論理システムのユーザー認証
論理システムのユーザー認証では、ファイアウォールユーザーを定義し、パススルー認証またはWeb認証の2つの認証スキームのいずれかによる認証をユーザーに要求するポリシーを作成できます。詳細については、次のトピックを参照してください。
例:アクセスプロファイルの設定(プライマリ管理者のみ)
プライマリ管理者は、プライマリ論理システムでアクセスプロファイルを設定します。この例では、アクセスプロファイルを設定する方法を示しています。
要件
始める前に:
プライマリ論理システムにプライマリ管理者としてログインします。 プライマリ論理システムとプライマリ管理者の役割についてを参照してください。
ファイアウォールユーザー認証の概要をご覧ください。
概要
この例では、論理システムユーザーのLDAP認証用のアクセスプロファイルを設定します。この例では、 表 1 に示すアクセスプロファイルを作成します。
プライマリ管理者がアクセスプロファイルを作成します。
名前 |
設定パラメータ |
|---|---|
LDAP1 |
|
設定
手順
CLIクイックコンフィグレーション
この例をすばやく設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピー アンド ペーストして、設定モードから commit を入力します。
プライマリ管理者としてログインする必要があります。
set access profile ldap1 authentication-order ldap set access profile ldap1 ldap-options base-distinguished-name ou=people,dc=example,dc=com set access profile ldap1 ldap-options assemble common-name uid set access profile ldap1 ldap-server 10.155.26.104 port 389
ステップバイステップの手順
次の例では、設定階層のさまざまなレベルに移動する必要があります。その方法の詳細については、『CLIユーザーガイド』の「構成モードでのCLIエディターの使用」を参照してください。
プライマリ論理システムでアクセスプロファイルを設定するには:
プライマリ論理システムにプライマリ管理者としてログインし、設定モードに入ります。
admin@host> configure admin@host#
アクセスプロファイルを設定し、認証順序を設定します。
[edit access profile ldap1] admin@host# set authentication-order ldap
LDAPオプションを設定します。
[edit access profile ldap1] admin@host# set ldap-options base-distinguished-name ou=people,dc=example,dc=com admin@host# set ldap-options assemble common-name uid
LDAPサーバーを設定します。
[edit access profile ldap1] admin@host# set ldap-server 10.155.26.104 port 389
結果
設定モードから、 show access profile profile-name コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
admin@host# show access profile ldap1
authentication-order ldap;
ldap-options {
base-distinguished-name ou=people,dc=example,dc=com;
assemble {
common-name uid;
}
}
ldap-server {
10.155.26.104 port 389;
}
デバイスの設定が完了したら、設定モードから commit を入力します。
例:プライマリ論理システムのセキュリティ機能の設定
この例では、プライマリ論理システムに対してゾーン、ポリシー、ファイアウォール認証などのセキュリティ機能を設定する方法を示します。
要件
始める前に:
-
プライマリ論理システムにプライマリ管理者としてログインします。 例:論理システムのrootパスワードの設定を参照してください。
-
show system security-profileコマンドを使用して、プライマリ論理システムに割り当てられているリソースを確認します。 -
プライマリ論理システムの論理インターフェイスを設定します。 例:プライマリおよび相互接続論理システム用のインターフェイス、ルーティングインスタンス、静的ルートの設定、およびユーザー論理システムの論理トンネルインターフェイス(プライマリ管理者のみ)を参照してください。
-
プライマリ論理システムでアクセスプロファイルldap1を設定します。ldap1アクセスプロファイルは、ファイアウォールユーザーのWeb認証に使用されます。
概要
この例では、例: ユーザー論理システム、その管理者、そのユーザー、相互接続論理システムの作成に示すように、root-logical-systemと呼ばれるプライマリ論理システムのセキュリティ機能を設定します。この例では、 表 2 に示すセキュリティ機能を設定します。
| 機能 |
名前 |
設定パラメータ |
|---|---|---|
| ゾーン |
LSルートトラスト |
インターフェイスge-0/0/4.0にバインドします。 |
| ls-root-untrust |
インターフェイスlt-0/0/0.1にバインドします。 |
|
| アドレス帳 |
root内部 |
|
| root-external |
|
|
| セキュリティポリシー |
ユーザーへの許可lsys |
以下のトラフィックを許可します。
|
| 許可権限ユーザー |
以下のトラフィックを許可します。
|
|
| ファイアウォール認証 |
|
|
| HTTPデーモン |
インターフェイスge-0/0/4.0でアクティブにします。 |
設定
手順
CLIクイックコンフィグレーション
この例をすばやく設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピー アンド ペーストして、設定モードから commit を入力します。
set security address-book root-internal address masters 10.12.12.0/24 set security address-book root-internal attach zone ls-root-trust set security address-book root-external address design 10.12.1.0/24 set security address-book root-external address accounting 10.14.1.0/24 set security address-book root-external address marketing 10.13.1.0/24 set security address-book root-external address-set userlsys address design set security address-book root-external address-set userlsys address accounting set security address-book root-external address-set userlsys address marketing set security address-book root-external attach zone ls-root-untrust set security policies from-zone ls-root-trust to-zone ls-root-untrust policy permit-to-userlsys match source-address masters set security policies from-zone ls-root-trust to-zone ls-root-untrust policy permit-to-userlsys match destination-address userlsys set security policies from-zone ls-root-trust to-zone ls-root-untrust policy permit-to-userlsys match application any set security policies from-zone ls-root-trust to-zone ls-root-untrust policy permit-to-userlsys then permit set security policies from-zone ls-root-untrust to-zone ls-root-trust policy permit-authorized-users match source-address userlsys set security policies from-zone ls-root-untrust to-zone ls-root-trust policy permit-authorized-users match destination-address masters set security policies from-zone ls-root-untrust to-zone ls-root-trust policy