Mandantensysteme im Überblick

Unterschiede zwischen logischen Systemen und Mandantensystemen

Tabelle 1 beschreibt die wichtigsten Unterschiede zwischen logischen Systemen und Mandantensystemen.

Anwendungsfälle für logische Systeme und Mandantensysteme

Ein logisches System wird verwendet, wenn mehr als ein virtueller Router erforderlich ist. Sie haben beispielsweise mehrere Verbindungen zu dem externen Netzwerk und diese können nicht in demselben virtuellen Router koexistieren. Mandantensysteme werden verwendet, wenn Abteilungen, Organisationen oder Kunden voneinander getrennt werden müssen und jeder von ihnen kann auf einen virtuellen Router beschränkt werden. Der Hauptunterschied zwischen einem logischen System und einem Mandantensystem besteht darin, dass ein logisches System erweiterte Routing-Funktionen unterstützt, die mehrere Routing-Instanzen verwenden. Im Vergleich dazu unterstützt ein Mandantensystem nur eine Routing-Instanz, aber die Bereitstellung von deutlich mehr Mandanten pro System.

Bereitstellungsszenarien für Mandantenfähige Systeme

Sie können eine Firewall der SRX-Serie mit einem Mandantenfähigkeitssystem in vielen Umgebungen bereitstellen, z. B. in einem Managed Security Service Provider (MSSP), einem Unternehmensnetzwerk oder einem Zweigstellensegment. Tabelle 2 beschreibt die verschiedenen Bereitstellungsszenarien und die Rollen, die die Mandantensysteme in solchen Szenarien spielen.

Vorteile von Mandantensystemen

• Reduzieren Sie die Kosten, indem Sie die Anzahl der für Ihr Unternehmen erforderlichen physischen Geräte reduzieren. Sie können Services für verschiedene Benutzergruppen auf einem einzigen Gerät konsolidieren und die Hardwarekosten, den Stromverbrauch und den Rack-Platz reduzieren.

• Bieten Sie Isolierung und logische Trennung auf Mandantensystemebene. Bietet die Möglichkeit, Mandantensysteme mit administrativer Trennung in großem Maßstab zu trennen, in denen jedes Mandantensystem seine eigenen Sicherheitskontrollen und -einschränkungen definieren kann, ohne andere Mandantensysteme zu beeinträchtigen.

Rollen und Verantwortlichkeiten des Primären Administrators und des Mandantensystemadministrators

Ein Primäradministrator erstellt und verwaltet alle Mandantensysteme. Ein primäres logisches System wird auf der Root-Ebene erstellt und einem einzigen Routingprotokollprozess zugewiesen. Obwohl dieser Routing-Protokollprozess gemeinsam genutzt wird, ermöglichen Mandantensysteme eine logische Ressourcentrennung in der Firewall. Standardmäßig sind alle Systemressourcen dem primären logischen System zugewiesen, und der primäre Administrator weist sie den Mandantensystemadministratoren zu.

Es wird ein Mandantensystem erstellt, das vom primären logischen System unteraufsichtigt wird. Obwohl alle Mandanten unter dem primären logischen System einen einzigen Routing-Prozess gemeinsam haben, verfügt jedes Mandantensystem über eine einzige Routing-Instanz. Tabelle 3 beschreibt die Rollen und Verantwortlichkeiten des primären Und Mandantensystemadministrators.

Mandantensystemkapazität

Die maximale Anzahl von Mandantensystemen, die auf dem Gerät erstellt werden können, ist in Tabelle 4 aufgeführt.

Ab Junos OS Version 18.4R1 können Mandantensysteme auf einem SRX5000 Line Security Services Gateway unterstützt werden, das mit einer Kombination aus Service Processing Cards der dritten Generation (SRX5K-SPC3) und Service Processing Cards der zweiten Generation (SRX5K-SPC-4-15-320) ausgestattet ist. Vor Junos OS Version 18.4R1 wurden Mandantensysteme nur auf SPC2 unterstützt.

Sicherheitsprofile für Mandantensysteme

Der primäre Administrator kann ein Sicherheitsprofil konfigurieren und einem bestimmten Mandantensystem oder mehreren Mandantensystemen zuweisen. Die maximale Anzahl von Sicherheitsprofilen, die konfiguriert werden können, hängt von der Kapazität einer Firewall der SRX-Serie ab. Wenn die maximale Anzahl von Sicherheitsprofilen erstellt wurde, müssen Sie ein Sicherheitsprofil löschen und die Konfigurationsänderung bestätigen, bevor Sie ein anderes Sicherheitsprofil erstellen und festlegen können. In vielen Fällen sind weniger Sicherheitsprofile erforderlich, da Sie ein einzelnes Sicherheitsprofil an mehr als ein Mandantensystem binden können.

