Mandantensysteme im Überblick

Unterschiede zwischen logischen Systemen und Mandantensystemen

In Tabelle 1 werden die wichtigsten Unterschiede zwischen logischen Systemen und Mandantensystemen beschrieben.

Anwendungsfälle für logische Systeme und Mandantensysteme

Ein logisches System wird verwendet, wenn mehr als ein virtueller Router benötigt wird. Beispiel: Sie haben mehrere Verbindungen mit dem externen Netzwerk, die nicht im selben virtuellen Router koexistieren können. Mandantensysteme werden verwendet, wenn Sie Abteilungen, Organisationen oder Kunden trennen müssen, und jedes von ihnen kann auf einen virtuellen Router beschränkt werden. Der Hauptunterschied zwischen einem logischen System und einem Mandantensystem besteht darin, dass ein logisches System erweiterte Routingfunktionen mit mehreren Routinginstanzen unterstützt. Im Vergleich dazu unterstützt ein Mandantensystem nur eine Routinginstanz, unterstützt aber die Bereitstellung von deutlich mehr Mandanten pro System.

Bereitstellungsszenarien für mandantenfähige Systeme

Sie können eine Firewall der SRX-Serie mit einem mandantenfähigen System in vielen Umgebungen bereitstellen, z. B. bei einem Managed Security Service Provider (MSSP), einem Unternehmensnetzwerk oder einem Zweigstellensegment. Tabelle 2 beschreibt die verschiedenen Bereitstellung-Szenarien und die Rollen, die die Mandantensysteme in solchen Szenarien spielen.

Vorteile von Mandantensystemen

• Reduzieren Sie die Kosten, indem Sie die Anzahl der physischen Geräte reduzieren, die für Ihr Unternehmen erforderlich sind. Sie können Services für verschiedene Benutzergruppen auf einem einzigen Gerät konsolidieren und so die Hardwarekosten, den Stromverbrauch und den Platzbedarf im Rack reduzieren.

• Bereitstellung von Isolierung und logischer Trennung auf Mandantensystemebene. Bietet die Möglichkeit, Mandantensysteme mit administrativer Trennung in großem Umfang zu trennen, wobei jedes Mandantensystem seine eigenen Sicherheitskontrollen und -einschränkungen definieren kann, ohne andere Mandantensysteme zu beeinträchtigen.

Rollen und Verantwortlichkeiten des primären Administrators und des Mandantensystemadministrators

Ein primärer Administrator erstellt und verwaltet alle Mandantensysteme. Auf der Stammebene wird ein primäres logisches System erstellt, dem ein einzelner Routing-Protokollprozess zugewiesen wird. Obwohl dieser Routingprotokollprozess gemeinsam genutzt wird, ermöglichen Mandantensysteme die logische Ressourcentrennung auf der Firewall. Standardmäßig werden alle Systemressourcen dem primären logischen System zugewiesen, und der primäre Administrator weist sie den Mandantensystemadministratoren zu.

Es wird ein Mandantensystem erstellt, das vom primären logischen System unterstützt wird. Obwohl alle Mandanten unter dem primären logischen System einen einzigen Routingprozess gemeinsam nutzen, verfügt jedes Mandantensystem über eine einzelne Routinginstanz. In Tabelle 3 werden die Rollen und Verantwortlichkeiten des primären Administrators und des Mandantensystemadministrators beschrieben.

Sicherheitsprofile für Mandantensysteme

Der primäre Administrator kann ein Sicherheitsprofil konfigurieren und einem bestimmten Mandantensystem oder mehreren Mandantensystemen zuweisen. Die maximale Anzahl von Sicherheitsprofilen, die konfiguriert werden können, hängt von der Kapazität einer Firewall der SRX-Serie ab. Wenn die maximale Anzahl von Sicherheitsprofilen erstellt wurde, müssen Sie ein Sicherheitsprofil löschen und die Konfigurationsänderung bestätigen, bevor Sie ein weiteres Sicherheitsprofil erstellen und committen. In vielen Fällen sind weniger Sicherheitsprofile erforderlich, da Sie ein einzelnes Sicherheitsprofil an mehr als ein Mandantensystem binden können.

