Konfigurieren von Sicherheitsrichtlinien

Eine Sicherheitsrichtlinie ist eine Reihe von Anweisungen, die den Datenverkehr von einer bestimmten Quelle zu einem bestimmten Ziel mithilfe eines bestimmten Dienstes steuern. Eine Richtlinie erlaubt, verweigert oder tunnelt bestimmte Datenverkehrstypen unidirektional zwischen zwei Punkten.

Jede Richtlinie besteht aus:

• Ein eindeutiger Name für die Richtlinie.

• A from-zone und a to-zone, zum Beispiel: user@host# set security policies from-zone untrust to-zone untrust

• Eine Reihe von Übereinstimmungskriterien, die die Bedingungen definieren, die erfüllt sein müssen, um die Richtlinienregel anzuwenden. Die Übereinstimmungskriterien basieren auf einer Quell-IP-Adresse, einer Ziel-IP-Adresse und Anwendungen. Die Benutzeridentitätsfirewall bietet eine höhere Granularität, indem sie ein zusätzliches Tupel, source-identity, als Teil der Richtlinienanweisung einschließt.

• Eine Reihe von Aktionen, die im Falle einer Übereinstimmung ausgeführt werden sollen: Zulassen, Ablehnen oder Ablehnen.

• Buchhaltungs- und Prüfungselemente – Zählen, Protokollierung oder strukturierte Systemprotokollierung.

Wenn das Gerät ein Paket empfängt, das diesen Spezifikationen entspricht, führt es die in der Richtlinie angegebene Aktion aus.

Sicherheitsrichtlinien erzwingen eine Reihe von Regeln für den Transitverkehr, die festlegen, welcher Datenverkehr die Firewall passieren kann und welche Aktionen für den Datenverkehr ausgeführt werden, wenn er die Firewall passiert. Aktionen für Datenverkehr, der den angegebenen Kriterien entspricht, umfassen Zulassen, Ablehnen, Protokollieren oder Zählen.

Die Sicherheitsrichtlinie wendet die Sicherheitsregeln auf den Transitdatenverkehr innerhalb eines Kontexts (from-zone bis to-zone) an. Jede Richtlinie wird durch ihren Namen eindeutig identifiziert. Der Datenverkehr wird klassifiziert, indem seine Quell- und Zielzone, die Quell- und Zieladressen und die Anwendung, die der Datenverkehr in seinen Protokoll-Headern trägt, mit der Richtliniendatenbank in der Data Plane abgeglichen werden.

Jede Richtlinie ist mit den folgenden Merkmalen verknüpft:

• Eine Quellzone

• Eine Zielzone

• Ein oder mehrere Quelladressnamen oder Adresssatznamen

• Ein oder mehrere Zieladressnamen oder Adressgruppennamen

• Ein oder mehrere Anwendungsnamen oder Anwendungssatznamen

Diese Merkmale werden als Übereinstimmungskriterien bezeichnet. Mit jeder Richtlinie sind auch Aktionen verknüpft: Zulassen, Ablehnen, Ablehnen, Zählen, Protokollieren und VPN-Tunnel. Sie müssen die Übereinstimmungsbedingungsargumente angeben, wenn Sie eine Richtlinie, Quelladresse, Zieladresse und einen Anwendungsnamen konfigurieren.

Sie können angeben, dass eine Richtlinie mit IPv4- oder IPv6-Adressen über den Platzhaltereintrag anykonfiguriert werden soll. Wenn die Datenstromunterstützung für IPv6-Datenverkehr nicht aktiviert ist, any werden IPv4-Adressen abgeglichen. Wenn die Datenstromunterstützung für IPv6-Datenverkehr aktiviert ist, any werden sowohl IPv4- als auch IPv6-Adressen abgeglichen. Verwenden Sie den set security forwarding-options family inet6 mode flow-based Befehl, um die flussbasierte Weiterleitung für IPv6-Datenverkehr zu aktivieren. Sie können auch den Platzhalter any-ipv4 oder any-ipv6 die Übereinstimmungskriterien für Quell- und Zieladresse angeben, sodass nur IPv4- bzw. nur IPv6-Adressen enthalten sind.

