Konfigurieren von Sicherheitsrichtlinien

Bei einer Sicherheitsrichtlinie handelt es sich um eine Reihe von Anweisungen, die den Datenverkehr von einer angegebenen Quelle zu einem bestimmten Ziel mithilfe eines angegebenen Dienstes steuern. Eine Richtlinie lässt bestimmte Datenverkehrstypen unidirektional zwischen zwei Punkten zu, verweigert oder tunnelt sie.

Jede Richtlinie besteht aus:

• Ein eindeutiger Name für die Richtlinie.

• A from-zone und a to-zone, zum Beispiel: user@host# set security policies from-zone untrust to-zone untrust

• Eine Reihe von Übereinstimmungskriterien, die die Bedingungen definieren, die erfüllt sein müssen, um die Richtlinienregel anzuwenden. Die Übereinstimmungskriterien basieren auf einer Quell-IP-Adresse, einer Ziel-IP-Adresse und Anwendungen. Die User Identity Firewall bietet eine größere Granularität, indem sie ein zusätzliches Tupel, source-identity, als Teil der Richtlinienanweisung einschließt.

• Eine Reihe von Aktionen, die im Falle einer Übereinstimmung ausgeführt werden sollen – Zulassen, Verweigern oder Ablehnen.

• Buchhaltungs- und Auditing-Elemente – Zählung, Protokollierung oder strukturierte Systemprotokollierung.

Wenn die SRX-Serie ein Paket empfängt, das diesen Spezifikationen entspricht, führt sie die in der Richtlinie angegebene Aktion aus.

Sicherheitsrichtlinien erzwingen eine Reihe von Regeln für den Transitdatenverkehr, die festlegen, welcher Datenverkehr die Firewall passieren kann und welche Aktionen für den Datenverkehr beim Passieren der Firewall ausgeführt werden. Zu den Aktionen für Datenverkehr, der den angegebenen Kriterien entspricht, gehören "Zulassen", "Verweigern", "Ablehnen", "Protokollieren" oder "Zählen".

Für SRX300-, SRX320-, SRX340-, SRX345-, SRX380- und SRX550M-Geräte wird eine werkseitig standardmäßige Sicherheitsrichtlinie bereitgestellt, die:

• Lässt den gesamten Datenverkehr von der Vertrauenszone in die nicht vertrauenswürdige Zone zu.

• Lässt den gesamten Datenverkehr zwischen vertrauenswürdigen Zonen zu, d. h. von der Vertrauenszone zu den vertrauenswürdigen Zonen innerhalb der Zone.

• Verweigert jeglichen Datenverkehr von der nicht vertrauenswürdigen Zone zur vertrauenswürdigen Zone.

Die Sicherheitsrichtlinie wendet die Sicherheitsregeln auf den Transitverkehr innerhalb eines Kontexts (from-zone bis ) an to-zone. Jede Richtlinie ist eindeutig durch ihren Namen gekennzeichnet. Der Datenverkehr wird klassifiziert, indem seine Quell- und Zielzonen, die Quell- und Zieladressen und die Anwendung, die der Datenverkehr in seinen Protokollheadern trägt, mit der Richtliniendatenbank in der Datenebene abgeglichen werden.

Jede Richtlinie ist mit den folgenden Merkmalen verknüpft:

• Eine Quellzone

• Eine Zielzone

• Ein oder mehrere Quelladressnamen oder Adresssatznamen

• Ein oder mehrere Zieladressnamen oder Adresssatznamen

• Ein oder mehrere Anwendungsnamen oder Anwendungssatznamen

Diese Merkmale werden als Übereinstimmungskriterien bezeichnet. Jeder Richtlinie sind auch Aktionen zugeordnet: Zulassen, Verweigern, Ablehnen, Zählen, Protokollieren und VPN-Tunnel. Sie müssen die Übereinstimmungsbedingungsargumente angeben, wenn Sie eine Richtlinie, eine Quelladresse, eine Zieladresse und einen Anwendungsnamen konfigurieren.

Sie können angeben, dass eine Richtlinie mit IPv4- oder IPv6-Adressen mithilfe des Platzhaltereintrags anykonfiguriert werden soll. Wenn die Flow-Unterstützung für IPv6-Datenverkehr nicht aktiviert ist, any stimmt es mit IPv4-Adressen überein. Wenn die Datenstromunterstützung für IPv6-Datenverkehr aktiviert ist, any stimmt dies sowohl mit IPv4- als auch mit IPv6-Adressen überein. Verwenden Sie den Befehl, um set security forwarding-options family inet6 mode flow-based die datenflussbasierte Weiterleitung für IPv6-Datenverkehr zu aktivieren. Sie können auch den Platzhalter any-ipv4 angeben oder any-ipv6 festlegen, dass die Übereinstimmungskriterien für Quell- und Zieladresse nur IPv4- bzw. nur IPv6-Adressen enthalten.