permit-authorized-users match application junos-http set security policies from-zone ls-root-untrust to-zone ls-root-trust policy permit-authorized-users match application junos-https set security policies from-zone ls-root-untrust to-zone ls-root-trust policy permit-authorized-users then permit firewall-authentication web-authentication set security zones security-zone ls-root-trust interfaces ge-0/0/4.0 set security zones security-zone ls-root-untrust interfaces lt-0/0/0.1 set system services web-management http interface ge-0/0/4.0 set access firewall-authentication web-authentication default-profile ldap1 set access firewall-authentication web-authentication banner success "WEB AUTH LOGIN SUCCESS"
ステップバイステップの手順
次の例では、設定階層のさまざまなレベルに移動する必要があります。その方法の詳細については、『Junos OS CLIユーザーガイド』の「 構成モードでのCLIエディターの使用 」を参照してください。
プライマリ論理システムのゾーンとポリシーを設定するには:
-
プライマリ論理システムにプライマリ管理者としてログインし、設定モードに入ります。
admin@host> configure admin@host#
-
セキュリティゾーンを作成し、各ゾーンにインターフェイスを割り当てます。
[edit security zones] admin@host# set security-zone ls-root-trust interfaces ge-0/0/4.0 admin@host# set security-zone ls-root-untrust interfaces lt-0/0/0.1
-
アドレス帳エントリを作成します。
[edit security] admin@host# set address-book root-internal address masters 10.12.12.0/24 admin@host# set address-book root-external address design 10.12.1.0/24 admin@host# set address-book root-external address accounting 10.14.1.0/24 admin@host# set address-book root-external address marketing 10.13.1.0/24 admin@host# set address-book root-external address-set userlsys address design admin@host# set address-book root-external address-set userlsys address accounting admin@host# set address-book root-external address-set userlsys address marketing
-
アドレス帳をゾーンに添付します。
[edit security] admin@host# set address-book root-internal attach zone ls-root-trust admin@host# set address-book root-external attach zone ls-root-untrust
-
ls-root-trustゾーンからls-root-untrustゾーンへのトラフィックを許可するセキュリティポリシーを設定します。
[edit security policies from-zone ls-root-trust to-zone ls-root-untrust] admin@host# set policy permit-to-userlsys match source-address masters admin@host# set policy permit-to-userlsys match destination-address userlsys admin@host# set policy permit-to-userlsys match application any admin@host# set policy permit-to-userlsys then permit
-
ls-root-untrustゾーンからls-root-trustゾーンへのトラフィックを認証するセキュリティポリシーを設定します。
[edit security policies from-zone ls-root-untrust to-zone ls-root-trust] admin@host# set policy permit-authorized-users match source-address userlsys admin@host# set policy permit-authorized-users match destination-address masters admin@host# set policy permit-authorized-users match application junos-http admin@host# set policy permit-authorized-users match application junos-https admin@host# set policy permit-authorized-users then permit firewall-authentication web-authentication
-
Web認証アクセスプロファイルを設定し、成功バナーを定義します。
[edit access] admin@host# set firewall-authentication web-authentication default-profile ldap1 admin@host# set firewall-authentication web-authentication banner success “WEB AUTH LOGIN SUCCESS”
-
デバイス上のHTTPデーモンをアクティブにします。
[edit system] admin@host# set services web-management http interface ge-0/0/4.0
結果
設定モードから、 show security、 show access、 show system services コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
簡潔にするために、この show コマンド出力には、この例に関連する設定のみ含まれています。システム上のその他の設定はすべて省略記号(...)で置き換えられています。
[edit]
admin@host# show security
...
address-book {
root-internal {
address masters 10.12.12.0/24;
attach {
zone ls-root-trust;
}
}
root-external {
address design 10.12.1.0/24;
address accounting 10.14.1.0/24;
address marketing 10.13.1.0/24;
address-set userlsys {
address design;
address accounting;
address marketing;
}
attach {
zone ls-root-untrust;
}
}
}
policies {
from-zone ls-root-trust to-zone ls-root-untrust {
policy permit-to-userlsys {
match {
source-address masters;
destination-address userlsys;
application any;
}
then {
permit;
}
}
}
from-zone ls-root-untrust to-zone ls-root-trust {
policy permit-authorized-users {
match {
source-address userlsys;
destination-address masters;
application [ junos-http junos-https ];
}
then {
permit {
firewall-authentication {
web-authentication;
}
}
}
}
}
}
zones {
security-zone ls-root-trust {
interfaces {
ge-0/0/4.0;
}
}
security-zone ls-root-untrust {
interfaces {
lt-0/0/0.1;
}
}
}
[edit]
admin@host# show access
...
