Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Zones de sécurité dans les systèmes logiques

Les zones de sécurité sont les éléments constitutifs des politiques. Sécurité zones sont des entités logiques auxquelles une ou plusieurs interfaces sont liées et permettent de distinguer des groupes d’hôtes (systèmes logiques utilisateurs et autres hôtes, tels que des serveurs) et des ressources afin d’appliquer différentes mesures de sécurité. Pour plus d’informations, consultez les rubriques suivantes :

Comprendre les zones des systèmes logiques

Les zones de sécurité sont des entités logiques auxquelles une ou plusieurs interfaces sont liées. Les zones de sécurité peuvent être configurées sur le système logique principal par l’administrateur principal ou sur les systèmes logiques utilisateur par l’administrateur du système logique utilisateur. Sur un système logique, l’administrateur peut configurer plusieurs zones de sécurité, divisant le réseau en segments de réseau auxquels diverses options de sécurité peuvent être appliquées.

L’administrateur principal configure le nombre maximal et réservé de zones de sécurité pour chaque système logique utilisateur. L’administrateur du système logique utilisateur peut ensuite créer des zones de sécurité dans le système logique utilisateur et affecter des interfaces à chaque zone de sécurité. À partir d’un système logique utilisateur, l’administrateur du système logique utilisateur peut utiliser la show system security-profile zones commande pour afficher le nombre de zones de sécurité allouées au système logique utilisateur et la show interfaces commande pour afficher les interfaces allouées au système logique utilisateur.

Remarque :

L’administrateur principal peut configurer un profil de sécurité pour le système logique principal qui spécifie le nombre maximal et réservé de zones de sécurité appliquées au système logique principal. Le nombre de zones configurées dans le système logique principal est pris en compte dans le nombre maximal de zones disponibles sur l’équipement.

L’administrateur principal et l’administrateur utilisateur peuvent configurer les propriétés suivantes d’une zone de sécurité dans un système logique :

  • Interfaces faisant partie d’une zone de sécurité.

  • Options d’écran : pour chaque zone de sécurité, vous pouvez activer un ensemble d’options d’écran prédéfinies qui détectent et bloquent divers types de trafic que l’équipement juge potentiellement dangereux.

  • TCP-Reset : lorsque cette fonctionnalité est activée, le système envoie un segment TCP avec l’indicateur RESET défini lorsque le trafic arrive qui ne correspond pas à une session existante et dont l’indicateur de synchronisation n’est pas défini.

  • Host inbound traffic : cette fonctionnalité spécifie les types de trafic qui peuvent atteindre l’appareil à partir de systèmes directement connectés à ses interfaces. Vous pouvez configurer ces paramètres au niveau de la zone, auquel cas ils affectent toutes les interfaces de la zone, ou au niveau de l’interface. (La configuration de l’interface remplace celle de la zone.)

Il n’existe aucune zone de sécurité préconfigurée dans le système logique principal ou le système logique utilisateur.

La zone fonctionnelle de gestion (MGT) ne peut être configurée que pour le système logique principal. Il n’y a qu’une seule interface de gestion par périphérique et cette interface est allouée au système logique principal.

L’interface all ne peut être affectée qu’à une zone du système logique principal par l’administrateur principal.

L’administrateur du système logique utilisateur peut configurer et afficher tous les attributs d’une zone de sécurité dans un système logique utilisateur. Tous les attributs d’une zone de sécurité dans un système logique utilisateur sont également visibles par l’administrateur principal.

Exemple : configuration de systèmes logiques utilisateur

Cet exemple montre la configuration des interfaces, des instances de routage, des zones et des stratégies de sécurité pour les systèmes logiques utilisateur.

Exigences

Avant de commencer :

Vue d’ensemble

Cet exemple configure les systèmes logiques utilisateur ls-marketing-dept et ls-accounting-dept illustrés dans Exemple : Création de systèmes logiques utilisateur, de leurs administrateurs, de leurs utilisateurs et d’un système logique d’interconnexion.

Cet exemple configure les paramètres décrits dans les tableaux 1 et 2.

Tableau 1 : configuration du système logique ls-marketing-dept

Fonctionnalité

Nom

Paramètres de configuration

Interface utilisateur

GE-0/0/6.1

  • Adresse IP 13.1.1.1/24

  • ID de VLAN 800

Instance de routage

MK-VR1

  • Type d’instance : routeur virtuel

  • Comprend les interfaces ge-0/0/6.1 et lt-0/0/0.5

  • Routes statiques :

    • 12.1.1.0/24 saut suivant 10.0.1.2

    • 14.1.1.0/24 saut suivant 10.0.1.4

    • 12.12.1.0/24 saut suivant 10.0.1.1

Zones

ls-marketing-trust

Liaison à l’interface ge-0/0/6.1.

