フローに対する統合ポリシーのサポート

デバイスは、フローの最初のパケットを調べると、対応するセキュリティ ポリシーを判断し、セキュリティ ポリシーのルックアップを実行します。このプロセスでは、次のケースが観察されます。

• トラフィックがレガシーセキュリティポリシーまたは最終ポリシーと一致する場合、セッションが作成されます。

• 潜在的なポリシー・リストに複数のポリシーがあり、セキュリティ・ポリシーの競合がある場合は、デフォルトのセキュリティ・ポリシーが適用されます。

• 潜在的なポリシーリストに複数のポリシーがあり、ポリシーアクションがトラフィックを許可しない場合、セッションは閉じられます。セッション終了の理由を示すログメッセージが生成されます。潜在的なポリシーリスト内の各ポリシーは、MSS、TCP SYNチェック、セッションタイムアウト間隔などの異なる設定値を持っているため、ポリシー競合段階ではデフォルトのセキュリティポリシーが必要になります。この場合、デフォルトのセキュリティポリシーが適用されると、そのポリシーで構成されているすべての値が適用されます。デフォルトのセキュリティー・ポリシーが一致すると、ポリシー・アクションがセッションに適用されます。

  手記：

  • デフォルトのセキュリティポリシーは、システム定義のポリシーです。このポリシーは削除できません。

  • デフォルト・ポリシーは、グローバル・デフォルト・ポリシーと同様に、すべての論理システム・レベルで作成されます。

  • セッションタイムアウト間隔とセッションログの値はデフォルトのセキュリティポリシーから利用され、TCP-MSSやTCP SYNなどのデフォルト値はフロー設定から利用されます。

• デフォルト・ポリシーが適用されると、ポリシー・アクションの潜在的なメタデータが割り当てられます。潜在的なメタデータは、潜在的なポリシーリストに従って更新されます。

  手記：

  • デフォルトのセキュリティポリシーを設定すると、潜在的なポリシーリストの解決に役立ちます。

  • デフォルトのセキュリティー・ポリシーに一致するセッションが多数存在する可能性があります。ただし、許可されたトラフィックのポリシーで定義されているアプリケーションサービスは異なっていてもかまいません。各セッションのセキュリティフロー情報が保存されます。

  • SRXシリーズファイアウォールがシャーシクラスタモードで動作している場合、情報はフローセッションおよびシャーシクラスタリアルタイムオブジェクト(RTO)とともにプライマリノードからセカンダリノードに同期されます。

• 最終アプリケーションが識別されると、最終アプリケーションに一致するセキュリティポリシーが適用されます。後続のパケットは、最終ポリシーに従って処理されます。

フローの最初のパケットがデバイスを通過し、セッションが確立された後、高速パス処理が行われます。デバイスがデフォルト ポリシーでセキュリティ フロー セッションを調べると、セキュリティ ポリシー ルックアップが実行され、次のケースが観察されます。

• 既存のアプリケーション識別の更新が必要な場合は、ポリシー検索プロセスが繰り返されます。明示的なポリシーが返され、セキュリティ フロー セッションで置換されるまで、このプロセスが繰り返されます。暗黙的なポリシーが返された場合、トラフィックは拒否され、セッションは閉じられます。

• 最終的なアプリケーションが特定されると、トラフィックに一致する最終的なポリシーが適用されます。デフォルトと最終ポリシーのポリシー アクションが類似している場合、セキュリティ フロー セッションのデフォルト ポリシーが最終ポリシーに置き換わります。デフォルトと最終ポリシーのポリシーアクションが異なる場合、デフォルトポリシーが保持され、セキュリティフローセッションが閉じられます。

  手記：

  拒否アクションのある最後のポリシーとデフォルトのポリシーが一致すると、セキュリティ フロー セッションが閉じられます。

• セッションを更新するには、最終ポリシーのセッションタイムアウト、ログ、またはカウンター構成が使用されます。