firewall-authentication {
web-authentication {
default-profile ldap1;
banner {
success "WEB AUTH LOGIN SUCCESS";
}
}
}
[edit]
admin@host# show system services
web-management {
http {
interface ge-0/0/4.0;
}
}
デバイスの設定が完了したら、設定モードから commit を入力します。
論理システムファイアウォール認証について
ファイアウォールユーザーは、ファイアウォールを越えた接続を開始する際に認証用のユーザー名とパスワードを提供する必要があるネットワークユーザーのことです。Junos OSでは、管理者が送信元IPアドレスやその他の認証情報に基づいて、ファイアウォールユーザーのファイアウォールの背後にある保護リソース(異なるゾーン)へのアクセスを制限および許可できます。
プライマリ管理者は、プライマリ論理システムでアクセスプロファイルを設定します。アクセスプロファイルは、ユーザーのユーザー名とパスワードを保存するか、そのような情報が保存されている外部の認証サーバーを指します。プライマリ論理システムで設定されたアクセスプロファイルは、すべてのユーザー論理システムで使用できます。
プライマリ管理者は、各ユーザーの論理システムに対してファイアウォール認証の最大数と予約済み数を設定します。その後、ユーザー論理システム管理者は、ユーザー論理システムでファイアウォール認証を作成できます。ユーザー論理システム管理者は、ユーザー論理システムから、 show system security-profile auth-entry コマンドを使用して、ユーザー論理システムに割り当てられた認証リソースの数を表示することができます。
アクセスプロファイルを設定するために、プライマリ管理者はプライマリ論理システムの[edit access]階層レベルでprofile設定ステートメントを使用します。アクセスプロファイルには、認証方法の順序、LDAPまたはRADIUSサーバーオプション、セッションオプションを含めることもできます。
その後、ユーザー論理システム管理者は、アクセスプロファイルをユーザー論理システム内のセキュリティポリシーに関連付けることができます。ユーザー論理システム管理者は、認証のタイプも指定します。
パススルー認証では、あるゾーンのホストまたはユーザーが、FTP、Telnet、またはHTTPクライアントを使用して、別のゾーンのリソースにアクセスしようとします。デバイスは、FTP、Telnet、またはHTTPを使用してユーザー名とパスワードの情報を収集し、この認証の結果に基づいてユーザーまたはホストからの後続のトラフィックを許可または拒否します。
Web認証では、ユーザーはHTTPを使用してWeb認証が有効になっているデバイス上のIPアドレスに接続し、ユーザー名とパスワードの入力を求められます。この認証の結果に基づいて、ユーザーまたはホストから保護されたリソースへの後続のトラフィックが許可または拒否されます。
ユーザー論理システム管理者は、ユーザー論理システムでファイアウォール認証に以下のプロパティを設定します。
一致するトラフィックに対するファイアウォール認証を指定するセキュリティポリシー。ファイアウォール認証は、[
edit security policies from-zone zone-name to-zone zone-name policy policy-name then permit]階層レベルのfirewall-authentication設定ステートメントで指定されます。ポリシーによってアクセスを許可されているアクセスプロファイル内のユーザーまたはユーザーグループは、オプションでclient-match設定ステートメントで指定できます。(ユーザーまたはユーザーグループが指定されていない場合、認証に成功したユーザーであればアクセスが許可されます)。
パススルー認証では、オプションでアクセスプロファイルを指定し、Webリダイレクト(認証のためにクライアントシステムをWebページにリダイレクトする)を有効にすることができます。
認証のタイプ(パススルーまたはWeb認証)、デフォルトのアクセスプロファイル、およびFTP、Telnet、またはHTTPセッションの成功バナー。これらのプロパティは、[
edit access]階層レベルでfirewall-authentication設定ステートメントで設定されます。インバウンドトラフィックをホストします。プロトコル、サービス、またはその両方が論理システムへのアクセスを許可されます。トラフィックのタイプは、[
edit security zones security-zone zone-name]または[edit security zones security-zone zone-name interfaces interface-name]階層レベルでhost-inbound-traffic設定ステートメントで設定されます。
ユーザー論理システム管理者は、ユーザー論理システムから、 show security firewall-authentication users または show security firewall-authentication history コマンドを使用して、ファイアウォールユーザーに関する情報とユーザー論理システムの履歴を表示できます。プライマリ管理者は、プライマリ論理システムから同じコマンドを使用して、プライマリ論理システム、特定のユーザー論理システム、またはすべての論理システムの情報を表示できます。
関連項目
例:ユーザー論理システムにファイアウォール認証を設定する
この例では、ユーザー論理システムに対してファイアウォール認証を設定する方法を示しています。
要件
始める前に:
論理システム管理者としてユーザー論理システムにログインします。 ユーザー論理システム設定の概要を参照してください。
show system security-profiles auth-entryコマンドを使用して、論理システムに割り当てられているファイアウォール認証エントリーを表示します。アクセスプロファイルは、プライマリ管理者がプライマリ論理システムで設定する必要があります。
概要
この例では、例: ユーザー論理システム、その管理者、そのユーザー、および相互接続論理システムの作成に示されている ls-product-design ユーザー論理システムを設定します。
この例では、ls-marketing-deptおよびls-accounting-dept論理システムのユーザーは、製品設計者のサブネットへの特定の接続を開始するときに認証する必要があります。この例では、 表 3 で説明するファイアウォール認証を設定します。
この例では、 例:ユーザー論理システムのセキュリティゾーンの設定で設定されたアクセスプロファイルと設定されたアドレス帳エントリーを使用します。
機能 |
名前 |
設定パラメータ |
|---|---|---|
セキュリティポリシー |
許可権限ユーザー
注:
ポリシールックアップは、ポリシーが設定された順序で実行されます。トラフィックに一致する最初のポリシーが使用されます。アプリケーション |
以下のトラフィックに対してファイアウォール認証を許可します。
ldap1アクセスプロファイルは、パススルー認証に使用されます。 |
ファイアウォール認証 |
|
設定
手順
CLIクイックコンフィグレーション
この例をすばやく設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピー アンド ペーストして、設定モードから commit を入力します。
set security policies from-zone ls-product-design-untrust to-zone ls-product-design-trust policy permit-authorized-users match source-address otherlsys set security policies from-zone ls-product-design-untrust to-zone ls-product-design-trust policy permit-authorized-users match destination-address product-designers set security policies from-zone ls-product-design-untrust to-zone ls-product-design-trust policy permit-authorized-users match application junos-h323 set security policies from-zone ls-product-design-untrust to-zone ls-product-design-trust policy permit-authorized-users then permit firewall-authentication pass-through access-profile ldap1 set access firewall-authentication pass-through default-profile ldap1 set access firewall-authentication pass-through http banner login “welcome”
ステップバイステップの手順
次の例では、設定階層のさまざまなレベルに移動する必要があります。その方法の詳細については、『Junos OS CLIユーザーガイド』の「 構成モードでのCLIエディターの使用 」を参照してください。
ユーザー論理システムでファイアウォール認証を設定するには:
論理システム管理者としてユーザー論理システムにログインし、設定モードに入ります。
lsdesignadmin1@host:ls-product-design> configure lsdesignadmin1@host:ls-product-design#
ファイアウォール認証を許可するセキュリティポリシーを設定します。
[edit security policies from-zone ls-product-design-untrust to-zone ls-product-design-trust] lsdesignadmin1@host:ls-product-design# set policy permit-authorized-users match source-address otherlsys lsdesignadmin1@host:ls-product-design# set policy permit-authorized-users match destination -address product-designers lsdesignadmin1@host:ls-product-design# set policy permit-authorized-users match application junos-h323 lsdesignadmin1@host:ls-product-design# set policy permit-authorized-users then permit firewall-authentication pass-through access-profile ldap1
