Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
このページの内容
 

テナントシステムの概要

テナントシステムは、ルーティング、サービス、セキュリティ機能をサポートします。

機能エクスプローラーを使用して、特定の機能のプラットフォームとリリースのサポートを確認します。

プラットフォームに関連する注意事項については、「 プラットフォーム固有の論理システムとテナントシステムの動作 」セクションを参照してください。

詳細については、「 補足プラットフォーム情報 」セクションを参照してください。

テナントシステムについて

テナントシステムは、物理ファイアウォールを論理的に分割して、個別の分離された論理ファイアウォールに分割します。論理システムと似ていますが、テナントシステムは拡張性がはるかに高く、ルーティング機能は少ないです。デバイス上の各テナントシステムでは、セキュリティサービス用の個別の管理ドメインを制御できます。デバイスをマルチテナントシステムに変換することで、環境に応じて、さまざまな部門、組織、顧客、パートナーに、システムリソースの論理的に分離されたプライベートな使用と、セキュリティ構成とKPIのテナント固有のビューを提供できます。プライマリ管理者は、すべてのテナントシステムを作成および管理します。 図1 は、プライマリ論理システムと個別のテナントシステムを持つ単一のデバイスを示しています。

図1:テナントシステムDiagram of SRX Series Device architecture with Tenant Systems showing Master Logical System for routing management and three isolated Tenant Systems for multi-tenancy.

論理システムとテナントシステムの違い

表1は、論理システムとテナントシステムの主な違いを示しています。

表1:論理システムとテナントシステムの違い

機能性

論理システム

テナントシステム

機能サポート

すべてのルーティング機能をサポートし、最適なデータルーティングパスを提供します。

ルーティング機能と大規模なセキュリティ仮想化をサポートし、お客様の環境を隔離します。

ルーティングプロトコルプロセス

すべての論理システムには、デバイス上のリソースを論理的に分離するために、ルーティングプロトコルプロセスの個別のコピーが必要です。

プライマリ論理システムには、テナントシステムによって共有される単一のルーティングプロトコルプロセスがあります。この単一のルーティングプロトコルプロセスでサポートされているルーティングインスタンスは、ファイアウォール上のセキュリティリソースの分離を実現します。

ルーティングインスタンス

すべての論理システムに対してデフォルトのルーティングインスタンスが自動的に作成されます。

テナントシステムに設定された仮想ルーターは、デフォルトのルーティングインスタンスとして ping、 telnet、 ssh、 traceroute、 show arp、 clear arp、 show ipv6 neighbors、および clear ipv6 neighbors コマンドに渡されます。

論理インターフェイス設定

プライマリ管理者が論理インターフェイスを割り当て、論理システム管理者はインターフェイスの属性を設定できます。

テナントシステム管理者は、論理インターフェイスを設定することはできません。プライマリ管理者は、テナントシステムに論理インターフェイスを割り当てます。

論理システムとテナントシステムのユースケース

論理システムは、複数の仮想ルーターが必要な場合に使用されます。例えば、外部ネットワークに複数の接続があり、それらを同じ仮想ルーターに共存させることはできません。テナントシステムは、部門、組織、または顧客を分離する必要があり、それぞれを1つの仮想ルーターに制限できる場合に使用されます。論理システムとテナント システムの主な違いは、論理システムは複数のルーティング インスタンスを使用して高度なルーティング機能をサポートすることです。これに対し、テナントシステムは1つのルーティングインスタンスのみをサポートしますが、システムあたりはるかに多くのテナントの導入をサポートします。

マルチテナントシステムの導入シナリオ

マルチテナントシステムを実行するSRXシリーズファイアウォールは、MSSP(マネージドセキュリティサービスプロバイダ)、エンタープライズネットワーク、支社セグメントなど、多くの環境に展開できます。 表2は 、さまざまな導入シナリオと、そのようなシナリオでテナントシステムが果たす役割を示しています。

表2:テナントシステムに関する導入シナリオ

導入シナリオ

テナントシステムの役割

マネージドセキュリティサービスプロバイダ(MSSP)

  • MSSP(マネージドセキュリティサービスプロバイダ)では、データのプライバシーを保護するために、各顧客を他の顧客から分離することができます。定義されたサービスレベル合意(SLA)を必要とするお客様には、これらのSLAを満たすためにメモリとシステムリソースを割り当てることができます。