Mit Sicherheitsprofilen können Sie:

• Teilen Sie die Ressourcen des Geräts, einschließlich Richtlinien, Zonen, Adressen und Adressbücher, Flow-Sitzungen und verschiedene Formen von NAT, auf alle Mandantensysteme entsprechend. Sie können den Mandantensystemen verschiedene Mengen einer Ressource zuweisen und den Mandantensystemen erlauben, die Ressourcen effektiv zu nutzen.

  Sicherheitsprofile schützen davor, dass ein Mandantensystem eine Ressource erschöpft, die gleichzeitig von anderen Mandantensystemen benötigt wird. Sicherheitsprofile schützen kritische Systemressourcen und sorgen für eine bessere Leistung unter den Mandantensystemen, wenn das Gerät einem starken Datenverkehrsfluss ausgesetzt ist. Sicherheitsprofile schützen davor, dass ein Mandantensystem die Nutzung von Ressourcen dominiert, und ermöglichen es den anderen Mandantensystemen, die Ressourcen effektiv zu nutzen.

• Konfigurieren Sie das Gerät skalierbar, um die Erstellung zusätzlicher Mandantensysteme zu ermöglichen.

Sie müssen das Sicherheitsprofil eines Mandantensystems löschen, bevor Sie das Mandantensystem löschen können.

verstehen, wie das System die Ressourcenzuweisung und -nutzung in den Mandantensystemen bewertet

Zur Bereitstellung eines Mandantensystems mit Sicherheitsfeatures konfiguriert der primäre Administrator ein Sicherheitsprofil, das die Ressource für jedes Sicherheitsfeature angibt:

• Ein reserviertes Kontingent, das garantiert, dass die angegebene Ressourcenmenge immer für das Mandantensystem verfügbar ist.

• Ein maximal zulässiges Kontingent. Wenn ein Mandantensystem zusätzliche Ressourcen benötigt, die das reservierte Kontingent überschreiten, kann es die für die globale Höchstmenge konfigurierten Ressourcen verwenden, wenn die globalen Ressourcen nicht den anderen Mandantensystemen zugeordnet sind. Das maximal zulässige Kontingent garantiert nicht, dass die für die Ressource im Sicherheitsprofil angegebene Menge verfügbar ist. Die Mandantensysteme müssen die globalen Ressourcen basierend auf den verfügbaren Ressourcen effektiv nutzen.

Wenn für eine Ressource kein reserviertes Kontingent konfiguriert ist, ist der Standardwert 0. Wenn für eine Ressource kein maximal zulässiges Kontingent konfiguriert ist, ist der Standardwert das globale Systemkontingent für die Ressource (globale Systemkontingente sind plattformabhängig). Der primäre Administrator muss die entsprechenden maximal zulässigen Kontingentwerte in den Sicherheitsprofilen konfigurieren, damit sich die maximale Ressourcennutzung eines bestimmten Mandantensystems nicht negativ auf andere auf dem Gerät konfigurierte Mandantensysteme auswirkt.

Das System verwaltet die Anzahl aller zugeordneten Ressourcen, die reserviert, verwendet und wieder verfügbar gemacht werden, wenn ein Mandantensystem gelöscht wird. Diese Anzahl bestimmt, ob Ressourcen für Mandantensysteme verfügbar sind oder ob die Anzahl der Ressourcen, die vorhandenen Mandantensystemen über ihre Sicherheitsprofile zugewiesen sind, erhöht werden kann.

In Sicherheitsprofilen konfigurierte Ressourcen werden als statische, modulare Ressourcen oder dynamische Ressourcen bezeichnet. Für statische Ressourcen wird empfohlen, ein maximales Kontingent für eine Ressource festzulegen, das dem als reserviertes Kontingent angegebenen Betrag entspricht oder nahe kommt, um eine skalierbare Konfiguration von Mandantensystemen zu ermöglichen. Ein maximales Kontingent für eine Ressource gibt einem Mandantensystem mehr Flexibilität durch den Zugriff auf eine größere Menge dieser Ressource, schränkt jedoch die Menge der Ressourcen ein, die anderen Mandantensystemen zugewiesen werden können.

Die folgenden Sicherheitsfeatureressourcen können in einem Sicherheitsprofil angegeben werden:

• Sicherheits-Zonen

• Adressen und Adressbücher für Sicherheitsrichtlinien

• Regelsätze für Anwendungs-Firewalls

• Regeln für Anwendungs-Firewalls

• Firewall-Authentifizierung

• Flow-Sitzungen und -Gates

• NAT, einschließlich:

  • Cone NAT Bindungen

  • NAT-Zielregel

  • NAT-Zielpool

  • NAT-IP-Adresse im Quellpool ohne Port Address Translation (PAT)

    Hinweis:

    IPv6-Adressen in IPv6-Quellpools ohne PAT sind nicht in Sicherheitsprofilen enthalten.

