ユーザーロールファイアウォールセキュリティポリシー

ローカル認証テーブル

ローカル認証テーブルは、エントリーを挿入または削除するCLIコマンドで管理されます。ローカル認証テーブルは、動的 UIT が使用できない場合のバックアップ ソリューションとして使用したり、プリンターやファイル サーバーなど、ネットワークに対して認証できないデバイスにユーザーおよびロール情報を割り当てたりできます。ローカル認証テーブルは、テストに使用したり、ファイアウォール認証やアクセス制御サービスが設定されていない場合に、ユーザーロールファイアウォールがどのように機能するかを示すために使用できます。

サードパーティの認証ソースからIPアドレス、ユーザー名、ロールをダウンロードし、CLIコマンドを使用してプログラムでローカル認証テーブルに追加できます。認証ソースでユーザーとグループが定義されている場合、グループをロールとして構成し、通常どおりユーザーに関連付けることができます。

UAC 認証テーブルに準拠するために、ユーザー名は 65 文字に制限され、ロール名は 64 文字に制限されます。ローカル認証テーブルには、インストールされたJunos OSリリースに応じて、SRX1500デバイス以上で最大10,240認証エントリー、SRX650デバイス以下で最大5120認証エントリーが含まれます。ローカル認証テーブルには、vSRX仮想ファイアウォール上の5120の認証エントリーがあります。各認証エントリは、最大 200 個のロールに関連付けることができます。最大容量は、各ユーザーに割り当てられた平均 10 個のロールに基づきます。これは、UAC 認証テーブルに指定されている容量と同じです。

次のコマンドを使用して、ローカル認証テーブルにエントリを追加します。各エントリはIPアドレスでキーが設定されることに注意してください。

1 つの CLI コマンドの role オプションは、最大 40 個のロールを受け入れます。1 人のユーザーに 40 を超えるロールを関連付けるには、複数のコマンドを入力する必要があります。認証、ユーザー、およびロールのエントリを追加または変更する場合は、次の特性に注意してください。

• ロール名をユーザー名と同じにすることはできません。

• 既存の IP アドレスとユーザー名で add オプションを使用すると、ロール エントリが集約されます。テーブルは、ユーザーごとに最大 200 個のロールをサポートできます。

• 既存の IP アドレスと新しいユーザー名で add オプションを使用すると、その IP アドレスの既存のユーザー名が上書きされます。

• ロールの集約は、既存のセッションには影響しません。

• 既存のエントリのロールリストを変更するには、既存のエントリを削除し、新しいロールリストを持つエントリを追加する必要があります。

• 既存のエントリのIPアドレスを変更するには、既存のエントリを削除し、新しいIPアドレスを持つエントリを追加する必要があります。

エントリは、IPアドレスまたはユーザー名で削除できます。

ローカル認証テーブルは、次のコマンドでクリアできます。

ローカル認証 テーブルの内容を表示するには、次の show... コマンドを使用します。

briefオプション(デフォルト)は、IP アドレスの順に並べられた表形式で情報を表示します。ユーザー名とロールのリストは、形式に合わせて切り捨てられます。

extensive オプションを選択すると、各フィールドの完全な内容が表示されます。その他のオプションでは、表示が 1 つのユーザー名、IP アドレス、またはロールに制限されます。

UAC 認証テーブル

SRXシリーズファイアウォールは、Junos Pulseアクセスコントロールサービスのエンフォーサーとして機能します。この実装では、SRXシリーズファイアウォールがレイヤー3の強化ポイントとして機能し、アクセス制御サービスからプッシュダウンされたIPベースのリソースポリシーでリソースへのアクセスを制御します。

ユーザーロールファイアウォールとして実装された場合、SRXシリーズファイアウォールは、ユーザーロール取得のために同様の方法でUACネットワークにアクセスできます。この場合、認証されたすべてのユーザーのユーザーおよびロール情報が Access Control Service からプッシュされます。

SRXシリーズファイアウォールの設定は、エンフォーサーの設定と似ています。通信を確立するには、両方のデバイスが他方を認識するための構成とパスワード設定が必要です。SRXシリーズファイアウォールから、インフラストラクチャコントローラとしてAccess Control Serviceを接続します。

アクセス制御サービスから、SRXシリーズファイアウォールを新しいエンフォーサーとして定義します。SRXシリーズファイアウォールで指定されているものと同じパスワードを使用します。

ユーザーとパスワードは、標準の認証構成と同様に、アクセス制御サービスで定義されます。1 つ以上のロールをユーザーに関連付けることもできます。ユーザーが認証されると、IP アドレス、ユーザー名、および関連するロールを含むエントリが、アクセス制御サービスの UAC 認証テーブルに追加されます。

2つのデバイス間の接続が初期化されると、UAC認証テーブルがアクセス制御サービスからSRXシリーズファイアウォールにプッシュされます。アクセス制御サービスでエントリが追加、削除、または更新されるたびに、更新されたUAC認証テーブルがSRXシリーズファイアウォールにプッシュされます。

リソース・アクセス・ポリシーは、ユーザー・ロール・ファイアウォール実装のアクセス制御サービスには必要ありません。アクセス動作は、SRXシリーズファイアウォールのデバイスからも削除されます。リソースアクセスポリシーがアクセス制御サービスで定義されている場合、それらはSRXシリーズファイアウォールにプッシュされますが、特定のファイアウォールポリシーがポリシーのアクションフィールドにUACポリシーを実装しない限り、使用されません。

次の show services コマンドは、SRXシリーズ ファイアウォール上の UAC 認証テーブルの内容を表示し、テーブルがアクセス制御サービスから正常にプッシュされたことを確認します。

