テナントシステムのスクリーンオプション
SRXシリーズファイアウォールのテナントシステムのスクリーンオプションは、IPアドレススイープ、ポートスキャン、DOS(サービス拒否)攻撃、ICMP、UDP、SYNフラッドなどの攻撃を論理システムと同様に防止します。詳細については、次のトピックを参照してください。
テナントシステムの画面オプションについて
デバイスは、画面オプションを使用して、ゾーンを検査し、そのゾーンにバインドされたインターフェイスを越える必要があるすべての接続試行を許可または拒否することで、ゾーンをセキュリティ保護します。Junos OSは、コンテンツフィルタリングとIDPコンポーネントを含むことができるファイアウォールポリシーを、スクリーンフィルターを通過するトラフィックに適用します。デバイスで使用できるすべての画面オプションは、各テナントシステムでも使用できます。
Junos OSリリース18.3R1以降、論理システムでサポートされている画面オプションがテナントシステムに拡張されています。
関連項目
例:テナントシステムの画面オプションの設定
この例では、テナントシステムの画面オプションを設定する方法を示しています。
要件
始める前に:
テナントシステムの構成プロセスを理解します。このタスクが設定プロセス全体にどのように適合するかについては、 テナントシステム設定の概要 を参照してください。
テナントシステムのゾーンを設定します。テナントシステムのゾーンを設定する方法については、 テナントシステムのセキュリティゾーン を参照してください。
概要
画面オプションを使用して、セキュリティデバイスはセキュリティゾーンのさまざまな内部および外部の攻撃から保護できます。テナントシステム内の同じ宛先IPアドレスへの同時セッション数を制限できます。宛先ベースのセッション制限を設定することで、送信元に関係なく、Junos OSが任意の1つのホストへの同時接続要求を許容可能な数だけ許可するようになります。IPアドレスへの同時接続要求の数が制限を超えると、Junos OSはそのIPアドレスへのそれ以上の接続試行をブロックします。
設定
手順
CLIクイックコンフィグレーション
この例をすばやく設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピー アンド ペーストして、設定モードから commit を入力します。
set tenants TN1 security screen ids-option jscreen limit-session destination-ip-based 80 set tenants TN1 security screen ids-option jscreen icmp ip-sweep threshold 1000 set tenants TN1 security screen ids-option jscreen icmp fragment set tenants TN1 security screen ids-option jscreen icmp large set tenants TN1 security screen ids-option jscreen icmp flood threshold 200 set tenants TN1 security screen ids-option jscreen icmp ping-death set tenants TN1 security screen ids-option jscreen ip bad-option set tenants TN1 security screen ids-option jscreen ip stream-option set tenants TN1 security screen ids-option jscreen ip spoofing set tenants TN1 security screen ids-option jscreen ip strict-source-route-option set tenants TN1 security screen ids-option jscreen ip unknown-protocol set tenants TN1 security screen ids-option jscreen ip tear-drop set tenants TN1 security screen ids-option jscreen tcp syn-fin set tenants TN1 security screen ids-option jscreen tcp tcp-no-flag set tenants TN1 security screen ids-option jscreen tcp syn-frag set tenants TN1 security screen ids-option jscreen tcp port-scan threshold 1000 set tenants TN1 security screen ids-option jscreen tcp syn-ack-ack-proxy threshold 500 set tenants TN1 security screen ids-option jscreen tcp syn-flood alarm-threshold 500 set tenants TN1 security screen ids-option jscreen tcp syn-flood attack-threshold 500 set tenants TN1 security screen ids-option jscreen tcp syn-flood source-threshold 50 set tenants TN1 security screen ids-option jscreen tcp syn-flood destination-threshold 1000 set tenants TN1 security screen ids-option jscreen tcp syn-flood timeout 10 set tenants TN1 security screen ids-option jscreen tcp land set tenants TN1 security screen ids-option jscreen tcp winnuke set tenants TN1 security screen ids-option jscreen tcp tcp-sweep threshold 1000 set tenants TN1 security screen ids-option jscreen udp flood threshold 500 set tenants TN1 security screen ids-option jscreen udp udp-sweep threshold 1000 set tenants TN1 security zones security-zone untrust screen jscreen
ステップバイステップの手順
次の例では、設定階層のさまざまなレベルに移動する必要があります。その方法の詳細については、『Junos OS CLIユーザーガイド』の「 構成モードでのCLIエディターの使用 」を参照してください。
テナントシステムで宛先ベースのセッション制限を設定するには:
管理者としてテナントシステムにログインし、設定モードに入ります。
user@host:TN1#> configure user@host:TN1#
テナントシステム名をTN1として定義し、宛先ベースのセッション制限の画面オプションを設定します。
[edit tenants TN1] user@host:TN1# set security screen ids-option jscreen limit-session destination-ip-based 80
ICMPスクリーニングオプションを設定します。