ls-marketing-untrust

Liaison à l’interface lt-0/0/0.5

Carnets d’adresses

Marketing interne

  • Spécialistes du marketing d’adresses : 13.1.1.0/24

  • Attacher à la zone ls-marketing-trust

marketing-externe

  • Conception de l’adresse : 12.1.1.0/24

  • Comptabilité des adresses : 14.1.1.0/24

  • Adresse aux autres : 12.12.1.0/24

  • Ensemble d’adresses otherlsys : conception, comptabilité

  • Attacher à la zone ls-marketing-untrust

Politiques

permis-à-autrelsys

Autorisez la circulation suivante :

  • De la zone : ls-marketing-trust

  • Zone de destination : ls-marketing-untrust

  • Adresse source : spécialistes du marketing

  • Adresse de destination : otherlsys

  • Application : tout

permis-tout-des-autreslsys

Autorisez la circulation suivante :

  • De la zone : ls-marketing-untrust

  • Zone de destination : ls-marketing-trust

  • Adresse source : otherlsys

  • Adresse de destination : spécialistes du marketing

  • Application : tout

Tableau 2 : configuration du système logique ls-accounting-dept

Fonctionnalité

Nom

Paramètres de configuration

Interface utilisateur

GE-0/0/7.1

  • Adresse IP 14.1.1.1/24

  • ID de VLAN 900

Instance de routage

acct-vr1

  • Type d’instance : routeur virtuel

  • Comprend les interfaces ge-0/0/7.1 et lt-0/0/0.7

  • Routes statiques :

    • 12.1.1.0/24 saut suivant 10.0.1.2

    • 13.1.1.0/24 saut suivant 10.0.1.3

    • 12.12.1.0/24 saut suivant 10.0.1.1

Zones

ls-accounting-trust

Liaison à l’interface ge-0/0/7.1.

ls-accounting-untrust

Liaison à l’interface lt-0/0/0.7

Carnets d’adresses

comptabilité interne

  • Comptabilité des adresses : 14.1.1.0/24

  • Rattacher à la zone ls-accounting-trust

comptabilité-externe

  • Conception de l’adresse : 12.1.1.0/24

  • Marketing d’adresse : 13.1.1.0/24

  • Adresse aux autres : 12.12.1.0/24

  • Ensemble d’adresses otherlsys : conception, marketing

  • Attacher à la zone ls-accounting-untrust

Politiques

permis-à-autrelsys

Autorisez la circulation suivante :

  • De la zone : ls-accounting-trust

  • Zone de destination : ls-accounting-untrust

  • Adresse source : comptabilité

  • Adresse de destination : otherlsys

  • Application : tout

permis-tout-des-autreslsys

Autorisez la circulation suivante :

  • Zone de départ : ls-accounting-untrust

  • Vers la zone : ls-accounting-trust

  • Adresse source : otherlsys

  • Adresse de destination : comptabilité

  • Application : tout

La configuration

Configuration du système logique utilisateur ls-marketing-dept

Configuration rapide de la CLI

Pour configurer rapidement cet exemple, copiez les commandes suivantes, collez-les dans un fichier texte, supprimez les sauts de ligne, modifiez tous les détails nécessaires pour qu’ils correspondent à votre configuration réseau, copiez et collez les commandes dans la CLI au niveau de la [edit] hiérarchie, puis entrez commit en mode configuration.

Procédure étape par étape

L’exemple suivant vous oblige à naviguer à différents niveaux dans la hiérarchie de configuration. Pour obtenir des instructions sur la procédure à suivre, reportez-vous à la section Utilisation de l’éditeur CLI en mode configuration dans le Guide de l’utilisateur de la CLI de Junos OS.

Pour configurer un système logique d’utilisateur :

  1. Connectez-vous au système logique de l’utilisateur en tant qu’administrateur du système logique et entrez en mode configuration.

  2. Configurez l’interface logique d’un système logique utilisateur.

  3. Configurez l’instance de routage et attribuez des interfaces.

  4. Configurez des routes statiques.

  5. Configurez les zones de sécurité et attribuez des interfaces à chacune d’elles.

  6. Créez des entrées de carnet d’adresses.

  7. Joignez des carnets d’adresses aux zones.

  8. Configurez une stratégie de sécurité qui autorise le trafic de la zone ls-marketing-trust vers la zone ls-marketing-untrust.

  9. Configurez une stratégie de sécurité qui autorise le trafic de la zone ls-marketing-untrust vers la zone ls-marketing-trust.

Résultats

En mode configuration, confirmez votre configuration en entrant les show routing-instances commandes and show security . Si la sortie n’affiche pas la configuration prévue, répétez les instructions de configuration de cet exemple pour la corriger.

Si vous avez terminé de configurer l’appareil, entrez en commit mode configuration.

