グローバルセキュリティポリシー
セキュリティ ポリシーはステートフル ファイアウォール ポリシーであり、特定の IP ソースから特定の IP 宛先にスケジュールされた時刻に許可されるトラフィックの種類を定義することで、ゾーン間のトラフィック フローを制御します。考えられるすべてのコンテキストで複数のポリシーを作成しないようにするには、すべてのゾーンを含むグローバルポリシー、または複数のゾーンを含むマルチゾーンポリシーを作成します。グローバル ポリシーを使用すると、セキュリティ ゾーンに関係なく、ユーザー定義アドレスまたは定義済みアドレスを参照することで、アドレスとアプリケーションでトラフィックを規制でき、1 つのポリシーで複数の送信元ゾーンと複数の宛先ゾーンへのアクセスも提供します。
グローバルポリシーの概要
Junos OSのステートフルファイアウォールでは、セキュリティポリシーによって、ファイアウォールを通過できるトラフィックと、ファイアウォールを通過するトラフィックに対して実行する必要があるアクションに関して、トランジットトラフィックにルールが適用されます。セキュリティ ポリシーでは、トラフィックが 1 つのセキュリティ ゾーンに入り、別のセキュリティ ゾーンから出る必要があります。この開始ゾーンと終了ゾーンの組み合わせは、 contextと呼ばれます。各コンテキストには、ポリシーの順序付きリストが含まれています。各ポリシーは、コンテキスト内で定義された順序で処理されます。トラフィックは、ポリシーの送信元ゾーン、宛先ゾーン、送信元アドレス、宛先アドレス、およびトラフィックがプロトコルヘッダーで伝送するアプリケーションに一致することによって分類されます。各グローバル ポリシーには、他のセキュリティ ポリシーと同様に、許可、拒否、拒否、ログ記録、カウントのアクションがあります。
ユーザー インターフェイスからセキュリティ ポリシーを構成できます。セキュリティ ポリシーは、特定の IP ソースから特定の IP 宛先にスケジュールされた時間に許可されるトラフィックの種類を定義することで、あるゾーンから別のゾーンへのトラフィック フローを制御します。ほとんどの場合、これはうまく機能しますが、十分な柔軟性がありません。たとえば、トラフィックに対してアクションを実行する場合、可能なコンテキストごとにポリシーを設定する必要があります。考えられるすべてのコンテキストで複数のポリシーを作成しないようにするには、すべてのゾーンを含むグローバルポリシー、または複数のゾーンを含むマルチゾーンポリシーを作成します。
グローバル ポリシーを使用すると、セキュリティ ゾーンに関係なく、ユーザー定義アドレスまたは定義済みアドレス「any」を参照することで、アドレスおよびアプリケーションでトラフィックを規制できます。これらのアドレスは、複数のセキュリティ ゾーンにまたがることができます。たとえば、複数のゾーンへのアクセスまたは複数のゾーンからのアクセスを提供する場合は、すべてのゾーンのすべてのアドレスを含むアドレス "any" を持つグローバル ポリシーを作成できます。「any」アドレスを選択すると、任意のIPアドレスに一致し、グローバルポリシー設定で送信元/宛先アドレスとして「any」が使用されている場合は、任意のパケットの送信元/宛先アドレスと一致します。
グローバル ポリシーを使用すると、1 つのポリシーで複数の送信元ゾーンと複数の宛先ゾーンへのアクセスを提供することもできます。ただし、セキュリティ上の理由とトラフィックのなりすましを避けるために、マルチゾーンポリシーを作成するときは、同一の一致条件(送信元アドレス、宛先アドレス、アプリケーション)と同一のアクションを使用することをお勧めします。たとえば、 図 1 で、DMZ と Untrust from-zones を含むマルチゾーン ポリシーを作成した場合、DMZ ゾーンからの 203.0.113.0/24 からのスプーフィング トラフィックはポリシーに正常に一致し、Trust to ゾーン内の保護されたホストに到達できます。
VPN トンネルは特定のゾーン情報を必要とするため、from-zone およびto-zone 情報のないグローバル ポリシーは VPN トンネルをサポートしていません。
ポリシー検索が実行されると、ポリシーはゾーン内(信頼から信頼)、ゾーン間(信頼から信頼)、グローバルの順でチェックされます。通常のポリシーと同様に、コンテキスト内のグローバルポリシーは、最初に一致したポリシーがトラフィックに適用されるように順序付けられます。
グローバル ポリシーがある場合は、グローバル ポリシーがチェックされないため、ゾーン内ポリシーまたはゾーン間ポリシーで、"source any に一致"、宛先 any に一致"、"アプリケーション any に一致" などの「キャッチオール」ルールを定義していないことを確認してください。グローバル ポリシーがない場合は、ゾーン内ポリシーまたはゾーン間ポリシーに "すべて拒否" アクションを含めることをお勧めします。グローバル ポリシーがある場合は、グローバル ポリシーに "すべて拒否" アクションを含める必要があります。
論理システムでは、論理システムごとにグローバルポリシーを定義できます。1 つの論理システム内のグローバル ポリシーは、他のセキュリティ ポリシーとは別のコンテキストにあり、ポリシー検索における通常のセキュリティ ポリシーよりも優先度が低くなります。たとえば、ポリシールックアップが実行される場合、通常のセキュリティポリシーがグローバルポリシーよりも優先されます。したがって、ポリシールックアップでは、通常のセキュリティポリシーが最初に検索され、一致するものがない場合は、グローバルポリシールックアップが実行されます。
関連項目
例:ゾーン制限のないグローバル ポリシーの設定
Junos OSの他のセキュリティポリシーとは異なり、グローバルポリシーは特定のソースゾーンと宛先ゾーンを参照しません。グローバル ポリシーは、複数のセキュリティ ゾーンにまたがることができる定義済みのアドレス「any」またはユーザー定義アドレスを参照します。グローバル ポリシーを使用すると、ゾーン制限なしでトラフィックに対してアクションを実行できる柔軟性が得られます。たとえば、すべてのゾーンのすべてのホストが会社の Web サイト (www.example.com など) にアクセスできるように、グローバル ポリシーを作成できます。グローバル ポリシーの使用は、セキュリティ ゾーンが多数ある場合に便利なショートカットです。トラフィックは、送信元アドレス、宛先アドレス、およびトラフィックがプロトコルヘッダーで伝送するアプリケーションに一致することによって分類されます。
