ユーザー論理システムの画面オプション
SRXシリーズファイアウォールの画面オプションは、IPアドレススイープ、ポートスキャン、サービス拒否(DOS)攻撃、ICMP、UDP、SYNフラッドなどの攻撃を防止します。詳細については、次のトピックを参照してください。
論理システムについて 画面オプション
Junos OSの画面オプションは、ゾーンにバインドされたインターフェイスを越える必要があるすべての接続試行を検査し、許可または拒否することでゾーンを保護します。その後、Junos OSは、コンテンツフィルタリングとIDPコンポーネントを含むことができるファイアウォールポリシーを、スクリーンフィルターを通過したトラフィックに適用します。
デバイスで使用可能なすべての画面オプションは、各論理システムで使用できます。各ユーザー論理システム管理者は、ユーザー論理システムの画面オプションを設定できます。プライマリ管理者は、プライマリ論理システムとすべてのユーザー論理システムの画面オプションを設定できます。
ユーザー論理システム管理者は、ユーザー論理システム内のすべての画面オプションを設定および表示できます。ユーザー論理システムのすべての画面オプションがプライマリ管理者に表示されます。
関連項目
例:ユーザー論理システム用の画面オプションの設定
この例では、ユーザー論理システムの画面オプションを設定する方法を示しています。
要件
始める前に:
ユーザー論理システム管理者としてユーザー論理システムにログインします。 ユーザー論理システム設定の概要を参照してください。
ユーザー論理システムのゾーンを設定します。 例:ユーザー論理システムのセキュリティゾーンの設定を参照してください。
概要
この例では、例: ユーザー論理システム、その管理者、そのユーザー、および相互接続論理システムの作成に示されている ls-product-design ユーザー論理システムを設定します。
ユーザー論理システム内の同じ宛先IPアドレスへの同時セッション数を制限できます。宛先ベースのセッション制限を設定することで、送信元に関係なく、Junos OSが任意の1つのホストに到達できる同時接続要求を許容可能な数だけ許可するようになります。IPアドレスへの同時接続要求の数が制限を超えると、Junos OSはそのIPアドレスへのそれ以上の接続試行をブロックします。この例では、 表 1 に示す画面オプションを作成します。
名前 |
設定パラメータ |
|---|---|
宛先セッションの制限 |
|
設定
手順
CLIクイックコンフィグレーション
この例をすばやく設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピー アンド ペーストして、設定モードから commit を入力します。
set security screen ids-option limit-destination-sessions limit-session destination-ip-based 80 set security zones security-zone ls-product-design-untrust screen limit-destination-sessions
ステップバイステップの手順
次の例では、設定階層のさまざまなレベルに移動する必要があります。その方法の詳細については、『Junos OS CLIユーザーガイド』の「 構成モードでのCLIエディターの使用 」を参照してください。
ユーザー論理システムで宛先ベースのセッション制限を設定するには:
論理システム管理者としてユーザー論理システムにログインし、設定モードに入ります。
lsdesignadmin1@host:ls-product-design> configure lsdesignadmin1@host:ls-product-design#
宛先ベースのセッション制限の画面オプションを設定します。
[edit security] lsdesignadmin1@host:ls-product-design# set screen ids-option limit-destination-sessions limit-session destination-ip-based 80
画面オプションのセキュリティゾーンを設定します。
[edit security] lsdesignadmin1@host:ls-product-design# set zones security-zone ls-product-design-untrust screen limit-destination-sessions
結果
設定モードから、 show security screen および show security zone コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
簡潔にするために、この show コマンド出力には、この例に関連する設定のみ含まれています。システム上のその他の設定はすべて省略記号(...)で置き換えられています。
lsdesignadmin1@host:ls-product-design# show security screen
ids-option limit-destination-sessions {
limit-session {
destination-ip-based 80;
}
}
lsdesignadmin1@host:ls-product-design# show security zones
security-zone ls-product-design-trust {
...
}
security-zone ls-product-design-untrust {
screen limit-destination-sessions;
...
}
デバイスの設定が完了したら、設定モードから commit を入力します。