[edit tenants TN1 security screen ids-option jscreen] user@host:TN1# set icmp ip-sweep threshold 1000 user@host:TN1# set icmp fragment user@host:TN1# set icmp large user@host:TN1# set icmp flood threshold 200 user@host:TN1# set icmp ping-death
IPスクリーニングオプションを設定します。
[edit tenants TN1 security screen ids-option jscreen] user@host:TN1# set ip bad-option user@host:TN1# set ip stream-option user@host:TN1# set ip spoofing user@host:TN1# set ip strict-source-route-option user@host:TN1# set ip unknown-protocol user@host:TN1# set ip tear-drop
TCPスクリーニングオプションを設定します。
[edit tenants TN1 security screen ids-option jscreen] user@host:TN1# set tcp syn-fin user@host:TN1# set tcp tcp-no-flag user@host:TN1# set tcp syn-frag user@host:TN1# set tcp port-scan threshold 1000 user@host:TN1# set tcp syn-ack-ack-proxy threshold 500 user@host:TN1# set tcp syn-flood alarm-threshold 500 user@host:TN1# set tcp syn-flood attack-threshold 500 user@host:TN1# set tcp syn-flood source-threshold 50 user@host:TN1# set tcp syn-flood destination-threshold 1000 user@host:TN1# set tcp syn-flood timeout 10 user@host:TN1# set tcp land user@host:TN1# set tcp winnuke user@host:TN1# set tcp tcp-sweep threshold 1000
UDPスクリーニングオプションを設定します。
[edit tenants TN1 security screen ids-option jscreen] user@host:TN1# set udp flood threshold 500 user@host:TN1# set udp udp-sweep threshold 1000
IDSプロファイルをゾーンにアタッチします。
[edit tenants TN1] user@host:TN1# set security zones security-zone untrust screen jscreen
結果
設定モードから、 show tenants TN1 security screen コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
user@host# show tenants TN1 security screen
ids-option jscreen {
limit-session {
destination-ip-based 80;
}
}
ids-option jscreen {
icmp {
ip-sweep threshold 1000;
fragment;
large;
flood threshold 200;
ping-death;
}
ip {
bad-option;
stream-option;
spoofing;
strict-source-route-option;
unknown-protocol;
tear-drop;
}
tcp {
syn-fin;
tcp-no-flag;
syn-frag;
port-scan threshold 1000;
syn-ack-ack-proxy threshold 500;
syn-flood {
alarm-threshold 500;
destination-threshold 1000;
timeout 10;
}
land;
winnuke;
tcp-sweep threshold 1000;
}
udp {
flood {
threshold 500;
}
udp-sweep threshold 1000;
}
}
検証
設定が正常に機能していることを確認するには、以下のタスクを実行します。
セキュリティ画面ステータスの確認
目的
複数のスクリーニングオプションの IDS プロファイルが正しく構成されていることを確認します。
アクション
設定が正常に機能していることを確認するには、動作モードから show security screen ids-option jscreen tenant TN1 と show security zone tenant TN1コマンドを入力します。
user@host> show security screen ids-option jscreen tenant TN1
Screen object status:
Name Value
ICMP flood threshold 200
UDP flood threshold 500
TCP winnuke enabled
TCP port scan threshold 1000
ICMP address sweep threshold 1000
TCP sweep threshold 1000
UDP sweep threshold 1000
IP tear drop enabled
TCP SYN flood attack threshold 500
TCP SYN flood alarm threshold 500
TCP SYN flood source threshold 50
TCP SYN flood destination threshold 1000
TCP SYN flood timeout 10
IP spoofing enabled
ICMP ping of death enabled
TCP land attack enabled
TCP SYN fragment enabled
TCP no flag enabled
IP unknown protocol enabled
IP bad options enabled
IP strict source route option enabled
IP stream option enabled
ICMP fragmentation enabled
ICMP large packet enabled
TCP SYN FIN enabled
TCP SYN-ACK-ACK proxy threshold 500
user@host> show security zone tenant TN1
Security zone: untrust
Send reset for non-SYN session TCP packets: Off
Policy configurable: Yes
Screen: jscreen
Interfaces bound: 0
Interfaces:意味
出力には、テナントシステムの画面ステータスが表示されます。
変更履歴テーブル
サポートされる機能は、使用しているプラットフォームとリリースによって決まります。 機能エクスプローラー を使用して、機能がお使いのプラットフォームでサポートされているかどうかを確認します。