  • お客様は、コンプライアンスと制御のために、テナントシステムごとに個別のセキュリティポリシーを設定することができます。

エンタープライズネットワーク

  • テナントシステムは、企業内のワークグループ、部門、またはその他の組織構成に割り当てることができます。

  • テナントシステムは、企業のワークグループ、部門、または企業のその他の組織構造に対して、個別のセキュリティポリシーを定義できます。

支社セグメント

  • 支社/拠点では、テナントシステムが企業トラフィックとゲストトラフィックを個別に管理および分離できます。

  • 高度なセキュリティポリシーは、テナントシステムごとに設定できます。このアプローチにより、セキュリティポリシーを詳細に制御できます。

  • テナントシステムにより、管理とトラブルシューティングが容易になります。

テナントシステムのメリット

  • 組織に必要な物理デバイスの数を減らしてコストを削減します。1台のデバイス上でさまざまなユーザーグループ向けのサービスを統合し、ハードウェアコスト、消費電力、ラックスペースを削減できます。

  • テナントシステムレベルで分離と論理的な分離を提供します。管理分離によるテナントシステムを大規模に分離する機能を提供します。各テナントシステムは、他のテナントシステムに影響を与えることなく、独自のセキュリティ制御と制限を定義できます。

プライマリ管理者とテナントシステム管理者の役割と責任

プライマリ管理者は、すべてのテナントシステムを作成および管理します。プライマリ論理システムはルートレベルで作成され、単一のルーティングプロトコルプロセスが割り当てられます。このルーティングプロトコルプロセスは共有されますが、テナントシステムにより、ファイアウォール上で論理的なリソース分離が可能になります。デフォルトでは、すべてのシステムリソースがプライマリ論理システムに割り当てられ、プライマリ管理者はテナントシステム管理者にリソースを割り当てます。

注:

Junos OSコマンドラインリファレンスでは、プライマリ論理システムはルート論理システムと呼ばれます。

プライマリ論理システムによってサブテトされるテナントシステムが作成されます。プライマリ論理システムの下のすべてのテナントは単一のルーティングプロセスを共有しますが、各テナントシステムには単一のルーティングインスタンスがあります。 表3は 、プライマリ管理者とテナントシステム管理者の役割と責任を示しています。

表3:テナントシステムに関する役割と責任

ロール

定義

責任

プライマリ管理者

すべての論理システムとテナントシステムに対するスーパーユーザー設定および検証権限を持つユーザーアカウント。

  • すべての論理システムとテナントシステムを表示およびアクセスします。

  • すべてのテナントシステムのログインアカウントを作成し、適切なテナントシステムにログインアカウントを割り当てます。

  • リソースを作成し、テナントシステムに割り当てます。

  • テナントシステム下に、テナントシステムのデフォルトルーティングインスタンスとして機能するカスタムルーティングインスタンスを1つ作成します。

  • テナントシステムの下に仮想ルーターを作成し、テナントシステムに割り当てます。

  • テナントシステムに割り当てる論理インターフェイスを作成します。

  • プライマリ論理システム内のテナントシステムを管理します。

  • テナントシステム、ログ、トレースファイルの重複した名前が存在しないことを確認します。

テナントシステム管理者

すべての設定権限と検証権限を持つテナントシステムアカウント。

注:

テナントシステム管理者の設定と検証権限は、テナントシステム管理者を作成する際にプライマリ管理者が割り当てた権限によって異なります。要件に基づいて、異なる権限レベルでテナントシステムに対して複数のテナントシステム管理者を作成できます。

  • テナントシステムのリソースにアクセスして表示します。

  • 割り当てられたリソースとルーティングプロトコルを設定します。

  • スケジューラ、セキュリティプロファイル、セキュリティ機能を設定します。

テナントシステム管理者は、以下の権限をサポートしていません。

  • テナントシステムのアクセス制限とデフォルトのルーティングインスタンスを定義します。

  • 他のテナントシステムのリソースにアクセスして表示します。

  • テナントシステムに割り当てられたリソースの数を変更します。

  • 論理インターフェイス、仮想ルーター、ポリシーオプションを作成します。

関連項目

テナントシステム構成の概要

プライマリ管理者はテナントシステムを作成し、テナントシステムを管理する管理者を割り当てます。テナントシステムには、複数の管理者を含めることができます。テナントシステム管理者の役割と責任については、 テナントシステムについてで説明しています。

プライマリ管理者は、論理インターフェイスを設定し、それらのインターフェイスをテナントシステムに割り当てます。1つのルーティングインスタンスとルーティングプロトコルを設定し、ルーティングインスタンスにオプションを追加します。 テナントシステムのルーティングインスタンスの設定を参照してください。

テナントシステムには、独自の設定データベースがあります。設定が成功すると、変更は各テナントシステムのプライマリデータベースにマージされます。複数のテナントシステムが一度に設定変更を実行できます。一度に変更をコミットできるのは 1 つのテナントだけです。プライマリ管理者とテナントシステム管理者が同時に設定変更を実行する場合、プライマリ管理者が実行した設定変更は、テナントシステム管理者が実行した設定変更よりも上書きされます。

