논리적 시스템을 위한 ALG
논리적 시스템의 애플리케이션 레이어 게이트웨이(ALG)를 사용하면 게이트웨이가 애플리케이션 레이어 페이로드를 구문 분석하고 애플리케이션 서버로의 트래픽 허용 또는 거부 여부를 결정할 수 있습니다. ALG는 FTP(Transfer Protocol) 및 애플리케이션 레이어 페이로드를 사용하여 애플리케이션이 데이터 연결을 개방하는 TCP(Dynamic Transmission Control Protocol) 또는 UDP(User Datagram Protocol) 포트를 전달하는 다양한 IP 프로토콜과 같은 애플리케이션을 지원합니다. 자세한 내용은 다음 주제를 참조하십시오.
논리적 시스템의 ALG(애플리케이션 레이어 Gateway) 이해
기본 관리자는 루트 수준에서 ALG를 구성할 수 있습니다. 구성은 모든 사용자 논리 시스템에 의해 상속됩니다. 또한 ALG는 사용자 논리적 시스템에 대해 별도로 구성할 수 있습니다. ALG 상태는 모든 사용자 논리적 시스템에 의해 상속되지 않습니다. 새로 생성된 논리적 시스템의 경우 ALG는 기본 상태로 구성됩니다. FTP 프로토콜 ALG는 특정 논리적 시스템에 대해 활성화 또는 비활성화할 수 있습니다. ICMP ALG 프로토콜은 기본적으로 활성화되어 있으며 비활성화하도록 프로비저닝되지 않습니다.
SRX 시리즈 방화벽이 18.2 릴리스로 업그레이드되면 이전 상태와 비교할 때 논리적 시스템의 ALG 상태가 변경됩니다. 이 변경은 논리적 시스템의 ALG 트래픽에 영향을 미칩니다. 예를 들어 업그레이드 전에 H.323 ALG가 루트별로 사용하도록 구성됩니다. 따라서 H.323 ALG는 lsys1에서도 활성화됩니다. 18.2로 업그레이드한 후, lsys1의 H.323 ALG 상태는 새로운 논리적 시스템에 대해 H.323의 기본 상태가 비활성화되므로 비활성화됩니다.
하나의 특정 논리적 시스템에 대해서만 특정 ALG를 활성화할 수 있습니다.
기본적으로 다음 ALG는 루트 논리적 시스템에서 활성화됩니다.
Dns
Ftp
MSRPC
Pptp
SUNRPC
이야기
Tftp
릴리스 18.2R1 Junos OS 시작하여 각 논리적 시스템에 대한 ALG 구성을 개별적으로 활성화하거나 비활성화하고 모든 논리적 시스템 또는 특정 논리적 시스템의 ALG 상태를 확인할 수 있습니다. 12개의 데이터 ALG(DNS, FTP, TFTP, MSRPC, SUNRPC, PPTP, RSH, RTSP, TALK, SQL, IKE, TWAMP) 및 4개의 VOIP ALG(SIP, H.323, MGCP 및 SCCP)가 논리적 시스템에서 지원됩니다.
더 보기
논리적 시스템에 대한 ALG 활성화 및 비활성화
이 주제는 각 논리적 시스템에 대해 ALG 상태를 활성화 또는 비활성화하는 방법을 보여줍니다.
예: 논리적 시스템에서 FTP ALG 활성화
이 예는 논리적 시스템에서 FTP ALG 구성을 활성화 또는 비활성화하고 논리적 시스템의 FTP ALG 구성을 기반으로 트래픽을 보내는 방법을 보여줍니다.
요구 사항
시작하기 전에 다음을 수행합니다.
논리적 시스템 관리자로서 사용자 논리적 시스템에 로그인합니다. 사용자 논리적 시스템 구성 개요를 참조하십시오.
개요
이 예에서 FTP용 ALG는 논리적 시스템에서 클라이언트와 서버 간에 FTP 트래픽을 모니터링하고 교환할 수 있도록 구성됩니다.
기본적으로 FTP ALG는 논리적 시스템에서 활성화됩니다.