セキュリティポリシーの順序を変更します。
[edit] lsdesignadmin1@host:ls-product-design# insert security policies from-zone ls-product-design-untrust to-zone ls-product-design-trust policy permit-authorized-users before policy permit-all-from-otherlsys
ファイアウォール認証を設定します。
[edit access firewall-authentication] lsdesignadmin1@host:ls-product-design# set pass-through http banner login "welcome" lsdesignadmin1@host:ls-product-design# set pass-through default-profile ldap1
結果
設定モードから、 show security policies および show access firewall-authentication コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
lsdesignadmin1@host:ls-product-design# show security policies
from-zone ls-product-design-trust to-zone ls-product-design-untrust {
policy permit-all-to-otherlsys {
match {
source-address product-designers;
destination-address otherlsys;
application any;
}
then {
permit;
}
}
}
from-zone ls-product-design-untrust to-zone ls-product-design-trust {
policy permit-authorized-users {
match {
source-address otherlsys;
destination-address product-designers;
application junos-h323;
}
then {
permit {
firewall-authentication {
pass-through {
access-profile ldap1;
}
}
}
}
}
policy permit-all-from-otherlsys {
match {
source-address otherlsys;
destination-address product-designers;
application any;
}
then {
permit;
}
}
}
lsdesignadmin1@host:ls-product-design# show access firewall-authentication
pass-through {
default-profile ldap1;
http {
banner {
login welcome;
}
}
}
デバイスの設定が完了したら、設定モードから commit を入力します。
検証
設定が正常に機能していることを確認するには、以下のタスクを実行します。
ファイアウォールユーザー認証の検証とユーザーとIPアドレスの監視
目的
ファイアウォール認証ユーザーの履歴を表示し、認証に成功したファイアウォールユーザーとログインに失敗したファイアウォールユーザーの数を確認します。
アクション
動作モードから、以下の show コマンドを入力します。
lsdesignadmin1@host:ls-product-design> show security firewall-authentication history lsdesignadmin1@host:ls-product-design> show security firewall-authentication history identifier id lsdesignadmin1@host:ls-product-design> show security firewall-authentication users lsdesignadmin1@host:ls-product-design> show security firewall-authentication users identifier id
論理システムにおける統合ユーザーファイアウォールサポートについて
Junos OSリリース18.3R1以降、認証ソースのサポートが拡張され、Identity Management Service(JIMS)やClearPass 認証ジュニパー認証ソースに対する既存のサポートに加えて、ローカル認証、Active Directory(AD)認証、ファイアウォール認証も含まれるようになりました。
Junos OSリリース18.2R1以降、ユーザーファイアウォール認証のサポートは、共有モデルを使用して強化されています。このモデルでは、ユーザー論理システムはユーザーファイアウォールの設定と認証エントリをプライマリ論理システムと共有し、統合されたユーザーファイアウォール認証はユーザー論理システムでサポートされます。
共有モデルでは、認証ソース、認証ソースの優先順位、認証エントリのタイムアウト、IPクエリまたは個々のクエリなど、認証認証関連の設定がプライマリ論理システムの下で設定されます。ユーザーファイアウォールは、ポリシーやログなどの、SRXシリーズファイアウォール内のアプリケーションに対するユーザー情報サービスを提供します。ユーザー論理システムからのトラフィックは、プライマリ論理システムから認証テーブルをクエリーします。
認証テーブルは、プライマリ論理システムによって管理されます。ユーザー論理システムは、認証テーブルを共有します。プライマリ論理システムとユーザー論理システムからのトラフィックは、同じ認証テーブルにクエリーを実行します。ユーザー論理システムにより、セキュリティポリシーでソースIDを使用できます。
例えば、プライマリ論理システムが employee で設定され、ユーザー論理システムがsource-identity managerで設定されている場合、この認証エントリーの参照グループには employee と managerが含まれます。この参照グループには、プライマリ論理システムとユーザー論理システムからの同じ認証エントリーが含まれています。
Junos OSリリース19.3R1以降、アクティブモードの統合JIMSを通じてカスタマイズされたモデルを使用することで、ユーザーファイアウォール認証のサポートが強化されています。このモデルでは、論理システムがルートレベルから認証エントリを抽出します。プライマリ論理システムは、論理システムとテナントシステム名に基づいてJIMSサーバーに設定されます。アクティブモードでは、SRXシリーズファイアウォールは、HTTPsプロトコルを介してJIMSサーバーから受信した認証エントリーをアクティブにクエリします。データ交換を減らすために、ファイアウォールフィルターが適用されます。
ユーザーファイアウォールは、論理システム名を差別化要因として使用し、JIMSサーバーとSRXシリーズファイアウォールの間で一貫性があります。JIMSサーバーは、認証エントリに含まれる差別化要因を送信します。認証エントリーは、差別化子がプライマリ論理システムのデフォルトとして設定されている場合、ルート論理システムに配信されます。
ユーザーファイアウォールがJunos OSリリース19.2R1以降の内部データベーステーブル形式を変更するため、ユーザーファイアウォールは論理システムのISSU(インサービスソフトウェアアップグレード)をサポートします。Junos OSリリース19.2R1以前では、ISSUは論理システムでサポートされていません。
ユーザーファイアウォール認証の使用制限
テナントシステムでユーザーファイアウォール認証を使用すると、以下の制限があります。
認証エントリーは、お客様のネットワークからのIPアドレスに基づいてJIMSサーバーによって収集されます。IPアドレスが重複する場合、ユーザーが異なるユーザー論理システムでログインすると、認証エントリーが変更されます。
論理システム上のカスタマイズされたモデルでのユーザーファイアウォール認証の使用の制限
論理システム上のカスタマイズされたモデルでユーザーファイアウォール認証を使用する場合には、以下の制限があります。
ルート論理システムの下で設定する JIMS サーバー設定。
論理システム名は、JIMSサーバーとSRXシリーズファイアウォールの間で一貫性があり、一意である必要があります。
関連項目
例:ユーザー論理システム向けの統合ユーザーファイアウォール識別管理の設定
この例では、ジュニパー Identity Management Service(JIMS)からユーザーID情報を取得するためのSRXシリーズファイアウォールの高度なクエリ機能と、ユーザー論理システムのソースIDと一致するセキュリティポリシーを設定する方法を示します。ルート論理システムでは、ユーザーファイアウォールがJIMSで設定され、ルート論理システムがJIMSからのすべての認証エントリーを管理します。この例では、すべてのユーザー論理システムが、ルート論理システムと認証エントリを共有しています。
要件
この例では、以下のハードウェアおよびソフトウェアコンポーネントを使用しています。
シャーシクラスタリングで動作するSRX1500デバイス
JIMSサーバー
Junos OSリリース18.2 R1
始める前に:
論理システム管理者としてユーザー論理システムにログインします。ユーザー論理システムの概要を参照
ユーザー論理システムlsys1およびlsys2を設定します。 例:ユーザー論理システムの設定を参照してください。
プライマリ論理システムでセキュリティプロファイルを設定し、ユーザー論理システムlsys1およびlsys2に割り当てます。 例:論理システムセキュリティプロファイルの設定(プライマリ管理者のみ) を参照してください。
論理システム、ルート論理システム、ユーザー論理システム、lsys1、およびlsys2でインターフェイスとルーティングオプションを設定します。 例:プライマリおよび相互接続論理システム用のインターフェイス、ルーティングインスタンス、静的ルートの設定と、ユーザー論理システム用の論理トンネルインターフェイス(プライマリ管理者のみ) および 例:ユーザー論理システム用のインターフェイスとルーティングインスタンスの設定を参照してください。
ユーザーの論理システムのセキュリティポリシーを設定します。 例:ユーザー論理システムにおけるセキュリティポリシーの設定を参照してください。
ユーザー論理システムのゾーンを設定します。 例を参照してください:ユーザー論理システムのセキュリティゾーンの設定
基本的なアクティブ/パッシブシャーシクラスターで論理システムを設定します。 例:アクティブ/パッシブシャーシクラスター内の論理システムの設定(プライマリ管理者のみ)を参照してください。
概要