Wenn die Datenstromunterstützung für IPv6-Datenverkehr aktiviert ist, basiert die maximale Anzahl von IPv4- oder IPv6-Adressen, die Sie in einer Sicherheitsrichtlinie konfigurieren können, auf den folgenden Übereinstimmungskriterien:

• Number_of_src_IPv4_addresses + number_of_src_IPv6_addresses * 4 <= 1024

• Number_of_dst_IPv4_addresses + number_of_dst_IPv6_addresses * 4 <= 1024

Der Grund für die Übereinstimmungskriterien ist, dass eine IPv6-Adresse viermal so viel Speicherplatz belegt wie eine IPv4-Adresse.

Hinweis:

Sie können eine Sicherheitsrichtlinie mit IPv6-Adressen nur konfigurieren, wenn die Datenstromunterstützung für IPv6-Datenverkehr auf dem Gerät aktiviert ist.

Wenn Sie keine bestimmte Anwendung angeben möchten, geben Sie als Standardanwendung ein any . Um die Standardanwendungen im Konfigurationsmodus nachzuschlagen, geben Sie show groups junos-defaults | find applications (predefined applications)ein. Wenn Sie beispielsweise keinen Anwendungsnamen angeben, wird die Richtlinie mit der Anwendung als Platzhalter installiert (Standard). Daher würde jeder Datenverkehr, der mit den übrigen Parametern in einer bestimmten Richtlinie übereinstimmt, unabhängig vom Anwendungstyp des Datenverkehrs mit der Richtlinie übereinstimmen.

Hinweis:

Wenn eine Richtlinie mit mehreren Anwendungen konfiguriert ist und mehr als eine der Anwendungen mit dem Datenverkehr übereinstimmt, wird die Anwendung ausgewählt, die die Übereinstimmungskriterien am besten erfüllt.

Die Aktion der ersten Richtlinie, mit der der Datenverkehr übereinstimmt, wird auf das Paket angewendet. Wenn es keine übereinstimmende Richtlinie gibt, wird das Paket verworfen. Richtlinien werden von oben nach unten durchsucht, daher ist es eine gute Idee, spezifischere Richtlinien ganz oben in der Liste zu platzieren. Sie sollten auch IPsec-VPN-Tunnel-Richtlinien ganz oben platzieren. Platzieren Sie die allgemeineren Richtlinien, z. B. eine, die bestimmten Benutzern den Zugriff auf alle Internetanwendungen ermöglicht, am Ende der Liste. Platzieren Sie beispielsweise die Richtlinien "Alle ablehnen" oder "Alle ablehnen" am Ende, nachdem alle spezifischen Richtlinien zuvor analysiert wurden und legitimer Datenverkehr zugelassen/gezählt/protokolliert wurde.

Hinweis:

Unterstützung für IPv6-Adressen wurde in Junos OS Version 10.2 hinzugefügt. Unterstützung für IPv6-Adressen in aktiven/aktiven Chassis-Cluster-Konfigurationen (zusätzlich zur bestehenden Unterstützung von aktiven/passiven Chassis-Cluster-Konfigurationen) wurde in Junos OS Version 10.4 hinzugefügt.

Die Richtliniensuche bestimmt die Zielzone, die Zieladresse und die Ausgangsschnittstelle.

Wenn Sie eine Richtlinie erstellen, gelten die folgenden Richtlinienregeln:

• Sicherheits-Richtlinien werden in A-Richtung from-zone to-zone konfiguriert. Unter einer bestimmten Zonenrichtung enthält jede Sicherheitsrichtlinie einen Namen, Übereinstimmungskriterien, eine Aktion und verschiedene Optionen.

• Der Richtlinienname, die Übereinstimmungskriterien und die Aktion sind erforderlich.

• Der Richtlinienname ist ein Schlüsselwort.

• Die Quelladresse in den Übereinstimmungskriterien besteht aus einem oder mehreren Adressnamen oder Adressgruppennamen in .from-zone

• Die Zieladresse der Übereinstimmungskriterien besteht aus einem oder mehreren Adressnamen oder Adressgruppennamen in .to-zone

• Der Anwendungsname in den Übereinstimmungskriterien setzt sich aus dem Namen einer oder mehrerer Anwendungen oder Anwendungsgruppen zusammen.