次の手順では、テナントシステムのセキュリティ機能を設定するためにテナントシステム管理者が実行するタスクについて説明します。

  1. SSHサービスを使用してデバイスにアクセスし、プライマリ管理者から提供されたログインIDとパスワードでテナントシステムにログインします。

    認証後、「>」プロンプトが表示されれば、CLI動作モードにアクセスしたことを示します。プロンプトの前に、ユーザー名、デバイスのホスト名、テナントシステムの名前を含む文字列が続きます。CLIが起動すると、動作モードの最上位レベルになります。

  2. configureコマンドを入力して、設定モードにアクセスします。
  3. quitコマンドを入力して設定モードを終了し、CLI動作モードに戻ります。
  4. 必要に応じて、テナントシステムに以下のセキュリティ機能を設定します。

    • テナントシステムのゾーンを作成し、論理インターフェイスをゾーンにバインドします。アドレス帳を作成し、セキュリティポリシーで使用します。 例:テナントシステムでゾーンを設定するを参照してください。

    • ゾーンレベルで画面オプションを設定します。 例:テナントシステムの画面オプションの設定を参照してください。

    • テナントシステム内のゾーン間のセキュリティポリシーを設定します。 例:テナントシステムでのセキュリティポリシーの設定を参照してください。

      特定のタイプのトラフィックに対して、カスタムアプリケーションまたはアプリケーションセットを作成できます。カスタムアプリケーションを作成するには、[edit applications]階層レベルでapplication設定ステートメントを使用します。アプリケーションセットを作成するには、[edit applications]階層レベルでapplication-set設定ステートメントを使用します。

    • テナントシステムへのファイアウォール認証を設定します。プライマリ管理者は、プライマリ論理システムでアクセスプロファイルを作成します。次に、テナントシステム管理者は、トラフィックを照合するファイアウォール認証を指定するセキュリティポリシーを設定し、認証のタイプ(パススルーまたはWeb認証)、デフォルトのアクセスプロファイル、および成功バナーを設定します。 テナントシステムのファイアウォール認証の設定を参照してください。

    • テナントシステムのネットワークアドレス変換(NAT)を設定します。 例:テナントシステムのネットワークアドレス変換の設定を参照してください。

    • テナントシステムのアプリケーション層ゲートウェイ(ALG)を設定します。 例:テナントシステムにおけるALGの設定を参照してください。

    • テナントシステムの侵入検出および防止(IDP)ポリシーと攻撃を設定します。 例:テナントシステム向けのIDPポリシーと攻撃の設定を参照してください。

テナントシステムのルーティングインスタンスの設定

ルーティングインスタンスは、ルーティングテーブル、インターフェイス、ルーティングプロトコルパラメーターの集合体です。ルーティングインスタンスとルーティングプロトコルパラメーターに属する一連のインターフェイスが、ルーティングインスタンス内の情報を制御します。テナントシステムは、割り当てられたルーティングインスタンスと、テナントシステム内のルーティングインスタンスに属するインターフェイスを設定することができます。

注:

テナントシステムに対して作成できるルーティングインスタンスは1つだけです。

以下の手順では、テナントシステムのルーティングテーブルでルーティングインスタンスとルーティングテーブルを設定する手順について説明します。

  1. TSYS1という名前のテナントシステムを作成します。
  2. ルーティングインスタンス r1 を作成し、テナントシステムにルーティングインスタンスタイプを割り当てます。
  3. ルーティングインスタンスのインターフェイス名を指定します。
  4. ルーティングインスタンスのルーティングオプションを指定します。
  5. 設定をコミットします。

テナントシステム TSYS1の設定を表示するには、 show tenants TSYS1 コマンドを実行します。

show tenants TSYS1コマンドは、テナントシステムTSYS1に設定されているすべてのルーティングインスタンスパラメーターを表示します。

テナントシステムのルーティングとインターフェイスについて

ルーティングインスタンスは、ルーティングテーブル、インターフェイス、ルーティングプロトコルパラメーターの集合体です。インターフェイスは、ルーティングインスタンスのデータを転送し、ルーティングプロトコルを使用して他のピア(SRXシリーズファイアウォール)からルーティング情報を学習するために使用されます。

論理インターフェイス(IFL)は、次のいずれかのレベルで定義できます。

  • グローバルレベル(ルート論理システム)

  • ユーザー論理システムレベル

  • テナントシステムレベル(リリースJunos OS 18.4R1以降)

グローバルレベルで定義されたIFLは、ルート論理システムまたはテナントシステムの1つで使用できます。テナントシステムで定義されたIFLは、そのテナントシステムでのみ使用できます。

デフォルトのルーティングインスタンスは、テナントシステムでは使用できません。そのため、テナントシステム用にカスタムルーティングインスタンスを作成する場合は、そのテナントシステムで定義されているすべてのインターフェイスをそのルーティングインスタンスに追加する必要があります。