この例では、トラフィックを拒否または許可するグローバル ポリシーを設定する方法を示しています。
要件
始める前に:
ファイアウォールのセキュリティポリシーを確認します。
「 セキュリティ ポリシーの概要」、「 グローバル ポリシーの概要」、「 セキュリティ ポリシー規則について」、および「セキュリティ ポリシー要素について」を参照してください。
アドレス帳を構成し、ポリシーで使用するアドレスを作成します。
例:アドレス帳とアドレス セットの設定を参照してください。
そのタイプのトラフィックにポリシーが適用されることを示すアプリケーション(またはアプリケーション セット)を作成します。
「例:セキュリティポリシーアプリケーションとアプリケーションセットの設定」を参照してください。
概要
この設定例では、(ゾーンを使用する)複数のセキュリティ ポリシーで達成されるであろうことを達成するグローバル ポリシーを設定する方法を示します。グローバルポリシーgp1はすべてのトラフィックを許可し、ポリシーgp2はすべてのトラフィックを拒否します。
トポロジ
構成
CLIクイック構成
この例を迅速に設定するには、以下のコマンドをコピーして、テキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを 階層レベルでCLI [edit] にコピーアンドペーストして、設定モードから を入力します commit 。
set security address-book global address server1 dns-name www.example.com set security address-book global address server2 dns-name www.mail.example.com set security policies global policy gp1 match source-address server1 set security policies global policy gp1 match destination-address server2 set security policies global policy gp1 match application any set security policies global policy gp1 then permit set security policies global policy gp2 match source-address server2 set security policies global policy gp2 match destination-address server1 set security policies global policy gp2 match application junos-ftp set security policies global policy gp2 then deny
手順
手順
次の例では、設定階層のいくつかのレベルに移動する必要があります。その方法の詳細については、 CLIユーザー ガイドの 設定モードでのCLIエディターの使用 を参照してください。
すべてのトラフィックを許可または拒否するグローバルポリシーを設定するには:
アドレスを作成します。
[edit security] user@host# set security address-book global address server1 dns-name www.example.com user@host# set security address-book global address server2 dns-name www.mail.example.com
すべてのトラフィックを許可するグローバル ポリシーを作成します。
[edit security] user@host# set policy global policy gp1 match source-address server1 user@host# set policy global policy gp1 match destination-address server2 user@host# set policy global policy gp1 match application any user@host# set policy global policy gp1 then permit
すべてのトラフィックを拒否するグローバル ポリシーを作成します。
[edit security] user@host# set policy global policy gp2 match source-address server2 user@host# set policy global policy gp2 match destination-address server1 user@host# set policy global policy gp2 match application junos-ftp user@host# set policy global policy gp2 then deny
結果
設定モードから、 および show security policies global コマンドを入力してshow security policies設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の手順を繰り返して設定を修正します。
user@host# show security policies
global {
policy gp1 {
match {
source-address server1;
destination-address server2;
application any;
}
then {
permit;
}
}
policy gp2 {
match {
source-address server2;
destination-address server1;
application junos-ftp;
}
then {
deny;
}
}
}
user@host# show security policies global
policy gp1 {
match {
source-address server1;
destination-address server2;
application any;
}
then {
permit;
}
}
policy gp2 {
match {
source-address server2;
