Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Laden Sie das Juniper ATP-Cloud-Skript herunter und führen Sie es aus

Die Juniper ATP-Cloud verwendet ein Junos OS-Op-Skript, um Sie bei der Konfiguration Ihrer SRX-Serie-Firewall für die Verbindung mit dem Juniper ATP Cloud Cloud-Service zu unterstützen. Dieses Skript führt die folgenden Aufgaben aus:

  • Lädt Lizenzen der Zertifizierungsstellen (CAs) herunter und installiert sie auf Ihrer Firewall der SRX-Serie.

    Hinweis:

    • Sie müssen Datenverkehr zur junipersecurity.net-Domain auf den Ports 8444 und 7444 zulassen, da die TPM-basierten Zertifikate (Trusted Platform Module) für Verbindungen zwischen der SRX-Serie Firewall und Juniper ATP-Cloud verwendet werden. Informationen dazu, ob eine Funktion von einer bestimmten Plattform oder Version von Junos OS unterstützt wird, finden Sie unter Feature-Explorer. Weitere Informationen zur Verwendung von TPM auf Firewalls der SRX-Serie finden Sie unter Übersicht über das Trusted Platform Module.

    • Für neu registrierte TPM- und Nicht-TPM-basierte Geräte darf der Datenverkehr in die junipersecurity.net Domäne nur über Port 443 zugelassen werden.

  • Erstellt lokale Zertifikate und registriert diese Zertifikate beim Cloud-Server

  • Führt eine grundlegende Juniper ATP Cloud-Konfiguration auf der Firewall der SRX-Serie durch

  • Stellt eine sichere Verbindung zum Cloud-Server her

Hinweis:

  • Juniper ATP Cloud erfordert, dass sowohl Ihre Routing-Engine (Control Plane) als auch Ihre Packet Forwarding Engine (Data Plane) eine Verbindung zum Internet herstellen können.

  • Die Data-Plane-Verbindung sollte nicht von der Management- oder Loopback-Schnittstelle wie fxp0 oder lo0 bezogen werden. Sie müssen keine Ports auf der Firewall der SRX-Serie öffnen, um mit dem Cloud-Server zu kommunizieren. Wenn Sie jedoch ein Gerät in der Mitte haben, z. B. eine Firewall, muss Port 443 für dieses Gerät geöffnet sein.

  • Die Firewall der SRX-Serie verwendet die standardmäßige inet.0-Routing-Tabelle und eine Schnittstelle von inet.0 als Quellschnittstelle für die Verbindung der Control-Plane zwischen der Firewall der SRX-Serie und der Juniper ATP Cloud. Wenn die einzige mit dem Internet verbundene Schnittstelle der Firewall der SRX-Serie Teil einer Routing-Instance ist, wird empfohlen, eine statische Route hinzuzufügen, die auf die Routing-Instance verweist. Andernfalls kann die Steuerverbindung nicht hergestellt werden.

  • Juniper ATP Cloud erfordert, dass der Hostname der Firewall der SRX-Serie nur alphanumerische ASCII-Zeichen (a-z, A-Z, 0-9), das Unterstrich-Symbol (_) und das Bindestrich-Symbol (-) enthält.

Für Firewalls der Serien SRX300, SRX320, SRX340, SRX345, SRX380 und SRX550 müssen Sie den set security forwarding-process enhanced-services-mode Befehl ausführen und das Gerät neu starten, bevor Sie das Op-Skript ausführen oder bevor Sie den request services advanced-anti-malware enroll Befehl ausführen.

So laden Sie die Juniper ATP-Cloud-Skripte herunter und führen sie aus:

Hinweis:

Ab Junos OS Version 19.3R1 können Sie den request services advanced-anti-malware enroll Befehl auf der Firewall der SRX-Serie verwenden, um ein Gerät beim Juniper ATP-Cloud-Webportal zu registrieren. Mit diesem Befehl müssen Sie keine Registrierungsaufgaben im Webportal ausführen. Die gesamte Registrierung erfolgt über die CLI der Firewall der SRX-Serie. Siehe Registrieren einer Firewall der SRX-Serie über die CLI.
  1. Klicken Sie in der Webbenutzeroberfläche auf Geräte und dann auf Registrieren.

    Das Fenster Registrieren wird angezeigt. Siehe Abbildung 1.

