Unterstützung einheitlicher Richtlinien für Flow
Ab Junos OS Version 18.2R1 werden einheitliche Richtlinien auf Firewalls der SRX-Serie unterstützt, was eine granulare Steuerung und Durchsetzung dynamischer Layer-7-Anwendungen innerhalb der Sicherheitsrichtlinie ermöglicht. Einheitliche Richtlinien sind die Sicherheitsrichtlinien, die es Ihnen ermöglichen, dynamische Anwendungen als Übereinstimmungsbedingungen als Teil der vorhandenen 5-Tupel- oder 6-Tupel-Übereinstimmungsbedingungen (5-Tupel mit Benutzer-Firewall) zu verwenden, um Anwendungsänderungen im Laufe der Zeit zu erkennen.
Einheitliche Richtlinien ermöglichen es Ihnen, dynamische Anwendungen als Richtlinienübereinstimmungskriterium in der Anwendung zu verwenden. Bei der Anwendung der Anwendungsidentifikation (AppID) auf den Datenverkehr überprüft die AppID mehrere Pakete und identifiziert die Anwendung. Nachdem die Anwendung identifiziert wurde, wird die endgültige Richtlinie auf die Sitzung angewendet. Die Richtlinienaktionen wie Zulassen, Verweigern, Ablehnen oder Umleiten werden gemäß der Richtlinie auf den Datenverkehr angewendet.
Während der ersten Phase der Richtliniensuche, die vor der Identifizierung einer dynamischen Anwendung stattfindet, wendet die Firewall der SRX-Serie die Standardsicherheitsrichtlinie an, bis eine explizitere Übereinstimmung stattgefunden hat, wenn mehrere Richtlinien in der Liste der potenziellen Richtlinien vorhanden sind. Die Richtlinie, die am besten zur Anwendung passt, ist die endgültige Richtlinie.
Weitere Informationen zu einheitlichen Richtlinien finden Sie unter [Einheitliche Sicherheitsrichtlinien, Unterstützung für die Anwendungsidentifizierung für einheitliche Richtlinien und Grundlegendes zur Unterstützung von IDP-Richtlinien für einheitliche Richtlinien.]
Flow-First-Pfad für einheitliche Richtlinien
Wenn das Gerät das erste Paket eines Datenstroms untersucht, bestimmt es die entsprechende Sicherheitsrichtlinie und führt eine Sicherheitsrichtliniensuche durch. Während dieses Prozesses werden folgende Fälle beobachtet:
Wenn der Datenverkehr mit einer älteren Sicherheitsrichtlinie oder der endgültigen Richtlinie übereinstimmt, wird die Sitzung erstellt.
Wenn die Liste der potenziellen Richtlinien mehrere Richtlinien enthält und ein Sicherheitsrichtlinienkonflikt vorliegt, wird die Standardsicherheitsrichtlinie angewendet.
Wenn die Liste der potenziellen Richtlinien mehrere Richtlinien enthält und die Richtlinienaktion den Datenverkehr nicht zulässt, wird die Sitzung geschlossen. Es wird eine Protokollmeldung generiert, die den Grund für das Schließen der Sitzung angibt. Die Standardsicherheitsrichtlinie ist während der Phase des Richtlinienkonflikts erforderlich, da jede Richtlinie in der Liste der potenziellen Richtlinien unterschiedliche Konfigurationswerte für MSS, TCP-SYN-Prüfung, Sitzungstimeoutintervall usw. aufweist. In diesem Fall werden bei Anwendung der Standardsicherheitsrichtlinie alle in dieser Richtlinie konfigurierten Werte angewendet. Wenn eine Standardsicherheitsrichtlinie übereinstimmt, werden die Richtlinienaktionen auf die Sitzung angewendet.
-
Die Standardsicherheitsrichtlinie ist die systemdefinierte Richtlinie. Diese Richtlinie kann nicht gelöscht werden.
-
Die Standardrichtlinie wird auf jeder logischen Systemebene erstellt, ähnlich wie die globale Standardrichtlinie.
-
Das Sitzungstimeoutintervall und die Sitzungsprotokollwerte werden von der Standardsicherheitsrichtlinie genutzt, und Standardwerte wie TCP-MSS und TCP SYN werden von der Datenstromkonfiguration genutzt.
-
Wenn eine Standardrichtlinie angewendet wird, werden potenzielle Metadaten für die Richtlinienaktion zugewiesen. Die potenziellen Metadaten werden entsprechend der Liste der potenziellen Richtlinien aktualisiert.
-
Eine Standardsicherheitsrichtlinie hilft bei der Auflösung in der Liste potenzieller Richtlinien.