• Eine der folgenden Aktionen ist erforderlich: Zulassen, Verweigern oder Ablehnen.

• Buchhaltungs- und Prüfungselemente können angegeben werden: Zählen und Protokollieren.

• Sie können die Protokollierung am Ende einer Sitzung mit dem session-close Befehl oder zu Beginn der Sitzung mit dem session-init Befehl aktivieren.

• Wenn der Zählalarm aktiviert ist, geben Sie Alarmschwellenwerte in Byte pro Sekunde oder Kilobyte pro Minute an.

• Sie können nicht global als oder from-zone als angeben, to-zone außer unter folgenden Bedingungen:

  Jede Richtlinie, die to-zone als globale Zone konfiguriert ist, muss über eine einzige Zieladresse verfügen, um anzugeben, dass entweder statische NAT oder eingehende NAT in der Richtlinie konfiguriert wurde.

• Die Richtliniengenehmigungsoption mit NAT ist vereinfacht. Jede Richtlinie gibt optional an, ob sie eine NAT-Übersetzung zulässt, eine NAT-Übersetzung nicht zulässt oder sich nicht darum kümmert.

• Adressnamen dürfen nicht mit den folgenden reservierten Präfixen beginnen. Diese werden nur für die Adress-NAT-Konfiguration verwendet:

  • static_nat_

  • incoming_nat_

  • junos_

• Anwendungsnamen dürfen nicht mit dem reservierten junos_ Präfix beginnen.

Der verbesserte Synchronisierungsmechanismus für Richtlinienkonfigurationen verbessert die Synchronisierung von Richtlinienkonfigurationen zwischen der Routing-Engine (RE) und der Packet Forwarding Engine (PFE) und erhöht so die Zuverlässigkeit und Sicherheit des Systems. Dieser Mechanismus stellt sicher, dass Richtlinien automatisch und genau synchronisiert werden. Darüber hinaus verhindert das System effektiv Datenstromverluste während des Änderungsprozesses der Sicherheitsrichtlinienkonfiguration.

• Datei-Serialisierung
• Verhindern von Unterbrechungen des Datenstroms bei Änderungen der Richtlinienkonfiguration

• Speicher und Fehlerbehandlung
• Unterstützung für logisches System und Mandantensystem

Sie können die Sicherheitsrichtlinie für den Eigenverkehr konfigurieren, um Dienste auf den Selbstdatenverkehr anzuwenden. Die Host-Outbound-Richtlinien funktionieren nur, wenn das Paket, das vom Host-Gerät stammt, den Fluss durchläuft und die eingehende Schnittstelle dieses Pakets auf lokal festgelegt ist.

Die Vorteile der Nutzung des Eigenverkehrs sind:

• Sie können den größten Teil der vorhandenen Richtlinien- oder Flow-Infrastruktur nutzen, die für den Transitdatenverkehr verwendet wird.

• Sie benötigen keine separate IP-Adresse, um einen Dienst zu aktivieren.

• Sie können Services oder Richtlinien auf jeden eingehenden Host-Datenverkehr mit der Ziel-IP-Adresse einer beliebigen Schnittstelle auf dem Gerät anwenden.

Hinweis:

Die standardmäßigen Sicherheitsrichtlinienregeln wirken sich nicht auf den Eigendatenverkehr aus.

Hinweis:

Sie können die Sicherheitsrichtlinie nur für den Eigenverkehr mit relevanten Services konfigurieren. Beispielsweise ist es nicht relevant, den fwauth-Dienst für ausgehenden Host-Datenverkehr zu konfigurieren, und gprs-gtp-Dienste sind für die Sicherheitsrichtlinien für den Eigenverkehr nicht relevant.

Die Sicherheitsrichtlinien für den Selbstdatenverkehr werden in der neuen Standardsicherheitszone namens junos-host Zone konfiguriert. Die junos-host-Zone ist Teil der junos-defaults-Konfiguration, sodass Benutzer sie nicht löschen können. Die vorhandenen Zonenkonfigurationen wie Schnittstellen, Bildschirm, TCP-RST und Host-Inbound-Datenverkehr sind für die Junos-Host-Zone nicht aussagekräftig. Daher gibt es keine dedizierte Konfiguration für die Junos-Host-Zone.