    Abbildung 1: Registrierung der Firewall Enrollment commands for Juniper SRX Series devices into advanced anti-malware service. Command validity: 7 days. der SRX-Serie
  2. Kopieren Sie den markierten Inhalt in die Zwischenablage und klicken Sie auf OK.
    Hinweis:

    Bei der Registrierung von Geräten generiert die Juniper ATP-Cloud für jede Anfrage ein eigenes Op-Skript. Jedes Mal, wenn Sie auf Enrollklicken, erhalten Sie leicht andere Parameter im Op-Skript. Der Screenshot oben ist nur ein Beispiel. Kopieren Sie das obige Beispiel nicht auf Ihre Firewall der SRX-Serie. Kopieren Sie stattdessen die Ausgabe, die Sie von Ihrer Web-Benutzeroberfläche erhalten, und verwenden Sie sie, um Ihre Firewalls der SRX-Serie zu registrieren.
  3. Fügen Sie diesen Befehl in die Junos OS CLI der Firewall der SRX-Serie ein, die Sie bei der Juniper ATP-Cloud registrieren möchten. Drücken Sie Enter. Ihr Bildschirm sieht für TPM-basierte und nicht TPM-basierte Geräte in etwa wie folgt aus:

    • Skript für TPM-basierte Geräte:

      Dieses Skript führt die folgenden Prüfungen und Konfigurationen durch, um die Konnektivität mit der Juniper ATP-Cloud sicherzustellen:

      1. Erkennen, ob die Firewall der SRX-Serie eine TPM-unterstützte Plattform ist

      2. Überprüfen Sie, ob die Junos OS-Version HTTPS-Endpunkte unterstützt.

      3. Identifizieren des Gerätetyps (Standalone oder Chassis-Cluster)

      4. Entfernen Sie alle vorhandenen Konfigurationen im Zusammenhang mit der Juniper ATP-Cloud-Registrierung bei SecIntel, AAMW, SSL und PKI

      5. Löschen lokaler Zertifikate und CA-Profile

      6. Konfigurieren und Laden von Zertifikaten über eine HTTPS-Verbindung von AWS

      7. Stellen Sie eine Verbindung zur Cloud her, um Zertifikate abzurufen

      8. Überprüfen Sie die Lizenzdetails

      9. Konfiguration für SSL-Krypto-Hardware hinzufügen

      10. Laden Sie CA- und Gerätezertifikate herunter

      11. Laden von SecIntel- und AAMW-Cloud-Zertifikaten

      12. Wiederherstellen zuvor entfernter Konfigurationen (SecIntel, AAMW, SSL und PKI)

      13. Bestätigen der Änderungen und Überprüfen der Konfiguration (SSL-Profil, TPM, AAMW-Profil)

      Sobald alle Konfigurationen verifiziert sind, stellt die Firewall der SRX-Serie eine Verbindung mit der Cloud her. Eine Meldung gibt an, dass das Gerät erfolgreich registriert wurde.

    • Skript für nicht TPM-basierte Geräte:

      Dieses Skript führt die folgenden Prüfungen und Konfigurationen durch, um die Konnektivität mit der Juniper ATP-Cloud sicherzustellen:

      1. Erkennen, ob die Firewall der SRX-Serie eine TPM-unterstützte Plattform ist

      2. Überprüfen Sie, ob die Junos OS-Version HTTPS-Endpunkte unterstützt.

      3. Identifizieren des Gerätetyps (Standalone oder Chassis-Cluster)

      4. Entfernen Sie alle vorhandenen Konfigurationen im Zusammenhang mit der Juniper ATP-Cloud-Registrierung bei SecIntel, AAMW, SSL und PKI

      5. Löschen lokaler Zertifikate und CA-Profile

      6. Konfigurieren und Laden von Zertifikaten über eine HTTPS-Verbindung von AWS

      7. Stellen Sie eine Verbindung zur Cloud her, um Zertifikate abzurufen

      8. Überprüfen Sie die Lizenzdetails

      9. Laden Sie CA- und Gerätezertifikate herunter

      10. Laden von SecIntel- und AAMW-Cloud-Zertifikaten

      11. Wiederherstellen zuvor entfernter Konfigurationen (SecIntel, AAMW, SSL und PKI)

      12. Bestätigen der Änderungen und Überprüfen der Konfiguration (SSL-Profil, TPM, AAMW-Profil)

      Sobald alle Konfigurationen verifiziert sind, stellt die Firewall der SRX-Serie eine Verbindung mit der Cloud her. Eine Meldung gibt an, dass das Gerät erfolgreich registriert wurde.

    Hinweis:

    Wenn das Ops-Skript aus irgendeinem Grund fehlschlägt, heben Sie die Registrierung des Geräts auf (siehe Entfernen einer Firewall der SRX-Serie aus der Juniper ATP-Cloud), und registrieren Sie es dann erneut.