Wenn die Datenstromunterstützung für IPv6-Datenverkehr aktiviert ist, basiert die maximale Anzahl von IPv4- oder IPv6-Adressen, die Sie in einer Sicherheitsrichtlinie konfigurieren können, auf den folgenden Übereinstimmungskriterien:

• Number_of_src_IPv4_addresses + number_of_src_IPv6_addresses * 4 <= 1024

• Number_of_dst_IPv4_addresses + number_of_dst_IPv6_addresses * 4 <= 1024

Der Grund für die Übereinstimmungskriterien ist, dass eine IPv6-Adresse viermal so viel Speicherplatz benötigt wie eine IPv4-Adresse.

Wenn Sie keine bestimmte Anwendung angeben möchten, geben Sie als Standardanwendung ein any . Um die Standardanwendungen zu suchen, geben Sie show groups junos-defaults | find applications (predefined applications)im Konfigurationsmodus . Wenn Sie z. B. keinen Anwendungsnamen angeben, wird die Richtlinie mit der Anwendung als Platzhalter installiert (Standard). Daher stimmt jeder Datenverkehr, der mit den übrigen Parametern in einer bestimmten Richtlinie übereinstimmt, mit der Richtlinie überein, unabhängig vom Anwendungstyp des Datenverkehrs.

Die Aktion der ersten Richtlinie, mit der der Datenverkehr übereinstimmt, wird auf das Paket angewendet. Wenn keine übereinstimmende Richtlinie vorhanden ist, wird das Paket verworfen. Richtlinien werden von oben nach unten durchsucht, daher empfiehlt es sich, spezifischere Richtlinien ganz oben in der Liste zu platzieren. Sie sollten auch IPsec-VPN-Tunnelrichtlinien ganz oben platzieren. Platzieren Sie die allgemeineren Richtlinien, z. B. eine, die bestimmten Benutzern den Zugriff auf alle Internetanwendungen ermöglicht, am Ende der Liste. Platzieren Sie z. B. die Richtlinien "Alle ablehnen" oder "Alle ablehnen" am unteren Rand, nachdem alle spezifischen Richtlinien zuvor analysiert wurden und legitimer Datenverkehr zugelassen/gezählt/protokolliert wurde.

Richtlinien werden während der Datenstromverarbeitung gesucht, nachdem Firewall-Filter und -Bildschirme verarbeitet wurden und die Routensuche von der Services Processing Unit (SPU) abgeschlossen wurde (für SRX5400-, SRX5600- und SRX5800-Geräte). Die Richtliniensuche bestimmt die Zielzone, die Zieladresse und die Ausgangsschnittstelle.

Wenn Sie eine Richtlinie erstellen, gelten die folgenden Richtlinienregeln:

• Sicherheitsrichtlinien werden in einer from-zone Richtung to-zone konfiguriert. Unter einer bestimmten Zonenrichtung enthält jede Sicherheitsrichtlinie einen Namen, Übereinstimmungskriterien, eine Aktion und verschiedene Optionen.

• Der Richtlinienname, die Übereinstimmungskriterien und die Aktion sind erforderlich.

• Der Richtlinienname ist ein Schlüsselwort.

• Die Quelladresse in den Übereinstimmungskriterien besteht aus einem oder mehreren Adressnamen oder Adresssatznamen in .from-zone

• Die Zieladresse der Übereinstimmungskriterien setzt sich aus einem oder mehreren Adressnamen oder Adresssatznamen in .to-zone

• Der Anwendungsname in den Übereinstimmungskriterien setzt sich aus dem Namen einer oder mehrerer Anwendungen oder Anwendungssätze zusammen.

• Eine der folgenden Aktionen ist erforderlich: Zulassen, Verweigern oder Ablehnen.

• Buchhaltungs- und Auditing-Elemente können angegeben werden: Anzahl und Protokoll.

• Sie können die Protokollierung am Ende einer Sitzung mit dem Befehl oder zu Beginn der Sitzung mit dem session-close session-init Befehl aktivieren.

