Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
このページの内容
 

VRFグループを使用したセキュリティポリシー

概要

SD-WANネットワークでは、GREやGEなどの同じトンネルから異なるVRFベースのトラフィックがデバイスに入ると、デバイスは指定されたVRFインスタンスに基づいてポリシーを適用します。デバイスは、特定のVRFインスタンス宛てのトラフィックを許可または拒否して、VRFベースのトラフィックを制御します。

現在、各ポリシーには5つの一致条件があります。

  • ゾーンから

  • ゾーンへ

  • 送信元アドレス

  • 宛先アドレス

  • アプリケーション

図1は、ポリシー内の一致条件を示しています。

図1:一致条件Firewall rule table: Traffic from Zone Z1 to Zone Z2 is allowed for any source and destination address using HTTPS. Action is permit with UTM.

現在のポリシー一致条件では、VRF-B1またはVRF-B2を許可し、VRF-A1またはVRF-A2を拒否することはできません。これをサポートするために、VRFグループを使用してSD-WANネットワークのポリシーに一致条件が追加されます。

フローは、送信元と宛先のVRFグループの情報を受信すると、一致条件を満たすためにポリシーキータプル情報とともに、ポリシー検索APIに情報を転送します。

図2は、ポリシー内の一致条件として追加されたVRFグループを示しています。

図2:VRFグループTable showing network security policies with match conditions and actions. vpn-a_policy denies traffic to VRF-GRP_A; vpn-b_policy permits traffic to VRF-GRP_B.との一致条件
注:

送信元と宛先のVRFグループ情報がポリシーで指定されていない場合、これらのグループはVRFグループ any 一致します。

例:VRF グループを使用して IP ネットワークから MPLS ネットワークへの VRF ベースのトラフィックを許可する セキュリティ ポリシーの設定

この例では、VRFグループを使用してプライベートIPネットワークからMPLネットワークへのトラフィックを許可するセキュリティポリシーを設定する方法を示します。

要件

  • サポートされているすべてのJunosリリース。

  • サポートされているデバイス上。

概要

Junos OSでは、セキュリティポリシーは、デバイスを通過できるトラフィックや、デバイスを通過する際にトラフィックに対して実行する必要があるアクションなど、トランジットトラフィックのルールを適用します。 図3では、SRXシリーズファイアウォールがSD-WANに導入され、VRFグループを使用してプライベートIPネットワークからMPLSネットワークへのトラフィックを許可しています。

図3:プライベートネットワークからMPLSNetwork architecture diagram showing Site-a and Site-b connected through VPNs and routing. Data flows from Site-a via VPN-A and from Site-b via VPN-B into VRF-g, the central routing domain. Orange arrows indicate data flow from Site-a; green arrows indicate data flow from Site-b.へのトラフィック

この設定例では、次の方法を示しています。

  • IPネットワーク(LAN-a)からVRFグループへのトラフィックを許可します

  • IPネットワーク(LAN-b)からVRFグループへのトラフィックを許可します

設定

手順

CLIクイックコンフィグレーション

この例をすばやく設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピー アンド ペーストして、設定モードから commit を入力します。

ステップバイステップの手順

次の例では、設定階層のさまざまなレベルに移動する必要があります。その方法の詳細については、『CLIユーザーガイド』の「構成モードでのCLIエディターの使用」を参照してください。

  1. VRFインスタンスA1およびA2でVRFグループVPN-Aを作成します

  2. VRFインスタンスA11およびA21を使用してVRFグループvpn-A1を作成します。

  3. VRFインスタンスB1およびB2でVRFグループvpn-Bを作成します

  4. VRFインスタンスB11およびB21でVRFグループvpn-B1を作成します

  5. vrf-aトラフィックを許可するセキュリティポリシーを作成します。

  6. vrf-bトラフィックを許可するセキュリティポリシーを作成します。

結果

設定モードから、 show security policies コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。

デバイスの設定が完了したら、設定モードから commit を入力します。

検証

ポリシー設定の検証
目的

セキュリティポリシーに関する情報を検証します。

アクション

動作モードから、 show security policies コマンドを入力して、デバイスに設定されているすべてのセキュリティポリシーの概要を表示します。

例:VRFグループを使用して、MPLSネットワークからIPネットワークへのVRFベースのトラフィックを許可するセキュリティポリシーの設定

この例では、VRF グループを使用して MPLS から IP ネットワークへのトラフィックを許可するセキュリティ ポリシーを設定する方法を示します。

要件

概要

Junos OSでは、セキュリティポリシーは、デバイスを通過できるトラフィックや、デバイスを通過する際にトラフィックに対して実行する必要があるアクションなど、トランジットトラフィックのルールを適用します。 図4では、ファイアウォールがSD-WANに展開されており、VRFグループを使用してMPLSネットワークからプライベートネットワークへのトラフィックを許可しています。