Mit Sicherheitsprofilen können Sie:

• Teilen Sie die Ressourcen des Geräts, einschließlich Richtlinien, Zonen, Adressen und Adressbüchern, Flusssitzungen und verschiedene Arten von NAT, angemessen für alle Mandantensysteme. Sie können den Mandantensystemen verschiedene Ressourcenbeträge zuweisen und es den Mandantensystemen ermöglichen, die Ressourcen effektiv zu nutzen.

  Sicherheitsprofile schützen vor einem Mandantensystem, das eine Ressource verbraucht, die gleichzeitig von anderen Mandantensystemen benötigt wird. Sicherheitsprofile schützen kritische Systemressourcen und sorgen bei starkem Datenverkehr auf dem Gerät für eine bessere Leistung der Mandantensysteme. Sicherheitsprofile schützen vor einem Mandantensystem, das die Nutzung von Ressourcen dominiert und es den anderen Mandantensystemen ermöglicht, die Ressourcen effektiv zu nutzen.

• Konfigurieren Sie das Gerät auf skalierbare Weise, um die Erstellung weiterer Mandantensysteme zu ermöglichen.

Sie müssen das Sicherheitsprofil eines Mandantensystems löschen, bevor Sie das Mandantensystem löschen können.

Verstehen, wie das System die Zuweisung und Nutzung von Ressourcen in den Mandantensystemen bewertet

Um ein Mandantensystem mit Sicherheitsfunktionen bereitzustellen, konfiguriert der primäre Administrator ein Sicherheitsprofil, das die Ressource für jedes Sicherheitsfeature angibt:

• Ein reserviertes Kontingent, das garantiert, dass der angegebene Ressourcenbetrag für das Mandantensystem immer verfügbar ist.

• Ein maximal zulässiges Kontingent. Wenn ein Mandantensystem zusätzliche Ressourcen benötigt, die das reservierte Kontingent überschreiten, kann es die Für den globalen Maximalbetrag konfigurierten Ressourcen verwenden, wenn die globalen Ressourcen nicht den anderen Mandantensystemen zugewiesen werden. Das maximal zulässige Kontingent garantiert nicht, dass der für die Ressource im Sicherheitsprofil angegebene Betrag verfügbar ist. Die Mandantensysteme müssen die globalen Ressourcen effektiv nutzen, basierend auf den verfügbaren Ressourcen.

Wenn ein reserviertes Kontingent für eine Ressource nicht konfiguriert ist, ist der Standardwert 0. Wenn ein maximal zulässiges Kontingent für eine Ressource nicht konfiguriert ist, ist der Standardwert das globale Systemkontingent für die Ressource (globale Systemkontingente sind plattformabhängig). Der Primäradministrator muss die entsprechenden maximal zulässigen Kontingentwerte in den Sicherheitsprofilen konfigurieren, damit die maximale Ressourcenauslastung eines bestimmten Mandantensystems keine negativen Auswirkungen auf andere auf dem Gerät konfigurierte Mandantensysteme hat.

Das System behält eine Anzahl aller zugewiesenen Ressourcen bei, die reserviert, verwendet und wieder zur Verfügung gestellt werden, wenn ein Mandantensystem gelöscht wird. Diese Anzahl bestimmt, ob Ressourcen für Mandantensysteme zur Verfügung stehen oder um die Menge der Ressourcen, die vorhandenen Mandantensystemen über deren Sicherheitsprofile zugewiesen werden, zu erhöhen.

In Sicherheitsprofilen konfigurierte Ressourcen werden als statische modulare Ressourcen oder dynamische Ressourcen charakterisiert. Für statische Ressourcen empfehlen wir, ein maximales Kontingent für eine Ressource in der Nähe des als reservierten Kontingent angegebenen Betrags festzulegen, um eine skalierbare Konfiguration von Mandantensystemen zu ermöglichen. Ein maximales Kontingent für eine Ressource gibt einem Mandantensystem mehr Flexibilität durch den Zugriff auf eine größere Menge dieser Ressource, aber es beschränkt die Anzahl der Ressourcen, die für die Zuweisung an andere Mandantensysteme zur Verfügung stehen.

