRX4300	SRX4600	SRX4700、SRX5400、SRX5600和SRX5800
地址对象	2048	2048	2048	2048	4096	4096	4096	16384
应用程序对象	128	128	128	128	3072	3072	3072	3072
安全策略	1024	2048	4096	10240	16000	60000	80000	100000
策略上下文（区域对）	256	512	1024	2048	4096	4096	8192	8192
每个上下文的策略	1024	2048	4096	10240	16000	60000	80000	100000
启用计数的策略	256	256	256	10240	1024	1024	1024	1024