用户角色防火墙安全策略

本地认证表

本地身份验证表使用插入或删除条目的 CLI 命令进行管理。当动态 UIT 不可用时，本地身份验证表可用作备份解决方案，或将用户和角色信息分配给无法向网络进行身份验证的设备，例如打印机或文件服务器。本地身份验证表可用于测试或演示用户角色防火墙如何在未配置防火墙身份验证或访问控制服务的情况下工作。

可以使用 CLI 命令以编程方式下载来自第三方身份验证源的 IP 地址、用户名和角色，并将其添加到本地身份验证表中。如果身份验证源定义了用户和组，则可以将这些组配置为角色并照常与用户关联。

为了符合 UAC 身份验证表，用户名限制为 65 个字符，角色名称限制为 64 个字符。根据安装中的 Junos OS 版本，本地身份验证表在 SRX1500 及以上设备上最多包含 10,240 个身份验证条目，在 SRX650 及以下设备上最多包含 5120 个身份验证条目。本地身份验证表在 vSRX 虚拟防火墙上有 5120 个身份验证条目。每个身份验证条目最多可与 200 个角色相关联。最大容量基于分配给每个用户的平均 10 个角色。这与为 UAC 身份验证表指定的容量相同。

使用以下命令向本地身份验证表添加条目。请注意，每个条目都按 IP 地址进行键控。

单个 CLI 命令中的角色选项最多接受 40 个角色。要将 40 多个角色与单个用户关联，您需要输入多个命令。添加或修改身份验证用户和角色条目时，请记住以下特征。

• 角色名称不能与用户名相同。

• 将 add 选项与现有 IP 地址和用户名一起使用可聚合角色条目。该表最多可以支持每个用户 200 个角色。

• add将选项与现有 IP 地址和新用户名一起使用将覆盖该 IP 地址的现有用户名。

• 角色聚合不会影响现有会话。

• 要更改现有条目的角色列表，您需要删除现有条目，然后使用新角色列表添加条目。

• 要更改现有条目的 IP 地址，您需要删除现有条目并添加具有新 IP 地址的条目。

可以通过 IP 地址或用户名删除条目。

可以使用以下命令清除本地身份验证表：

要显示本地认证表的内容，请使用以下命令 show... ：

该 brief 选项（默认）以按 IP 地址排序的表格格式显示信息。用户名和角色列表将被截断以适合格式。

该 extensive 选项显示每个字段的完整内容。其他选项将显示限制为单个用户名、IP 地址或角色。

UAC 身份验证表

SRX 系列防火墙可以充当 Junos Pulse 访问控制服务的实施器。在此实施中，SRX 系列防火墙充当第 3 层实施点，并使用从访问控制服务向下推送的基于 IP 的资源策略控制对资源的访问。

当作为用户角色防火墙实施时，SRX 系列防火墙可以采用类似的方式访问 UAC 网络进行用户角色检索。在此实例中，将从访问控制服务推送所有经过身份验证的用户的用户和角色信息。

SRX 系列防火墙配置类似于实施器的配置。要建立通信，两台设备都需要配置和密码设置才能识别对方。从 SRX 系列防火墙，将访问控制服务作为基础结构控制器连接。

从访问控制服务中，将 SRX 系列防火墙定义为新的实施器。使用 SRX 系列防火墙上指定的相同密码。

用户和密码在访问控制服务上定义，就像在标准身份验证配置中一样。一个或多个角色也可以与用户关联。对用户进行身份验证后，将向访问控制服务上的 UAC 身份验证表添加一个包含 IP 地址、用户名和关联角色的条目。

初始化两台设备之间的连接时，UAC 身份验证表将从访问控制服务推送到 SRX 系列防火墙。每当在访问控制服务上添加、删除或更新条目时，更新后的 UAC 身份验证表都会推送到 SRX 系列防火墙。