概要:テナントシステム用のルーティングとインターフェイスの設定

この概要では、テナントシステムのインターフェイスとルーティングインスタンスを設定する方法を示しています。

要件

始める前に:

  • 割り当てる論理インターフェイスと、オプションで割り当てる論理トンネルインターフェイスを決定します。テ ナントシステム構成の概要を参照してください。

概要

以下の手順では、テナントシステム内のルーティングテーブルにルーティングインスタンスとルーティングテーブルを設定する手順について説明します。

このトピックでは、 表4で説明するインターフェイスとルーティングインスタンスを設定します。

表4:ユーザーテナントシステムインターフェイスとルーティングインスタンスの設定

機能

名前

設定パラメータ

インターフェース

ge-0/0/2.1

ge-0/0/2.2

ge-0/0/2.3

  • IPアドレス 10.0.0.1/24

  • IPアドレス 10.0.0.2/24

  • IPアドレス:10.0.0.3/24

ルーティングインスタンス

R1

R2

  • インスタンスタイプ:仮想ルーター

  • インターフェイスge-0/0/2.1、ge-0/0/2.3、ge-0/0/2.2を含む

設定

手順
CLIクイックコンフィグレーション

この例をすばやく設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピー アンド ペーストして、設定モードから commit を入力します。

ステップバイステップの手順

次の例では、設定階層のさまざまなレベルに移動する必要があります。その方法の詳細については、『Junos OS CLIユーザーガイド』の「 構成モードでのCLIエディターの使用 」を参照してください。

ユーザー論理システムでインターフェイスとルーティングインスタンスを設定するには:

  1. VLANタグ付けをサポートするようにインターフェイスを設定します。

  2. ルートレベルでIFLを設定します。

  3. TSYS1という名前のテナントシステムを作成します。

  4. テナントシステムTSYS1でインターフェイスを定義します。

  5. ルーティングインスタンス r1 を作成し、テナントシステムにルーティングインスタンスタイプを割り当てます。

  6. ルーティングインスタンスのインターフェイス名を指定します。

  7. TSYS2という名前のテナントシステムを作成します。

  8. テナントシステムTSYS2でインターフェイスを定義します。

  9. ルーティングインスタンス r2 を作成し、テナントシステムにルーティングインスタンスタイプを割り当てます。

  10. ルーティングインスタンスのインターフェイス名を指定します。

  11. 設定をコミットします。

結果

設定モードから、 show interfaces および show tenants コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。

show tenantsコマンドは、テナントシステムTSYS1とTSYS2で定義されているすべてのインターフェイスと、両方のテナントシステムに設定されたルーティングインスタンスパラメーターを表示します。

関連項目

テナント システム セキュリティ プロファイルについて(プライマリ管理者のみ)

テナントシステムを使用すると、サポートされているSRXシリーズファイアウォールを複数のデバイスに仮想的に分割して、侵入や攻撃から保護し、独自のコンテキスト外の障害状態から保護できます。テナント システムを保護するために、セキュリティ リソースは、個別デバイスの場合と同様の方法で構成されます。ただし、プライマリ管理者はテナントシステムにリソースを割り当てます。

テナントシステムを実行するSRXシリーズファイアウォールは、テナントシステム、必要に応じて相互接続されたテナントシステム、デフォルトのプライマリ論理システムに分割できます。システムが初期化されると、プライマリ論理システムがルートに作成されます。すべてのシステムリソースが割り当てられ、デフォルトのプライマリ論理システムセキュリティプロファイルが効果的に作成されます。テナントシステム全体にセキュリティリソースを分散するために、プライマリ管理者は、テナントシステムに割り当てるリソースを指定するセキュリティプロファイルを作成します。セキュリティプロファイルを設定し、テナントシステムにバインドできるのは、プライマリ管理者だけです。テナントシステム管理者は、これらのリソースをそれぞれのテナントシステムに使用します。

テナントシステムは、セキュリティコンポーネント、インターフェイス、ルーティングインスタンス、静的ルート、動的ルーティングプロトコルなど、割り当てられたリソースによって定義されます。プライマリ管理者は、セキュリティプロファイルを設定し、テナントシステムに割り当てます。セキュリティプロファイルが割り当てられていないテナントシステム設定をコミットすることはできません。

このトピックでは、次のセクションについて説明します。

テナントシステムのセキュリティプロファイル

プライマリ管理者は、セキュリティプロファイルを設定し、特定のテナントシステムまたは複数のテナントシステムに割り当てることができます。設定できるセキュリティプロファイルの最大数は、SRXシリーズファイアウォールの容量によって異なります。セキュリティプロファイルの最大数が作成された場合、別のセキュリティプロファイルを作成してコミットする前に、セキュリティプロファイルを削除し、設定変更をコミットする必要があります。多くの場合、1つのセキュリティプロファイルを複数のテナントシステムにバインドできるため、必要なセキュリティプロファイルの数を少なくて済みます。