destination-address server1;
application junos-ftp;
}
then {
deny;
}
}
デバイスの設定が完了したら、設定モードから を入力します commit 。
検証
グローバル ポリシー設定の検証
目的
グローバル ポリシー gp1 および gp2 が必要に応じて設定されていることを確認します。
アクション
動作モードから コマンド show security policies global を入力します。
user@host> show security policies global
Global policies:
Policy: gp1, State: enabled, Index: 6, Scope Policy: 0, Sequence number: 1
From zones: any
To zones: any
Source addresses: server1
Destination addresses: server2
Applications: any
Action: permit
Policy: gp2, State: enabled, Index: 7, Scope Policy: 0, Sequence number: 2
From zones: any
To zones: any
Source addresses: server2
Destination addresses: server1
Applications: junos-ftp
Action: deny
意味
出力には、デバイスに設定されているすべてのグローバルポリシーに関する情報が表示されます。
例:複数のゾーンを持つグローバル ポリシーの設定
Junos OS の他のセキュリティ ポリシーとは異なり、グローバル ポリシーではマルチゾーン ポリシーを作成できます。グローバル ポリシーは、セキュリティ ゾーンが多い場合に便利なショートカットです。送信元アドレスや宛先アドレスなどの他の属性が同一であっても、送信元ゾーンと宛先ゾーンのペアごとに個別のポリシーを作成する代わりに、1 つのグローバル ポリシーで複数の送信元ゾーンと複数の宛先ゾーンを設定できるためです。
要件
始める前に:
ファイアウォールのセキュリティポリシーを確認します。
「 セキュリティ ポリシーの概要」、「 グローバル ポリシーの概要」、「 セキュリティ ポリシー規則について」、および 「セキュリティ ポリシー要素について」を参照してください。
セキュリティ ゾーンを作成します。
概要
この設定例では、複数のセキュリティ ポリシーで達成できたであろうことを達成するグローバル ポリシーを設定する方法を示します。グローバルポリシーPaは、ゾーン1および2からゾーン3および4へのすべてのトラフィックを許可します。
トポロジ
構成
CLIクイック構成
この例を迅速に設定するには、以下のコマンドをコピーして、テキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを 階層レベルでCLI [edit] にコピーアンドペーストして、設定モードから を入力します commit 。
set security policies global policy Pa match source-address any set security policies global policy Pa match destination-address any set security policies global policy Pa match application any set security policies global policy Pa match from-zone zone1 set security policies global policy Pa match from-zone zone2 set security policies global policy Pa match to-zone zone3 set security policies global policy Pa match to-zone zone4 set security policies global policy Pa then permit
手順
手順
次の例では、設定階層のいくつかのレベルに移動する必要があります。その方法の詳細については、 設定モードでのCLIエディターの使用を参照してください。
複数のゾーンを持つグローバル ポリシーを構成するには:
ゾーン 1 および 2 からゾーン 3 および 4 へのすべてのトラフィックを許可するグローバル ポリシーを作成します。
[edit security] set security policies global policy Pa match source-address any set security policies global policy Pa match destination-address any set security policies global policy Pa match application any set security policies global policy Pa match from-zone zone1 set security policies global policy Pa match from-zone zone2 set security policies global policy Pa match to-zone zone3 set security policies global policy Pa match to-zone zone4 set security policies global policy Pa then permit
結果
設定モードから、 コマンドを入力してshow security policiesglobal設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の手順を繰り返して設定を修正します。
[edit]
user@host# show security policies global
policy Pa {
match {
source-address any;
destination-address any;
application any;
from-zone [ zone1 zone2 ];
to-zone [ zone3 zone4 ];
}
then {
permit;
}
}
デバイスの設定が完了したら、設定モードから を入力します commit 。