この例では、ポート443でHTTPs接続を持つJIMSと、プライマリ論理システム上でIPv4アドレスを持つプライマリサーバー、論理システムlsys1上のdc0ドメインのソースID「group1」を持つポリシーp1、論理システムlsys2上のdc0ドメインのソースIDを持つポリシーp1を設定し、論理システムlsys1から論理システムlsys2にトラフィックを送信することができます。プライマリノードを再起動した後でも、プライマリ論理システムとユーザー論理システム(lsys1およびlsys2)で認証エントリを表示できます。
設定
CLIクイックコンフィグレーション
この例をすばやく設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピー アンド ペーストして、設定モードから commit を入力します。
set logical-systems lsys1 security policies from-zone lsys1_trust to-zone lsys1_trust policy lsys1_policy1 match source-address any set logical-systems lsys1 security policies from-zone lsys1_trust to-zone lsys1_trust policy lsys1_policy1 match destination-address any set logical-systems lsys1 security policies from-zone lsys1_trust to-zone lsys1_trust policy lsys1_policy1 match application any set logical-systems lsys1 security policies from-zone lsys1_trust to-zone lsys1_trust policy lsys1_policy1 then permit set logical-systems lsys1 security policies from-zone lsys1_trust to-zone lsys1_trust policy lsys1_policy1 match source-identity "example.com\group1" set logical-systems lsys1 security policies from-zone lsys1_trust to-zone lsys1_trust policy lsys1_policy1 then permit set logical-systems lsys1 security policies from-zone lsys1_trust to-zone lsys1_untrust policy lsys1_policy2 match source-address any set logical-systems lsys1 security policies from-zone lsys1_trust to-zone lsys1_untrust policy lsys1_policy2 match destination-address any set logical-systems lsys1 security policies from-zone lsys1_trust to-zone lsys1_untrust policy lsys1_policy2 match application any set logical-systems lsys1 security policies from-zone lsys1_trust to-zone lsys1_untrust policy lsys1_policy2 then permit set logical-systems lsys1 security policies from-zone lsys1_untrust to-zone lsys1_trust policy lsys1_policy3 match source-address any set logical-systems lsys1 security policies from-zone lsys1_untrust to-zone lsys1_trust policy lsys1_policy3 match destination-address any set logical-systems lsys1 security policies from-zone lsys1_untrust to-zone lsys1_trust policy lsys1_policy3 match application any set logical-systems lsys1 security policies from-zone lsys1_untrust to-zone lsys1_trust policy lsys1_policy3 then permit set logical-systems lsys1 security policies policy-rematch set logical-systems lsys2 security policies from-zone lsys2_untrust to-zone lsys2_untrust policy lsys2_policy1 match source-address any set logical-systems lsys2 security policies from-zone lsys2_untrust to-zone lsys2_untrust policy lsys2_policy1 match destination-address any set logical-systems lsys2 security policies from-zone lsys2_untrust to-zone lsys2_untrust policy lsys2_policy1 match application any set logical-systems lsys2 security policies from-zone lsys2_untrust to-zone lsys2_untrust policy lsys2_policy1 match source-identity "example.com\group2" set logical-systems lsys2 security policies from-zone lsys2_untrust to-zone lsys2_untrust policy lsys2_policy1 then permit set logical-systems lsys2 security policies policy-rematch set services user-identification identity-management connection connect-method https set services user-identification identity-management connection port 443 set services user-identification identity-management connection primary address 192.0.2.5 set services user-identification identity-management connection primary client-id otest set services user-identification identity-management connection primary client-secret "$ABC123" set security policies from-zone root_trust to-zone root_trust policy root_policy1 match source-address any set security policies from-zone root_trust to-zone root_trust policy root_policy1 match destination-address any set security policies from-zone root_trust to-zone root_trust policy root_policy1 match application any set security policies from-zone root_trust to-zone root_trust policy root_policy1 then permit set security policies policy-rematch set security zones security-zone root_trust interfaces reth1.0 host-inbound-traffic system-services all set security zones security-zone root_trust interfaces reth1.0 host-inbound-traffic protocols all set security zones security-zone root_trust interfaces lt-0/0/0.1 host-inbound-traffic system-services all set security zones security-zone root_trust interfaces lt-0/0/0.1 host-inbound-traffic protocols all set firewall family inet filter impair-ldap term allow_all then accept
ユーザーファイアウォール識別管理の設定
ステップバイステップの手順
次の例では、設定階層のさまざまなレベルに移動する必要があります。その方法の詳細については、『Junos OS CLIユーザーガイド』の「 構成モードでのCLIエディターの使用 」を参照してください。
ユーザーファイアウォール識別管理を設定するには:
プライマリ論理システムにプライマリ管理者としてログインし、設定モードに入ります。
user@host> configure user@host#
論理システムを作成します。
[edit logical-systems] user@host#set LSYS0 user@host#set LSYS1 user@host#set LSYS2
lsys1_trustからlsys1_trustへのトラフィックを許可する、論理システム lsys1 上のソース ID グループ 1 でセキュリティ ポリシー lsys1_policy1を設定します。
[edit security policies] user@host#set from-zone lsys1_trust to-zone lsys1_trust policy lsys1_policy1 match source-address any user@host#set from-zone lsys1_trust to-zone lsys1_trust policy lsys1_policy1 match destination-address any user@host#set from-zone lsys1_trust to-zone lsys1_trust policy lsys1_policy1 match application any user@host#set from-zone lsys1_trust to-zone lsys1_trust policy lsys1_policy1 match source-identity "example.com\group1" user@host#set from-zone lsys1_trust to-zone lsys1_trust policy lsys1_policy1 then permit
