セキュリティデバイス上のセキュリティゾーンとセキュリティポリシー

レイヤー2セキュリティゾーンは、レイヤー2インターフェイスをホストするゾーンです。セキュリティゾーンは、レイヤー2またはレイヤー3ゾーンのいずれかです。すべてのレイヤー 2 インターフェイスまたはすべてのレイヤー 3 インターフェイスのいずれかをホストできますが、レイヤー 2 インターフェイスとレイヤー 3 インターフェイスを混在させることはできません。

セキュリティゾーンのタイプ(レイヤー2またはレイヤー3)は、セキュリティゾーンに設定された最初のインターフェイスから暗黙的に設定されます。同じセキュリティゾーンに設定された後続のインターフェイスは、最初のインターフェイスと同じタイプである必要があります。

レイヤー2セキュリティゾーンには、以下のプロパティを設定できます。

• インターフェイス—ゾーン内のインターフェイスのリスト。

• ポリシー—ファイアウォールを通過できるトラフィックや、ファイアウォールを通過する際にトラフィックに対して実行する必要があるアクションなど、トランジットトラフィックのルールを適用するアクティブなセキュリティポリシー。

• 画面—ジュニパーネットワークスのステートフルファイアウォールは、あるセキュリティゾーンから別のセキュリティゾーンへの通過を必要とするすべての接続試行を検査し、許可または拒否することでネットワークを保護します。すべてのセキュリティゾーンとMGTゾーンに対して、デバイスが潜在的に有害であると判断したさまざまな種類のトラフィックを検出してブロックする定義済みのスクリーンオプションを有効にできます。

  注:

  レイヤー2セキュリティゾーンに対して、レイヤー3セキュリティゾーンと同じ画面オプションを設定できます。

• アドレス帳—アドレス帳を構成するIPアドレスとアドレスセットで、メンバーを識別してポリシーを適用できるようにします。

• TCP-RST—この機能を有効にすると、既存のセッションに一致せず、同期フラグが設定されていないトラフィックが到着すると、システムはリセットフラグが設定されたTCPセグメントを送信します。

さらに、ホストインバウンドトラフィック用にレイヤー2ゾーンを設定することもできます。これにより、ゾーン内のインターフェイスに直接接続されているシステムからデバイスに到達できるトラフィックの種類を指定できます。デバイスのインターフェイスに直接接続されたデバイスからのインバウンドトラフィックはデフォルトでドロップされるため、予想されるホストインバウンドトラフィックをすべて指定する必要があります。

この例では、レイヤー2セキュリティゾーンを設定する方法を示しています。

透過モードでは、セキュリティポリシーはレイヤー2ゾーン間でのみ設定できます。パケットがVLANを介して転送されると、セキュリティポリシーがセキュリティゾーン間に適用されます。透過モードのセキュリティポリシーは、レイヤー3ゾーンに設定されたポリシーと似ていますが、次の例外があります。

• NATはサポートされていません。

• IPsec VPNはサポートされていません。

• アプリケーションANYはサポートされていません。

レイヤー2転送では、デバイスにポリシーが明示的に設定されていない限り、ゾーン間トラフィックは許可されません。デフォルトでは、レイヤー2転送は以下のアクションを実行します。

• 設定されたポリシーで指定されたトラフィックを許可または拒否します。

• アドレス解決プロトコル(ARP)とレイヤー2の非IPマルチキャストおよびブロードキャストトラフィックを許可します。

• すべての非 IP および非 ARP ユニキャスト トラフィックを引き続きブロックします。

このデフォルトの動作は、J-WebまたはCLI設定エディターを使用して、イーサネットスイッチングパケットフローで変更できます。

• block-non-ip-allオプションを設定して、マルチキャストおよびブロードキャストトラフィックを含むすべてのレイヤー2非IPおよび非ARPトラフィックをブロックします。

• すべてのレイヤー2非IPトラフィックがデバイスを通過できるように bypass-non-ip-unicast オプションを設定します。

Junos OSリリース12.3X48-D10およびJunos OSリリース17.3R1以降、レイヤー2およびレイヤー3インターフェイス用に混合モード(デフォルトモード)で個別のセキュリティゾーンを作成できるようになりました。ただし、IRB インターフェイス間、および IRB インターフェイスとレイヤー 3 インターフェイス間のルーティングはありません。そのため、レイヤー2ゾーンとレイヤー3ゾーンの間にセキュリティポリシーを設定することはできません。セキュリティポリシーは、レイヤー2ゾーン間またはレイヤー3ゾーン間でのみ設定できます。

この例では、レイヤー2ゾーン間の透過透過モードでセキュリティポリシーを設定する方法を示しています。

ファイアウォールユーザーは、ファイアウォールを越えた接続を開始する際に認証用のユーザー名とパスワードを提供する必要があるネットワークユーザーのことです。ファイアウォールユーザー認証により、管理者は、送信元IPアドレスやその他の認証情報に基づいて、ファイアウォールの背後にある保護されたリソースへのアクセスを制限および許可できます。Junos OS は、SRXシリーズファイアウォール上の透過モードで以下のタイプのファイアウォールユーザー認証を透過モードでサポートしています。

• パススルー認証—あるゾーンのホストまたはユーザーが、別のゾーンのリソースにアクセスしようとします。保護されたリソースのIPアドレスにアクセスし、ファイアウォールによって認証されるには、FTP、Telnet、またはHTTPクライアントを使用する必要があります。デバイスは、FTP、Telnet、またはHTTPを使用してユーザー名とパスワードの情報を収集し、この認証の結果に基づいてユーザーまたはホストからの後続のトラフィックを許可または拒否します。

• Web認証—ユーザーは、Web認証が有効になっているIRBインターフェイス上のIPアドレスに、HTTPを使用して接続しようとします。デバイスによって検証されたユーザー名とパスワードの入力を求められます。この認証の結果に基づいて、ユーザーまたはホストから保護されたリソースへの後続のトラフィックが許可または拒否されます。