配置安全性策略

安全策略是一组语句，用于使用指定服务控制从指定源到指定目标的流量。策略允许、拒绝或通过隧道在两点之间单向传输指定类型的流量。

每个策略包含：

• 策略的唯一名称。

• A from-zone 和 a to-zone，例如：user@host# set security policies from-zone untrust to-zone untrust

• 一组匹配标准，用于定义应用策略规则时必须满足的条件。匹配标准基于源 IP 地址、目标 IP 地址和应用。用户身份防火墙通过在策略语句中包含附加元组 source-identity 来提供更大的粒度。

• 在匹配时要执行的一组作：允许、拒绝或拒绝。

• 计费和审计元素 - 计数、日志记录或结构化系统日志记录。

如果设备收到与这些规格匹配的数据包，则会执行策略中指定的作。

安全性策略针对中转流量实施一组规则，用于确定哪些流量可以通过防火墙，以及在流量通过防火墙时对流量执行的作。对符合指定条件的流量执行的作包括 allow、deny、reject、log 或 count。

安全策略将安全规则应用于上下文（from-zone 到 to-zone）中的中转流量。每个策略都通过其名称进行唯一标识。通过将流量的源区域和目标区域、源地址和目标地址以及流量在其协议标头中携带的应用与数据平面中的策略数据库进行匹配来对流量进行分类。

每个策略都与以下特征相关联：

• 源区域

• 目标区域

• 一个或多个源地址名称或地址集名称

• 一个或多个目标地址名称或地址集名称

• 一个或多个应用程序名称或应用程序集名称

这些特征称为 匹配标准。每个策略还有与之关联的作：允许、拒绝、拒绝、计数、日志和 VPN 隧道。配置策略、源地址、目标地址和应用名称时，必须指定匹配条件参数。

您可以使用通配符条目 any指定以配置具有 IPv4 或 IPv6 地址的策略。当未为 IPv6 流量启用流支持时， any 匹配 IPv4 地址。为 IPv6 流量启用流支持后， any 匹配 IPv4 和 IPv6 地址。要为 IPv6 流量启用基于流的转发，请使用命令 set security forwarding-options family inet6 mode flow-based 。您还可以为源地址和目标地址匹配标准指定通配符 any-ipv4 或 any-ipv6 ，使其分别仅包含 IPv4 或仅 IPv6 地址。

启用对 IPv6 流量的流支持后，可在安全策略中配置的最大 IPv4 或 IPv6 地址数基于以下匹配标准：

• Number_of_src_IPv4_addresses + number_of_src_IPv6_addresses * 4 <= 1024

• Number_of_dst_IPv4_addresses + number_of_dst_IPv6_addresses * 4 <= 1024

使用匹配标准的原因是 IPv6 地址使用的内存空间是 IPv4 地址使用的内存空间的四倍。

注意：

只有在设备上启用了对 IPv6 流量的流支持时，才能使用 IPv6 地址配置安全策略。

如果不想指定特定应用程序，请输入 any 默认应用程序。要查找默认应用程序，请在配置模式下输入 show groups junos-defaults | find applications (predefined applications)。例如，如果未提供应用程序名称，则将以通配符的形式安装策略。因此，无论数据流量的应用类型如何，与给定策略中的其余参数匹配的任何数据流量都将与策略匹配。

注意：

如果策略配置了多个应用程序，并且多个应用程序与流量匹配，则会选择最符合匹配标准的应用程序。

流量匹配的第一个策略的作将应用于数据包。如果没有匹配的策略，则丢弃数据包。策略是从上到下搜索的，因此最好将更具体的策略放在列表顶部附近。您还应该将 IPsec VPN 隧道策略放在顶部附近。将更常规的策略（例如允许某些用户访问所有 Internet 应用程序的策略）放在列表底部。例如，在之前解析过所有特定策略并允许/计数/记录合法流量之后，将“拒绝所有”或“拒绝所有”策略放在底部。

注意：

Junos OS 10.2 版中添加了对 IPv6 地址的支持。Junos OS 10.4 版中添加了对主动/主动机箱群集配置中 IPv6 地址的支持（除了对主动/被动机箱群集配置的现有支持）。