lsys1_trustからlsys1_untrustへのトラフィックを許可するセキュリティポリシー lsys1_policy2を設定します。
[edit security policies] user@host#set from-zone lsys1_trust to-zone lsys1_untrust policy lsys1_policy2 match source-address any user@host#set from-zone lsys1_trust to-zone lsys1_untrust policy lsys1_policy2 match destination-address any user@host#set from-zone lsys1_trust to-zone lsys1_untrust policy lsys1_policy2 match application any user@host#set from-zone lsys1_trust to-zone lsys1_untrust policy lsys1_policy2 then permit
lsys1_untrustからlsys1_trustへのトラフィックを許可するセキュリティポリシー lsys1_policy3を設定します。
[edit security policies] user@host#set from-zone lsys1_untrust to-zone lsys1_trust policy lsys1_policy3 match source-address any user@host#set from-zone lsys1_untrust to-zone lsys1_trust policy lsys1_policy3 match destination-address any user@host#set from-zone lsys1_untrust to-zone lsys1_trust policy lsys1_policy3 match application any user@host#set from-zone lsys1_untrust to-zone lsys1_trust policy lsys1_policy3 then permit user@host#set policy-rematch
セキュリティゾーンを設定し、各ゾーンにインターフェイスを割り当てます。
[edit security zones] user@host#set security-zone lsys1_trust interfaces reth2.0 host-inbound-traffic system-services all user@host#set security-zone lsys1_trust interfaces reth2.0 host-inbound-traffic protocols all user@host#set security-zone lsys1_trust interfaces lt-0/0/0.11 host-inbound-traffic system-services all user@host#set security-zone lsys1_trust interfaces lt-0/0/0.11 host-inbound-traffic protocols all user@host#set security-zone lsys1_untrust interfaces reth3.0 host-inbound-traffic system-services all user@host#set security-zone lsys1_untrust interfaces reth3.0 host-inbound-traffic protocols all
lsys2 上の lsys2_untrust から lsys2_untrust へのトラフィックを許可するセキュリティ ポリシー lsys2_policy1をソース ID グループ 1 で構成します。
[edit security policies] user@host#set from-zone lsys2_untrust to-zone lsys2_untrust policy lsys2_policy1 match source-address any user@host#set from-zone lsys2_untrust to-zone lsys2_untrust policy lsys2_policy1 match destination-address any user@host#set from-zone lsys2_untrust to-zone lsys2_untrust policy lsys2_policy1 match application any user@host#set from-zone lsys2_untrust to-zone lsys2_untrust policy lsys2_policy1 match source-identity "example.com\group2" user@host#set from-zone lsys2_untrust to-zone lsys2_untrust policy lsys2_policy1 then permit user@host#set policy-rematch
セキュリティゾーンを設定し、lsys2の各ゾーンにインターフェイスを割り当てます。
[edit security zones] user@host#set security-zone lsys2_untrust interfaces reth4.0 host-inbound-traffic system-services all user@host#set security-zone lsys2_untrust interfaces reth4.0 host-inbound-traffic protocols all user@host#set security-zone lsys2_untrust interfaces lt-0/0/0.21 host-inbound-traffic system-services all user@host#set security-zone lsys2_untrust interfaces lt-0/0/0.21 host-inbound-traffic protocols all
-
プライマリアドレスを持つ高度なクエリリクエストの認証ソースとしてJIMSを設定します。SRXシリーズファイアウォールは、サーバーに接続するためにこの情報を必要とします。
[edit services user-identification identity-management] user@host#set connection port 443 user@host#set connection connect-method https user@host#set connection primary address 192.0.2.5 user@host#set connection primary client-id otest user@host#set connection primary client-secret test user@host#set authentication-entry-timeout 0
プライマリ論理システムでセキュリティポリシーとゾーンを設定します。
[edit security policies] user@host#set from-zone root_trust to-zone root_trust policy root_policy1 match source-address any user@host#set from-zone root_trust to-zone root_trust policy root_policy1 match destination-address any user@host#set from-zone root_trust to-zone root_trust policy root_policy1 match application any user@host#set from-zone root_trust to-zone root_trust policy root_policy1 then permit user@host#set policy-rematch
プライマリ論理システム上でセキュリティゾーンを設定し、各ゾーンにインターフェイスを割り当てます。
[edit security zones] user@host#set security-zone root_trust interfaces reth1.0 host-inbound-traffic system-services all user@host#set security-zone root_trust interfaces reth1.0 host-inbound-traffic protocols all user@host#set security-zone root_trust interfaces lt-0/0/0.1 host-inbound-traffic system-services all user@host#set security-zone root_trust interfaces lt-0/0/0.1 host-inbound-traffic protocols all user@host#set firewall family inet filter impair-ldap term allow_all then accept
結果
設定モードから、 show services user-identification identity-management show chassis cluster コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
user@host# show services user-identification identity-management
connection {
connect-method https;
port 443;
primary {
address 192.0.2.5;
client-id otest;
client-secret "$ABC123"; ## SECRET-DATA
}
}
user@host# show chassis cluster
reth-count 5;
control-ports {
fpc 3 port 0;
fpc 9 port 0;
}
redundancy-group 0 {
node 0 priority 200;
node 1 priority 1;