セキュリティプロファイルを使用すると、次のことが可能になります。

  • ポリシー、ゾーン、アドレスとアドレス帳、フローセッション、さまざまな形式のNATなど、デバイスのリソースをすべてのテナントシステムで適切に共有します。テナントシステムにさまざまな量のリソースを割り当て、テナントシステムがリソースを有効活用できるようにします。

    セキュリティプロファイルは、1つのテナントシステムが他のテナントシステムで同時に必要なリソースを使い果たしないように保護します。セキュリティプロファイルは、重要なシステムリソースを保護し、デバイスにトラフィックフローが多いときにテナントシステム間で優れたパフォーマンスを維持します。セキュリティプロファイルは、1つのテナントシステムがリソースの使用を支配するのを防ぎ、他のテナントシステムがリソースを効果的に使用できるようにします。

  • 追加のテナント システムを作成できるように、スケーラブルな方法でデバイスを構成します。

テナントシステムを削除する前に、テナントシステムのセキュリティプロファイルを削除する必要があります。

テナントシステム全体でのリソース割り当てと使用状況をシステムがどのように評価するかを理解する

テナントシステムにセキュリティ機能をプロビジョニングするには、プライマリ管理者が各セキュリティ機能のリソースを指定するセキュリティプロファイルを設定します。

  • 指定されたリソース量をテナントシステムで常に利用できることを保証する予約済みクォータ。

  • 許可される最大クォータ。テナントシステムが予約されたクォータを超える追加のリソースを必要とする場合、グローバルリソースが他のテナントシステムに割り当てられていない場合、グローバル最大量に設定されたリソースを活用できます。許可される最大クォータは、セキュリティプロファイルのリソースに指定された量が利用可能であることを保証するものではありません。テナントシステムは、利用可能なリソースに基づいて、グローバルリソースを効果的に活用する必要があります。

リソースに予約されたクォータが構成されていない場合、デフォルト値は0です。リソースに最大許容クォータが構成されていない場合、デフォルト値はリソースのグローバルシステムクォータです(グローバルシステムクォータはプラットフォームによって異なります)。プライマリ管理者は、特定のテナントシステムの最大リソース使用量がデバイスに設定された他のテナントシステムに悪影響を及ぼさないように、セキュリティプロファイルで適切な最大許容クォータ値を設定する必要があります。

システムは、予約、使用され、テナントシステムが削除されたときに再び使用可能になる、割り当てられたすべてのリソースの数を保持します。このカウントは、リソースがテナントシステムに使用できるかどうか、またはセキュリティプロファイルを介して既存のテナントシステムに割り当てられるリソースの量を増やすかどうかを決定します。

セキュリティプロファイルで設定されたリソースは、静的リソース、モジュラーリソース、または動的リソースとして特徴付けられます。静的リソースの場合、テナント システムのスケーラブルな構成を可能にするために、リソースの最大クォータを予約済みクォータとして指定された量と同じかそれに近い量に設定することをお勧めします。リソースの最大クォータは、そのリソースの大部分にアクセスできることでテナント システムの柔軟性を高めますが、他のテナント システムに割り当てることができるリソースの量は制限されます。

セキュリティプロファイルでは、以下のセキュリティ機能リソースを指定できます。

  • セキュリティゾーン

  • セキュリティポリシーのアドレスとアドレス帳

  • アプリケーションファイアウォールルールセット

  • アプリケーションファイアウォールルール

  • ファイアウォール認証

  • フローセッションとゲート

  • NAT には以下が含まれます。

    • コーン NAT バインディング

    • NAT宛先ルール

    • NAT宛先プール

    • ポートアドレス変換(PAT)のない送信元プール内のNAT IPアドレス

      注:

      PATのないIPv6送信元プールのIPv6アドレスは、セキュリティプロファイルに含まれません。

    • PATを使用した送信元プール内のNAT IPアドレス

    • NATポートの過負荷

    • NATソースプール

    • NAT送信元ルール

    • NAT静的ルール

注:

フローセッションを除くすべてのリソースは静的です。

セキュリティプロファイルが他のテナントシステムに割り当てられている間に、テナントシステムのセキュリティプロファイルを動的に変更できます。ただし、システムリソースクォータを超えないようにするために、システムは以下のアクションを実行します。

  • 静的クォータが変更された場合、セキュリティプロファイルで指定されたリソースのテナントシステムカウントを維持するシステムプロセスは、その後、静的クォータに関連付けられたプロファイルに割り当てられたセキュリティプロファイルを再評価します。このチェックでは、すべてのテナント システムに割り当てられたリソースの数を特定し、割り当てられたリソースが使用可能かどうか (増加した量も含めて) を判断します。