策略查找可确定目标区域、目标地址和出口接口。

创建策略时，将应用以下策略规则：

• 安全性策略按目标to-zone方向配置from-zone。在特定区域方向下，每个安全策略都包含名称、匹配标准、作和其他选项。

• 需要策略名称、匹配标准和作。

• 策略名称是一个关键字。

• 匹配条件中的源地址由 中的一个或多个地址名称或地址集名称 from-zone组成。

• 匹配条件的目标地址由 中的一个或多个地址名称或地址集名称 to-zone组成。

• 匹配标准中的应用程序名称由一个或多个应用程序或应用程序集的名称组成。

• 需要执行以下作之一：允许、拒绝或拒绝。

• 可以指定会计和审计元素：计数和日志。

• 您可以使用命令在 session-close 会话结束时启用日志记录，也可以在使用命令的 session-init 会话开始时启用日志记录。

• 打开计数告警时，指定报警阈值（以字节/秒或千字节/分钟为单位）。

• 在以下情况下，不能指定 global 为 the from-zone 或 except to-zone ：

  使用 AS 全局区域配置 to-zone 的任何策略都必须具有单个目标地址，以指示策略中已配置静态 NAT 或传入 NAT。

• 带有 NAT 的策略允许选项已得到简化。每个策略将选择性地指示是否允许 NAT 转换、不允许 NAT 转换或不关心。

• 地址名称不能以以下保留前缀开头。这些仅用于地址 NAT 配置：

  • static_nat_

  • incoming_nat_

  • junos_

• 应用程序名称不能以保留的前缀开 junos_ 头。

增强的策略配置同步机制改进了路由引擎 （RE） 和数据包转发引擎 （PFE） 之间策略配置的同步方式，从而提高了系统的可靠性和安全性。此机制可确保自动准确地同步策略。此外，系统还能有效防止安全策略配置更改过程中出现任何流量丢弃。

• 文件序列化
• 防止在策略配置更改期间中断流量会话

• 内存和错误处理
• 支持逻辑系统和租户系统

您可以配置自流量安全策略，以将服务应用于自流量。只有在源自主机设备的数据包通过流，且此数据包的传入接口设置为本地接口时，主机出站策略才有效。

使用自流量的优点是：

• 您可以利用用于传输流量的大部分现有策略或流量基础架构。

• 您不需要单独的 IP 地址即可启用任何服务。

• 您可以使用设备上任何接口的目标 IP 地址，将服务或策略应用于任何主机入站流量。

注意：

默认安全策略规则不会影响自流量。

注意：

您只能为相关服务的自流量配置安全策略。例如，与在主机-出站流量上配置 fwauth 服务无关，并且 gprs-gtp 服务与自流量的安全策略无关。

自流量的安全策略配置在称为区域的新 junos-host 默认安全区域下。junos-host 区域将是 junos-defaults 配置的一部分，因此用户无法将其删除。现有区域配置（如接口、筛选、tcp-rst 和 host-inbound-traffic 选项）对 junos-host 区域没有意义。因此，junos-host 区域没有专用配置。

注意：

您可以使用 host-inbound-traffic 来控制与设备的传入连接;但是，它不会限制流出设备的流量。而 junos-host-zone 允许您选择所选的应用，并限制传出流量。例如，现在可以使用 junos-host-zone 为进出设备的流量启用 NAT、IDP、内容安全性等服务。

必须完成以下任务才能创建安全策略：

1. 创建区域。请参阅 示例：创建安全性区域。

2. 配置包含策略地址的通讯簿。请参阅 示例：配置地址簿和地址集。

3. 创建一个应用（或应用集），指示策略适用于该类型的流量。请参阅 示例：配置安全性策略应用程序和应用程序集。

4. 创建策略。请参阅 示例：配置安全性策略以允许或拒绝所有流量、 示例：配置安全性策略以允许或拒绝选定流量以及 示例：配置安全性策略以允许或拒绝通配符地址流量。

