방화벽 정책 개요
CSO(Contrail Service Orchestration)는 방화벽 정책과 관련된 방화벽 정책 인텐트 생성, 수정 및 삭제 기능을 제공합니다. 방화벽 정책은 인텐 트 기반 정책으로 제공됩니다. 방화벽 정책 인텐트(Intent)는 인텐트에서 정의된 엔드포인트에서 파생된 컨텍스트 내에서 전송 트래픽을 제어합니다. 인텐트 기반 방화벽 정책은 전송 레이어(레이어 4)와 애플리케이션 레이어(레이어 7) 방화벽 구조를 단일 인텐트에서 모두 통합할 수 있습니다. 기본 시스템은 인텐트를 자동으로 분석하여 디바이스가 이해하는 규칙 집합으로 변환합니다. 시퀀스 및 할당 선택은 인텐트 정의의 엔드포인트를 기반으로 암묵적으로 이루어집니다. 인텐트 은 소스 및 대상 엔드포인트로 구성됩니다. 엔드포인트는 애플리케이션(L7), 사이트 또는 사이트 그룹, IP 주소/주소 그룹, 서비스 또는 부서일 수 있습니다.
CSO 릴리스 5.0.1부터 디바이스(CPE 또는 차세대 방화벽)가 릴리스 18.2R1 이상에서 Junos OS 실행 중인 경우 방화벽 정책은 통합 방화벽 정책으로 작동합니다. 통합 방화벽 정책에서 동적 애플리케이션을 기존 일치 조건과 함께 일치 조건으로 사용할 수 있습니다. 따라서 애플리케이션에 대한 트래픽을 허용하거나 차단하기 위해 디바이스에 별도의 애플리케이션 방화벽이 구성되지 않습니다.
그러나 디바이스가 Junos OS 릴리스 18.2R1보다 일찍 버전을 실행하는 경우 방화벽 정책은 통합 방화벽 정책으로 적용되지 않으며 애플리케이션 방화벽은 디바이스에서 계속 구성됩니다.
통합 방화벽 정책에 대한 정보는 통합 보안 정책을 참조하십시오.
방화벽 정책은 디바이스를 통과하는 트래픽에 대한 인텐트 적용을 통해 보안 기능을 제공합니다. 방화벽 정책 인텐트로 정의된 작업을 기반으로 트래픽이 허용되거나 거부됩니다.
방화벽 정책은 다음과 같은 기능을 제공합니다.
사용 중인 애플리케이션을 기반으로 트래픽을 허용, 거부 또는 거부합니다.
HTTP뿐만 아니라 그 위에 실행되는 모든 애플리케이션을 식별하여 정책을 적절하게 시행할 수 있습니다. 예를 들어, 애플리케이션 방화벽 인텐트로 Facebook에서 HTTP 트래픽을 차단할 수 있지만 Microsoft Outlook에서 HTTP 트래픽에 대한 웹 액세스를 허용할 수 있습니다.
다음 중 하나 이상을 지정하여 고급 보안 보호를 활성화할 수 있는 기능을 제공합니다.
컨텐츠 보안 프로필
SSL 프록시 프로필
침입 방지 시스템(IPS) 프로파일
CSO에서 인텐트 은(는) 존(zone) 기반 인텐트와 엔터프라이즈 기반 인텐트로 분류됩니다.
영역 기반 인텐트(Intents)는 영역이 소스 및 대상 엔드포인트로 인텐트입니다. 존(zone) 기반 인텐트의 정책을 SD-WAN 사이트와 차세대 방화벽 사이트에 적용할 수 있습니다. 영역 기반 인텐트용으로 정의할 수 있는 매개 변수가 표 1에 나열되어 있습니다.
표 1: 영역 기반 인텐트 소스 엔드포인트
대상 엔드 포인트
고급 보안 옵션
지원되는 옵션
영역
주소
사용자
영역
주소
서비스(L4 포트/프로토콜)
애플리케이션(동적 애플리케이션)
SSL 프록시 프로필
컨텐츠 보안 프로필
IPS 프로필
스케줄러
로깅
참고:영역 기반 인텐트에서 부서 또는 사이트를 엔드포인트로 선택할 수 없습니다. 정책에 할당된 사이트는 존(zone) 기반 인텐트(zone-based intents)에 적용 가능하며 자동으로 구축을 위해 고려됩니다.
엔터프라이즈 기반 인텐트(Intents)는 사이트, 사이트 그룹, 부서, 주소를 소스 및 대상 엔드포인트로 포함하는 인텐트입니다. 엔터프라이즈 기반 인텐트의 방화벽 정책은 SD-WAN 사이트에만 적용할 수 있습니다. 엔터프라이즈 기반 인텐트용으로 정의할 수 있는 매개 변수가 표 2에 나와 있습니다.
표 2: 엔터프라이즈 기반 인텐트 소스 엔드포인트
대상 엔드포인트
고급 보안 옵션
지원되는 옵션
사이트
사이트 그룹
부서
주소
사용자
사이트
사이트 그룹
부서
주소
사용자
서비스/애플리케이션
컨텐츠 보안 프로필
IPS 프로필
스케줄러
로깅
참고:영역은 엔터프라이즈 기반 인텐트용 소스 또는 대상 엔드포인트로 선택할 수 없습니다.
CSO 릴리스 4.1 및 이전 버전에 추가된 인텐트(Intents)는 이제 엔터프라이즈 기반 인텐트라고 합니다.