    これらのクォータチェックは、テナントシステムを追加してセキュリティプロファイルをバインドするときにシステムが実行するクォータチェックと同じです。また、現在割り当てられているセキュリティプロファイルとは異なるセキュリティプロファイルを既存のテナントシステム(またはプライマリ論理システム)にバインドする場合にも実行されます。

  • 動的クォータが改訂された場合、チェックは実行されませんが、改訂されたクォータは将来のリソース使用量に課されます。

ケース: セキュリティ プロファイルを通じて割り当てられた予約済みリソースの評価

セキュリティプロファイルを介して予約されたリソースの割り当てをシステムがどのように評価するかを理解するために、 表6 で説明した以下の3つのケースと、リソースとゾーンの割り当てについて考えてみましょう。例をシンプルにするために、security-profile-1 には 10 個のゾーン(4 つのリザーブド ゾーンと 6 つの最大ゾーン)が割り当てられています。この例では、指定した最大量(6つのゾーン)がテナントシステムで使用可能であることを前提としています。システムの最大ゾーン数は10です。

この3つのケースは、テナントシステム全体の構成に対処します。この3つのケースは、ゾーンの割り当てに基づいて、設定がコミットされたときに設定が成功するか失敗するかを検証します。

表5は 、セキュリティプロファイルとそのゾーン割り当てを示しています。

表5:予約済みリソースの評価に使用されるセキュリティプロファイル

設定ケースで使用される2つのセキュリティプロファイル

セキュリティプロファイル-1

  • ゾーンの予約済みクォータ = 4

  • ゾーンの最大クォータ = 6

注:

プライマリ管理者は、後でこのプロファイルで指定された予約ゾーン数を動的に増やします。

プライマリ論理システムプロファイル

  • ゾーンの最大クォータ = 10

  • 予約済みクォータなし

表6は 、セキュリティプロファイル設定に基づき、テナントシステム全体のゾーンの予約リソースをどのように評価するかを示す3つのケースを示しています。

  • 最初のケースの設定は、すべてのテナントシステムにバインドされたセキュリティプロファイルで構成されたゾーンの累積予約リソースクォータが8であり、システムの最大リソースクォータを下回っているため、成功します。

  • すべての論理システムにバインドされたセキュリティプロファイルで設定されたゾーンの累積予約リソースクォータが12であり、これはシステムの最大リソースクォータよりも大きいため、2番目のケースの設定は失敗します。

  • すべてのテナントシステムにバインドされたセキュリティプロファイルで構成されたゾーンの累積予約リソースクォータが12であり、これはシステムの最大リソースクォータよりも大きいため、3番目のケースの設定は失敗します。

表6:テナントシステム全体の予約リソース割り当て評価

テナントシステム全体の予約リソースクォータチェック

例 1: 成功

この設定は、4+4+0=8、最大容量=10の範囲内です。

使用されるセキュリティプロファイル

  • セキュリティプロファイルsecurity-profile-1は、tenant-system-1とtenant-system-2の2つのテナントシステムにバインドされています。

  • プライマリ論理システムプロファイルは、プライマリ論理システム専用に使用されます。

  • tenant-system-1 = 4 リザーブドゾーン。

  • tenant-system-2 = 4 リザーブドゾーン。

  • primary-logical-system = 0 予約ゾーン。

例2:失敗

この設定は範囲外です:4+4+4=12、最大容量=10。

  • tenant-system-1 = 4 リザーブドゾーン。

  • tenant-system-2 = 4 リザーブドゾーン。

  • primary-logical-system = 0 予約ゾーン。

  • new-tenant-system = 4 リザーブドゾーン。

セキュリティプロファイル

  • セキュリティプロファイルsecurity-profile-1は、tenant-system-1とtenant-system-2の2つのテナントシステムにバインドされています。

  • プライマリ論理システムプロファイルは、プライマリ論理システムにバインドされ、プライマリ論理システム専用に使用されます。

  • プライマリ管理者は、new-tenant-systemと呼ばれる新しいテナントシステムを設定し、security-profile-1をそれにバインドします。

例3:失敗

この設定は範囲外です:6+6=12、最大容量=10。

プライマリ管理者は、security-profile-1の予約ゾーンクォータを変更し、カウントを6に増やします。

  • tenant-system-1 = 6 リザーブドゾーン。

  • tenant-system-2 = 6 リザーブドゾーン。

  • primary-logical-system = 0 予約ゾーン。

例:テナントシステム、テナントシステム管理者、相互接続VPLSスイッチの作成

この例では、テナント システム、テナント システム管理者、相互接続 VPLS スイッチを作成する方法を示します。テナントシステム管理者用のユーザーログインアカウントを作成し、VPLSスイッチを相互接続できるのはプライマリ管理者だけです。