구성
CLI 빠른 구성
이 예를 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브러브를 제거하고, 네트워크 구성을 일치하는 데 필요한 세부 사항을 바꾸고 계층 수준에서 명령을 CLI [edit] 로 복사해 붙여 넣은 다음, 구성 모드에서 을(를) 입력 commit 합니다.
set system security-profile p1 policy maximum 100 set system security-profile p1 policy reserved 50 set system security-profile p1 zone maximum 100 set system security-profile p1 zone reserved 50 set system security-profile p1 flow-session maximum 6291456 set system security-profile p1 flow-session reserved 50 set system security-profile p1 flow-gate maximum 524288 set system security-profile p1 flow-gate reserved 50 set logical-systems LSYS0 interfaces lt-0/0/0 unit 0 encapsulation ethernet-vpls set logical-systems LSYS0 interfaces lt-0/0/0 unit 0 peer-unit 1 set logical-systems LSYS0 routing-instances vr0 instance-type vpls set logical-systems LSYS0 routing-instances vr0 interface lt-0/0/0.0 set system security-profile p1 logical-system LSYS0 set system security-profile p1 logical-system LSYS1 set logical-systems LSYS1 interfaces lt-0/0/0 unit 1 encapsulation ethernet set logical-systems LSYS1 interfaces lt-0/0/0 unit 1 peer-unit 0 set logical-systems LSYS1 interfaces lt-0/0/0 unit 1 family inet address 10.0.0.0/8 set logical-systems LSYS1 interfaces ge-0/0/0 unit 0 family inet address 198.51.100.0/24 set logical-systems LSYS1 interfaces ge-0/0/1 unit 0 family inet address 203.0.113.0/24 set logical-systems LSYS1 security zones security-zone LSYS1_tzone host-inbound-traffic system-services all set logical-systems LSYS1 security zones security-zone LSYS1_tzone host-inbound-traffic protocol all set logical-systems LSYS1 security zones security-zone LSYS1_tzone interfaces ge-0/0/0 set logical-systems LSYS1 security zones security-zone LSYS1_utzone host-inbound-traffic system-services all set logical-systems LSYS1 security zones security-zone LSYS1_utzone host-inbound-traffic protocol all set logical-systems LSYS1 security zones security-zone LSYS1_utzone interfaces ge-0/0/1 set logical-systems LSYS1 security policies from-zone LSYS1_tzone to-zone LSYS1_utzone policy p11 match source-address any set logical-systems LSYS1 security policies from-zone LSYS1_tzone to-zone LSYS1_utzone policy p11 match destination-address any set logical-systems LSYS1 security policies from-zone LSYS1_tzone to-zone LSYS1_utzone policy p11 match application junos-ftp set logical-systems LSYS1 security policies from-zone LSYS1_tzone to-zone LSYS1_utzone policy p11 match application junos-ping set logical-systems LSYS1 security policies from-zone LSYS1_tzone to-zone LSYS1_utzone policy p11 then permit set logical-systems LSYS1 security policies default-policy deny-all
논리적 시스템에서 FTP ALG 구성
단계별 절차
다음 예제에서는 구성 계층에서 다양한 수준의 탐색이 필요합니다. 이를 수행하는 방법에 대한 지침은 Junos OS CLI 사용자 가이드의 구성 모드에서 CLI 편집기 사용을 참조하십시오.
사용자 논리적 시스템에서 ALG를 구성하는 방법:
보안 프로필을 구성합니다.
[edit system security-profile] user@host#set p1 policy maximum 100 user@host#set p1 policy reserved 50 user@host#set p1 zone maximum 100 user@host#set p1 zone reserved 50 user@host#set p1 flow-session maximum 6291456 user@host#set p1 flow-session reserved 50 user@host#set p1 flow-gate maximum 524288 user@host#set p1 flow-gate reserved 50
기본 논리적 시스템을 구성합니다.
단계별 절차
기본 논리적 시스템 생성
[edit logical-systems] user@host#set LSYS0 user@host#set LSYS1
기본 논리적 시스템에 대한 인터페이스를 구성하고 LSYS0에 대한 논리적 터널 인터페이스 및 라우팅 인스턴스를 구성합니다.