Configuration du système logique utilisateur ls-accounting-dept

Configuration rapide de la CLI

Pour configurer rapidement cet exemple, copiez les commandes suivantes, collez-les dans un fichier texte, supprimez les sauts de ligne, modifiez tous les détails nécessaires pour qu’ils correspondent à votre configuration réseau, copiez et collez les commandes dans la CLI au niveau de la [edit] hiérarchie, puis entrez commit en mode configuration.

Procédure étape par étape

L’exemple suivant vous oblige à naviguer à différents niveaux dans la hiérarchie de configuration. Pour obtenir des instructions sur la procédure à suivre, consultez Utilisation de l’éditeur CLI en mode configuration.

Pour configurer un système logique d’utilisateur :

  1. Connectez-vous au système logique de l’utilisateur en tant qu’administrateur du système logique et entrez en mode configuration.

  2. Configurez l’interface logique d’un système logique utilisateur.

  3. Configurez l’instance de routage et attribuez des interfaces.

  4. Configurez des routes statiques.

  5. Configurez les zones de sécurité et attribuez des interfaces à chacune d’elles.

  6. Créez des entrées de carnet d’adresses.

  7. Joignez des carnets d’adresses aux zones.

  8. Configurez une stratégie de sécurité qui autorise le trafic de la zone ls-accounting-trust vers la zone ls-accounting-untrust.

  9. Configurez une stratégie de sécurité qui autorise le trafic de la zone ls-accounting-untrust vers la zone ls-accounting-trust.

Résultats

En mode configuration, confirmez votre configuration en entrant les show routing-instances commandes and show security . Si la sortie n’affiche pas la configuration prévue, répétez les instructions de configuration de cet exemple pour la corriger.

Si vous avez terminé de configurer l’appareil, entrez en commit mode configuration.

Vérification

Pour confirmer que la configuration fonctionne correctement, effectuez les tâches suivantes :

Vérification de la configuration des stratégies

Objet

Vérifiez les informations sur les stratégies et les règles.

Mesures à prendre

En mode opérationnel, entrez la show security policies detail commande pour afficher un résumé de toutes les stratégies configurées sur le système logique.

Exemple : Configuration de zones de sécurité pour les systèmes logiques d’un utilisateur

Cet exemple montre comment configurer des zones pour un système logique utilisateur.

Exigences

Avant de commencer :

Vue d’ensemble

Cet exemple configure le système logique utilisateur ls-product-design illustré dans Exemple : création de systèmes logiques utilisateur, de leurs administrateurs, de leurs utilisateurs et d’un système logique d’interconnexion.

Cet exemple crée les zones et les carnets d’adresses décrits dans le Tableau 3.

Tableau 3 : configuration du système logique utilisateur, des zones et du carnet d’adresses

Fonctionnalité

Nom

Paramètres de configuration

Zones

ls-product-design-trust

  • Liaison à l’interface ge-0/0/5.1.

  • Réinitialisation TCP activée.

ls-product-design-untrust

  • Liaison à l’interface lt-0/0/0.3.

Carnets d’adresses

produit-conception-interne

  • Adresse aux concepteurs de produits : 12.1.1.0/24

  • Attacher à la zone ls-product-design-trust

product-design-externe

  • Marketing d’adresse : 13.1.1.0/24

  • Comptabilité des adresses : 14.1.1.0/24

  • Adresse aux autres : 12.12.1.0/24

  • Ensemble d’adresses otherlsys : marketing, comptabilité

  • Attacher à la zone ls-product-design-untrust

La configuration

Procédure

Configuration rapide de la CLI

Pour configurer rapidement cet exemple, copiez les commandes suivantes, collez-les dans un fichier texte, supprimez les sauts de ligne, modifiez tous les détails nécessaires pour qu’ils correspondent à votre configuration réseau, copiez et collez les commandes dans la CLI au niveau de la [edit] hiérarchie, puis entrez commit en mode configuration.

Procédure étape par étape

L’exemple suivant vous oblige à naviguer à différents niveaux dans la hiérarchie de configuration. Pour obtenir des instructions sur la procédure à suivre, reportez-vous à la section Utilisation de l’éditeur CLI en mode configuration dans le Guide de l’utilisateur de la CLI de Junos OS.

Pour configurer des zones dans un système logique utilisateur :

  1. Connectez-vous au système logique de l’utilisateur en tant qu’administrateur du système logique et entrez en mode configuration.

  2. Configurez une zone de sécurité et attribuez-la à une interface.

  3. Configurez le paramètre TCP-Reset pour la zone.

  4. Configurez une zone de sécurité et attribuez-la à une interface.

  5. Créez des entrées de carnet d’adresses globales.

  6. Joignez des carnets d’adresses aux zones.

Résultats

À partir du mode configuration, confirmez votre configuration en entrant la show security commande. Si la sortie n’affiche pas la configuration prévue, répétez les instructions de configuration de cet exemple pour la corriger.

Si vous avez terminé de configurer l’appareil, entrez en commit mode configuration.