要件

この例では、以下のハードウェアおよびソフトウェアコンポーネントを使用しています。

  • テナントシステム、テナントシステム管理者、相互接続VPLSスイッチの作成を開始する前に、 テナントシステムの概要 を読んで、このタスクが設定プロセス全体にどのように適合するかを理解してください。

概要

この例では、テナントシステム TSYS1、 TSYS2、 TSYS3、およびそれらのテナントシステム管理者を作成する方法を示しています。要件に基づいて、異なる権限レベルでテナントシステムに対して複数のテナントシステム管理者を作成できます。

このトピックでは、同じデバイス上でテナントシステム1つを別のテナントシステムに接続する相互接続仮想プライベートLANサービス(VPLS)スイッチについても説明します。VPLSスイッチにより、トランジットトラフィックとテナントシステムで終端されたトラフィックの両方がテナントシステム間で通過できるようになります。テナントシステム間でトラフィックを通過できるようにするには、論理トンネル(lt-0/0/0)インターフェイスを同じサブネットに設定する必要があります。

トポロジー

図2は、テナントシステムに導入および設定されたSRXシリーズファイアウォールを示しています。設定例では、静的ルーティングを使用して、PC がインターネットに到達できるようにします。

図2:テナントシステムの作成とVPLSスイッチの相互接続 Creating Tenant Systems and Interconnect VPLS Switch

SRXのフルクイックコンフィグレーション

論理システムとテナントシステムの設定、およびVPLSスイッチの相互接続

CLIクイックコンフィグレーション

この例を簡単に設定するには、以下のコマンドをコピーしてテキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報をインターフェイスとユーザーパスワードを含めるように変更します。次に、コマンドを [edit] 階層レベルのCLIにコピーアンドペーストし、設定モードから commit を入力します。

ステップバイステップの手順

次の例では、設定階層のさまざまなレベルに移動する必要があります。その方法の詳細については、『CLIユーザーガイド』の「構成モードでのCLIエディターの使用」を参照してください。ステップバイステップの手順では、1つのテナントの設定のみについて説明します。

  1. 各テナントのログインユーザーアカウントを作成します。テナント TSYS1 ユーザーアカウントを作成する手順のみを示します。

    1. ユーザーログインクラスを作成し、テナントシステムに割り当てます。

    2. ログインクラスに権限レベルを割り当てます。この例では、テナントシステム管理者にフルアクセスを許可するレベル all を使用します。

    3. ユーザーアカウントを作成し、前の手順のクラスに割り当てます。これにより、ユーザーはテナントシステムにログインできるようになります。

    4. ユーザーアカウントのユーザーログインパスワードを作成します。

  2. VPLS スイッチを設定します。VPLSスイッチにより、トランジットトラフィックとテナントシステムで終端されたトラフィックの両方が、単一の論理トンネルでテナントシステム間を通過できるようになります。テナントシステム間のトラフィックを許可するには、論理トンネルインターフェイスを同じサブネット内に設定する必要があります。

    1. 論理トンネルインターフェイスを設定します。

    2. VPLS スイッチのルーティング インスタンスを設定し、論理トンネル インターフェイスを割り当てます。

  3. テナントシステムを設定します。ここでは、1 つのテナントの設定のみを示します。

    1. テナントに関連するインターフェイスを設定します。

    2. テナント、ルーティングインスタンス、スタティックルーティングを設定し、インターフェイスを割り当てます。

  4. セキュリティプロファイルを設定します。この例では、論理システムとテナントシステムを設定するために必要な最小限の設定のみを示しています。

  5. 論理システムを設定します。この相互接続 VPLS スイッチを使用する例では、論理システムが必要です。

    1. インターフェイスを設定します。

    2. 静的ルートを設定します。

  6. テナントからインターネットへのトラフィックフローを許可するように、論理システムでセキュリティゾーンとポリシーを設定します。論理システムとテナントシステムの両方に追加のセキュリティポリシーを設定して、テナント間のトラフィックを許可することができます。

    1. セキュリティゾーンを設定します。

    2. セキュリティポリシーを設定します。

  7. インターネットへのトラフィックフローを許可するように、各テナントシステムでセキュリティゾーンとポリシーを設定します。

    1. セキュリティゾーンを設定します。

    2. セキュリティポリシーを設定します。

結果

設定モードから、 show tenants TSYS1 コマンドを入力して設定を確認し、テナントシステムが作成されていることを確認します。 show system login class TSYS1admin1 コマンドを入力して、定義した各クラスの権限レベルを表示します。テナントシステム管理者が作成されていることを確認するには、 show system login user TSYS1admin1 コマンドを入力します。VPLS スイッチの相互接続用のインターフェイスが作成されていることを確認するには、 show interfaces コマンドを入力します。 show logical-systems を入力して、ルート論理システム設定を検証します。