}
redundancy-group 1 {
node 0 priority 100;
node 1 priority 1;
}
redundancy-group 2 {
node 0 priority 100;
node 1 priority 1;
}
redundancy-group 3 {
node 0 priority 100;
node 1 priority 1;
}
redundancy-group 4 {
node 0 priority 100;
node 1 priority 1;
}
デバイスの設定が完了したら、設定モードから commit を入力します。
検証
設定が正常に機能していることを確認するには、以下のタスクを実行します。
シャーシクラスターのステータスと認証エントリーの検証
目的
論理システム内の認証エントリーを検証するには。
アクション
設定が正常に機能していることを確認するには、 show services user-identification authentication-table authentication-source identity-management logical-system all コマンドを入力します。
user@host> show services user-identification authentication-table authentication-source identity-management logical-system all
node0:
--------------------------------------------------------------------------
Logical System: root-logical-system
Domain: ad2012.jims.com
Total entries: 3
Source IP Username groups(Ref by policy) state
2001:db8:aaaa: N/A Valid
2001:db8:aaaa: administrator Valid
203.0.113.50 administrator Valid
node1:
--------------------------------------------------------------------------
Logical System: root-logical-system
Domain: ad2012.jims.com
Total entries: 3
Source IP Username groups(Ref by policy) state
2001:db8:aaaa: N/A Valid
2001:db8:aaaa: administrator Valid
203.0.113.50 administrator Valid
意味
出力には、ユーザー論理システムからルート論理システムに共有される認証エントリが表示されます。
シャーシ クラスター ステータスの検証
目的
プライマリノードの再起動後に、シャーシクラスターのステータスを確認します。
アクション
設定が正常に機能していることを確認するには、 show chassis cluster status コマンドを入力します。
user@host> show chassis cluster status
Monitor Failure codes:
CS Cold Sync monitoring FL Fabric Connection monitoring
GR GRES monitoring HW Hardware monitoring
IF Interface monitoring IP IP monitoring
LB Loopback monitoring MB Mbuf monitoring
NH Nexthop monitoring NP NPC monitoring
SP SPU monitoring SM Schedule monitoring
CF Config Sync monitoring RE Relinquish monitoring
Cluster ID: 6
Node Priority Status Preempt Manual Monitor-failures
Redundancy group: 0 , Failover count: 0
node0 200 hold no no None
node1 1 secondary no no None
Redundancy group: 1 , Failover count: 0
node0 0 hold no no CS
node1 1 secondary no no None
Redundancy group: 2 , Failover count: 0
node0 0 hold no no CS
node1 1 secondary no no None
Redundancy group: 3 , Failover count: 0
node0 0 hold no no CS
node1 1 secondary no no None
Redundancy group: 4 , Failover count: 0
node0 0 hold no no CS
node1 1 secondary no no None意味
出力には、プライマリ ノードの再起動後に lsys1 と lsys2 に存在するユーザー識別管理セッションが表示されます。
例:論理システムのカスタマイズされたモデルで統合ユーザーファイアウォールを設定する
この例では、論理システムのアクティブモードを備えたジュニパー Identity Management Service(JIMS)サーバーを介してカスタマイズされたモデルを使用して、統合ユーザーファイアウォールを設定する方法を示しています。プライマリ論理システムは、論理システムと認証エントリを共有しません。SRXシリーズファイアウォールは、HTTPsプロトコルを介してJIMSサーバーから受信した認証エントリーをアクティブモードでクエリします。
この例では、以下の設定が実行されます。
-
アクティブなJIMSサーバー設定
-
論理システムIPクエリ設定
-
論理システム認証エントリー設定
-
論理システムセキュリティポリシー設定
要件
この例では、以下のハードウェアおよびソフトウェアコンポーネントを使用しています。
-
JIMSサーバーバージョン2.0
-
Junos OSリリース19.3R1
開始する前に、次の情報を確認してください。
-
JIMSサーバーのIPアドレス。
-
HTTPsリクエストを受信するためのJIMSサーバーのポート番号。
-
アクティブなクエリーサーバーのJIMSサーバーからのクライアントID。
-
アクティブなクエリーサーバー用のJIMSサーバーからのクライアントシークレット。
概要
この例では、ポート443でのHTTPs接続とプライマリ論理システム上のIPv4アドレスを持つプライマリサーバー、論理システムLSYS1でソースIDgroup1ポリシーp2を設定するJIMSことができます。
設定
CLIクイックコンフィグレーション
この例をすばやく設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、[edit]階層レベルでコマンドを CLI にコピー アンド ペーストして、設定モードからコミットを入力します。
set services user-identification logical-domain-identity-management active query-server jims1 connection connect-method https set services user-identification logical-domain-identity-management active query-server jims1 connection port 443 set services user-identification logical-domain-identity-management active query-server jims1 connection primary address 192.0.2.5 set services user-identification logical-domain-identity-management active query-server jims1 connection primary client-id otest set services user-identification logical-domain-identity-management active query-server jims1 connection primary client-secret "$ABC123" set logical-systems LSYS1 services user-identification logical-domain-identity-management active ip-query query-delay-time 30 set logical-systems LSYS1 services user-identification logical-domain-identity-management active invalid-authentication-entry-timeout 1 set logical-systems LSYS1 security policies from-zone untrust to-zone trust policy p2 match source-address any set logical-systems LSYS1 security policies from-zone untrust to-zone trust policy p2 match destination-address any set logical-systems LSYS1 security policies from-zone untrust to-zone trust policy p2 match application any set logical-systems LSYS1 security policies from-zone untrust to-zone trust policy p2 match source-identity "example.com\group1" set logical-systems LSYS1 security policies from-zone untrust to-zone trust policy p2 then permit
カスタマイズされたモデルでの統合ユーザーファイアウォールの設定:
ステップバイステップの手順
次の例では、設定階層のさまざまなレベルに移動する必要があります。その方法の詳細については、『Junos OS CLIユーザーガイド』の「 構成モードでのCLIエディターの使用 」を参照してください。
カスタマイズモデルで統合ユーザーファイアウォールを設定するには:
-
プライマリアドレスを持つ高度なクエリリクエストの認証ソースとしてJIMSを設定します。SRXシリーズファイアウォールは、サーバーに接続するためにこの情報を必要とします。