[edit interfaces] user@host#set lt-0/0/0 unit 0 encapsulation ethernet-vpls user@host#set lt-0/0/0 unit 0 peer-unit 1 user@host#set routing-instances vr0 instance-type vpls user@host#set routing-instances vr0 interface lt-0/0/0.0
보안 프로필 p1을 구성하고 이를 루트 논리적 시스템 LSYS0에 할당합니다.
[edit system security-profile] user@host#set p1 logical-system LSYS0
사용자 논리적 시스템을 구성합니다.
단계별 절차
사용자 논리적 시스템 LSYS1 생성
[edit logical-systems] user@host#set LSYS1
논리적 시스템 내에서 트래픽을 전송하도록 사용자 논리적 및 논리적 터널 인터페이스를 구성합니다.
[edit interfaces] user@host#set ge-0/0/0 unit 0 family inet address 198.51.100.0/24 user@host#set ge-0/0/1 unit 0 family inet address 203.0.113.0/24 user@host#set lt-0/0/0 unit 1 encapsulation ethernet user@host#set lt-0/0/0 unit 1 peer-unit 0 user@host#set lt-0/0/0 unit 1 family inet address 10.0.0.0/8
LSYS1에 보안 프로필 p1을 할당합니다.
[edit system security-profile] user@host#set p1 logical-system LSYS1
보안 영역을 구성하고 각 영역에 인터페이스를 할당합니다.
[edit security zones] user@host#set security-zone LSYS1_tzone host-inbound-traffic system-services all user@host#set security-zone LSYS1_tzone host-inbound-traffic protocol all user@host#set security-zone LSYS1_tzone interfaces ge-0/0/0 user@host#set security-zone LSYS1_utzone host-inbound-traffic system-services all user@host#set security-zone LSYS1_utzone host-inbound-traffic protocol all user@host#set security-zone LSYS1_utzone interfaces ge-0/0/1
LSYS1_tzone FTP 트래픽이 LSYS1_utzone 수 있는 보안 정책을 구성합니다.
[edit security policies] user@host#set from-zone LSYS1_tzone to-zone LSYS1_utzone policy p11 match source-address any user@host#set from-zone LSYS1_tzone to-zone LSYS1_utzone policy p11 match destination-address any user@host#set from-zone LSYS1_tzone to-zone LSYS1_utzone policy p11 match application junos-ftp user@host#set from-zone LSYS1_tzone to-zone LSYS1_utzone policy p11 match application junos-ping user@host#set from-zone LSYS1_tzone to-zone LSYS1_utzone policy p11 then permit user@host#set default-policy deny-all
결과
구성 모드에서 을(를) 입력하여 LSYS0 및 LSYS1의 구성을 show logical-systems확인합니다. 출력에 의도한 구성이 표시되지 않으면 이 예의 구성 지침을 반복하여 수정합니다.
user@host#show logical-systems LSYS0
interfaces {
lt-0/0/0 {
unit 0 {
encapsulation ethernet-vpls;
peer-unit 1;
}
unit 2 {
encapsulation ethernet-vpls;
peer-unit 3;
}
}
}
routing-instances {
vr0 {
instance-type vpls;
interface lt-0/0/0.0;
interface lt-0/0/0.2;
}
}
user@host#show logical-systems LSYS1
interfaces {
lt-0/0/0 {
unit 1 {
encapsulation ethernet;
peer-unit 0;
family inet {
address 10.0.1.1/24;
}
}
}
reth0 {
unit 0 {
family inet {
address 198.51.100.0/24;
}
}
}
}
security {
alg{
ftp;
}
policies {
from-zone LSYS1_tzone to-zone LSYS1_utzone {
policy P11 {
match {
source-address any;
destination-address any;
application [ junos-ping junos-ftp ];
}
then {
permit;
}
}
}
default-policy {
deny-all;
}
}
zones {
security-zone LSYS1_tzone {
host-inbound-traffic {
system-services {
all;
}
protocols {
all;
}
}
interfaces {
reth0.0;
}
}
security-zone LSYS1_utzone {
host-inbound-traffic {
system-services {
all;
}
protocols {
all;
}
}
interfaces {
lt-0/0/0.1;
}
}
}
}
디바이스 구성이 완료되면 구성 모드에서 을(를) 입력합니다 commit .
확인
구성이 제대로 작동하는지 확인하려면 다음 작업을 수행하십시오.
