テナント システムの画面オプション
SRX シリーズ ファイアウォール上のテナント システムの画面オプションにより、論理システムと同じ IP アドレス スイープ、ポート スキャン、サービス拒否(DOS)攻撃、ICMP、UDP、SYN フラッドなどの攻撃を防止できます。詳細については、以下のトピックを参照してください。
テナント システム画面のオプションについて
画面オプションを使用して、デバイスは検査してゾーンを保護し、そのゾーンにバインドされたインターフェイスを超える必要があるすべての接続試行を許可または拒否します。Junos OS は、ファイアウォール ポリシーを適用します。ファイアウォール ポリシーには、コンテンツ フィルタリングと IDP コンポーネントを、スクリーン フィルターを通過するトラフィックに含めることができます。デバイスで使用可能なすべての画面オプションは、各テナント システムでも使用できます。
Junos OS リリース 18.3R1 以降、論理システムでサポートされている画面オプションがテナント システムに拡張されました。
「」も参照
例:テナント システムの画面オプションの設定
この例では、テナントシステムの画面オプションを設定する方法を示しています。
要件
開始する前に、以下を行います。
テナント システムの構成プロセスを理解します。このタスクが構成プロセス全体にどのように適合するかを理解するには、「 テナント システム構成の概要 」を参照してください。
テナント システムのゾーンを設定します。 テナント システムのゾーンを構成する方法については、「 テナント システムのセキュリティ ゾーン」を参照してください。
概要
画面オプションを使用することで、セキュリティ デバイスはセキュリティ ゾーンに対する内部攻撃と外部攻撃から保護できます。テナント システム内の同じ宛先 IP アドレスへの同時セッション数を制限できます。宛先ベースのセッション制限を設定することで、送信元が何であっても、1 つのホストに到達できる同時接続要求数のみを Junos OS で許可できます。IPアドレスへの同時接続要求の数が制限を超えた場合、Junos OSはそのIPアドレスへのさらなる接続試行をブロックします。
構成
手順
CLI クイックコンフィギュレーション
この例を迅速に設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを 階層レベルの [edit] CLI にコピー アンド ペーストして、設定モードから を入力 commit します。
set tenants TN1 security screen ids-option jscreen limit-session destination-ip-based 80 set tenants TN1 security screen ids-option jscreen icmp ip-sweep threshold 1000 set tenants TN1 security screen ids-option jscreen icmp fragment set tenants TN1 security screen ids-option jscreen icmp large set tenants TN1 security screen ids-option jscreen icmp flood threshold 200 set tenants TN1 security screen ids-option jscreen icmp ping-death set tenants TN1 security screen ids-option jscreen ip bad-option set tenants TN1 security screen ids-option jscreen ip stream-option set tenants TN1 security screen ids-option jscreen ip spoofing set tenants TN1 security screen ids-option jscreen ip strict-source-route-option set tenants TN1 security screen ids-option jscreen ip unknown-protocol set tenants TN1 security screen ids-option jscreen ip tear-drop set tenants TN1 security screen ids-option jscreen tcp syn-fin set tenants TN1 security screen ids-option jscreen tcp tcp-no-flag set tenants TN1 security screen ids-option jscreen tcp syn-frag set tenants TN1 security screen ids-option jscreen tcp port-scan threshold 1000 set tenants TN1 security screen ids-option jscreen tcp syn-ack-ack-proxy threshold 500 set tenants TN1 security screen ids-option jscreen tcp syn-flood alarm-threshold 500 set tenants TN1 security screen ids-option jscreen tcp syn-flood attack-threshold 500 set tenants TN1 security screen ids-option jscreen tcp syn-flood source-threshold 50 set tenants TN1 security screen ids-option jscreen tcp syn-flood destination-threshold 1000 set tenants TN1 security screen ids-option jscreen tcp syn-flood timeout 10 set tenants TN1 security screen ids-option jscreen tcp land set tenants TN1 security screen ids-option jscreen tcp winnuke set tenants TN1 security screen ids-option jscreen tcp tcp-sweep threshold 1000 set tenants TN1 security screen ids-option jscreen udp flood threshold 500 set tenants TN1 security screen ids-option jscreen udp udp-sweep threshold 1000 set tenants TN1 security zones security-zone untrust screen jscreen
手順
次の例では、設定階層内のさまざまなレベルに移動する必要があります。その方法の詳細については、 Junos OS CLIユーザーガイド の 設定モードでのCLIエディターの使用 を参照してください。
テナントシステムで宛先ベースのセッション制限を設定するには:
管理者としてテナント システムにログインし、設定モードに入ります。
user@host:TN1#> configure user@host:TN1#
テナントシステム名をTN1として定義し、宛先ベースのセッション制限の画面オプションを設定します。
[edit tenants TN1] user@host:TN1# set security screen ids-option jscreen limit-session destination-ip-based 80