user@host# set services user-identification logical-domain-identity-management active query-server jims1 connection connect-method https user@host# set services user-identification logical-domain-identity-management active query-server jims1 connection port 443 user@host# set services user-identification logical-domain-identity-management active query-server jims1 connection primary address 192.0.2.5 user@host# set services user-identification logical-domain-identity-management active query-server jims1 connection primary client-id otest user@host# set services user-identification logical-domain-identity-management active query-server jims1 connection primary client-secret "$ABC123"
-
LSYS1のIPクエリ遅延時間を設定します。
user@host# set logical-systems LSYS1 services user-identification logical-domain-identity-management active ip-query query-delay-time 30
-
LSYS1の認証エントリー属性を設定します。
user@host# set logical-systems LSYS1 services user-identification logical-domain-identity-management active invalid-authentication-entry-timeout 1
-
LSYS1のゾーンuntrustからゾーンtrustへのトラフィックを許可するセキュリティポリシーp2を設定します。
user@host# set logical-systems LSYS1 security policies from-zone untrust to-zone trust policy p2 match source-address any user@host# set logical-systems LSYS1 security policies from-zone untrust to-zone trust policy p2 match destination-address any user@host# set logical-systems LSYS1 security policies from-zone untrust to-zone trust policy p2 match application any user@host# set logical-systems LSYS1 security policies from-zone untrust to-zone trust policy p2 match source-identity "example.com\group1" user@host#set logical-systems LSYS1 security policies from-zone untrust to-zone trust policy p2 then permit
結果
設定モードから、 show services user-identification logical-domain-identity-management および show logical-systems LSYS1 コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
user@host# show services user-identification logical-domain-identity-management
active {
query-server jims1 {
connection {
connect-method https;
port 443;
primary {
address 192.0.2.5;
client-id otest;
client-secret "$ABC123"; ## SECRET-DATA
}
}
}
}
user@host# show logical-systems LSYS1
security {
policies {
from-zone untrust to-zone trust {
policy p2 {
match {
source-address any;
destination-address any;
application any;
source-identity "example.com\group1";
}
then {
permit;
}
}
}
}
}
services {
user-identification {
logical-domain-identity-management {
active {
invalid-authentication-entry-timeout 1;
ip-query {
query-delay-time 30;
}
}
}
}
}
デバイスの設定が完了したら、設定モードから commit を入力します。
検証
ユーザーIDの確認 ID管理ステータス
目的
認証元としてのID管理のためのユーザー識別ステータスを確認します。
アクション
設定が正常に機能していることを確認するには、 show services user-identification logical-domain-identity-management status コマンドを入力します。
user@host> show services user-identification logical-domain-identity-management status
node0:
--------------------------------------------------------------------------
Query server name :jims1
Primary server :
Address : 192.0.2.5
Port : 443
Connection method : HTTPS
Connection status : Online
Last received status message : OK (200)
Access token : isdHIbl8BXwxFftMRubGVsELRukYXtW3rtKmHiL
Token expire time : 2017-11-27 23:45:22
Secondary server :
Address : Not configured
意味
出力には、高度なユーザークエリ機能のバッチクエリとIPクエリに関する統計データが表示されるか、ジュニパー Identity Management Serviceサーバーのステータスが表示されます。
ユーザー識別ID管理ステータスカウンターの検証
目的
認証元としてのID管理用のユーザー識別カウンターを確認します。
アクション
設定が正常に機能していることを確認するには、 show services user-identification logical-domain-identity-management counters コマンドを入力します。
user@host> show services user-identification logical-domain-identity-management counters
node0:
--------------------------------------------------------------------------
Query server name :jims1
Primary server :
Address : 192.0.2.5
Batch query sent number : 65381
Batch query total response number : 64930
Batch query error response number : 38
Batch query last response time : 2018-08-14 15:10:52
IP query sent number : 10
IP query total response number : 10
IP query error response number : 0
IP query last response time : 2018-08-13 12:41:56
Secondary server :
Address : Not configured
意味
出力には、高度なユーザークエリ機能のバッチクエリとIPクエリに関する統計データが表示されるか、ジュニパー Identity Management Serviceサーバー上のカウンターが表示されます。
ユーザー識別認証テーブルの検証
目的
指定した認証ソースのテーブルエントリー認証ユーザーID情報を確認します。
アクション
設定が正常に機能していることを確認するには、 show services user-identification authentication-table authentication-source all logical-system LSYS1 コマンドを入力します。
user@host> show services user-identification authentication-table authentication-source all logical-system LSYS1
node0:
--------------------------------------------------------------------------
Logical System: LSYS1
Domain: example.com
Total entries: 4
Source IP Username groups(Ref by policy) state
10.12.0.2 administrator posture-healthy Valid
10.12.0.15 administrator posture-healthy Valid
2001:db8::5 N/A posture-healthy Valid
2001:db8::342c:302b N/A posture-healthy Valid
意味
出力には、指定された認証ソースの認証テーブルのコンテンツ全体、またはユーザー名に基づいて特定のドメイン、グループ、またはユーザーが表示されます。ユーザーのデバイスのIPアドレスに基づいて、ユーザーのID情報を表示します。
変更履歴テーブル
サポートされる機能は、使用しているプラットフォームとリリースによって決まります。 機能エクスプローラー を使用して、機能がお使いのプラットフォームでサポートされているかどうかを確認します。