Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

全局选项

您在此处: 安全策略 & 对象 > 安全策略

要添加全局选项:

  1. 单击“安全策略”页面右上角的“全局选项”。

    将显示“全局选项”页面。

  2. 按照 表 1 中提供的准则完成配置。
  3. 单击 OK 保存更改。如果要丢弃更改,请单击 取消

表 1 介绍了“全局选项”页面上的字段。

表 1:全局选项页面上的字段

领域

行动

预 ID 默认策略

会话超时

Icmp

输入 4 到 86400 秒范围的 ICMP 会话的超时值。

ICMP6

输入 4 到 86400 秒范围的 ICMP6 会话的超时值。

Ospf

输入 4 到 86400 秒不等的 OSPF 会话的超时值。

Tcp

输入 4 到 86400 秒范围的 TCP 会话的超时值。

Udp

输入 4 到 86400 秒范围的 UDP 会话的超时值。

别人

输入 4 到 86400 秒之间其他会话的超时值。

测 井

会话启动

启用此选项可在会话开始时开始日志记录。

警告:

为 id 前默认策略配置会话 init 日志记录可能会生成大量日志。

会话结束

启用此选项可在会话结束时开始日志记录。

注意:

配置会话关闭日志记录可确保当流无法离开 id 前默认策略时,SRX 系列防火墙生成安全日志。

主动会话老化
注意:

逻辑系统和租户不支持此选项。

早期淘汰

输入 1 到 65,535 秒的值。默认值为 20 秒。

指定设备在从会话表中积极淘汰会话之前的时间量。

低水位线

输入一个 0 到 100% 的值。默认值为 100%。

指定积极退出流程结束时会话表容量的百分比。

高水位线

输入一个 0 到 100% 的值。默认值为 100%。

指定开始积极淘汰流程的会话表容量百分比。

SYN 泛洪防护

SYN 泛洪防护

启用此选项以抵御 SYN 攻击。

模式

选择以下其中一个选项:

  • Cookie — 使用加密散列生成唯一的初始序列号 (ISN)。默认情况下,这是启用的。

  • 代理 — 使用代理来处理 SYN 攻击。

TCP MSS

所有 TCP 数据包

输入 64 到 65,535 之间的最大分段大小值,以覆盖网络流量的所有 TCP 数据包。

进入 IPsec 隧道的数据包

输入 64 到 65,535 字节的最大分段大小值,以覆盖进入 IPsec 隧道的所有数据包。默认值为 1320 字节。

进入 IPsec 隧道的 GRE 数据包

输入 64 到 65,535 字节之间的最大分段大小值,以覆盖进入 IPsec 隧道的所有通用路由封装数据包。默认值为 1320 字节。

退出 IPsec 隧道的 GRE 数据包

输入 64 到 65,535 字节之间的最大分段大小值,以覆盖退出 IPsec 隧道的所有通用路由封装数据包。默认值为 1320 字节。

TCP 会话

序列号检查

默认情况下,此选项用于在有状态检测期间检查 TCP 分段中的序列号。设备会监控 TCP 分段中的序列号。

SYN 标志检查

默认情况下,此选项可在创建会话之前检查 TCP SYN 位。设备检查是否在会话的第一个数据包中设置了 SYN 位。如果未设置,设备将丢弃数据包。