図4: MPLSからプライベートネットワークへのトラフィック許可 Network diagram illustrating a VPN setup with hub-and-spoke topology. Site-a and Site-b connect to Spoke SRX via VPN-A and VPN-B through LAN-a and LAN-b. Spoke SRX connects to Hub SRX via GRE tunnels with specific identifiers.

この設定例では、次の方法を示しています。

  • GRE MPLSからLAN-aへのトラフィックを許可する

  • GRE MPLSからLAN-bへのトラフィックを許可する

設定

手順

CLIクイックコンフィグレーション

この例をすばやく設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピー アンド ペーストして、設定モードから commit を入力します。

ステップバイステップの手順

次の例では、設定階層のさまざまなレベルに移動する必要があります。その方法の詳細については、『CLIユーザーガイド』の「構成モードでのCLIエディターの使用」を参照してください。

  1. VRFインスタンスA1およびA2を使用して、VRFグループvpn-Aを作成します。

  2. VRFインスタンスB1およびB2を使用して、VRFグループvpn-Bを作成します。

  3. VRF-aトラフィックを許可するセキュリティポリシーを作成します。

  4. VRF-bトラフィックを許可するセキュリティポリシーを作成します。

結果

設定モードから、 show security policies コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。

デバイスの設定が完了したら、設定モードから commit を入力します。

検証

ポリシー設定の検証
目的

セキュリティポリシーに関する情報を検証します。

アクション

動作モードから、 show security policies コマンドを入力して、デバイスに設定されているすべてのセキュリティポリシーの概要を表示します。

例:VRFグループを使用して、パブリックIPネットワークからMPLSネットワークへのVRFベースのトラフィックを許可するセキュリティポリシーの設定

この例では、VRF グループを使用して受信パブリック IP ネットワークを MPLS ネットワークに変換する宛先 NAT ルールを設定する方法を説明します。

要件

概要

図5では、ファイアウォールは宛先NATルールで設定されており、受信パブリックIPネットワークをVRFベースの宛先ルーティングテーブルとIP単位に変換しています。ファイアウォールは、vpn-Aとvpn-Bの2つのVRFグループで構成されています。

図5:パブリックネットワークからMPLSNetwork architecture diagram featuring NAT, VRF, and GRE tunnels for traffic flow from Global IP Network to SRX device.へのトラフィック許可

設定

手順

CLIクイックコンフィグレーション

この例を迅速に設定するには、以下のコマンドをコピーしてテキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから commit を入力します。

ステップバイステップの手順

次の例では、設定階層のさまざまなレベルに移動する必要があります。その方法の詳細については、『CLIユーザーガイド』の「構成モードでのCLIエディターの使用」を参照してください。

単一VRFの宛先NATマッピングを設定するには:

  1. レイヤー3 VPNでは、VRFインスタンスA1およびA2を持つVRFグループVPN-Aを作成します。

  2. VRFインスタンスB1とB2で、別のVRFグループvpn-Bを作成します。

  3. 宛先 NAT IP アドレス プールを指定します。

  4. 宛先プールにルーティングインスタンスを割り当てます。

  5. 宛先 NAT ルール セットを作成します。

  6. パケットを照合し、宛先IPアドレスを宛先NAT IPアドレスプール内のIPアドレスに変換するルールを設定します。

  7. VRF-aトラフィックを許可するセキュリティポリシーを作成します。

  8. VRF-bトラフィックを許可するセキュリティポリシーを作成します。

結果

設定モードから、 show security nat および show security policies コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。

デバイスの設定が完了したら、設定モードから commit を入力します。

検証

宛先 NAT ルールの使用とセキュリティ ポリシーの検証

目的

宛先 NAT ルールに一致するトラフィックがあることを確認します。

アクション

動作モードから、 show security nat destination rule all コマンドを入力します。変換ヒットフィールドで、宛先NATルールに一致するトラフィックがあるかどうかを確認します。

