フローをサポートする統合ポリシー

デバイスがフローの最初のパケットを調べると、対応するセキュリティポリシーを決定し、セキュリティポリシーのルックアップを実行します。このプロセス中に、次のケースが観察されます。

• トラフィックが従来のセキュリティポリシーまたは最終ポリシーに一致する場合、セッションが作成されます。

• 潜在的なポリシーリストに複数のポリシーがあり、セキュリティポリシーの競合がある場合、デフォルトのセキュリティポリシーが適用されます。

• 潜在的なポリシーリストに複数のポリシーがあり、ポリシーアクションがトラフィックを許可しない場合、セッションはクローズされます。セッション終了の理由を示すログメッセージが生成されます。潜在的なポリシーリスト内の各ポリシーには、MSS、TCP SYNチェック、セッションタイムアウト間隔などの設定値が異なるため、ポリシー競合段階ではデフォルトのセキュリティポリシーが必要となります。この場合、デフォルトのセキュリティポリシーが適用されると、そのポリシーで設定されたすべての値が適用されます。デフォルトのセキュリティポリシーに一致すると、ポリシーアクションがセッションに適用されます。

  • デフォルトのセキュリティポリシーはシステム定義ポリシーです。このポリシーは削除できません。

  • デフォルトポリシーは、グローバルデフォルトポリシーと同様に、すべての論理システムレベルで作成されます。

  • セッションのタイムアウト間隔とセッションログ値はデフォルトのセキュリティポリシーから利用され、TCP-MSSやTCP SYNなどのデフォルト値はフロー設定から利用されます。

• デフォルトポリシーが適用されると、ポリシーアクションの潜在的なメタデータが割り当てられます。潜在的なメタデータは、潜在的なポリシーリストに従って更新されます。

  • デフォルトのセキュリティポリシーがあると、潜在的なポリシーリストを解決するのに役立ちます。

  • デフォルトのセキュリティポリシーに一致するセッションが多数存在する可能性があります。ただし、許可されるトラフィックのポリシーで定義されているアプリケーション サービスは異なる場合があります。各セッションのセキュリティフロー情報が保存されます。

  • SRXシリーズファイアウォールがシャーシクラスターモードで動作している場合、フローセッションとシャーシクラスターのリアルタイムオブジェクト(RTO)とともに、プライマリノードからセカンダリノードに情報が同期されます。

• 最終アプリケーションが識別されると、最終アプリケーションと一致するセキュリティポリシーが適用されます。後続のパケットは、最終ポリシーに従って処理されます。

フローの最初のパケットがデバイスを通過し、そのセッションが確立された後、高速パス処理が行われます。デバイスがデフォルトポリシーでセキュリティフローセッションを調べると、セキュリティポリシーのルックアップが実行され、以下のケースが観察されます。

• 既存のアプリケーション識別の更新が必要な場合は、ポリシー検索プロセスが繰り返されます。このプロセスは、明示的なポリシーが返され、セキュリティフローセッションで置き換えられるまで繰り返されます。暗黙的なポリシーが返された場合、トラフィックは拒否され、セッションは閉じられます。

• 最終アプリケーションが識別されると、トラフィックに一致する最終ポリシーが適用されます。デフォルトと最終ポリシーのポリシーアクションが類似している場合、最終ポリシーがセキュリティフローセッションのデフォルトポリシーに置き換わります。デフォルトと最終ポリシーのポリシーアクションが異なる場合、デフォルトポリシーが保持され、セキュリティフローセッションが閉じられます。

  注:

  拒否アクションを持つ最終ポリシーとデフォルトのポリシーが一致すると、セキュリティフローセッションが閉じられます。

• セッションを更新するには、最終ポリシーのセッションタイムアウト、ログ、またはカウンター設定が使用されます。