Hinweis:

Sie können Host-Inbound-Traffic verwenden, um eingehende Verbindungen zu einem Gerät zu steuern. Es schränkt jedoch nicht den Datenverkehr ein, der vom Gerät ausgeht. Mit der Junos-Host-Zone können Sie die Anwendung Ihrer Wahl auswählen und auch den ausgehenden Datenverkehr einschränken. Beispielsweise können jetzt Dienste wie NAT, IDP, Content Sicherheit usw. mithilfe der Junos-Host-Zone für Datenverkehr aktiviert werden, der in das Gerät ein- oder ausgeht.

Sie müssen die folgenden Aufgaben ausführen, um eine Sicherheitsrichtlinie zu erstellen:

1. Zonen erstellen. Siehe Beispiel: Erstellen von Sicherheitszonen.

2. Konfigurieren Sie ein Adressbuch mit Adressen für die Richtlinie. Siehe Beispiel: Konfigurieren von Adressbüchern und Adresssätzen.

3. Erstellen Sie eine Anwendung (oder einen Anwendungssatz), die angibt, dass die Richtlinie für Datenverkehr dieses Typs gilt. Siehe Beispiel: Konfigurieren von Anwendungen und Anwendungsgruppen für Sicherheit und Richtlinien.

4. Erstellen Sie die Richtlinie. Siehe Beispiel: Konfigurieren einer Sicherheitsrichtlinie zum Zulassen oder Verweigern des gesamten Datenverkehrs, Beispiel: Konfigurieren einer Sicherheitsrichtlinie zum Zulassen oder Verweigern von ausgewähltem Datenverkehr und Beispiel: Konfigurieren einer Sicherheitsrichtlinie zum Zulassen oder Verweigern von Wildcard-Adressdatenverkehr.

5. Erstellen Sie Planer, wenn Sie sie für Ihre Richtlinien verwenden möchten. Siehe Beispiel: Scheduler für einen Tagesplan mit Ausnahme eines Tages konfigurieren.

Mit dem Firewall-Richtlinien-Assistenten können Sie eine grundlegende Konfiguration von Sicherheitsrichtlinien vornehmen. Für eine komplexere Konfiguration verwenden Sie die J-Web-Schnittstelle oder die CLI.

Ein sicheres Netzwerk ist für ein Unternehmen von entscheidender Bedeutung. Um ein Netzwerk zu sichern, muss ein Netzwerkadministrator eine Sicherheitsrichtlinie erstellen, die alle Netzwerkressourcen innerhalb dieses Unternehmens und die erforderliche Sicherheitsstufe für diese Ressourcen umreißt. Die Sicherheitsrichtlinie wendet die Sicherheitsregeln auf den Transitdatenverkehr innerhalb eines Kontexts (von Zone zu Bis-Zone) an, und jede Richtlinie wird durch ihren Namen eindeutig identifiziert. Der Datenverkehr wird klassifiziert, indem die Quell- und Zielzone, die Quell- und Zieladressen und die Anwendung, die der Datenverkehr in seinen Protokoll-Headern trägt, mit der Richtliniendatenbank in der Data Plane abgeglichen werden.

Die Plattformunterstützung hängt von der Version von Junos OS in Ihrer Installation ab.

Beachten Sie, dass mit zunehmender Anzahl von Adressen und Anwendungen in jeder Regel die Speichermenge zunimmt, die von der Richtliniendefinition verwendet wird, und manchmal dem System mit weniger als 80.000 Richtlinien der Arbeitsspeicher ausgeht.

Um die tatsächliche Speicherauslastung einer Richtlinie auf der Packet Forwarding Engine (PFE) und der Routing-Engine (RE) zu erhalten, müssen Sie verschiedene Komponenten der Speicherstruktur berücksichtigen. Der Speicherbaum enthält die folgenden zwei Komponenten:

• Richtlinienkontext: Wird verwendet, um alle Richtlinien in diesem Kontext zu organisieren. Der Richtlinienkontext enthält Variablen wie Quell- und Zielzonen.