Die folgenden Ressourcen für Sicherheitsfunktionen können in einem Sicherheitsprofil angegeben werden:

• Sicherheitszonen

• Adressen und Adressbücher für Sicherheitsrichtlinien

• Anwendungs-Firewall-Regelsätze

• Anwendungs-Firewall-Regeln

• Firewall-Authentifizierung

• Flow-Sitzungen und -Gates

• NAT, einschließlich:

  • Kegel-NAT-Bindungen

  • NAT-Zielregel

  • NAT-Zielpool

  • NAT-IP-Adresse im Quellpool ohne Port Address Translation (PAT)

    Hinweis:

    IPv6-Adressen in IPv6-Quellpools ohne PAT sind nicht in Sicherheitsprofilen enthalten.

  • NAT-IP-Adresse im Quellpool mit PAT

  • NAT-Portüberlastung

  • NAT-Quellpool

  • NAT-Quellregel

  • Statische NAT-Regel

Sie können ein Mandantensystemsicherheitsprofil dynamisch ändern, während das Sicherheitsprofil anderen Mandantensystemen zugewiesen wird. Um jedoch sicherzustellen, dass das Systemressourcenkontingent nicht überschritten wird, führt das System die folgenden Aktionen aus:

• Wenn ein statisches Kontingent geändert wird, zählt der Systemprozess, der das Mandantensystem beibehält, für die in Sicherheitsprofilen angegebenen Ressourcen anschließend die Sicherheitsprofile, die dem Dem statischen Kontingent zugeordneten Profil zugewiesen sind. Bei dieser Prüfung wird die Anzahl der Ressourcen ermittelt, die allen Mandantensystemen zugewiesen sind, um zu bestimmen, ob die zugewiesenen Ressourcen einschließlich ihrer erhöhten Mengen verfügbar sind.

  Bei diesen Kontingentprüfungen handelt es sich um die gleichen Kontingentsprüfungen, die vom System durchgeführt werden, wenn Sie ein Mandantensystem hinzufügen und ein Sicherheitsprofil daran binden. Sie werden auch durchgeführt, wenn Sie ein anderes Sicherheitsprofil von dem Sicherheitsprofil, das derzeit einem vorhandenen Mandantensystem (oder dem primären logischen System) zugewiesen ist, binden.

• Wenn ein dynamisches Kontingent überarbeitet wird, wird keine Prüfung durchgeführt, sondern das überarbeitete Kontingent wird für die zukünftige Ressourcennutzung aufgezwungen.

Fallbeispiele: Bewertung reservierter Ressourcen, die über Sicherheitsprofile zugewiesen werden

Um zu verstehen, wie das System die Zuweisung reservierter Ressourcen anhand von Sicherheitsprofilen bewertet, betrachten Sie die folgenden drei in Tabelle 7 erläuterten Fälle und die Zuweisung der Ressourcen und Zonen. Um das Beispiel einfach zu halten, werden 10 Zonen im Sicherheitsprofil-1 zugewiesen: 4 reservierte Zonen und 6 maximale Zonen. In diesem Beispiel wird vorausgesetzt, dass der maximal angegebene Betrag – sechs Zonen – für die Mandantensysteme verfügbar ist. Die maximale Anzahl von Zonen des Systems ist 10.

Die drei Fälle befassen sich mit der Konfiguration in den Mandantensystemen. In den drei Fällen wird anhand der Zonenzuweisung überprüft, ob eine Konfiguration erfolgreich ist oder fehlschlägt, wenn sie festgelegt wird.

Tabelle 6 zeigt die Sicherheitsprofile und deren Zonenzuweisungen.

Tabelle 7 zeigt drei Fälle, in denen veranschaulicht wird, wie das System reservierte Ressourcen für Zonen in den Mandantensystemen basierend auf den Sicherheitsprofilkonfigurationen bewertet.

• Die Konfiguration für den ersten Fall ist erfolgreich, da das kumulative reservierte Ressourcenkontingent für Zonen, die in den an alle Mandantensysteme gebundenen Sicherheitsprofilen konfiguriert sind, 8 beträgt, was geringer ist als das maximale Ressourcenkontingent des Systems.

• Die Konfiguration für den zweiten Fall schlägt fehl, weil das kumulative reservierte Ressourcenkontingent für Zonen, die in den an alle logischen Systeme gebundenen Sicherheitsprofilen konfiguriert sind, 12 beträgt, was größer ist als das maximale Ressourcenkontingent des Systems.

• Die Konfiguration für den dritten Fall schlägt fehl, weil das kumulative reservierte Ressourcenkontingent für Zonen, die in sicherheitsprofilen konfiguriert sind, die an alle Mandantensysteme gebunden sind, 12 beträgt, was größer ist als das maximale Ressourcenkontingent des Systems.