ICMP スクリーニング オプションを設定します。
[edit tenants TN1 security screen ids-option jscreen] user@host:TN1# set icmp ip-sweep threshold 1000 user@host:TN1# set icmp fragment user@host:TN1# set icmp large user@host:TN1# set icmp flood threshold 200 user@host:TN1# set icmp ping-death
IP スクリーニング オプションを設定します。
[edit tenants TN1 security screen ids-option jscreen] user@host:TN1# set ip bad-option user@host:TN1# set ip stream-option user@host:TN1# set ip spoofing user@host:TN1# set ip strict-source-route-option user@host:TN1# set ip unknown-protocol user@host:TN1# set ip tear-drop
TCP スクリーニング オプションを設定します。
[edit tenants TN1 security screen ids-option jscreen] user@host:TN1# set tcp syn-fin user@host:TN1# set tcp tcp-no-flag user@host:TN1# set tcp syn-frag user@host:TN1# set tcp port-scan threshold 1000 user@host:TN1# set tcp syn-ack-ack-proxy threshold 500 user@host:TN1# set tcp syn-flood alarm-threshold 500 user@host:TN1# set tcp syn-flood attack-threshold 500 user@host:TN1# set tcp syn-flood source-threshold 50 user@host:TN1# set tcp syn-flood destination-threshold 1000 user@host:TN1# set tcp syn-flood timeout 10 user@host:TN1# set tcp land user@host:TN1# set tcp winnuke user@host:TN1# set tcp tcp-sweep threshold 1000
UDP スクリーニング オプションを設定します。
[edit tenants TN1 security screen ids-option jscreen] user@host:TN1# set udp flood threshold 500 user@host:TN1# set udp udp-sweep threshold 1000
IDS プロファイルをゾーンにアタッチします。
[edit tenants TN1] user@host:TN1# set security zones security-zone untrust screen jscreen
結果
設定モードから、 コマンドを入力して設定を show tenants TN1 security screen 確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
user@host# show tenants TN1 security screen
ids-option jscreen {
limit-session {
destination-ip-based 80;
}
}
ids-option jscreen {
icmp {
ip-sweep threshold 1000;
fragment;
large;
flood threshold 200;
ping-death;
}
ip {
bad-option;
stream-option;
spoofing;
strict-source-route-option;
unknown-protocol;
tear-drop;
}
tcp {
syn-fin;
tcp-no-flag;
syn-frag;
port-scan threshold 1000;
syn-ack-ack-proxy threshold 500;
syn-flood {
alarm-threshold 500;
destination-threshold 1000;
timeout 10;
}
land;
winnuke;
tcp-sweep threshold 1000;
}
udp {
flood {
threshold 500;
}
udp-sweep threshold 1000;
}
}
検証
設定が正常に機能していることを確認するには、以下のタスクを実行します。
セキュリティ画面のステータスの確認
目的
複数スクリーニングオプションの IDS プロファイルが正しく構成されていることを確認します。
アクション
設定が正常に機能していることを確認するには、動作モードから および show security zone tenant TN1コマンドをshow security screen ids-option jscreen tenant TN1入力します。
user@host> show security screen ids-option jscreen tenant TN1
Screen object status:
Name Value
ICMP flood threshold 200
UDP flood threshold 500
TCP winnuke enabled
TCP port scan threshold 1000
ICMP address sweep threshold 1000
TCP sweep threshold 1000
UDP sweep threshold 1000
IP tear drop enabled
TCP SYN flood attack threshold 500
TCP SYN flood alarm threshold 500
TCP SYN flood source threshold 50
TCP SYN flood destination threshold 1000
TCP SYN flood timeout 10
IP spoofing enabled
ICMP ping of death enabled
TCP land attack enabled
TCP SYN fragment enabled
TCP no flag enabled
IP unknown protocol enabled
IP bad options enabled
IP strict source route option enabled
IP stream option enabled
ICMP fragmentation enabled
ICMP large packet enabled
TCP SYN FIN enabled
TCP SYN-ACK-ACK proxy threshold 500
user@host> show security zone tenant TN1
Security zone: untrust
Send reset for non-SYN session TCP packets: Off
Policy configurable: Yes
Screen: jscreen
Interfaces bound: 0
Interfaces:意味
テナントシステムの画面ステータスが出力されます。