5. 如果您计划将调度程序用于策略，请创建调度程序。请参阅 示例：为不包括一天的每日计划配置调度程序。

防火墙策略向导允许您执行基本的安全策略配置。如需更高级的配置，请使用 J-Web 界面或 CLI。

安全的网络对企业至关重要。为了确保网络安全，网络管理员必须创建一个安全策略，该策略概述了该企业中的所有网络资源以及这些资源所需的安全级别。安全策略将安全规则应用于上下文内的传输流量（从区域到到区域），并且每个策略都由其名称唯一标识。通过将源区域和目标区域、源地址和目标地址以及流量在其协议标头中携带的应用与数据平面中的策略数据库进行匹配来对流量进行分类。

平台支持取决于设备安装的 Junos OS 版本。

请注意，随着每个规则中的地址和应用程序数量的增加，策略定义使用的内存量也会增加，有时系统内存不足，策略少于 80,000 个。

要获取数据包转发引擎 （PFE） 和路由引擎 （RE） 上策略的实际内存利用率，需要考虑内存树的各个组件。内存树包括以下两个组件：

• 策略上下文 - 用于组织此上下文中的所有策略。策略上下文包括源区域和目标区域等变量。

• 策略实体 - 用于保存策略数据。策略实体使用策略名称、IP 地址、地址计数、应用、防火墙身份验证、WebAuth、IPsec、计数、应用服务和 Junos 服务框架 （JSF） 等参数计算内存。

此外，用于存储策略、规则集和其他组件的数据结构在数据包转发引擎和路由引擎上使用不同的内存。例如，策略中每个地址的地址名称存储在路由引擎上，但不会在数据包转发引擎级别分配内存。同样，端口范围扩展为前缀和掩码对，并存储在数据包转发引擎上，但路由引擎上不会分配此类内存。

因此，根据策略配置的不同，路由引擎的策略贡献者与数据包转发引擎的策略贡献者不同，并且内存是动态分配的。

内存也会被“延迟删除”状态消耗。在延迟删除状态下，当设备应用策略更改时，会出现暂时的峰值使用，其中旧策略和新策略都存在。因此，在很短的时间内，数据包转发引擎上同时存在新旧策略，占用的内存需求是两倍。

因此，没有明确的方法可以清楚地推断任一组件（数据包转发引擎或路由引擎）在任何给定时间点使用了多少内存，因为内存需求取决于策略的特定配置，并且内存是动态分配的。

以下策略实施最佳实践使您能够更好地使用系统内存并优化策略配置：

• 对源地址和目标地址使用单个前缀。例如，不要使用 /32 地址并单独添加每个地址，而是使用覆盖所需大部分 IP 地址的大子网。

• 尽可能使用应用程序“any”。每次在策略中定义单个应用程序时，都可以使用额外的 52 个字节。

• 使用更少的 IPv6 地址，因为 IPv6 地址会消耗更多内存。

• 在策略配置中使用较少的区域对。每个源区域或目标区域使用大约 16,048 字节的内存。

• 以下参数可以更改指定的字节消耗内存的方式：

  • 防火墙身份验证 - 大约 16 个字节或更多（未固定）

  • Web 身份验证 - 大约 16 个字节或更多（未固定）

  • IPsec - 12 字节

  • 应用服务 - 28 字节

  • 计数 - 64 字节

• 检查编译策略前后的内存利用率。

  注意：

  每个设备的内存需求都不同。某些设备默认支持 512,000 个会话，启动内存通常为 72% 到 73%。其他设备最多可有 100 万个会话，启动内存最高可达 83% 至 84%。在最坏的情况下，为了支持 SPU 中的大约 80,000 个策略，SPU 应以高达 82% 的流动内核内存消耗量启动，并且至少有 170 MB 的可用内存。

此示例说明如何配置安全策略以允许或拒绝所有流量。

此示例说明如何配置安全策略以允许或拒绝选定的流量。

此示例说明如何配置安全策略以允许或拒绝通配符地址流量。

此示例说明如何配置安全策略，以便将设备上生成的流量日志发送到外部系统日志服务器。

手动将地址条目添加到策略中可能非常耗时。有些外部来源可以提供具有特定用途（例如阻止列表）或具有共同属性（例如可能构成威胁的特定位置或行为）的 IP 地址列表。您可以使用外部源按其 IP 地址识别威胁源，然后将这些地址分组到一个动态地址条目中，并在安全策略中引用该条目。从而，您可以控制发往和来自这些地址的流量。每个这样的 IP 地址组都称为一个动态地址条目。