動作モードから、 show security policies コマンドを入力して、デバイスに設定されているすべてのセキュリティポリシーの概要を表示します。

例:MPLSネットワークからパブリックIPネットワークへのVRFベーストラフィックをVRFグループを使用して許可するセキュリティポリシーの設定

この例では、VRFグループごとのネットワークトラフィックをグローバルIPプールに変換するようにルーティンググループを設定する方法を説明します。

要件

概要

図6では、ファイアウォールがルーティンググループで設定されており、MPLSからグローバルIPプールへのVRFグループネットワークトラフィックを許可しています。ファイアウォールは、vpn-Aとvpn-Bの2つのVRFグループで構成されています。

図6: MPLSからパブリックネットワークへのトラフィック許可 Diagram of network flow through SRX device: GRE to VPN-A or VPN-B, then through routing and NAT, exiting via GE.

設定

手順

CLIクイックコンフィグレーション

この例を迅速に設定するには、以下のコマンドをコピーしてテキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから commit を入力します。

ステップバイステップの手順

次の例では、設定階層のさまざまなレベルに移動する必要があります。その方法の詳細については、『CLIユーザーガイド』の「構成モードでのCLIエディターの使用」を参照してください。

単一VRFの送信元NATマッピングを設定するには:

  1. レイヤー3 VPNでは、VRFインスタンスA1およびA2を持つVRFグループVPN-Aを作成します。

  2. VRFインスタンスB1とB2で、別のVRFグループvpn-Bを作成します。

  3. 送信元 NAT IP アドレス プールを指定します。

  4. ソース NAT ルール セットを作成します。

  5. パケットを照合し、VRFグループごとのネットワークトラフィックをグローバルIPプールに変換するルールを設定します。

  6. VPN-Aトラフィックを許可するセキュリティポリシーを作成します。

  7. vpn-Bトラフィックを許可するセキュリティポリシーを作成します。

結果

設定モードから、 show security nat および show security policies コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。

デバイスの設定が完了したら、設定モードから commit を入力します。

検証

宛先 NAT ルールの使用とセキュリティ ポリシーの検証

目的

送信元NATルールに一致するトラフィックがあることを確認します。

アクション

動作モードから、 show security nat source rule all コマンドを入力します。変換ヒットフィールドで、送信元NATルールに一致するトラフィックがあるかどうかを確認します。

動作モードから、 show security policies コマンドを入力して、デバイスに設定されているすべてのセキュリティポリシーの概要を表示します。

例:VRF グループを使用してNATせずに、MPLSネットワークからMPLSネットワークへの VRF ベースのトラフィックを許可する セキュリティ ポリシーの設定

この例では、NAT を使用せずに MPLS ネットワーク間のトラフィックを許可するようにルーティング グループを設定する方法を説明します。

図7:MPLSネットワーク間のトラフィックNetwork diagram showing SRX1, SRX2, and SRX3 connected via GRE-1 and GRE-2 tunnels with VPN-A and VPN-B for secure routing and traffic flow.

要件

概要

図7では、ファイアウォールがルーティンググループを使用して設定されており、NATを使用せずにMPLSネットワーク間のトラフィックを許可しています。ファイアウォールは、vpn-Aとvpn-Bの2つのVRFグループで構成されています。

設定

手順

CLIクイックコンフィグレーション

この例を迅速に設定するには、以下のコマンドをコピーしてテキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから commit を入力します。

ステップバイステップの手順

次の例では、設定階層のさまざまなレベルに移動する必要があります。CLIのナビゲーションについては、『CLIユーザーガイド』の「設定モードでのCLIエディターの使用」を参照してください。

単一VRFの送信元NATマッピングを設定するには:

  1. レイヤー3 VPNで、VRFインスタンスA1とA2を持つVRFグループvpn-Aを作成します。

  2. レイヤー3 VPNでは、VRFインスタンスA11およびA12を持つVRFグループvpn-A1を作成します。

  3. VRFインスタンスB1とB2で、別のVRFグループvpn-Bを作成します。

  4. VRFインスタンスB11およびB12を使用して、別のVRFグループvpn-B1を作成します。

  5. vpn-A1トラフィックを許可するセキュリティポリシーを作成します。

  6. vpn-B1トラフィックを許可するセキュリティポリシーを作成します。

結果

設定モードから、 show security policies コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。