• Richtlinienentität: Wird zum Speichern der Richtliniendaten verwendet. Die Richtlinienentität berechnet den Arbeitsspeicher mithilfe von Parametern wie Richtlinienname, IP-Adressen, Adressanzahl, Anwendungen, Firewall-Authentifizierung, WebAuth, IPsec, Anzahl, Anwendungsservices und Junos Services Framework (JSF).

Darüber hinaus verwenden die Datenstrukturen, die zum Speichern von Richtlinien, Regelsätzen und anderen Komponenten verwendet werden, unterschiedliche Speicher auf der Packet Forwarding Engine und auf der Routing-Engine. Beispielsweise werden Adressnamen für jede Adresse in der Richtlinie auf der Routing-Engine gespeichert, aber kein Speicher auf der Ebene der Packet Forwarding Engine zugewiesen. Ebenso werden Portbereiche auf Präfix- und Maskenpaare erweitert und auf der Packet Forwarding Engine gespeichert, aber kein solcher Speicher wird auf der Routing-Engine zugewiesen.

Dementsprechend unterscheiden sich die Richtlinienmitwirkenden an der Routing-Engine je nach Richtlinienkonfiguration von denen für die Packet Forwarding Engine, und der Arbeitsspeicher wird dynamisch zugewiesen.

Speicher wird auch durch den Status "verzögertes Löschen" verbraucht. Wenn ein Gerät im Status "Verzögertes Löschen" eine Richtlinienänderung anwendet, gibt es eine vorübergehende Spitzennutzung, bei der sowohl die alte als auch die neue Richtlinie vorhanden sind. Für kurze Zeit existieren also sowohl alte als auch neue Richtlinien auf der Packet Forwarding Engine, die doppelt so viel Speicherplatz beanspruchen.

Daher gibt es keine endgültige Möglichkeit, eindeutig abzuleiten, wie viel Speicher von einer der beiden Komponenten (Packet Forwarding Engine oder Routing-Engine) zu einem bestimmten Zeitpunkt verwendet wird, da der Speicherbedarf von bestimmten Richtlinienkonfigurationen abhängt und der Arbeitsspeicher dynamisch zugewiesen wird.

Mit den folgenden bewährten Methoden für die Richtlinienimplementierung können Sie den Systemspeicher besser nutzen und die Richtlinienkonfiguration optimieren:

• Verwenden Sie einzelne Präfixe für Quell- und Zieladressen. Anstatt beispielsweise /32-Adressen zu verwenden und jede Adresse separat hinzuzufügen, verwenden Sie ein großes Subnetz, das die meisten der benötigten IP-Adressen abdeckt.

• Verwenden Sie nach Möglichkeit die Anwendung "any". Jedes Mal, wenn Sie eine einzelne Anwendung in der Richtlinie definieren, können Sie zusätzliche 52 Byte verwenden.

• Verwenden Sie weniger IPv6-Adressen, da IPv6-Adressen mehr Arbeitsspeicher verbrauchen.

• Verwenden Sie weniger Zonenpaare in Richtlinienkonfigurationen. Jede Quell- oder Zielzone verbraucht etwa 16.048 Byte Speicher.

• Die folgenden Parameter können ändern, wie der Speicher von den angegebenen Bytes verbraucht wird:

  • Firewall-Authentifizierung – ca. 16 Byte oder mehr (nicht fixiert)

  • Web-Authentifizierung – ca. 16 Byte oder mehr (nicht fixiert)

  • IPsec–12 Byte

  • Anwendungsservices – 28 Byte

  • Anzahl–64 Byte

• Überprüfen Sie die Speicherauslastung vor und nach dem Kompilieren von Richtlinien.

  Hinweis:

  Der Speicherbedarf für jedes Gerät ist unterschiedlich. Einige Geräte unterstützen standardmäßig 512.000 Sitzungen, und der Startspeicher liegt normalerweise bei 72 bis 73 Prozent. Andere Geräte können bis zu 1 Million Sitzungen haben und der Startspeicher kann bis zu 83 bis 84 Prozent betragen. Im schlimmsten Fall, um etwa 80.000 Richtlinien in der SPU zu unterstützen, sollte die SPU mit einem geflossenen Kernelspeicherverbrauch von bis zu 82 Prozent und mit mindestens 170 Megabyte verfügbarem Speicher booten.