出力に意図した設定が表示されない場合は、これらの例の設定手順を繰り返して修正します。デバイスの設定が完了したら、設定モードから commit を入力します。

検証

設定が正常に機能していることを確認します。

プライマリ管理者を使用したテナント システムとログイン設定の確認

目的

テナントシステムが存在すること、およびプライマリ管理者としてrootから入力できることを確認します。テナントシステムからルートに戻ります。

アクション

動作モードから、次のコマンドを使用してテナントシステム TSYS1を入力します。

これで、テナントシステム TSYS1に入力されました。ルートに TSYS1 するテナントシステムから終了するには、次のコマンドを使用します。

意味

テナントシステムが存在し、プライマリ管理者としてルートからテナントシステムに入ることができます。

SSHを使用したテナントシステムとログイン設定の確認

目的

作成したテナントシステムが存在すること、および作成した管理者ログインIDとパスワードが正しいことを確認します。

アクション

SSHを使用して、各ユーザー、テナント、システム管理者にログインします。

  1. SRXシリーズファイアウォールのIPアドレスを指定してSSHを実行します。

  2. 作成したテナントシステム管理者のログインIDとパスワードを入力します。ログインすると、プロンプトにテナントシステム管理者名が表示されます。この結果が、ルートのプライマリ論理システムからテナントシステムにログインしたときに生成される結果とどのように異なるかに注目してください。すべてのテナントシステムに対してこの手順を繰り返します。

意味

テナントシステム管理者 TSYS1admin1 存在し、テナントシステム管理者としてログインできます。

PC1のインターネットへの接続の確認

目的

エンドツーエンドの接続性を検証します。

アクション

PC1 からインターネットへの traceroute に ping を実行し、実行します。この例では、インターネットは192.168.10.254です。

  1. PC1からpingを実行します。

  2. PC1からtracerouteを実行します。

意味

PC1はインターネットにアクセスできます。

関連項目

プラットフォーム固有の 論理システム と テナントシステムの 動作

機能エクスプローラーを使用して、特定の機能のプラットフォームとリリースのサポートを確認します。

詳細については、「 補足プラットフォーム情報 」セクションを参照してください。

プラットフォーム固有の動作を確認するには、以下の表を使用して下さい。

表7:プラットフォーム固有の動作

プラットフォーム

違い

SRXシリーズ

  • テナントシステムをサポートするSRX5000シリーズファイアウォールは、第3世代サービス処理カード(SRX5KSPC3)と第2世代サービス処理カード(SRX5K-SPC-4-15-320)の組み合わせを備えたセキュリティサービスゲートウェイをサポートします。

  • SRXシリーズファイアウォールは、以下の拡張性機能をサポートしています。

    • 物理SRXシリーズファイアウォールには、SRX1500ファイアウォールとSRX4200ファイアウォールを除き、最大32の論理システムを設定できます。

    • SRX1500およびSRX4200ファイアウォールは、27個の論理システムしか設定できません。

    • 物理的なSRXシリーズファイアウォールには、最大500のテナントシステムを設定できます。

補足プラットフォーム情報

機能エクスプローラーを使用して、特定の機能のプラットフォームとリリースのサポートを確認します。追加のプラットフォームがサポートされる場合があります。

プラットフォームに関連する注意事項については、「 プラットフォーム固有の論理システムとテナントシステムの動作 」セクションを参照してください。

容量 カードを備えたファイアウォールSRX5400 SRX1600
表8:補足プラットフォーム情報
SRX1500 SRX4120 SRX2300 SPC2カードを備えたSRX5600 SRX5800ファイアウォール SRX5400 SPC3カードを備えたSRX5600 SRX5800ファイアウォール SRX5400 SPC2カードを備えたSRX5600 SRX5800ファイアウォールvSRX SPC3 SRX4600 SRX4100 SRX4200

論理システム容量

27

32

32

32

27

32

32

32

32

 8
テナントシステムの容量 Junos OSリリース20.1R1以降

50

     200 200 300 100 500 100 42
テナントシステムの容量 Junos OSリリース23.4R1以降   50 200              

関連ドキュメント

変更履歴テーブル

サポートされる機能は、使用しているプラットフォームとリリースによって決まります。 機能エクスプローラー を使用して、機能がお使いのプラットフォームでサポートされているかどうかを確認します。

リリース
説明
20.1R1
Junos OSリリース20.1R1以降、メモリ容量が16GB以上で、ルーティングエンジンに少なくとも2つのCPUを備えたvSRX仮想ファイアウォールとvSRX3.0インスタンスは、論理システムとテナントシステムをサポートします。
19.2R1
リリース19.2R1以降Junos OS、テナントシステムに設定された仮想ルーターは、デフォルトのルーティングインスタンスとして ping、 telnet、 ssh、 traceroute、 show arp、 clear arp、 show ipv6 neighbors、および clear ipv6 neighbors コマンドに渡されます。