支持以下类型的 IP 地址：

• 单一 IP。例如：192.0.2.0

• IP 范围。例如：192.0.2.0- 192.0.2.10

• CIDR。例如：192.0.2.0/24

每个条目占用一行。从 Junos OS 19.3R1 版开始，无需按升序对 IP 地址范围进行排序，并且 IP 条目的值可以在同一源文件中重叠。在 19.3R1 之前的 Junos OS 版本中，IP 地址范围需要按升序排序，并且 IP 条目的值不能在同一源文件中重叠。

注意：

动态地址条目是一组 IP 地址，而非单个 IP 前缀。动态地址条目不同于通讯簿和地址条目地址的安全地址概念。

以下是在安全策略中部署动态地址条目的好处：

• 网络管理员可以更好地控制 IP 地址组的进出流量。

• 外部服务器向 SRX 防火墙提供更新的 IP 地址源。

• 管理员的工作量大大减少。例如，在旧有安全策略配置中，为要引用的策略添加 1000 个地址条目将需要大约 2000 行配置。通过定义动态地址条目并在安全策略中引用该地址条目，多达数百万个条目可以流入 SRX 防火墙，而无需进行太多额外配置工作。

• 添加新地址不需要提交过程。通过传统方法将数千个地址添加到配置中需要很长时间才能提交。或者，动态地址条目中的 IP 地址来自外部源，因此当条目中的地址发生变化时，不需要提交过程。

图 3 概述了安全策略中动态地址条目的工作原理。

安全策略引用源地址或目标地址字段中的动态地址条目（与安全策略引用旧地址条目的方式大致相同）。

图 4 展示了在 Destination-address 字段中使用动态地址条目的策略。

在 图 4 中，策略 1 使用目标地址 10.10.1.1，这是一个传统的安全地址条目。策略 2 使用目标地址供应商阻止列表，这是一个由网络管理员命名的动态地址条目。其内容是从外部源文件检索到的 IP 地址列表。符合所有五个标准（名为 untrust 的发件人区域、命名工程师的收件人区域、任何源地址、属于供应商阻止列表动态地址条目的目标 IP 地址以及邮件应用程序）匹配的数据包将根据拒绝和记录数据包的策略作进行处理。

注意：

动态地址条目名称与旧安全地址条目共享相同的名称空间，因此不要对多个条目使用相同的名称。Junos OS 提交流程会检查名称是否重复，以避免冲突。

动态地址组支持以下数据馈送：

• 自定义列表（允许列表和阻止列表）

• GeoIP

• 源服务器
• 捆绑源

使用 功能资源管理器 确认平台和版本对特定功能的支持。

使用下表查看平台的特定于平台的行为：

• 特定于平台的安全性策略支持
• 特定于平台的安全性策略配置行为
• 特定于平台的策略配置同步行为
• 特定于平台的 IDP 支持行为
• 特定于平台的防火墙策略向导支持行为

使用 功能资源管理器 确认平台和版本对特定功能的支持。可能支持其他平台。

SRX 防火墙和 vSRX 3.0 虚拟防火墙，支持文件馈送服务器，支持：	SRX300、SRX320、SRX340、SRX345、SRX550 和 SRX550M	SRX1500	SRX4100、SRX4200、SRX4600、SRX5400 设备和 vSRX 3.0	SRX4700
最大源服务器数	10	40	100	5000
最大源数	500	200	5000	5000
动态地址条目的最大数量	500	200	5000	5000

支持策略对象的 SRX 防火墙，支持：	SRX300 和 SRX320	SRX340	SRX345 和 SRX380	SRX550M	SRX1500、SRX1600和SRX4100	SRX4200和SRX4300	SRX4600	SRX4700、SRX5400、SRX5600 和 SRX5800
地址对象	2048	2048	2048	2048	4096	4096	4096	16384
应用对象	128	128	128	128	3072	3072	3072	3072
安全性策略	1024	2048	4096	10240	16000	60000	80000	100000
策略上下文（区域对）	256	512	1024	2048	4096	4096	8192	8192
每个上下文的策略	1024	2048	4096	10240	16000	60000	80000	100000
启用计数的策略	256	256	256	10240	1024	1024	1024	1024