セキュリティポリシーの順序変更

Junos OSには、ポリシーリスト内のポリシーの順序が有効であることを確認するツールが用意されています。

あるポリシーが別のポリシーを食いつぶしたり、 シャドウイングしたりする可能性があります。次の例を考えてみましょう。

例1

例2

例 1 と例 2 では、permit-mailポリシーがゾーンtrustuntrust間のポリシーpermit-allの後に設定されています。ゾーンuntrustからのすべてのトラフィックは最初のポリシーpermit-allに一致し、デフォルトで許可されます。ポリシーpermit-mailに一致するトラフィックがありません。

Junos OSは、リストの一番上からポリシールックアップを実行するため、受信したトラフィックに一致するものが見つかると、ポリシーリストの下位に表示されることはありません。前の例を修正するには、ポリシーの順序を逆にして、より具体的なポリシーを最初に配置します。

数十または数百のポリシーがある場合、あるポリシーが別のポリシーによって回避されることを検出するのはそれほど簡単ではない可能性があります。ポリシーがシャドウされているかどうかを確認するには、次のいずれかのコマンドを入力します。

このコマンドは、シャドウポリシーとシャドウポリシーを報告します。その後、状況を修正するのは管理者の責任です。

メモ：

ポリシー シャドウイング の概念は、ポリシー リストの上位にあるポリシーが常に後続のポリシーの前に有効になる状況を指します。ポリシー検索では、送信元ゾーンと宛先ゾーン、送信元アドレスと宛先アドレス、およびアプリケーションタイプの5部構成のタプルに一致する最初のポリシーを常に使用するため、別のポリシーが同じタプル(またはタプルのサブセット)に適用される場合、ポリシールックアップではリストの最初のポリシーが使用され、2番目のポリシーに到達することはありません。

この例では、作成後にポリシーを移動する方法を示しています。