SRXシリーズファイアウォールは接続を監視し、アクセス制御サービスへの通信が失われているかどうかを検出します。UAC設定に基づいて、SRXシリーズファイアウォールは、別のリクエストを発行する前に、設定された間隔で応答を待機します。応答を受信した場合、アクセス制御サービスは機能していると見なされます。指定したタイムアウト時間が経過しても応答が受信されない場合、通信は失われたと見なされ、タイムアウト アクションが適用されます。次の UAC コマンド構文は、間隔、タイムアウト、およびタイムアウト アクションを構成します。

切断中に、切断されたデバイスに対してユーザーとロールの検索が試行されると、タイムアウト アクションに関係なく失敗コードが返されます。すべての認証ソースへのアクセスが失われた場合、キーワード unknown-user が IP アドレスに関連付けられます。ポリシー ルックアップが再開されると、送信元 ID として unknown-user を持つポリシーがトラフィックと一致します。unknown-userに対して特定のポリシーを実装することで、認証ソースの損失を処理するメソッドを作成できます。

ファイアウォール認証テーブル

ファイアウォール認証では、ゾーンとデバイス間のアクセスを許可する前に、ユーザーがSRXシリーズファイアウォールに対して認証を受ける必要があります。トラフィックを受信すると、ユーザーはユーザー名とパスワードの入力を求められ、指定された有効なユーザーのプロファイルと照合されます。デバイスの設定に応じて、ファイアウォール認証は、telnet、HTTP、HTTPS(SRX5800、SRX5600、および SRX5400 デバイス向け)、および FTP トラフィックがローカルで認証されているか、または RADIUS、LDAP、または SecureID 認証サーバーによって認証されていることを確認します。

ファイアウォール認証がデバイスで使用されている場合、認証プロセスでは、ユーザーロールのファイアウォール一致条件に必要なユーザー名とロール情報を提供することもできます。この場合、情報はファイアウォール認証テーブルと呼ばれるUITで収集および維持されます。 edit access 階層の 1 つ以上のアクセス ポリシーが、ファイアウォール認証に使用する認証方法を定義します。

ファイアウォール認証テーブルは、ユーザーロール情報を取得するための認証ソースとして有効にする必要があります。 priority オプションは、すべての UI がチェックされる順序を指定します。

特定のゾーンペアに対するファイアウォールポリシーでは、permitアクションに指定されたfirewall-authenticationサービスが、一致するトラフィックの認証を開始します。user-firewall認証タイプは、認証されたユーザーのUITエントリを生成します。access-profile オプションに指定された名前は、有効なユーザーの認証に使用されるプロファイルを識別します。

UIT テーブル エントリには、認証されたユーザーとユーザーの関連グループにマッピングされたトラフィックの IP アドレスが含まれています。ユーザーがアクティブでなくなると、エントリはテーブルから削除されます。トラフィックや認証されたユーザーが変更されると、エントリーが継続的に追加および削除されるため、ファイアウォール認証テーブルは動的と見なされます。

同じゾーン ペア内のポリシーで一致条件の一部として source-identity フィールドが指定されている場合、有効なすべての UI でトラフィックの IP アドレスに対応するエントリが検索されます。見つかった場合、関連するユーザー名とグループが取得され、送信元と ID の照合が行われます。(ユーザー認証グループ名は、送信元と ID の照合ではロール名と見なされます)。

ユーザーとロールを使用したポリシーのプロビジョニング

SRXシリーズファイアウォールまたはアクセスコントロールサービスで定義されているすべてのユーザーとロールは、SRXシリーズファイアウォール上のユーザーロールファイルで管理されます。プロビジョニングに使用できるすべてのユーザーとロールを表示するには、次の show security... コマンドを使用します。

手記：

ファイアウォール認証テーブルのユーザー名とロールは、以下の表示に含まれません。

• プロビジョニングに使用できるすべてのロールを表示するには、 show security user-identification role-provision all コマンドを使用します。すべてのUITのロールが一緒にリストされていることに注意してください。

• プロビジョニング可能なすべてのユーザーを表示するには、 show security user-identification user-provision all コマンドを使用します。

• プロビジョニング可能なすべてのユーザーとロールを表示するには、 show security user-identification source-identity-provision all コマンドを使用します。

ポリシー構成がコミットされると、ユーザー ロール ファイルがチェックされ、ポリシーで指定されたすべてのユーザーとロールがプロビジョニングに使用できるかどうかが判断されます。ユーザーまたはロールが見つからない場合は、後で定義できるように、不足しているユーザーまたはロールを示す警告が表示されます。

手記：

ポリシーは、ユーザーまたはロールがまだ定義されていない場合でもコミットされます。

プラットフォーム固有のローカル認証動作

プラットホーム	差
SRX シリーズ	ローカル認証をサポートするSRX300、SRX320、SRX340、SRX345、SRX380、SRX550デバイスでは、インストールされたJunos OSリリースに応じて、ローカル認証テーブルに最大10,240の認証エントリーがあります。. この機能をサポートするSRX1500以上のデバイスでは、インストールされたJunos OSリリースに応じて、ローカル認証テーブルに最大5120の認証エントリが含まれます。

プラットフォーム固有のファイアウォール認証動作

プラットホーム	差
SRX シリーズ	ファイアウォール認証をサポートする SRX5400、SRX5600、SRX5800 デバイスでは、デバイスの設定に応じて、ファイアウォール認証は、telnet、HTTP、HTTPSS、FTP トラフィックがローカルで認証されているか、または RADIUS、LDAP、または SecureID 認証サーバーによって認証されているかを検証します。