  4. Klicken Sie im Juniper ATP-Cloud-Webportal auf Geräte.

    Die Firewall der SRX-Serie, die Sie registriert haben, wird jetzt in der Tabelle angezeigt. Siehe Abbildung 2.

    Abbildung 2: Beispiel für eine registrierte Firewall Dashboard interface for enrolled devices in a network management system listing host, realm, serial and model numbers, tier, last activity, and license expiration status. der SRX-Serie
  5. (optional) Verwenden Sie die Schaltfläche show services advanced-anti-malware status CLI-Befehl, um zu überprüfen, ob die Verbindung zum Cloud-Server von der Firewall der SRX-Serie hergestellt wurde. Ihre Ausgabe sieht in etwa wie folgt aus.

Nach der Konfiguration kommuniziert die Firewall der SRX-Serie mit der Cloud über mehrere persistente Verbindungen, die über einen sicheren Kanal (TLS 1.2) hergestellt werden. Die Firewall der SRX-Serie wird mit SSL-Client-Zertifikaten authentifiziert.

Wie bereits erwähnt, führt das Skript die grundlegende Konfiguration der Juniper ATP-Cloud auf der Firewall der SRX-Serie durch. Zu diesen Konfigurationen gehören:

Hinweis:

Sie sollten die folgenden Beispiele nicht kopieren und auf Ihrer Firewall der SRX-Serie ausführen. Die Liste hier soll Ihnen einfach zeigen, was vom Op-Skript konfiguriert wird. Wenn Probleme auftreten, z. B. Zertifikate, führen Sie das Op-Skript erneut aus.

  • Erstellen eines Standardprofils.

  • Herstellen einer gesicherten Verbindung zum Cloud-Server. Im Folgenden sehen Sie ein Beispiel. Ihre genaue URL wird durch Ihre geografische Region bestimmt. Siehe Tabelle.

    Tabelle 1: Kundenportal-URLs

    Lage

    URL des Kundenportals

    USA

    Kundenportal: https://amer.sky.junipersecurity.net

    Europäische Union

    Kundenportal: https://euapac.sky.junipersecurity.net

    APAC

    Kundenportal: https://apac.sky.junipersecurity.net

    Kanada

    Kundenportal: https://canada.sky.junipersecurity.net

  • Konfigurieren des SSL-Proxys.

  • Konfigurieren der Cloud-Feeds (Zulassungslisten, Sperrlisten usw.)

Juniper ATP Cloud verwendet SSL Forward Proxy als Client- und Server-Authentifizierung. Anstatt das Signaturzertifikat und die Zertifikate des Ausstellers in die Trusted-Ca-Liste der Clientbrowser zu importieren, generiert der SSL-Forward-Proxy jetzt eine Zertifikatskette und sendet diese Zertifikatskette an die Clients. Durch die Zertifikatverkettung entfällt die Notwendigkeit, die Signaturzertifikate des SSL-Weiterleitungsproxys an die Clients zu verteilen, da Clients dem SSL-Weiterleitungsproxyzertifikat jetzt implizit vertrauen können.

Die folgenden CLI-Befehle laden das lokale Zertifikat in den PKID-Cache bzw. die Zertifikatskette in den CA-Zertifikatcache in PKID.

Wobei:

ssl_proxy_ca.crt (Signing certificate)

Ist das SSL-Proxy-Weiterleitungszertifikat, das vom Administrator oder von der Zwischen-CA signiert wurde.
sslserver.key

ist das Schlüsselpaar.
ssl-inspect-ca

Die Zertifikats-ID, die der SSL-Weiterleitungsproxy bei der Konfiguration der Stammzertifizierungsstelle im SSL-Weiterleitungsproxyprofil verwendet.
certificate-chain

Die Datei, die die Zertifikatskette enthält.

Im Folgenden finden Sie ein Beispiel für die Verkettung von SSL-Proxyzertifikaten, die vom op-Skript verwendet wird.

Beachten Sie, dass Sie die Firewall der SRX-Serie nicht bei der Juniper ATP-Cloud registrieren können, wenn sich die Firewall der SRX-Serie aufgrund einer PKI-Einschränkung im FIPS-Modus befindet.

Informationen zum Überprüfen Ihrer Zertifikate finden Sie unter Fehlerbehebung bei Juniper Advanced Threat Prevention Cloud: Überprüfen von Zertifikaten. Es wird empfohlen, das Op-Skript erneut auszuführen, wenn Zertifikatprobleme auftreten.