用户角色 防火墙安全策略

本地认证表

本地认证表通过插入或删除条目CLI管理。当动态 UIT 不可用时，本地认证表可以用作备份解决方案，或者将用户和角色信息分配给无法连接到网络的设备，如打印机或文件服务器。本地认证表可用于测试或演示用户角色防火墙如何在未配置防火墙认证或接入控制服务的情况下工作。

可通过 CLI 命令下载来自第三方身份验证源的 IP 地址、用户名和角色，并添加到本地CLI表中。如果认证源定义了用户和组，则组可配置为角色，并通常与用户相关联。

为了符合 UAC 认证表，用户名限制为 65 个字符，角色名称限制为 64 个字符。本地认证表在 SRX1500 及以上设备上最多包含 10，240 个身份验证条目，SRX650 和以下设备上有 5120 个身份验证条目，具体取决于安装的 Junos OS 版本。本地认证表上包含 5120 个认证条目vSRX。每个认证条目可关联多达 200 个角色。最大容量基于分配给每位用户的平均 10 个角色。这是为 UAC 认证表指定的相同容量。

使用以下命令将条目添加至本地认证表中。请注意，每个条目都使用 IP 地址作为键。

单个 CLI 中的角色选项最多接受 40 个角色。要将 40 多个角色与单个用户关联，您需要输入多个命令。添加或修改身份验证用户和角色条目时，请注意以下特征。

• 角色名称不能与用户名相同。

• add使用具有现有 IP 地址和用户名的选项可聚合角色条目。此表可支持每个用户多达 200 个角色。

• add使用具有现有 IP 地址和新用户名的选项将覆盖该 IP 地址的现有用户名。

• 角色聚合不会影响现有会话。

• 要更改现有条目的角色列表，您需要删除现有条目，并添加新角色列表条目。

• 要更改现有条目的 IP 地址，您需要删除现有条目，并添加新 IP 地址条目。

条目可以通过 IP 地址或用户名删除。

可通过以下命令清除本地认证表：

要显示本地认证表的内容，请使用以下 show... 命令：

选项 brief （默认）显示按 IP 地址顺序的表格格式的信息。用户名和角色列表将截短以适应格式。

选项 extensive 显示每个字段的全部内容。其他选项将显示限制为单个用户名、IP 地址或角色。

UAC 身份验证表

SRX 系列设备可以用作服务Junos Pulse 接入控制实施器。在此实施中，SRX 系列设备充当第 3 层实施点，通过从访问控制服务推送的基于 IP 的资源策略控制对资源的访问。

实施为用户角色防火墙后，SRX 系列设备可以通过类似方式访问 UAC 网络，以检索用户角色。在这种情况下，所有经过身份验证的用户的用户和角色信息均从接入控制服务推送。

SRX 系列设备配置类似于实施器。要建立通信，两台设备都需要配置和密码设置才能识别另一台设备。从 SRX 系列设备，将接入控制服务作为 infranet 控制器连接。

在接入控制服务中，将 SRX 系列设备定义为新实施器。使用在 SRX 系列设备上指定的相同密码。

用户和密码在访问控制服务上如标准认证配置中定义。一个或多个角色也可与用户相关联。对用户进行验证时，将包含 IP 地址、用户名和相关角色的条目添加到接入控制服务的 UAC 认证表中。

当两台设备之间的连接初始化时，UAC 认证表从接入控制服务推送到 SRX 系列设备。只要在接入控制服务上添加、删除或更新了条目，更新的 UAC 认证表就会推送到 SRX 系列设备。

对于用户角色防火墙实施，接入控制服务不需要资源访问策略。SRX 系列设备上的策略配置中提供了访问行为。如果在接入控制服务上定义了资源访问策略，则它们被推送到 SRX 系列设备，但除非特定的防火墙策略在策略的操作字段中实施 UAC 策略，否则不会使用。

以下 show services 命令显示 SRX 系列设备上 UAC 认证表的内容，确认此表已成功从接入控制服务推送：

SRX 系列设备将监控连接并检测与接入控制服务的通信是否丢失。根据 UAC 配置，SRX 系列设备会等待已配置的间隔响应，然后再发出其他请求。如果收到响应，则接入控制服务被视为正常工作。如果指定的超时期后未收到响应，则通信被视为丢失，并且会应用超时操作。以下 UAC 命令语法配置间隔、超时和超时操作：

在断开连接期间，如果尝试对断开连接的设备进行用户和角色查找，则无论超时操作如何，都会返回故障代码。如果无法访问所有身份验证源，则关键字 unknown-user 与 IP 地址相关联。恢复策略查找时，将未知用户作为源身份的策略与流量匹配。通过为未知用户实施特定策略，您可以创建一种处理身份验证丢失源的方法。

防火墙身份验证表

防火墙认证要求用户先向 SRX 防火墙进行身份验证，然后才能访问区域和设备。收到信息流时，系统会提示用户输入用户名和密码，并针对指定的有效用户配置文件进行验证。根据设备配置，防火墙身份验证可验证 telnet、HTTP、HTTPS（SRX5800、SRX5600 和 SRX5400 设备）和 FTP 流量是否在本地或由 RADIUS、LDAP 或 SecureID 身份验证服务器进行验证。

如果在设备上使用防火墙认证，则认证流程还可提供用户角色防火墙匹配标准所需的用户名和角色信息。在这种情况下，信息在称为防火墙认证表的 UIT 中收集并维护。层次结构中的一个或多个访问 edit access 策略定义了用于防火墙身份验证的身份验证方法。

防火墙认证表必须作为认证源启用，用于检索用户角色信息。选项 priority 指定了检查所有 UIT 的顺序。

在给定区域对的防火墙策略中firewall-authenticationpermit，为操作指定的服务将启动匹配信息流身份验证。认证user-firewall类型会为经过认证的用户生成 UIT 条目。在 选项中指定access-profile的名称标识要用于认证有效用户的配置文件。

UIT 表条目包含映射到已认证用户和用户关联组的流量的 IP 地址。用户不再活动时，将从表中移除条目。由于在流量和经过身份验证的用户发生变化时，不断添加和删除条目，因此防火墙认证表被视为动态的。

当同一区域对中的策略将 source-identity 字段指定为匹配标准的一部分时，所有启用的 UIT 将搜索对应于信息流 IP 地址的条目。如果发现，将检索关联的用户名和组进行源身份匹配。（用户认证组名称被视为源身份匹配的角色名称。）

使用用户和角色配置策略

不管在 SRX 系列设备上还是接入控制服务上定义，所有用户和角色均在 SRX 系列设备的用户角色文件中保持。要显示可用于调配的所有用户和角色，请使用以下 show security... 命令。

注意：

以下显示中不包含防火墙认证表中的用户名和角色。

• 要显示可用于配置的所有角色，请使用 show security user-identification role-provision all 命令。请注意，所有 UIT 的角色都列出在一起。

• 要显示可用于调配的所有用户，请使用 show security user-identification user-provision all 命令。

• 要显示可用于配置的所有用户和角色，请使用 show security user-identification source-identity-provision all 命令。

提交策略配置后，将检查用户角色文件，以确定在策略中指定的所有用户和角色是否可用于配置。如果未找到用户或角色，警告将标识缺少的用户或角色，以便稍后可以定义。

注意：

即使尚未定义用户或角色，也承诺该策略。