VRF対応のセキュリティゾーンを使用したセキュリティポリシー

概要

インターフェイスでゾーンを定義する方法と同様に、VRFインスタンス(VRF認識ゾーン)を使用してゾーンを定義できるようになりました。ポリシールックアッププロセスにはVRFゾーンが組み込まれており、インターフェイスベースのゾーンとのクロスコンビネーションを可能にして、包括的なポリシーを適用できます。

VRF インスタンスを使用してゾーンを定義します。 VRF対応ゾーンは、ポリシー評価に関しては、インターフェイスベースのゾーンコンテキストと同じように動作します。インターフェイスベースの ゾーン間 および ゾーン間 の組み合わせがコンテキストと見なされるのと同様に、VRFゾーンも同じように考慮されます。ファイアウォールフローは、ポリシールックアップ用のインターフェイスゾーンの詳細を送信するのと同じ方法で、VRFゾーンをポリシーに送信します。

VRF 固有のゾーン内で MPLS トラフィックと VXLAN トラフィックが一致する 2 レベルのゾーンをサポートするようになりました。このアプローチにより、他のオーバーレイまたはアンダーレイゾーンに影響を与えることなく、セッションがVRF固有のポリシーによって管理されます。

トラフィック評価(タイプに基づく):

• MPLS または VXLAN トラフィックの場合、VRF ベースのゾーンに最高の優先度が与えられます。
• IPトラフィックの場合、デバイスはインターフェイスベースのゾーンのみをチェックします。

ポリシー評価(トラフィックタイプに基づく):

• MPLS および VXLAN トラフィックの場合、ポリシー評価では VRF ベースのゾーンを使用します。

• IPトラフィックの場合、ポリシー評価ではインターフェイスベースのゾーンのみが使用されます。

  あいまいな一致を防ぐために、単一のVRFグループポリシーの制限が残っています。

VRF 対応ゾーンとインターフェイスベース ゾーンは分離されたままです。VRF 対応ゾーンにインターフェイスを含めることはできません。インターフェイスゾーンは、VRF認識ゾーンを参照することはできません。

注:

VRF対応ゾーンベースのポリシー適用には後方互換性があるため、既存のVRFレベルの適用が機能し続けると同時に、新しいVRFベースのゾーン設定が組み込まれます。

下位互換性を維持するため、同じポリシーでVRFベースのゾーンとVRF一致基準の両方を設定することはサポートされておらず、その場合、コミットエラーが発生します。

MPLS および VXLAN トラフィックの場合、セッションは VRF 固有のゾーン ポリシーに基づいて作成されます。パケットはVRFゾーンと一致し、一致した場合、デバイスはそれに応じてセッションを確立します。

フローセッションの動作

このセクションでは、オーバーレイからオーバーレイ、アンダーレイからアンダーレイ、およびオーバーレイからアンダーレイのフローの3つのシナリオにおけるフローセッションの動作について説明します。

ゾーンとVRFの変更をセッションの動作を予測可能な方法で管理し、トラフィックの継続性を維持できます。

トラフィックがオーバーレイゾーンに一致する場合、アンダーレイゾーンにインターフェイスを追加したり、未使用のインターフェイスを削除したりしても、セッションは終了しません。また、トラフィック一致したオーバーレイゾーンにVRFインスタンスを追加したり、そのオーバーレイゾーンから未使用のVRFインスタンスを削除したりしても、デバイスはトラフィックを保持します。

トラフィックがオーバーレイゾーンに一致する場合、アンダーレイゾーンの名前を変更するか、アンダーレイゾーンでオーバーレイゾーンに一致したトラフィックを伝送するインターフェイスを削除すると、セッションは終了します。

構成の概要

VRF ベースのゾーンは VRF インスタンス専用であり、直接インターフェイス設定をサポートしていません。同様に、インターフェイスベースのゾーンも VRF インスタンスに対応しません。仮想ネットワーク識別子(VNI)対応ゾーンはサポートされていません。

VRFゾーンを設定します。 VRFゾーンを定義し、CLI、Security Director、またはSecurity Director Cloudを使用して特定のポリシーに関連付けます。

VRFゾーンの設定を確認します。 既存のポリシーコマンドとゾーン表示コマンドを使用します。コマンド出力が更新され、VRF ゾーンの詳細が含まれるようになり、現在の設定と潜在的な不一致を可視化できるようになりました。