对于用户角色防火墙实现，访问控制服务上不需要资源访问策略。访问行为在 SRX 系列防火墙的策略配置中提供。如果在访问控制服务上定义了资源访问策略，则会将其推送到 SRX 系列防火墙，但除非特定防火墙策略在策略的操作字段中实施 UAC 策略，否则不会使用这些策略。

以下命令 show services 显示 SRX 系列防火墙上 UAC 身份验证表的内容，确认已成功从访问控制服务推送该表：

SRX 系列防火墙会监控连接并检测与访问控制服务的通信是否已断开。根据 UAC 配置，SRX 系列防火墙在发出另一个请求之前，会在配置的时间间隔内等待响应。如果收到响应，则认为访问控制服务正常工作。如果在指定的超时期限后未收到响应，则会将通信视为丢失，并应用超时操作。以下 UAC 命令语法配置间隔、超时和超时操作：

在断开连接期间，如果尝试对断开连接的设备进行用户和角色查找，则无论超时操作如何，都会返回失败代码。如果无法访问所有身份验证源，则关键字 unknown-user 将与 IP 地址相关联。当策略查找恢复时，以未知用户作为源身份的策略将与流量匹配。通过为未知用户实施特定策略，可以创建处理身份验证源丢失的方法。

防火墙认证表

防火墙身份验证要求用户先向 SRX 防火墙进行身份验证，然后才能允许区域和设备之间的访问。收到流量时，系统会提示用户输入用户名和密码，并根据指定的有效用户配置文件进行验证。根据设备配置，防火墙身份验证会验证 telnet、HTTP、HTTPS（适用于 SRX5800、SRX5600 和 SRX5400 设备）和 FTP 流量是否已在本地或通过 RADIUS、LDAP 或 SecureID 身份验证服务器进行身份验证。

如果设备上正在使用防火墙身份验证，则身份验证过程还可以提供用户角色防火墙匹配标准所需的用户名和角色信息。在这种情况下，将在称为防火墙身份验证表的 UIT 中收集和维护信息。层次结构中的 edit access 一个或多个访问策略定义用于防火墙身份验证的身份验证方法。

必须启用防火墙身份验证表作为用户角色信息检索的身份验证源。该 priority 选项指定检查所有 UIT 的顺序。

在给定区域对的防火墙策略中， firewall-authentication 为操作指定的 permit 服务将启动匹配流量的身份验证。 user-firewall 身份验证类型为经过身份验证的用户生成 UIT 条目。选项中 access-profile 指定的名称标识要用于对有效用户进行身份验证的配置文件。

UIT 表条目包含映射到经过身份验证的用户和用户的关联组的流量的 IP 地址。当用户不再处于活动状态时，将从表中删除该条目。由于条目会随着流量和经过身份验证的用户的变化而不断添加和删除，因此防火墙身份验证表被视为动态的。

当同一区域对中的策略将字段指定为其 source-identity 匹配标准的一部分时，将搜索所有已启用的 UIT，以查找与流量 IP 地址对应的条目。如果找到，将检索关联的用户名和组以进行源-身份匹配。（用户认证组名称被视为源身份匹配的角色名称。

使用用户和角色进行策略配置

所有用户和角色（无论是在 SRX 系列防火墙上定义还是在访问控制服务上定义）都保存在 SRX 系列防火墙上的用户角色文件中。若要显示可用于预配的所有用户和角色，请使用以下命令 show security... 。

注意：

防火墙身份验证表中的用户名和角色不包括在以下显示中。

• 若要显示可用于预配的所有角色，请使用 show security user-identification role-provision all 命令。请注意，所有 UIT 中的角色会一起列出。

• 若要显示可用于预配的所有用户，请使用 show security user-identification user-provision all 命令。

• 若要显示可用于预配的所有用户和角色，请使用 show security user-identification source-identity-provision all 命令。

提交策略配置时，将检查用户角色文件以确定策略中指定的所有用户和角色是否都可用于预配。如果未找到用户或角色，则会显示一条警告，标识缺少的用户或角色，以便您以后可以对其进行定义。

注意：

即使尚未定义用户或角色，也会提交策略。