• Wenn der Zählalarm aktiviert ist, geben Sie Alarmschwellenwerte in Byte pro Sekunde oder Kilobyte pro Minute an.

• Sie können weder als die noch als die to-zone from-zone angebenglobal, außer unter der folgenden Bedingung:

  Jede Richtlinie, die mit der als globale Zone konfiguriert ist, muss über eine einzelne Zieladresse verfügen, um anzugeben, dass entweder statische NAT oder eingehende NAT in der to-zone Richtlinie konfiguriert wurde.

• Bei Firewalls der SRX-Serie ist die Option zum Zulassen von Richtlinien mit NAT vereinfacht. Jede Richtlinie gibt optional an, ob sie die NAT-Übersetzung zulässt, keine NAT-Übersetzung zulässt oder ob sie sich nicht darum kümmert.

• Adressnamen dürfen nicht mit den folgenden reservierten Präfixen beginnen. Diese werden nur für die Adress-NAT-Konfiguration verwendet:

  • static_nat_

  • incoming_nat_

  • junos_

• Anwendungsnamen dürfen nicht mit dem junos_ Präfix reserved beginnen.

Sie können die Sicherheitsrichtlinie für den Selbstdatenverkehr so konfigurieren, dass Dienste auf den Selbstdatenverkehr angewendet werden. Die ausgehenden Hostrichtlinien funktionieren nur in Fällen, in denen das Paket, das vom Hostgerät stammt, den Datenfluss durchläuft und die eingehende Schnittstelle dieses Pakets auf "Lokal" festgelegt ist.

Die Vorteile der Nutzung des Selbstverkehrs sind:

• Sie können den größten Teil der vorhandenen Richtlinien- oder Datenstrominfrastruktur nutzen, die für den Transitdatenverkehr verwendet wird.

• Sie benötigen keine separate IP-Adresse, um einen Dienst zu aktivieren.

• Sie können Services oder Richtlinien auf jeden eingehenden Host-Datenverkehr mit der Ziel-IP-Adresse einer beliebigen Schnittstelle auf dem Gerät anwenden.

Die Sicherheitsrichtlinien für den Self-Datenverkehr werden in der neuen Standardsicherheitszone namens junos-host Zone konfiguriert. Die Zone "junos-host" ist Teil der "junos-defaults"-Konfiguration, sodass Benutzer sie nicht löschen können. Die vorhandenen Zonenkonfigurationen wie Schnittstellen, Bildschirm, tcp-rst und Optionen für eingehenden Datenverkehr sind für die Zone "junos-host" nicht von Bedeutung. Daher gibt es keine dedizierte Konfiguration für die Junos-Host-Zone.

Sie müssen die folgenden Aufgaben ausführen, um eine Sicherheitsrichtlinie zu erstellen:

1. Erstellen Sie Zonen. Siehe Beispiel: Erstellen von Sicherheitszonen.

2. Konfigurieren Sie ein Adressbuch mit Adressen für die Richtlinie. Siehe Beispiel: Konfigurieren von Adressbüchern und Adressgruppen.

3. Erstellen Sie eine Anwendung (oder einen Anwendungssatz), die angibt, dass die Richtlinie für Datenverkehr dieses Typs gilt. Siehe Beispiel: Konfigurieren von Sicherheitsrichtlinienanwendungen und Anwendungssätzen.

4. Erstellen Sie die Richtlinie. Weitere Informationen finden Sie unter Beispiel: Konfigurieren einer Sicherheitsrichtlinie zum Zulassen oder Verweigern des gesamten Datenverkehrs, Beispiel: Konfigurieren einer Sicherheitsrichtlinie zum Zulassen oder Verweigern von ausgewähltem Datenverkehr und Beispiel: Konfigurieren einer Sicherheitsrichtlinie zum Zulassen oder Verweigern von Datenverkehr mit Platzhalteradressen.

5. Erstellen Sie Planer, wenn Sie sie für Ihre Richtlinien verwenden möchten. Siehe Beispiel: Konfigurieren von Zeitplänen für einen Tageszeitplan ohne einen Tag.

Mit dem Firewallrichtlinien-Assistenten können Sie grundlegende Sicherheitsrichtlinienkonfigurationen vornehmen. Für eine erweiterte Konfiguration verwenden Sie die J-Web-Schnittstelle oder die CLI.