In diesem Beispiel wird gezeigt, wie eine Sicherheitsrichtlinie so konfiguriert wird, dass der gesamte Datenverkehr zugelassen oder verweigert wird.

In diesem Beispiel wird gezeigt, wie eine Sicherheitsrichtlinie so konfiguriert wird, dass ausgewählter Datenverkehr zugelassen oder verweigert wird.

In diesem Beispiel wird gezeigt, wie eine Sicherheitsrichtlinie so konfiguriert wird, dass Platzhalteradressdatenverkehr zugelassen oder verweigert wird.

In diesem Beispiel wird gezeigt, wie eine Sicherheitsrichtlinie so konfiguriert wird, dass auf dem Gerät generierte Datenverkehrsprotokolle an einen externen Systemprotokollserver gesendet werden.

Das manuelle Hinzufügen von Adresseinträgen zu einer Richtlinie kann zeitaufwändig sein. Es gibt externe Quellen, die Listen von IP-Adressen bereitstellen, die einen bestimmten Zweck haben (z. B. eine Sperrliste) oder die ein gemeinsames Attribut haben (z. B. ein bestimmter Standort oder ein bestimmtes Verhalten, das eine Bedrohung darstellen könnte). Sie können die externe Quelle verwenden, um Bedrohungsquellen anhand ihrer IP-Adresse zu identifizieren, diese Adressen dann in einem dynamischen Adresseintrag gruppieren und in einer Sicherheitsrichtlinie auf diesen Eintrag verweisen. Dadurch können Sie den Datenverkehr zu und von diesen Adressen steuern. Jede solche Gruppe von IP-Adressen wird als dynamischer Adresseintrag bezeichnet.

Die folgenden Arten von IP-Adressen werden unterstützt:

• Eine einzige IP. Zum Beispiel: 192.0.2.0

• IP-Bereich. Zum Beispiel: 192.0.2.0- 192.0.2.10

• CIDR. Zum Beispiel: 192.0.2.0/24

Jeder Eintrag nimmt eine Zeile ein. Ab Junos OS Version 19.3R1 müssen IP-Adressbereiche nicht in aufsteigender Reihenfolge sortiert werden, und die Werte der IP-Einträge können sich in derselben Feeddatei überschneiden. In Junos OS-Versionen vor 19.3R1 müssen die IP-Adressbereiche in aufsteigender Reihenfolge sortiert werden, und die Werte der IP-Einträge dürfen sich in derselben Feeddatei nicht überschneiden.

Hinweis:

Ein dynamischer Adresseintrag ist eine Gruppe von IP-Adressen, kein einzelnes IP-Präfix. Ein dynamischer Adresseintrag unterscheidet sich von den Sicherheitsadresskonzepten von Adressbüchern und Adresseingangsadressen.

Im Folgenden sind die Vorteile der Bereitstellung dynamischer Adresseinträge in Sicherheitsrichtlinien aufgeführt:

• Der Netzwerkadministrator hat mehr Kontrolle über den Datenverkehr zu und von Gruppen von IP-Adressen.

• Der externe Server stellt aktualisierte IP-Adress-Feeds an die SRX-Firewall bereit.

• Der Aufwand des Administrators wird drastisch reduziert. In einer Legacy-Sicherheitsrichtlinienkonfiguration würde das Hinzufügen von 1000 Adresseinträgen für eine zu referenzierende Richtlinie beispielsweise etwa 2000 Konfigurationszeilen erfordern. Durch die Definition eines dynamischen Adresseintrags und die Referenzierung in einer Sicherheitsrichtlinie können bis zu Millionen von Einträgen ohne großen zusätzlichen Konfigurationsaufwand in die SRX-Firewall fließen.

• Zum Hinzufügen neuer Adressen ist kein Commit-Prozess erforderlich. Das Hinzufügen von Tausenden von Adressen zu einer Konfiguration über eine Legacy-Methode dauert sehr lange. Alternativ stammen IP-Adressen in einem dynamischen Adresseintrag aus einem externen Feed, sodass kein Commit-Prozess erforderlich ist, wenn sich die Adressen in einem Eintrag ändern.

Abbildung 3 zeigt einen funktionalen Überblick, wie die dynamische Adresseingabe in einer Sicherheitsrichtlinie funktioniert.

