ファイアウォールポリシーの概要
Security Directorには、次の2種類のファイアウォール ポリシーが用意されています。
デバイスポリシー—デバイスごとに作成されるファイアウォールポリシーのタイプ。このタイプのポリシーは、デバイスごとに固有のファイアウォールポリシー設定をプッシュする場合に使用されます。デバイスファイアウォールポリシー用のデバイスルールを作成できます。
Security Directorは、論理システムまたはテナントシステムを他のセキュリティデバイスと同様に表示し、論理システムまたはテナントシステムのセキュリティ設定の所有権を取得します。Security Directorでは、各論理システムまたはテナントシステムは固有のセキュリティデバイスとして管理されます。
デバイスポリシーへのデバイス割り当て中は、現在のドメインのデバイスのみが表示されます。
注:Security Directorがルート論理システムを検出した場合、ルートlsysはデバイス内の他のすべてのユーザーlsysを検出します。
Security Directorでは、デバイスにデバイス固有のポリシーを設定し、複数のグループポリシーの一部にすることができます。デバイスのルールは、以下の順序で更新されます。
「デバイス固有ポリシー」の前に適用されるポリシー内のルール
デバイス固有のポリシー内のルール
「デバイス固有ポリシー」の後に適用されるポリシー内のルール
「デバイス固有ポリシー」の前に適用されるポリシー内のルールが優先され、上書きすることはできません。ただし、デバイス固有ポリシーに上書きルールを追加することで、「デバイス固有ポリシー」の後に適用されるポリシー内のルールを上書きできます。エンタープライズシナリオでは、「デバイス固有ポリシー」の前に適用されるポリシーから「共通の必須適用」ルールをデバイスに割り当て、「デバイス固有ポリシー」の後に適用されるポリシーからデバイスに割り当てることができます。
注:例外は、「デバイス固有のポリシー」でデバイスごとに追加できます。デバイスに適用されているルールの完全なリストについては、 デバイス>ファイアウォールポリシーの設定>を選択します。デバイスを選択すると、そのデバイスに関連付けられたルールが表示されます。
すべてのデバイスポリシーを使用すると、Security Directorが管理するすべてのデバイスにルールをグローバルに適用できます。すべてのデバイスポリシーはグローバルドメインの一部であり、ペアレントビューが有効になっている場合、すべての子ドメインに表示されます。
グループ—複数のデバイスと共有されるファイアウォールポリシーのタイプ。このタイプのポリシーは、特定のファイアウォールポリシー設定を多数のデバイスに更新する場合に使用されます。ポリシーの配置を、デバイス固有の前またはデバイス固有の後に選択できます。デバイス上のグループファイアウォールポリシーが更新されると、ルールは以下の順序で更新されます。
「デバイス固有ポリシー」の前に適用されるポリシー内のルール
デバイス固有のポリシー内のルール
「デバイス固有ポリシー」の後に適用されるポリシー内のルール
グループポリシーのデバイス割り当て中は、現在のドメインと子ドメイン(親表示が有効になっている)のデバイスのみが表示されます。親の表示が無効になっている子ドメイン内のデバイスはリストにありません。グローバルドメインのすべてのグループポリシーが子ドメインに表示されるわけではありません。グローバルドメインのグループポリシー(すべてのデバイスポリシーを含む)は、子ドメインの親ビューが無効になっている場合、その子ドメインには表示されません。子ドメインのデバイスが割り当てられているグローバルドメインのグループポリシーのみが子ドメインに表示されます。D1とグローバルドメインの両方のデバイスが割り当てられているグループポリシーがグローバルドメインにある場合、グローバルドメインのこのグループポリシーのみが、D1ドメインデバイスのみとともにD1ドメインに表示されます。グローバルドメインの他のデバイス(デバイス例外ポリシー)は、D1ドメインには表示されません。
子ドメインからグローバルドメインのグループポリシーを編集することはできません。これは、すべてのデバイスポリシーにも当てはまります。ポリシーの変更、ポリシーの削除、スナップショットの管理、スナップショットポリシー、ポリシーロックの取得も許可されていません。同様に、グローバルドメインからD1ドメインのデバイス例外ポリシーに対してこれらのアクションを実行することはできません。現在のドメインのグループポリシーに優先順位を付けることができます。他のドメインのグループポリシーはリストされていません。
前(前)または後(後)に適用されたグループポリシー Security Director経由のデバイス固有のポリシー:
グローバルベースのポリシーとゾーンベースのポリシーで別々に動作します。
ポリシーの順序の概要で説明されているように、Junos-SRXポリシーの優先順位を変更しないでください。
ファイアウォールポリシーの基本設定は、ポリシープロファイルから取得します。基本設定には、ログオプション、ファイアウォール認証スキーム、トラフィックリダイレクトオプションが含まれます。
ファイアウォールポリシーが表形式で表示されます。ポリシーを選択し、インラインまたは+アイコンを使用してルールを適用できます。詳細については、「 ファイアウォールポリシールールの作成」を参照してください。
Junos Space Security Director リリース 19.3R1 以降、標準ファイアウォール ポリシー ルールに IPS ポリシーを割り当てることができます。CLIは、IPSポリシーと、リリース18.2以降のデバイスの標準ファイアウォールポリシー(IPSポリシーが割り当てられている)に対して生成されますJunos OS。IPSポリシー名はファイアウォールポリシールールで直接使用されるため、[edit security idp active-policy policy-name]ステートメントはJunos OSリリース18.2以降で非推奨です。非推奨のアクティブなポリシーCLIをSecurity Directorからインポートして新しいCLIに変換できます。Junos OSバージョン18.2以降では、非推奨のアクティブポリシーのIPSポリシーをインポートできます。IPSポリシーがインポートされると、デバイスのファイアウォールポリシーに関連付けられたルールがIPSポリシーの詳細で更新されます。その後のSecurity Directorからの更新では、IDPをアタッチするための新しいファイアウォールポリシーCLIがプレビューで確認でき、同じものをデバイスに更新できます。
Junos OSリリース18.2を搭載したデバイスでは、ファイアウォールポリシーのすべてのルールに同じIPSポリシーを割り当てる必要があります。割り当てないとコミットが失敗します。
Junos OSリリース18.3以降を搭載したデバイスでは、ファイアウォールポリシーのルールに異なるIPSポリシーを割り当てることができます。デフォルトのIDPポリシーを設定する必要があります。設定しないとコミットが失敗します。