用户角色防火墙安全策略

本地认证表

本地认证表通过插入或删除条目的 CLI 命令进行管理。当动态 UIT 不可用时，本地身份验证表可用作备份解决方案，或者将用户和角色信息分配给无法向网络进行身份验证的设备（如打印机或文件服务器）。本地身份验证表可用于测试或演示用户角色防火墙如何在未配置防火墙身份验证或访问控制服务的情况下工作。

可以从第三方身份验证源下载 IP 地址、用户名和角色，并使用 CLI 命令以编程方式将其添加到本地身份验证表中。如果身份验证源定义了用户和组，则可以将组配置为角色，并像往常一样与用户关联。

为了符合 UAC 身份验证表，用户名限制为 65 个字符，角色名称限制为 64 个字符。本地认证表在 SRX1500 及以上设备上最多有 10,240 个验证条目，在 SRX650 及更低的设备上最多有 5120 个验证条目，具体取决于安装中的 Junos OS 版本。本地认证表在 vSRX 虚拟防火墙上有 5120 个认证条目。每个身份验证条目最多可与 200 个角色相关联。最大容量基于平均分配给每个用户的 10 个角色。这与为 UAC 身份验证表指定的容量相同。

使用以下命令向本地认证表添加条目。请注意，每个条目都按 IP 地址键控。

单个 CLI 命令中的角色选项最多可以接受 40 个角色。要将 40 多个角色与单个用户关联，您需要输入多个命令。添加或修改身份验证、用户和角色条目时，请记住以下特征。

• 角色名称不能与用户名相同。

• add将选项与现有 IP 地址和用户名一起使用可聚合角色条目。该表最多可支持每个用户 200 个角色。

• add将选项用于现有 IP 地址和新用户名将覆盖该 IP 地址的现有用户名。

• 角色聚合不会影响现有会话。

• 若要更改现有条目的角色列表，需要删除现有条目，然后使用新角色列表添加条目。

• 要更改现有条目的 IP 地址，您需要删除现有条目并使用新 IP 地址添加条目。

条目可以按 IP 地址或用户名删除。

可以使用以下命令清除本地认证表：

要显示本地认证表的内容，请使用以下 show... 命令：

该 brief 选项（默认值）以按 IP 地址排序的表格格式显示信息。用户名和角色列表将被截断以适应格式。

该 extensive 选项显示每个字段的完整内容。其他选项将显示限制为单个用户名、IP 地址或角色。

UAC 认证表

SRX 系列防火墙可以充当 Junos Pulse 接入控制服务的实施器。在此实施中，SRX 系列防火墙充当第 3 层实施点，并使用从访问控制服务推送的基于 IP 的资源策略控制对资源的访问。

当作为用户角色防火墙实施时，SRX 系列防火墙可以采用类似方式访问 UAC 网络，以进行用户角色检索。在此实例中，所有经过身份验证的用户的用户和角色信息都将从访问控制服务推送。

SRX 系列防火墙的配置类似于实施器的配置。要建立通信，两台设备都需要配置和密码设置才能识别另一台设备。在 SRX 系列防火墙中，将接入控制服务连接为内部网控制器。

在访问控制服务中，将 SRX 系列防火墙定义为新的实施器。使用在 SRX 系列防火墙上指定的相同密码。

用户和密码在访问控制服务上定义，就像在标准身份验证配置中一样。一个或多个角色也可以与用户关联。对用户进行身份验证后，将包含 IP 地址、用户名和关联角色的条目添加到访问控制服务的 UAC 身份验证表中。

初始化两台设备之间的连接时，UAC 身份验证表将从访问控制服务推送到 SRX 系列防火墙。每当在访问控制服务上添加、删除或更新条目时，更新的 UAC 身份验证表都会推送到 SRX 系列防火墙。

对于用户角色防火墙实施，访问控制服务不需要资源访问策略。访问行为在 SRX 系列防火墙的策略配置中提供。如果在访问控制服务上定义了资源访问策略，则这些策略将被推送到 SRX 系列防火墙，但除非特定防火墙策略在策略的作字段中实施了 UAC 策略，否则不会使用这些策略。