Eine Sicherheitsrichtlinie verweist auf den dynamischen Adresseintrag in einem Quelladress- oder Zieladressfeld (ähnlich wie eine Sicherheitsrichtlinie auf einen Legacy-Adresseintrag verweist).

Abbildung 4 zeigt eine Richtlinie, die einen dynamischen Adresseintrag im Feld Zieladresse verwendet.

In Abbildung 4 verwendet Richtlinie 1 die Zieladresse 10.10.1.1, bei der es sich um einen Legacy-Sicherheitsadresseintrag handelt. Richtlinie 2 verwendet die Zieladresse Vendor Blocklist, bei der es sich um einen dynamischen Adresseintrag handelt, der vom Netzwerkadministrator benannt wird. Sein Inhalt ist die Liste der IP-Adressen, die aus einer externen Feed-Datei abgerufen werden. Pakete, die alle fünf Kriterien erfüllen (die Von-Zone mit dem Namen "nicht vertrauenswürdig", die Zielzone mit dem Namen "Techniker", eine beliebige Quelladresse, eine Ziel-IP-Adresse, die zum dynamischen Adresseintrag der Anbietersperrliste gehört, und die E-Mail-Anwendung) werden gemäß den Richtlinienaktionen behandelt, die das Paket ablehnen und protokollieren.

Hinweis:

Die Namen der dynamischen Adresseinträge haben denselben Namensraum wie die älteren Sicherheitsadresseinträge. Verwenden Sie daher nicht für mehr als einen Eintrag denselben Namen. Der Commit-Prozess von Junos OS prüft, ob Namen nicht dupliziert werden, um Konflikte zu vermeiden.

Dynamische Adressgruppen unterstützen die folgenden Datenfeeds:

• Benutzerdefinierte Listen (Zulassungs- und Blocklisten)

• GeoIP

• Feed-Server
• Bundle-Feeds

Verwenden Sie den Feature-Explorer , um die Plattform- und Release-Unterstützung für bestimmte Funktionen zu bestätigen.

Verwenden Sie die folgenden Tabellen, um das plattformspezifische Verhalten für Ihre Plattform zu überprüfen:

• Unterstützung plattformspezifischer Sicherheitsrichtlinien
• Konfigurationsverhalten der plattformspezifischen Sicherheitsrichtlinie
• Synchronisierungsverhalten der plattformspezifischen Richtlinienkonfiguration
• Plattformspezifisches Verhalten bei der IDP-Unterstützung
• Plattformspezifisches Supportverhalten des Firewall-Richtlinien-Assistenten

Verwenden Sie den Feature-Explorer , um die Plattform- und Release-Unterstützung für bestimmte Funktionen zu bestätigen. Weitere Plattformen können unterstützt werden.

SRX-Firewalls und virtuelle Firewall vSRX 3.0, die File-Feed-Server unterstützen, unterstützen:	SRX300, SRX320, SRX340, SRX345, SRX550 und SRX550M	SRX1500	Geräte der Serien SRX4100, SRX4200, SRX4600, SRX5400 und vSRX 3.0	SRX4700
Maximale Anzahl von Feed-Servern	10	40	100	5000
Maximale Anzahl von Feeds	500	200	5000	5000
Maximale Anzahl dynamischer Adresseinträge	500	200	5000	5000

SRX-Firewalls, die Policy Object unterstützen, unterstützen:	SRX300 und SRX320	SRX340	SRX345 und SRX380	SRX550M	SRX1500, SRX1600 und SRX4100	SRX4200 und SRX4300	SRX4600	SRX4700, SRX5400, SRX5600 und SRX5800
Adress-Objekte	2048	2048	2048	2048	4096	4096	4096	16384
Anwendungsobjekte	128	128	128	128	3072	3072	3072	3072
Sicherheits-Richtlinien	1024	2048	4096	10240	16000	60000	80000	100000
Richtlinienkontexte (Zonenpaare)	256	512	1024	2048	4096	4096	8192	8192
Richtlinien pro Kontext	1024	2048	4096	10240	16000	60000	80000	100000
Richtlinien mit aktivierter Zählung	256	256	256	10240	1024	1024	1024	1024