Ein sicheres Netzwerk ist für ein Unternehmen von entscheidender Bedeutung. Um ein Netzwerk zu sichern, muss ein Netzwerkadministrator eine Sicherheitsrichtlinie erstellen, die alle Netzwerkressourcen innerhalb dieses Unternehmens und die erforderliche Sicherheitsstufe für diese Ressourcen beschreibt. Die Sicherheitsrichtlinie wendet die Sicherheitsregeln auf den Transitdatenverkehr innerhalb eines Kontexts (von Zone zu bis-Zone) an, und jede Richtlinie wird eindeutig durch ihren Namen identifiziert. Der Datenverkehr wird klassifiziert, indem die Quell- und Zielzonen, die Quell- und Zieladressen sowie die Anwendung, die der Datenverkehr in seinen Protokollheadern trägt, mit der Richtliniendatenbank in der Datenebene abgeglichen werden.

Tabelle 1 enthält die Richtlinienbeschränkungen für SRX300-, SRX320-, SRX340-, SRX345-, SRX380-, SRX550-, SRX650-, SRX550M-, SRX1400-, SRX1500-, SRX3400-, SRX3600-, SRX4100-, SRX4200-, SRX4600-, SRX5400-, SRX5600- und SRX5800-Geräte. Die Plattformunterstützung hängt von der Junos OS-Version in Ihrer Installation ab.

Wenn Sie also die Anzahl der Adressen und Anwendungen in den einzelnen Regeln erhöhen, erhöht sich die Menge an Arbeitsspeicher, die von der Richtliniendefinition verwendet wird, und manchmal geht dem System bei weniger als 80.000 Richtlinien der Arbeitsspeicher aus.

Um die tatsächliche Speicherauslastung einer Richtlinie für die Packet Forwarding Engine (PFE) und die Routing-Engine (Routing Engine, RE) zu ermitteln, müssen Sie verschiedene Komponenten der Speicherstruktur berücksichtigen. Die Speicherstruktur umfasst die folgenden zwei Komponenten:

• Richtlinienkontext: Wird verwendet, um alle Richtlinien in diesem Kontext zu organisieren. Der Richtlinienkontext umfasst Variablen wie Quell- und Zielzonen.

• Richtlinienentität: Wird verwendet, um die Richtliniendaten zu speichern. Die Richtlinienentität berechnet den Arbeitsspeicher anhand von Parametern wie Richtlinienname, IP-Adressen, Adressanzahl, Anwendungen, Firewall-Authentifizierung, WebAuth, IPsec, Anzahl, Anwendungsservices und Junos Services Framework (JSF).

Darüber hinaus verwenden die Datenstrukturen, die zum Speichern von Richtlinien, Regelsätzen und anderen Komponenten verwendet werden, unterschiedlichen Speicher in der Paketweiterleitungs-Engine und in der Routing-Engine. Beispielsweise werden die Adressnamen für jede Adresse in der Richtlinie in der Routing-Engine gespeichert, aber auf der Ebene der Paketweiterleitungs-Engine wird kein Arbeitsspeicher zugewiesen. In ähnlicher Weise werden Portbereiche zu Präfix- und Maskenpaaren erweitert und in der Paketweiterleitungs-Engine gespeichert, aber auf der Routing-Engine wird kein solcher Speicher zugewiesen.

Dementsprechend unterscheiden sich je nach Richtlinienkonfiguration die Richtlinienbeiträge für die Routing-Engine von denen für die Paketweiterleitungs-Engine, und der Arbeitsspeicher wird dynamisch zugewiesen.

Der Arbeitsspeicher wird auch durch den Status "verzögertes Löschen" verbraucht. Wenn eine Firewall der SRX-Serie im Status des verzögerten Löschens eine Richtlinienänderung vornimmt, kommt es zu vorübergehenden Spitzennutzungszeiten, bei denen sowohl die alte als auch die neue Richtlinie vorhanden sind. Für einen kurzen Zeitraum existieren also sowohl alte als auch neue Richtlinien auf der Packet Forwarding Engine, die doppelt so viel Arbeitsspeicher beanspruchen.

Daher lässt sich nicht eindeutig ableiten, wie viel Arbeitsspeicher von einer der beiden Komponenten (Paketweiterleitungs-Engine oder Routing-Engine) zu einem bestimmten Zeitpunkt verwendet wird, da der Speicherbedarf von bestimmten Richtlinienkonfigurationen abhängt und der Arbeitsspeicher dynamisch zugewiesen wird.

