Anwendungen und Anwendungssätze für Sicherheitsrichtlinien

Anwendungen sind Datenverkehrstypen, für die Protokollstandards existieren. Jeder Anwendung sind ein Transportprotokoll und Zielportnummern zugeordnet, z. B. TCP/Port 21 für FTP und TCP/Port 23 für Telnet. Wenn Sie eine Richtlinie erstellen, müssen Sie eine Anwendung dafür angeben.

Sie können eine der vordefinierten Anwendungen aus dem Anwendungsbuch oder eine benutzerdefinierte Anwendung oder einen Anwendungssatz auswählen, die Sie erstellt haben. Sie können sehen, welche Anwendung Sie in einer Richtlinie verwenden können, indem Sie den show applications Befehl CLI verwenden.

Wenn Sie eine Richtlinie erstellen, müssen Sie eine Anwendung oder einen Dienst angeben, damit angegeben wird, dass die Richtlinie für Datenverkehr dieses Typs gilt. Manchmal können dieselben Anwendungen oder eine Teilmenge davon in mehreren Richtlinien vorhanden sein, was die Verwaltung erschwert. Mit Junos OS können Sie Gruppen von Anwendungen erstellen, die als Anwendungssätze bezeichnet werden. Anwendungssätze vereinfachen den Prozess, indem sie es Ihnen ermöglichen, eine kleine Anzahl von Anwendungssätzen anstelle einer großen Anzahl einzelner Anwendungseinträge zu verwalten.

Die Anwendung (oder Anwendungsgruppe) wird von Sicherheitsrichtlinien als Übereinstimmungskriterien für Pakete bezeichnet, die Sitzungen initiieren. Wenn das Paket mit dem in der Richtlinie angegebenen Anwendungstyp übereinstimmt und alle anderen Kriterien übereinstimmen, wird die Richtlinienaktion auf das Paket angewendet.

Sie können den Namen eines Anwendungssatzes in einer Richtlinie angeben. Wenn in diesem Fall alle anderen Kriterien übereinstimmen, dient eine der Anwendungen im Anwendungssatz als gültiges Übereinstimmungskriterium. any ist der Standardanwendungsname, der alle möglichen Anwendungen angibt.

Anwendungen werden im .../applications/application/application-name Verzeichnis erstellt. Sie müssen keine Anwendung für einen der vom System vordefinierten Services konfigurieren.

Zusätzlich zu den vordefinierten Diensten können Sie einen benutzerdefinierten Dienst konfigurieren. Nachdem Sie einen benutzerdefinierten Dienst erstellt haben, können Sie in einer Richtlinie darauf verweisen.

In diesem Beispiel wird gezeigt, wie Anwendungen und Anwendungssätze konfiguriert werden.

Der Wert für das Anwendungstimeout, den Sie für eine Anwendung festlegen, bestimmt das Sitzungstimeout. Sie können den Timeoutschwellenwert für eine vordefinierte oder benutzerdefinierte Anwendung festlegen. Sie können das Standardtimeout der Anwendung verwenden, ein benutzerdefiniertes Timeout angeben oder überhaupt kein Timeout verwenden.

Die Zeitüberschreitungswerte für Anwendungen werden in der portbasierten Root-TCP- und UDP-Zeitüberschreitungstabelle und in der protokollbasierten Standardzeitüberschreitungstabelle gespeichert. Wenn Sie einen Zeitüberschreitungswert für eine Anwendung festlegen, aktualisiert Junos OS diese Tabellen mit dem neuen Wert. Es gibt auch Standard-Timeout-Werte in der Datenbank des Anwendungseintrags, die aus vordefinierten Anwendungen übernommen werden. Sie können ein Timeout festlegen, aber keinen Standardwert ändern.

Jede benutzerdefinierte Anwendung kann mit einem eigenen Timeout für benutzerdefinierte Anwendungen konfiguriert werden. Wenn mehrere benutzerdefinierte Anwendungen mit benutzerdefinierten Timeouts konfiguriert sind, verfügt jede Anwendung über ein eigenes benutzerdefiniertes Anwendungstimeout.

Wenn die Anwendung, die für den Datenverkehr abgeglichen wird, einen Timeoutwert hat, wird dieser Timeoutwert verwendet. Andernfalls wird die Suche in der folgenden Reihenfolge fortgesetzt, bis ein Zeitüberschreitungswert für die Anwendung gefunden wird:

1. Die portbasierte Root-TCP- und UDP-Timeout-Tabelle wird nach einem Timeout-Wert durchsucht.

2. Die protokollbasierte Standardzeitüberschreitungstabelle wird nach einem Zeitüberschreitungswert durchsucht. Siehe Tabelle 1.

   Tabelle 1: Protokollbasiertes Standard-Timeout

   Protokoll	Standard-Timeout (Sekunden)
   TCP	1800
   UDP	60
   ICMP	60
   OSPF	60
   Sonstiges	1800

Beachten Sie beim Festlegen von Timeouts die folgenden Eventualitäten:

• Wenn eine Anwendung mehrere Anwendungsregeleinträge enthält, haben alle Regeleinträge dieselbe Zeitüberschreitung. Sie müssen das Anwendungs-Timeout nur einmal definieren. Wenn Sie beispielsweise eine Anwendung mit zwei Regeln erstellen, legen die folgenden Befehle das Timeout für beide Regeln auf 20 Sekunden fest:

• Wenn mehrere benutzerdefinierte Anwendungen mit benutzerdefinierten Timeouts konfiguriert sind, verfügt jede Anwendung über ein eigenes benutzerdefiniertes Anwendungstimeout. Zum Beispiel:

  Mit dieser Konfiguration wendet Junos OS in einer Anwendungsgruppe ein Timeout von 10 Sekunden für den Zielport 2121 und ein Timeout von 20 Sekunden für den Zielport 2300 an.

In diesem Beispiel wird gezeigt, wie Sie einen Zeitüberschreitungswert für eine Richtlinienanwendung festlegen.