以下 show services 命令显示 SRX 系列防火墙上 UAC 认证表的内容，确认该表已成功从访问控制服务推送：

SRX 系列防火墙监视连接并检测与访问控制服务的通信是否丢失。根据 UAC 配置，SRX 系列防火墙会在配置的时间间隔内等待响应，然后再发出另一个请求。如果收到响应，则访问控制服务被视为正常运行。如果在指定的超时时间段后未收到响应，则视为通信丢失，并应用超时作。以下 UAC 命令语法配置间隔、超时和超时作：

在断开连接期间，如果尝试对断开连接的设备进行用户和角色查找，则无论超时作如何，它都会返回失败代码。如果失去对所有身份验证源的访问，则关键字 unknown-user 将与 IP 地址相关联。恢复策略查找时，以 unknown-user 为源身份的策略将与流量匹配。通过为 unknown-user 实现特定策略，您可以创建一种方法来处理身份验证源丢失。

防火墙认证表

防火墙身份验证要求用户先向 SRX 系列防火墙进行身份验证，然后才允许在区域和设备之间进行访问。接收到流量时，系统会提示用户输入用户名和密码，并根据指定有效用户配置文件进行验证。根据设备配置，防火墙身份验证会验证 telnet、HTTP、HTTPS（对于 SRX5800、SRX5600 和 SRX5400 设备）和 FTP 流量是否已在本地或由 RADIUS、LDAP 或 SecureID 身份验证服务器进行身份验证。

如果设备上正在使用防火墙身份验证，则身份验证过程还可以提供用户角色防火墙匹配标准所需的用户名和角色信息。在这种情况下，将在称为防火墙身份验证表的 UIT 中收集和维护信息。层次结构中的 edit access 一个或多个访问策略定义了用于防火墙身份验证的身份验证方法。

必须启用防火墙认证表作为用户角色信息检索的认证源。该 priority 选项指定检查所有 UIT 的顺序。

在给定区域对的防火墙策略中， firewall-authentication 为 permit 作指定的服务将启动匹配流量的身份验证。 user-firewall 身份验证类型为经过身份验证的用户生成 UIT 条目。选项中 access-profile 指定的名称标识用于对有效用户进行身份验证的配置文件。

UIT 表条目包含映射到经过身份验证的用户和用户的关联组的流量的 IP 地址。当用户不再处于活动状态时，该条目将从表中删除。由于条目会随着流量和经过身份验证的用户的变化而不断添加和删除，因此防火墙身份验证表被视为动态的。

当同一区域对中的策略将字段 source-identity 指定为其匹配标准的一部分时，将搜索所有已启用的 UIT，以查找与流量 IP 地址对应的条目。如果找到，将检索关联的用户名和组以进行源身份匹配。（用户身份验证组名称被视为源身份匹配的角色名称。

使用用户和角色进行策略配置

所有用户和角色，无论是在 SRX 系列防火墙上还是在访问控制服务上定义，都保留在 SRX 系列防火墙的用户角色文件中。要显示可用于预配的所有用户和角色，请使用以下 show security... 命令。

注意：

防火墙身份验证表中的用户名和角色不包括在以下显示中。

• 要显示可用于预配的所有角色，请使用命令 show security user-identification role-provision all 。请注意，所有 UIT 中的角色都一起列出。

• 要显示可供置备的所有用户，请使用命令 show security user-identification user-provision all 。

• 要显示可供预配的所有用户和角色，请使用命令 show security user-identification source-identity-provision all 。

提交策略配置时，将检查用户角色文件，以确定策略中指定的所有用户和角色是否都可用于预配。如果未找到用户或角色，则会出现警告，标识缺少的用户或角色，以便以后可以对其进行定义。

注意：

即使尚未定义用户或角色，策略也会提交。

特定于平台的本地身份验证行为

平台	差异
SRX 系列	在支持本地身份验证的 SRX300、SRX320、SRX340、SRX345、SRX380 和 SRX550 设备上，本地身份验证表最多有 10,240 个验证条目，具体取决于安装中的 Junos OS 版本。 在支持此功能的 SRX1500 及更高版本上，本地认证表最多有 5120 个认证条目，具体取决于安装的Junos OS版本。

特定于平台的防火墙身份验证行为

平台	差异
SRX 系列	在支持防火墙身份验证的 SRX5400、SRX5600 和 SRX5800 设备上，根据设备配置，防火墙身份验证会验证 telnet、HTTP、HTTPS 和 FTP 流量是否已通过本地或由 RADIUS、LDAP 或 SecureID 身份验证服务器进行身份验证。