Die folgenden bewährten Methoden für die Richtlinienimplementierung ermöglichen es Ihnen, den Systemspeicher besser zu nutzen und die Richtlinienkonfiguration zu optimieren:

• Verwenden Sie einzelne Präfixe für Quell- und Zieladressen. Anstatt beispielsweise /32-Adressen zu verwenden und jede Adresse separat hinzuzufügen, verwenden Sie ein großes Subnetz, das die meisten benötigten IP-Adressen abdeckt.

• Verwenden Sie nach Möglichkeit die Anwendung "any". Jedes Mal, wenn Sie eine einzelne Anwendung in der Richtlinie definieren, können Sie zusätzliche 52 Byte verwenden.

• Verwenden Sie weniger IPv6-Adressen, da IPv6-Adressen mehr Arbeitsspeicher verbrauchen.

• Verwenden Sie weniger Zonenpaare in Richtlinienkonfigurationen. Jede Quell- oder Zielzone verwendet etwa 16.048 Byte Arbeitsspeicher.

• Die folgenden Parameter können ändern, wie der Speicher von den angegebenen Bytes verbraucht wird:

  • Firewall-Authentifizierung – ca. 16 Byte oder mehr (nicht behoben)

  • Webauthentifizierung – ca. 16 Byte oder mehr (nicht festgelegt)

  • IPsec–12 Byte

  • Anwendungsdienste–28 Byte

  • Anzahl–64 Byte

• Überprüfen Sie die Speicherauslastung vor und nach dem Kompilieren von Richtlinien.

  Hinweis:

  Der Speicherbedarf ist für jedes Gerät unterschiedlich. Einige Geräte unterstützen standardmäßig 512.000 Sitzungen, und der Startspeicher liegt normalerweise bei 72 bis 73 Prozent. Andere Geräte können bis zu 1 Million Sitzungen haben und der Startspeicher kann bis zu 83 bis 84 Prozent betragen. Um etwa 80.000 Richtlinien in der SPU zu unterstützen, sollte die SPU im schlimmsten Fall mit einem Kernelspeicherverbrauch von bis zu 82 Prozent und mindestens 170 Megabyte Arbeitsspeicher gestartet werden.

In diesem Beispiel wird gezeigt, wie eine Sicherheitsrichtlinie so konfiguriert wird, dass der gesamte Datenverkehr zugelassen oder verweigert wird.

In diesem Beispiel wird gezeigt, wie eine Sicherheitsrichtlinie so konfiguriert wird, dass ausgewählter Datenverkehr zugelassen oder verweigert wird.

In diesem Beispiel wird gezeigt, wie eine Sicherheitsrichtlinie so konfiguriert wird, dass der Datenverkehr mit Platzhalteradressen zugelassen oder verweigert wird.

In diesem Beispiel wird gezeigt, wie eine Sicherheitsrichtlinie so konfiguriert wird, dass auf dem Gerät generierte Datenverkehrsprotokolle an einen externen Systemprotokollserver gesendet werden.

Das manuelle Hinzufügen von Adresseinträgen zu einer Richtlinie kann zeitaufwändig sein. Es gibt externe Quellen, die Listen von IP-Adressen bereitstellen, die einen bestimmten Zweck erfüllen (z. B. eine Sperrliste) oder die ein gemeinsames Attribut aufweisen (z. B. einen bestimmten Standort oder ein bestimmtes Verhalten, das eine Bedrohung darstellen könnte). Sie können die externe Quelle verwenden, um Bedrohungsquellen anhand ihrer IP-Adresse zu identifizieren, diese Adressen dann in einem dynamischen Adresseintrag zu gruppieren und in einer Sicherheitsrichtlinie auf diesen Eintrag zu verweisen. Dadurch können Sie den Datenverkehr zu und von diesen Adressen steuern. Jede dieser Gruppen von IP-Adressen wird als dynamischer Adresseintrag bezeichnet.

Die folgenden Arten von IP-Adressen werden unterstützt:

• Eine einzige IP-Adresse. Zum Beispiel: 192.0.2.0

• IP-Bereich. Zum Beispiel: 192.0.2.0- 192.0.2.10

• CIDR. Zum Beispiel: 192.0.2.0/24

Jeder Eintrag belegt eine Zeile. Ab Junos OS Version 19.3R1 müssen IP-Adressbereiche nicht mehr in aufsteigender Reihenfolge sortiert werden, und die Werte der IP-Einträge können sich in derselben Feed-Datei überlappen. In Junos OS-Versionen vor 19.3R1 müssen IP-Adressbereiche in aufsteigender Reihenfolge sortiert werden, und die Werte der IP-Einträge dürfen sich in derselben Feed-Datei nicht überlappen.

