ユーザー論理システムの画面オプション
SRX シリーズ ファイアウォールのスクリーン オプションにより、IP アドレス スイープ、ポート スキャン、サービス拒否(DOS)攻撃、ICMP、UDP、SYN フラッドなどの攻撃を防止できます。詳細については、以下のトピックを参照してください。
論理システム画面オプションについて
Junos OSスクリーンオプションは、そのゾーンにバインドされたインターフェイスを超える必要があるすべての接続試行を検査し、許可または拒否することで、ゾーンを保護します。次に、Junos OSは、コンテンツフィルタリングとIDPコンポーネントを含めることができるファイアウォールポリシーを、スクリーンフィルターを通過するトラフィックに適用します。
デバイスで使用可能なすべての画面オプションは、各論理システムで使用できます。各ユーザー論理システム管理者は、ユーザー論理システムの画面オプションを設定できます。1 次管理者は、1 次論理システムおよびすべてのユーザー論理システムの画面オプションを構成できます。
ユーザー論理システム管理者は、ユーザー論理システム内のすべての画面オプションを構成および表示できます。ユーザー論理システム内のすべての画面オプションが、1 次管理者に表示されます。
「」も参照
例:ユーザー論理システムの画面オプションの設定
この例では、ユーザー論理システムの画面オプションを設定する方法を示します。
要件
開始する前に、以下を行います。
ユーザー論理システム管理者としてユーザー論理システムにログインします。 ユーザー論理システム構成の概要を参照してください。
ユーザー論理システムのゾーンを設定します。 例: ユーザー論理システムのセキュリティゾーンの設定を参照してください。
概要
この例では、「 例: ユーザー論理システム、管理者、ユーザー、および相互接続論理システムの作成」に示す ls-product-design ユーザー論理システムを設定します。
ユーザー論理システムで同じ宛先 IP アドレスへの同時セッション数を制限できます。宛先ベースのセッション制限を設定することで、送信元が何であっても、1 つのホストに到達できる同時接続要求数のみを Junos OS で確保できます。IPアドレスへの同時接続要求の数が制限を超えた場合、Junos OSはそのIPアドレスへのさらなる接続試行をブロックします。この例では、 表 1 で説明する画面オプションを作成します。
名前 |
設定パラメータ |
|---|---|
宛先セッションの制限 |
|
構成
手順
CLI クイックコンフィギュレーション
この例を迅速に設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを 階層レベルの [edit] CLI にコピー アンド ペーストして、設定モードから を入力 commit します。
set security screen ids-option limit-destination-sessions limit-session destination-ip-based 80 set security zones security-zone ls-product-design-untrust screen limit-destination-sessions
手順
次の例では、設定階層内のさまざまなレベルに移動する必要があります。その方法の詳細については、 Junos OS CLIユーザーガイド の 設定モードでのCLIエディターの使用 を参照してください。
ユーザー論理システムで宛先ベースのセッション制限を設定するには:
論理システム管理者としてユーザー論理システムにログインし、設定モードに入ります。
lsdesignadmin1@host:ls-product-design> configure lsdesignadmin1@host:ls-product-design#
宛先ベースのセッション制限の画面オプションを設定します。
[edit security] lsdesignadmin1@host:ls-product-design# set screen ids-option limit-destination-sessions limit-session destination-ip-based 80
画面オプションのセキュリティ ゾーンを設定します。
[edit security] lsdesignadmin1@host:ls-product-design# set zones security-zone ls-product-design-untrust screen limit-destination-sessions
結果
設定モードから、 および show security zone コマンドを入力して設定をshow security screen確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
簡潔にするために、この show コマンド出力には、この例に関連する設定のみが含まれています。システム上の他の設定はすべて省略記号(...)で置き換えられました。
lsdesignadmin1@host:ls-product-design# show security screen
ids-option limit-destination-sessions {
limit-session {
destination-ip-based 80;
}
}
lsdesignadmin1@host:ls-product-design# show security zones
security-zone ls-product-design-trust {
...
}
security-zone ls-product-design-untrust {
screen limit-destination-sessions;
...
}
デバイスの設定が完了したら、設定モードから を入力します commit 。