Sicherheitsrichtlinien

Die Konnektivität von Endgeräten hängt von der Erreichbarkeit (dem korrekten Weiterleitungsstatus im Netzwerk) und der Sicherheit (Konnektivität muss zulässig sein) bestimmt. Richtlinien müssen zwischen L2- und L3-Domänen sowie zwischen granulareren L2-/L3-IP-Endpunkten angegeben werden. Sicherheitsrichtlinien ermöglichen es Ihnen, Datenverkehr zwischen den granulareren Endgeräten zu erlauben oder zu verweigern. Sie steuern den datenverkehr zwischen virtuellen Netzwerken (ACLs auf SVIs) und den externen zu internen Datenverkehr (ACLs in Leaf-Randgeräten, nur externe Endgeräte). ACLs werden in der entsprechenden Gerätesyntax gerendert und auf Durchsetzungspunkte angewendet. Durch Hinzufügen eines neuen VXLAN-Endgeräts (z. B. Hinzufügen eines Racks oder Hinzufügen eines Leafs zu einem virtuellen Netzwerk) wird die ACL automatisch auf der virtuellen Netzwerkschnittstelle platziert. Durch Hinzufügen eines neuen generischen Systems External Connectivity Point (ECP) (Enforcement Point) werden ACL automatisch für externe Endgerätegruppen platziert. Sie können Sicherheitsrichtlinien auf Layer 2 IPv4-fähige Blueprints anwenden (IPv6 wird nicht unterstützt). Informationen zu unterstützten Geräten finden Sie in der Tabelle Konnektivität (von Leaf-Layer) in der Funktionsmatrix im Abschnitt Referenz.

Sicherheitsrichtlinien bestehen aus einem Quellpunkt (Subnetz oder IP-Adresse), einem Zielpunkt (Subnetz oder IP-Adresse) und Regeln zum Zulassen oder Ablehnen von Datenverkehr zwischen diesen Punkten basierend auf Protokoll. Regeln sind zustandslos, was bedeutet, dass Antworten auf erlaubten eingehenden Datenverkehr den Regeln für ausgehenden Datenverkehr (und umgekehrt) unterliegen.

Regeln können die Protokollierung des Datenverkehrs umfassen. Die ACL ist so konfiguriert, dass Übereinstimmungen mit einem beliebigen Mechanismus protokolliert werden, der auf dem Gerät unterstützt wird. Die Protokollkonfiguration ist lokal für das Netzwerkgerät; Es ist nicht auf dem Apstra-Server. Das Analysieren dieser Protokolle liegt außerhalb des Geltungsbereichs dieses Dokuments.

Für eine bidirektionale Sicherheitsrichtlinie erstellen Sie zwei Instanzen der Richtlinie, eine für jede Richtung.

Sie können mehr als eine Richtlinie auf jedes Subnetz/jeden Endpunkt anwenden, was bedeutet, dass die Reihenfolge von Regeln auswirkungen auf das Verhalten hat. Zwischen Routing-Zonen, virtuellen Netzwerken und IP-Endpunkten besteht eine implizite Hierarchie, sodass Sie berücksichtigen müssen, wie Richtlinien auf verschiedenen Hierarchieebenen angewendet werden. Wenn der Übereinstimmungssatz einer Regel den Übereinstimmungssatz der anderen Regel enthält (vollständige Eindämmung), können die Regeln konflikte bestehen. Sie können die Regeln so festlegen, dass sie zuerst spezifischere Regeln ausführen ("Ausnahme"-Fokus/-modus) oder weniger spezifisch zuerst ("Fokus/Modus außer Kraft setzen").

Regeln können auch konflikte, wenn es eine vollständige Eindämmungssituation zwischen den Regeln gibt, die Aktion jedoch dieselbe ist. In diesem Fall besteht Kompressionspotenzial durch die Verwendung der weniger spezifischen Regel, und die spezifischere Regel wird zu einer "Schatten"-Regel. Wenn widersprüchliche Regeln erkannt werden, werden Sie benachrichtigt und die Lösung angezeigt.

Einige Fälle, in denen widersprüchliche Regeln identifiziert werden, sind nachfolgend beschrieben:

• Regeln in Richtlinien zwischen verschiedenen IP-Endpunktpaaren (auch wenn eines mit beiden Paaren gemeinsam ist) sind nicht überlappend, da die IP-Adressenpaare unterschiedlich sind. Dies führt zu einer unzusammenhängenen Übereinstimmung aus der Perspektive von Quell-IP/Ziel-IP (unterschiedliche "IP-Signatur").
• Regeln in Richtlinien zwischen denselben IP-Endgeräten können Felder überschneiden (z. B. Ziel-Port); Die Apstra-Software prüft darauf.
• Regeln in Richtlinien zwischen verschiedenen virtuellen Netzwerkpaaren (auch wenn ein virtuelles Netzwerk mit beiden Paaren gemeinsam ist) sind nicht überlappend, da die Subnetzpaare unterschiedlich sind. Dies führt zu einer unzusammenhängenen Übereinstimmung aus der Perspektive der Quell-IP/Ziel-IP (unterschiedliche "IP-Signatur").
• Regeln in Richtlinien zwischen denselben virtuellen Netzwerken können Felder überschneiden (z. B. Zielport); Die Apstra-Software prüft darauf.
• Wenn IP-Endpunktgruppen verwendet werden, ergeben sich daraus eine Reihe von IP-Endpunktpaaren, sodass die obige Diskussion über IP-Endpunktpaare gilt.
• Regeln in Richtlinien zwischen einem IP-Endgerätpaar und einem Paar übergeordneter virtueller Netzwerke haben aus sicht der IP-Signatur eine Eindämmung. Die Apstra-Software analysiert die Überschneidung von Zielport/Protokoll und klassifiziert sie als vollständigen oder nicht vollständigen Containment-Konflikt.
• Regeln in Richtlinien zwischen einem IP-Endpunktpaar und einem Paar virtueller Netzwerke, bei denen mindestens ein virtuelles Netzwerk nicht übergeordnetes Netzwerk ist, sind nicht konfliktfrei (unterschiedliche "IP-Signatur").
• Regeln in Richtlinien zwischen einem IP-Endpunktpaar und einem IP-Endpunkt – virtuelles Netzwerkpaar, bei dem das virtuelle Netzwerk ein übergeordnetes Ist, haben eine vollständige Eingrenzung aus der Perspektive der IP-Signatur; Die Apstra-Software analysiert die verbleibenden Felder.
• Regeln in Richtlinien, die externe IP-Endgeräte oder Endpunktgruppen enthalten, müssen aus der Perspektive der IP-Signatur analysiert werden, da externe Punkte an keine hierarchischen Annahmen gebunden sind.
• Eine Routing-Zone ist eine Reihe von virtuellen Netzwerken und IP-Endpunkten, sodass die obigen Diskussionen gelten.

Endgeräte werden in Sicherheitsrichtlinien nicht unterstützt, wenn:

• Quellpunkt ist ein externer Endpunkt oder eine externe Endgerätegruppe
• Zielpunkt ist intern (internes Endgerät, interne Endgerätegruppe, virtuelles Netzwerk, Routing-Zone)

Um die Zusammensetzung nutzbar zu machen, kann es sowohl aus der Analysesicht als auch aus dem Verständnis der resultierenden Zusammensetzung nützlich sein, die Anzahl der Sicherheitsrichtlinien zu begrenzen, die für ein bestimmtes Endgerät/eine bestimmte Gruppe gelten können.

Die Sicherheitsrichtlinien umfassen die folgenden Details:

Beschreibung der Parameter
Namen	Nur 32 Zeichen oder weniger, Unterstriche, Gedankenstriche und alphanumerische Zeichen
Beschreibung	Optional
Aktiviert	EIN , um eine Sicherheitsrichtlinie zu aktivieren (Standard) AUS , um die Sicherheitsrichtlinie zu deaktivieren
Schilder	Optional
Quellpunkttyp	Internes Endgerät (verknüpft mit VNs – ip/32-Adresse enthalten) Externes Endgerät (enthält /32 oder Subnetz) Externe Endgerätegruppe Interne Endgerätegruppe Virtuelles Netzwerk (enthält Subnetz) Routing Zone (logische Erfassung aller virtuellen Netzwerke und internen IP-Endgeräte)
Quellpunkt	Interne Endgeräte Externes Endgerät Externe Endgerätegruppe Interne Endgerätegruppe Virtuelles Netzwerk Routing-Zone
Zielpunkttyp	Quellpunkt (zuvor erstellt)
Zielpunkt	Zielpunkt (zuvor erstellt)
Regelaktionen	Verweigern Ablehnen und Protokollieren Genehmigung Genehmigung und Protokoll
Regelprotokolle	TCP UDP IP ICMP
Quell-Port	Für TCP- und IP-Protokolle
Ziel-Port	Für TCP- und IP-Protokolle

Navigieren Sie im Entwurf zu "Staged > Policies > Security Policies > Policies" , um zu den Sicherheitsrichtlinien zu gelangen. Sie können Sicherheitsrichtlinien erstellen, klonen, bearbeiten und löschen.

Navigieren Sie im Entwurf zu "Staged > Policies > Security Policies > Conflicts" , um alle erkannten Konflikte zu sehen (Spalte Regelkonflikte ). Konflikte werden nach Möglichkeit automatisch aufgelöst. Standardmäßig werden spezifischere Richtlinien angewendet, bevor weniger spezifische, aber Sie können diese Sicherheitsrichtlinieneinstellungen ändern. Klicken Sie zum Anzeigen von Konfliktdetails auf das Symbol in der Spalte Regelkonflikte .

Wenn der Konflikt automatisch aufgelöst wurde, wird durch AOS gelöst in der Spalte Status angezeigt.