Im Folgenden sind die Vorteile der Bereitstellung dynamischer Adresseinträge in Sicherheitsrichtlinien aufgeführt:

• Der Netzwerkadministrator hat mehr Kontrolle über den Datenverkehr zu und von Gruppen von IP-Adressen.

• Der externe Server stellt aktualisierte IP-Adress-Feeds für die Firewall der SRX-Serie bereit.

• Der Aufwand für den Administrator wird drastisch reduziert. In einer Legacy-Sicherheitsrichtlinienkonfiguration würde das Hinzufügen von 1000 Adresseinträgen für eine Richtlinie, auf die verwiesen werden soll, etwa 2000 Konfigurationszeilen erfordern. Durch die Definition eines dynamischen Adresseintrags und dessen Referenzierung in einer Sicherheitsrichtlinie könnten bis zu Millionen von Einträgen ohne großen zusätzlichen Konfigurationsaufwand in die Firewall der SRX-Serie einfließen.

• Es ist kein Commit-Prozess erforderlich, um neue Adressen hinzuzufügen. Das Hinzufügen von Tausenden von Adressen zu einer Konfiguration über eine Legacy-Methode dauert sehr lange. Alternativ stammen IP-Adressen in einem dynamischen Adresseintrag aus einem externen Feed, sodass kein Commit-Prozess erforderlich ist, wenn sich die Adressen in einem Eintrag ändern.

Abbildung 3 veranschaulicht einen funktionalen Überblick über die Funktionsweise des dynamischen Adresseintrags in einer Sicherheitsrichtlinie.

Abbildung 3: Funktionale Komponenten des dynamischen Adresseintrags in einer Sicherheitsrichtlinie

Eine Sicherheitsrichtlinie verweist auf den dynamischen Adresseintrag in einem Quell- oder Zieladressfeld (ähnlich wie eine Sicherheitsrichtlinie auf einen Legacy-Adresseintrag).

Abbildung 4 zeigt eine Richtlinie, die einen dynamischen Adresseintrag im Feld Zieladresse verwendet.

Abbildung 4: Ein dynamischer Adresseintrag in einer Sicherheitsrichtlinie

In Abbildung 4 verwendet Richtlinie 1 die Zieladresse 10.10.1.1, bei der es sich um einen Legacy-Sicherheitsadresseintrag handelt. Richtlinie 2 verwendet die Anbieterblockliste der Zieladresse, bei der es sich um einen dynamischen Adresseintrag handelt, der vom Netzwerkadministrator benannt wird. Sein Inhalt ist die Liste der IP-Adressen, die aus einer externen Feed-Datei abgerufen werden. Pakete, die alle fünf Kriterien erfüllen (die Von-Zone mit dem Namen "nicht vertrauenswürdig", die "Bis-Zone mit dem Namen Engineer", eine beliebige Quelladresse, eine Ziel-IP-Adresse, die zum Eintrag "Vendor Blocklist" für dynamische Adressen gehört, und die E-Mail-Anwendung) werden gemäß den Richtlinienaktionen behandelt, die darin bestehen, das Paket abzulehnen und zu protokollieren.

Dynamische Adressgruppen unterstützen die folgenden Datenfeeds:

• Benutzerdefinierte Listen (Zulassungslisten und Blocklisten)

• Geoip

• Feed-Server
• Feeds bündeln
• Feed-Server-Unterstützung für Firewalls der SRX-Serie

ZUSAMMENFASSUNG Verwenden Sie dieses Beispiel, um Sicherheitsrichtlinien für die Tunnelinspektion EVPN (Ethernet VPN) Virtual Extensible LAN (VXLAN) zu konfigurieren.

ZUSAMMENFASSUNG Verwenden Sie diese Konfiguration, um Sicherheitsrichtlinien auf der virtuellen vSRX Firewall 3.0 für die Überprüfung des Paketflusstunnels in Genève zu aktivieren.

Mit der Geneve-Unterstützung auf vSRX Virtual Firewall 3.0-Instanzen können Sie vSRX3.0 für Folgendes verwenden:

• Verbinden Sie Endpunkte auf dem Campus, im Datencenter und in öffentlichen Cloud-Umgebungen und deren Anschlüsse.

• Sichern Sie diese Umgebungen mit integrierter Sicherheit.