사용자 논리적 시스템에 대한 ALG 상태 확인
목적
FTP의 alg 상태가 활성화되었는지 확인합니다.
작업
구성이 제대로 작동하는지 확인하려면 명령을 입력합니다 show security alg status logical-system LSYS1 .
user@host> show security alg status logical-system LSYS1
ALG Status:
DNS : Enabled
FTP : Enabled
H323 : Disabled
MGCP : Disabled
MSRPC : Enabled
PPTP : Enabled
RSH : Disabled
RTSP : Disabled
SCCP : Disabled
SIP : Enabled
SQL : Disabled
SUNRPC : Enabled
TALK : Enabled
TFTP : Enabled
IKE-ESP : Disabled
TWAMP : Disabled의미
출력은 논리적 시스템 LSYS1에 대해 활성화된 FTP의 alg 상태를 표시합니다.
모든 논리적 시스템에 대한 ALG 상태 확인
목적
디바이스의 모든 논리적 시스템에 대한 ALG 상태를 확인합니다.
작업
구성이 제대로 작동하는지 확인하려면 명령을 입력합니다 show security alg status logical-system all .
user@host> show security alg status logical-system all
Logical system: root-logical-system
ALG Status:
DNS : Enabled
FTP : Enabled
H323 : Disabled
MGCP : Disabled
MSRPC : Enabled
PPTP : Enabled
RSH : Disabled
RTSP : Disabled
SCCP : Disabled
SIP : Disabled
SQL : Disabled
SUNRPC : Enabled
TALK : Enabled
TFTP : Enabled
IKE-ESP : Disabled
TWAMP : Disabled
Logical system: LSYS3
ALG Status:
DNS : Enabled
FTP : Enabled
H323 : Disabled
MGCP : Disabled
MSRPC : Enabled
PPTP : Enabled
RSH : Disabled
RTSP : Disabled
SCCP : Disabled
SIP : Enabled
SQL : Disabled
SUNRPC : Enabled
TALK : Enabled
TFTP : Enabled
IKE-ESP : Disabled
TWAMP : Disabled
Logical system: LSYS1
ALG Status:
DNS : Enabled
FTP : Enabled
H323 : Disabled
MGCP : Disabled
MSRPC : Enabled
PPTP : Enabled
RSH : Disabled
RTSP : Disabled
SCCP : Disabled
SIP : Enabled
SQL : Disabled
SUNRPC : Enabled
TALK : Enabled
TFTP : Enabled
IKE-ESP : Disabled
TWAMP : Disabled
Logical system: LSYS2
ALG Status:
DNS : Enabled
FTP : Enabled
H323 : Disabled
MGCP : Disabled
MSRPC : Enabled
PPTP : Enabled
RSH : Disabled
RTSP : Disabled
SCCP : Disabled
SIP : Enabled
SQL : Disabled
SUNRPC : Enabled
TALK : Enabled
TFTP : Enabled
IKE-ESP : Disabled
TWAMP : Disabled
Logical system: LSYS0
ALG Status:
DNS : Enabled
FTP : Enabled
H323 : Disabled
MGCP : Disabled
MSRPC : Enabled
PPTP : Enabled
RSH : Disabled
RTSP : Disabled
SCCP : Disabled
SIP : Disabled
SQL : Disabled
SUNRPC : Enabled
TALK : Enabled
TFTP : Enabled
IKE-ESP : Disabled
TWAMP : Disabled
의미
출력은 디바이스의 모든 논리적 시스템에 대한 ALG 상태를 표시합니다.
논리적 시스템에서 논리적 시스템 내 트래픽 확인
목적
리소스 관리자를 통해 생성된 활성 리소스, 클라이언트, 그룹 및 세션에 대한 정보를 확인합니다.
작업
운영 모드에서 명령을 입력합니다 show security resource-manager summary .
user@host> show security resource-manager summary
Active resource-manager clients : 16
Active resource-manager groups : 3
Active resource-manager resources : 26
Active resource-manager sessions : 4
의미
출력에는 리소스 관리자를 통해 생성된 활성 리소스, 클라이언트, 그룹 및 세션에 대한 요약 정보가 표시됩니다.