デバイスの設定が完了したら、設定モードから commit を入力します。

検証

セキュリティポリシーの検証

目的

セキュリティポリシーの設定出力を確認します。

アクション

動作モードから、 show security policies コマンドを入力して、デバイスに設定されているすべてのセキュリティポリシーの概要を表示します。

例:NATとVRFグループを使用して、MPLSネットワークからMPLSネットワークへのVRFベースのトラフィックを許可するセキュリティポリシーの設定

この例では、ルーティング グループを設定し、NAT を使用して MPLS ネットワーク間のトラフィックを許可する方法について説明します。

図8:NATNetwork flow diagram with SRX devices, GRE tunnels, VPN tunnels, routing, and NAT. Session 1 uses VPN-A with orange flow, and Session 2 uses VPN-B with green flow.を持つMPLSネットワーク間のトラフィック許可

要件

概要

図8では、SRXシリーズファイアウォールがルーティンググループとして構成されており、NATを使用してMPLSネットワーク間のトラフィックを許可しています。SRXシリーズファイアウォールは、VRFグループ、vpn-A、vpn-A1、vpn-B、vpn-B1で構成されています。

設定

手順

CLIクイックコンフィグレーション

この例を迅速に設定するには、以下のコマンドをコピーしてテキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから commit を入力します。

ステップバイステップの手順

次の例では、設定階層のさまざまなレベルに移動する必要があります。CLIのナビゲーションについては、『CLIユーザーガイド』の「設定モードでのCLIエディターの使用」を参照してください。

単一VRFの送信元NATマッピングを設定するには:

  1. レイヤー3 VPNで、VRFインスタンスA1とA2を持つVRFグループvpn-Aを作成します。

  2. レイヤー3 VPNでは、VRFインスタンスA11およびA12を持つVRFグループvpn-A1を作成します。

  3. VRFインスタンスB1とB2で、別のVRFグループvpn-Bを作成します。

  4. VRFインスタンスB11およびB12を使用して、別のVRFグループvpn-B1を作成します。

  5. 送信元 NAT IP アドレス プールを指定します。

  6. ソース NAT ルール セットを作成します。

  7. パケットを照合し、VRFグループごとのネットワークトラフィックをグローバルIPプールに変換するルールを設定します。

  8. vpn-A1トラフィックを許可するセキュリティポリシーを作成します。

  9. vpn-B1トラフィックを許可するセキュリティポリシーを作成します。

結果

設定モードから、 show security nat および show security policies コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。

デバイスの設定が完了したら、設定モードから commit を入力します。

検証

セキュリティポリシーの検証

目的

送信元NATルールに一致するトラフィックがあることを確認します。

アクション

動作モードから、 show security nat source rule all コマンドを入力します。変換ヒットフィールドで、宛先NATルールに一致するトラフィックがあるかどうかを確認します。

動作モードから、 show security policies コマンドを入力して、デバイスに設定されているすべてのセキュリティポリシーの概要を表示します。

例:送信元VRFグループを使用してMPLSネットワークからIPネットワークへのVRFベースのトラフィックを許可または拒否するセキュリティポリシーの設定

この例では、送信元VRFグループを使用してトラフィックを許可および拒否するようにセキュリティポリシーを設定する方法を示しています。

要件

概要

Junos OSでは、セキュリティポリシーは、デバイスを通過できるトラフィックや、デバイスを通過する際にトラフィックに対して実行する必要があるアクションなど、トランジットトラフィックのルールを適用します。 図9では、SRXファイアウォールがSD-WANに導入され、送信元VRFグループを使用してトラフィックを制御しています。GRE MPLSネットワークからのトラフィックは、IPネットワークのサイトAとサイトBに送信されます。ネットワーク要件に従って、サイトAのトラフィックは拒否され、サイトBのトラフィックのみが許可される必要があります。

図9:ネットワークNetwork diagram of VRF groups and a GRE tunnel on an SRX device. VRF-Group A is blocked from the GRE tunnel, while VRF-Group B has access.からのポリシー制御MPLS

この設定例では、次の方法を示しています。

  • vpn-Aからのトラフィックを拒否(GRE MPLSから)

  • vpn-Bからのトラフィックを許可する(GRE MPLSから)

設定

手順

CLIクイックコンフィグレーション

この例をすばやく設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピー アンド ペーストして、設定モードから commit を入力します。

ステップバイステップの手順

次の例では、設定階層のさまざまなレベルに移動する必要があります。CLIのナビゲーションについては、『Junos OS CLIユーザーガイド』の「設定モードでのCLIエディターの使用」を参照してください。

