Applications et ensembles d’applications de stratégie de sécurité

Les applications sont des types de trafic pour lesquels il existe des normes de protocole. Chaque application est associée à un protocole de transport et à un ou plusieurs numéros de port de destination, tels que TCP/port 21 pour FTP et TCP/port 23 pour Telnet. Lorsque vous créez une stratégie, vous devez spécifier une application pour celle-ci.

Vous pouvez sélectionner l’une des applications prédéfinies dans le livre d’applications, ou une application personnalisée ou un ensemble d’applications que vous avez créé. Vous pouvez voir quelle application vous pouvez utiliser dans une stratégie à l’aide de la commande CLI show applications .

Lorsque vous créez une stratégie, vous devez spécifier une application ou un service pour qu’elle indique que la stratégie s’applique au trafic de ce type. Parfois, les mêmes applications ou un sous-ensemble d’entre elles peuvent être présentes dans plusieurs stratégies, ce qui rend la gestion difficile. Junos OS vous permet de créer des groupes d’applications appelés ensembles d’applications. Les jeux d’applications simplifient le processus en vous permettant de gérer un petit nombre d’ensembles d’applications plutôt qu’un grand nombre d’entrées d’applications individuelles.

L’application (ou l’ensemble d’applications) est désignée par les stratégies de sécurité comme critère de correspondance pour les paquets initiant des sessions. Si le paquet correspond au type d’application spécifié par la stratégie et que tous les autres critères correspondent, l’action de stratégie est appliquée au paquet.

Vous pouvez spécifier le nom d’un ensemble d’applications dans une stratégie. Dans ce cas, si tous les autres critères correspondent, n’importe laquelle des applications de l’ensemble de demandes sert de critère d’appariement valide ; any est le nom d’application par défaut qui indique toutes les applications possibles.

Les applications sont créées dans l’annuaire .../applications/application/application-name . Vous n’avez pas besoin de configurer une application pour les services prédéfinis par le système.

Outre les services prédéfinis, vous pouvez configurer un service personnalisé. Après avoir créé un service personnalisé, vous pouvez y faire référence dans une stratégie.

Cet exemple montre comment configurer des applications et des ensembles d’applications.

La valeur du délai d’expiration de l’application que vous définissez pour une application détermine le délai d’expiration de la session. Vous pouvez définir le délai d’expiration d’une application prédéfinie ou personnalisée ; Vous pouvez utiliser le délai d’expiration par défaut de l’application, spécifier un délai d’expiration personnalisé ou n’utiliser aucun délai d’expiration.

Les valeurs de délai d’expiration de l’application sont stockées dans la table de délai d’expiration basée sur le port TCP et UDP racine et dans la table de délai d’expiration par défaut basée sur le protocole. Lorsque vous définissez une valeur de délai d’expiration d’application, Junos OS met à jour ces tables avec la nouvelle valeur. Il existe également des valeurs de délai d’expiration par défaut dans la base de données d’entrée d’applications, qui sont extraites d’applications prédéfinies. Vous pouvez définir un délai d’attente, mais vous ne pouvez pas modifier une valeur par défaut.

Chaque application personnalisée peut être configurée avec son propre délai d’expiration d’application personnalisé. Si plusieurs applications personnalisées sont configurées avec des délais d’expiration personnalisés, chaque application aura son propre délai d’expiration d’application personnalisé.

Si l’application mise en correspondance pour le trafic a une valeur de délai d’attente, cette valeur de délai d’expiration est utilisée. Sinon, la recherche se poursuit dans l’ordre suivant jusqu’à ce qu’une valeur de délai d’expiration de l’application soit trouvée :

1. Une valeur de délai d’expiration basée sur le port TCP et UDP racine est recherchée.

2. Une valeur de délai d’expiration par défaut est recherchée dans la table de délai d’expiration basée sur le protocole. Voir tableau 1.

   Tableau 1 : délai d’expiration par défaut basé sur le protocole

   Protocole	Délai d’expiration par défaut (secondes)
   TCP	1800
   UDP	60
   ICMP	60
   OSPF	60
   Autres	1800

Lorsque vous définissez des délais d’attente, tenez compte des éventualités suivantes :

• Si une application contient plusieurs entrées de règle d’application, toutes les entrées de règle partagent le même délai d’expiration. Vous ne devez définir le délai d’expiration de l’application qu’une seule fois. Par exemple, si vous créez une application avec deux règles, les commandes suivantes définiront le délai d’expiration sur 20 secondes pour les deux règles :

• Si plusieurs applications personnalisées sont configurées avec des délais d’expiration personnalisés, chaque application aura son propre délai d’expiration d’application personnalisé. Par exemple :

  Avec cette configuration, Junos OS applique un délai d’expiration de 10 secondes pour le port de destination 2121 et un délai de 20 secondes pour le port de destination 2300 dans un groupe d’applications.

Cet exemple montre comment définir une valeur de délai d’expiration d’application de stratégie.