  • NAT-IP-Adresse im Quellpool mit PAT

  • Überlastung von NAT-Ports

  • NAT-Quell-Pool

  • NAT-Quellregel

  • Statische NAT-Regel

Sie können ein Sicherheitsprofil für ein Mandantensystem dynamisch ändern, während das Sicherheitsprofil anderen Mandantensystemen zugewiesen ist. Um jedoch sicherzustellen, dass das Systemressourcenkontingent nicht überschritten wird, führt das System die folgenden Aktionen aus:

• Wenn ein statisches Kontingent geändert wird, wertet der Systemprozess, der die Anzahl des Mandantensystems für in Sicherheitsprofilen angegebene Ressourcen verwaltet, anschließend die Sicherheitsprofile neu aus, die dem Profil zugewiesen sind, das dem statischen Kontingent zugeordnet ist. Diese Prüfung identifiziert die Anzahl der Ressourcen, die in allen Mandantensystemen zugewiesen sind, um festzustellen, ob die zugewiesenen Ressourcen, einschließlich ihrer erhöhten Mengen, verfügbar sind.

  Diese Kontingentüberprüfungen sind die gleichen Kontingentüberprüfungen, die das System durchführt, wenn Sie ein Mandantensystem hinzufügen und ein Sicherheitsprofil daran binden. Sie werden auch ausgeführt, wenn Sie ein anderes Sicherheitsprofil als das Sicherheitsprofil, das ihm derzeit zugewiesen ist, an ein vorhandenes Mandantensystem (oder das primäre logische System) binden.

• Wenn ein dynamisches Kontingent überarbeitet wird, wird keine Prüfung durchgeführt, aber das überarbeitete Kontingent wird auf die zukünftige Ressourcennutzung angewendet.

Fälle: Bewertungen von reservierten Ressourcen, die über Sicherheitsprofile zugewiesen wurden

Um zu verstehen, wie das System die Zuweisung reservierter Ressourcen anhand von Sicherheitsprofilen bewertet, betrachten Sie die folgenden drei in Tabelle 6 erläuterten Fälle, die sich mit der Zuordnung der Ressourcen und Zonen befassen. Um das Beispiel einfach zu halten, werden im security-profile-1 10 Zonen zugewiesen: 4 reservierte Zonen und 6 maximale Zonen. In diesem Beispiel wird davon ausgegangen, dass die angegebene Höchstmenge – sechs Zonen – für die Mandantensysteme verfügbar ist. Die maximale Anzahl der Zonen beträgt 10.

Die drei Fälle befassen sich mit der Konfiguration der Mandantensysteme. In den drei Fällen wird überprüft, ob eine Konfiguration erfolgreich ist oder fehlschlägt, wenn sie basierend auf der Zuweisung von Zonen festgeschrieben wird.

Tabelle 5 zeigt die Sicherheitsprofile und ihre Zonenzuweisungen.

Tabelle 6 zeigt drei Fälle, die veranschaulichen, wie das System reservierte Ressourcen für Zonen in den Mandantensystemen basierend auf den Sicherheitsprofilkonfigurationen bewertet.

• Die Konfiguration für den ersten Fall ist erfolgreich, da das kumulative reservierte Ressourcenkontingent für Zonen, die in den Sicherheitsprofilen konfiguriert sind, die an alle Mandantensysteme gebunden sind, 8 beträgt, was weniger ist als das maximale Ressourcenkontingent des Systems.

• Die Konfiguration für den zweiten Fall schlägt fehl, da das kumulative reservierte Ressourcenkontingent für Zonen, die in den an alle logische Systeme gebundenen Sicherheitsprofilen konfiguriert sind, 12 beträgt, was größer als das maximale Ressourcenkontingent des Systems ist.

• Die Konfiguration für den dritten Fall schlägt fehl, da das kumulative reservierte Ressourcenkontingent für Zonen, die in den Sicherheitsprofilen konfiguriert sind, die an alle Mandantensysteme gebunden sind, 12 beträgt, was größer ist als das maximale Ressourcenkontingent des Systems.