-
Es kann viele Sitzungen geben, die der Standardsicherheitsrichtlinie entsprechen. Die in der Richtlinie definierten Anwendungsdienste für den zulässigen Datenverkehr können jedoch unterschiedlich sein. Die Sicherheitsflussinformationen für jede Sitzung werden gespeichert.
-
Wenn eine Firewall der SRX-Serie im Chassis-Cluster-Modus arbeitet, werden die Informationen vom primären Knoten zum sekundären Knoten zusammen mit der Datenstromsitzung und den Echtzeitobjekten (RTO) des Chassis-Clusters synchronisiert.
-
Wenn die endgültige Anwendung identifiziert ist, wird die Sicherheitsrichtlinie angewendet, die mit der endgültigen Anwendung übereinstimmt. Die nachfolgenden Pakete werden gemäß der endgültigen Richtlinie verarbeitet.
Flow Fast Path verstehen
Nachdem das erste Paket in einem Datenstrom das Gerät durchlaufen hat und eine Sitzung für es eingerichtet wurde, durchläuft es eine schnelle Pfadverarbeitung. Wenn das Gerät eine Sicherheitsflusssitzung mit Standardrichtlinie untersucht, führt es eine Sicherheitsrichtliniensuche durch, und die folgenden Fälle werden beobachtet:
Wenn die vorhandene Anwendungsidentifizierung aktualisiert werden muss, wird der Richtliniensuchvorgang wiederholt. Der Vorgang wird wiederholt, bis eine explizite Richtlinie zurückgegeben und in der Sicherheitsflusssitzung ersetzt wird. Wenn eine implizite Richtlinie zurückgegeben wird, wird der Datenverkehr abgelehnt und die Sitzung geschlossen.
Wenn die endgültige Anwendung identifiziert ist, wird die endgültige Richtlinie angewendet, die dem Datenverkehr entspricht. Wenn die Richtlinienaktionen in der Standardrichtlinie und der endgültigen Richtlinie ähnlich sind, ersetzt die endgültige Richtlinie die Standardrichtlinie in der Sicherheitsflusssitzung. Wenn die Richtlinienaktionen in der Standardrichtlinie und der endgültigen Richtlinie unterschiedlich sind, wird die Standardrichtlinie beibehalten und die Sicherheitsflusssitzung geschlossen.
Hinweis:Wenn die endgültige und die Standardrichtlinie mit einer Verweigerungsaktion übereinstimmen, wird die Sicherheitsflusssitzung geschlossen.
Um eine Sitzung zu aktualisieren, wird die Sitzungstimeout-, Protokoll- oder Zählerkonfiguration in der endgültigen Richtlinie verwendet.
Sitzungsprotokoll für die standardmäßige Sicherheitsrichtlinie konfigurieren
Die Standardsicherheitsrichtlinie ist erforderlich, um Richtlinienkonflikte in der Liste potenzieller Richtlinien zu verwalten. Sie können die Sitzungsprotokolle für die erforderlichen Sitzungen in Standardkonfigurationen für Sicherheitsrichtlinien festlegen:
Sie können die Protokollierung am Ende einer Sitzung und zu Beginn der Sitzung mit den folgenden Befehlen aktivieren:
Es wird empfohlen, die Protokollierung zum Schließen von Sitzungen in der pre-id-default-Richtlinie zu aktivieren. Dadurch wird sichergestellt, dass Sicherheitsprotokolle von der SRX generiert werden, wenn ein Flow die pre-id-default-Richtlinie nicht verlassen kann. Diese Ereignisse sind in der Regel darauf zurückzuführen, dass Juniper Networks Deep Packet Inspection (JDPI) den Datenverkehr nicht richtig klassifizieren kann. Die Ereignisse können auch auf potenzielle Versuche hinweisen, die AppID-Engine (Application Identification) zu umgehen.
Konfigurieren des Sitzungstimeouts für die Standard-Sicherheitsrichtlinie
Sie können das Sitzungs-Timeout für die erforderlichen Sitzungen in den Standardkonfigurationen der Sicherheitsrichtlinie festlegen. Sie können die Zeitüberschreitungswerte für UDP-, TCP-, ICMP- und ICMP6-Sitzungen mit dem set security policies pre-id-default-policy then session-timeout folgenden Befehl angeben:
Tabellarischer Änderungsverlauf
Die Unterstützung der Funktion hängt von der Plattform und der Version ab, die Sie benutzen. Verwenden Sie den Feature-Explorer , um festzustellen, ob eine Funktion auf Ihrer Plattform unterstützt wird.