在 SRX 系列防火墙上配置应用程序策略
应用程序策略是瞻博网络 WAN 保证设计中的安全策略，您可以在其中定义哪些网络和用户可以访问哪些应用程序，以及根据哪种流量引导策略。要定义应用程序策略，您必须创建网络、应用程序和流量转向配置文件。然后，使用这些详细信息作为匹配条件，以允许访问或阻止来自应用程序或目标的访问。
在瞻博网络 Mist™ 云门户中，“ 网络”或“用户” 设置确定源区域。“ 应用程序 + 流量转向 ”设置确定目标区域。流量引导路径决定了瞻博网络® SRX 系列防火墙中的目标区域，因此请确保将流量转向配置文件分配给应用程序策略。
有关应用程序策略的说明：
-
您可以通过以下三种方式之一定义应用程序策略：在组织级别、WAN 边缘模板内或在中心配置文件内。
-
在组织级别定义应用程序策略时，可以在多个 WAN 边缘模板或中心配置文件中导入和使用该策略。也就是说，您可以遵循“一次定义，多次使用”模型。
-
直接在 WAN 边缘或中枢配置文件中定义应用程序策略时，策略的范围仅限于该 WAN 边缘模板或中枢配置文件。您不能在其他模板或配置文件中重复使用该策略。
-
Mist 按照策略在策略列表中出现的顺序评估和应用策略。
配置应用程序策略
要配置应用程序策略，请执行以下操作：
- 单击“ 名称 ”列下的新字段，为策略命名，然后单击蓝色复选标记以应用更改。
下图（图 1）显示了配置应用程序策略时可用的选项。
图 1：应用程序策略配置选项下表 （ 表 1） 说明了可用于应用程序策略的配置选项。
表 1：应用程序策略选项 字段 说明 不。 数字的缩写。此条目指示应用程序策略的位置。Mist 根据策略的位置（即策略在此字段中列出的顺序）来评估和应用策略。
名字 应用程序策略的名称。您最多可以使用 32 个字符来命名应用程序，包括字母数字、下划线和短划线。 网络/用户 网络和网络用户。网络是网络中请求的来源。您可以从可用网络列表中选择一个网络。如果已将用户关联到网络，Mist 门户会在下拉菜单中以格式显示 user.network 详细信息。
行动 策略操作。选择以下策略操作之一：
-
允许
-
块
申请/目的地 目标端点。应用程序确定策略中使用的目标
您可以从已定义的应用程序列表中选择应用程序。国内流离失所者 （可选）入侵检测和防御 （IDP） 配置文件。选择一个 IDP 配置文件：
-
标准 — 标准配置文件是默认配置文件，代表瞻博网络推荐的一组 IDP 签名和规则。这些操作包括：
关闭客户端和服务器 TCP 连接。
丢弃当前数据包和所有后续数据包
严格 - 严格配置文件包含一组与标准配置文件类似的 IDP 签名和规则。但是，当系统检测到攻击时，配置文件会主动阻止在网络中检测到的任何恶意流量或其他攻击。
警报
- 警报配置文件仅生成警报，不会执行任何其他操作。警报配置文件仅适用于低严重性攻击。IDP 签名和规则与标准配置文件中的签名和规则相同。- 无 - 未应用 IDP 配置文件。
您在应用程序策略中应用的 IDP 配置文件会执行流量检查，以检测和防止对允许流量的入侵。
流量引导 流量引导配置文件。流量转向配置文件定义一个或多个流量路径。
要将策略部署到 WAN 边缘辐射型设备或中心设备，需要转向配置文件。
注意：“编号（订单号）”和“流量转向”字段不可用于组织级别的应用程序策略。直接在 WAN 边缘或中枢配置文件中定义应用程序策略时，需要指定订单号和流量转向选项。
-
- 单击保存。
图 2 显示了新创建的应用程序策略的列表。
图 2：应用程序策略摘要
重新排序和删除应用程序策略
通过对应用程序策略重新排序，可以在创建策略后移动策略。
Mist 评估策略并按策略在策略列表中出现的顺序执行策略，您应该注意以下事项：
-
策略顺序很重要。因为策略评估是从列表顶部开始的，
-
新策略转到策略列表的末尾。
选择一个策略，然后使用向上键或向下键更改顺序。您可以随时更改策略顺序。
若要删除应用程序策略，请选择要删除的应用程序策略，然后单击窗格右上角显示的 “删除 ”。
在网络和应用程序中使用相同的 IP 地址和前缀
在应用程序策略配置中，“ 网络/用户 ”属于源区域， “应用程序/ 目标”属于目标区域。
当您为不同的目的定义网络和应用程序时，您可以对它们使用相同的 IP 地址和前缀;也就是说，它们在一个策略中充当源，在另一个策略中充当目标。
考虑 图 4 中的策略。
这里有一个 网络/用户 SPOKE-LAN1，其分支 LAN 接口的 IP 地址为 192.168.200.0/24。屏幕截图显示以下策略以不同的方式使用相同的网络：
-
通过中枢进行辐条到辐条—此策略允许通过中枢的入站和出站辐条到辐条流量。在这里，我们既SPOKE-LAN1定义为网络，又定义为应用程序。
-
分支到中枢DMZ — 此策略允许分支到中枢流量。在这里，我们定义为 SPOKE-LAN1 网络。
-
中心-DMZ 到辐射型 — 此策略允许中心到辐射型流量。在这里，我们定义为 SPOKE-LAN1 一个应用程序。