  1. VRFインスタンスA1およびA2でVRFグループVPN-Aを作成します

  2. VRFインスタンスB1およびB2でVRFグループvpn-Bを作成します

  3. vpn-Aトラフィックを拒否するセキュリティポリシーを作成します。

  4. vpn-Bトラフィックを許可するセキュリティポリシーを作成します。

結果

設定モードから、 show security policies および show routing-instances コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。

デバイスの設定が完了したら、設定モードから commit を入力します。

検証

ポリシー設定の検証
目的

セキュリティポリシーに関する情報を検証します。

アクション

動作モードから、 show security policies コマンドを入力して、デバイスに設定されているすべてのセキュリティポリシーの概要を表示します。

例:宛先 VRF グループを使用して IP ネットワークから MPLS ネットワークへの VRF ベース トラフィックを許可または拒否する セキュリティ ポリシーの設定

この例では、送信元VRFグループを使用してトラフィックを許可および拒否するようにセキュリティポリシーを設定する方法を示しています。

要件

概要

Junos OSでは、セキュリティポリシーは、デバイスを通過できるトラフィックや、デバイスを通過する際にトラフィックに対して実行する必要があるアクションなど、トランジットトラフィックのルールを適用します。 図10では、SRXファイアウォールがSD-WANに導入され、宛先VRFグループを使用してトラフィックを制御しています。IP ネットワークからのトラフィックは、GRE MPLS ネットワークのサイト A とサイト B に送信されます。ネットワーク要件に従って、サイトAのトラフィックは拒否され、サイトBのトラフィックのみが許可される必要があります。

この設定例では、次の方法を示しています。

図10:ネットワークNetwork architecture diagram showing MPLS network connected to SRX device with multiple VRF groups. VRF-GROUP A has restricted traffic to LAN_VRF_A, indicated by red arrow and symbol. VRF-GROUP B allows traffic to LAN_VRF_B, shown by green arrows, demonstrating traffic segmentation and control.をMPLSするためのポリシー制御

  • vpn-A(GRE MPLS)へのトラフィックを拒否

  • vpn-B(GRE MPLSへ)へのトラフィックを許可する

設定

手順

CLIクイックコンフィグレーション

この例をすばやく設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピー アンド ペーストして、設定モードから commit を入力します。

ステップバイステップの手順

次の例では、設定階層のさまざまなレベルに移動する必要があります。CLIのナビゲーションについては、『Junos OS CLIユーザーガイド』の「設定モードでのCLIエディターの使用」を参照してください。

  1. VRFインスタンスA1およびA2でVRFグループVPN-Aを作成します

  2. VRFインスタンスB1およびB2でVRFグループvpn-Bを作成します

  3. vpn-Aトラフィックを拒否するセキュリティポリシーを作成します。

  4. vpn-Bトラフィックを許可するセキュリティポリシーを作成します。

結果

設定モードから、 show security policies および show routing-instances コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。

デバイスの設定が完了したら、設定モードから commit を入力します。

検証

ポリシー設定の検証
目的

セキュリティポリシーに関する情報を検証します。

アクション

動作モードから、 show security policies コマンドを入力して、デバイスに設定されているすべてのセキュリティポリシーの概要を表示します。

VRFグループを使用した重複VPNの管理

L3VPNネットワークに2つのセッションがある場合、2つのセッション間の競合を回避するために、VRFグループIDがセッションを区別するための追加キーとしてセッションキーに追加されます。

図11では、ネットワーク1とネットワーク3はL3VPNネットワークのVRFグループAにグループ化され、ネットワーク2とネットワーク4はVRFグループBにグループ化されています。セッションでは、VRFグループAとVRFグループBを差別化要因として使用しています。

図11: VRFグループを使用した重複VPN Network architecture diagram showing an SRX device connecting four L3VPN MPLS networks using VRF instances and GRE tunnels for routing and session establishment.

表1

表1:L3VPNセッション情報

L3VPNネットワーク1および3セッション

L3VPNネットワーク2および4セッション

(フォワード)

(リバース)

(フォワード)

(リバース)

5タプル:X/Y/SP/DP/P

5タプル:y/x/dp/sp/p

5タプル:X/Y/SP/DP/P

5タプル:y/x/dp/sp/p

トークン:GRE1(zone_id+VR_id)+ VRFグループID(A)

トークン:GRE1(zone_id+VR_id) + VRFグループID(B)

トークン:GRE1(zone_id+VR_id) + VRFグループID(A')

トークン:GRE1(zone_id+VR_id) + VRFグループID(B')

関連ドキュメント