보안 정책 구성

보안 정책은 지정된 서비스를 사용하여 지정된 소스에서 지정된 대상으로 트래픽을 제어하는 문 집합입니다. 정책은 두 지점 간에 지정된 유형의 트래픽을 단방향으로 허용, 거부 또는 터널합니다.

각 정책은 다음으로 구성됩니다.

• 정책에 대한 고유한 이름입니다.

• A from-zone 및 a to-zone, 예를 들어: user@host # set security policies from-zone untrust to-zone untrust

• 정책 규칙을 적용하기 위해 충족해야 하는 조건을 정의하는 일치 기준 집합입니다. 일치 기준은 소스 IP 주소, 대상 IP 주소 및 애플리케이션을 기반으로 합니다. 사용자 ID 방화벽은 정책 명령문의 일부로 추가 튜플 소스 ID를 포함하여 더 큰 세분성을 제공합니다.

• 일치할 경우 수행할 작업 집합(허용, 거부 또는 거부).

• 계정 및 감사 요소-카운팅, 로깅 또는 구조형 시스템 로깅.

SRX 시리즈 해당 사양과 일치하는 패킷을 수신하면 정책에 지정된 작업을 수행합니다.

보안 정책은 전송 트래픽에 대한 일련의 규칙을 적용하여 어떤 트래픽이 방화벽을 통과할 수 있으며 트래픽이 방화벽을 통과할 때 수행한 작업을 식별합니다. 지정된 기준과 일치하는 트래픽에 대한 작업에는 허용, 거부, 거부, 로그 또는 카운트가 포함됩니다.

SRX300, SRX320, SRX340, SRX345, SRX380 및 SRX550M 디바이스의 경우 공장 기본 보안 정책이 제공됩니다.

• 트러스트 영역에서 신뢰할 수 없는 영역으로의 모든 트래픽을 허용합니다.

• 트러스트 영역에서 intrazone 트러스트 영역으로 이르는 신뢰할 수 있는 영역 간의 모든 트래픽을 허용합니다.

• 신뢰할 수 없는 영역에서 트러스트 영역으로의 모든 트래픽을 거부합니다.

보안 정책은 컨텍스트 내의 전송 트래픽(from-zone 에)에 보안 규칙을 적용합니다 to-zone. 각 정책은 이름으로 고유하게 식별됩니다. 트래픽은 소스 및 대상 영역, 소스 및 대상 주소, 트래픽이 프로토콜 헤더에서 전송하는 애플리케이션과 데이터 플레인의 정책 데이터베이스를 일치시켜 분류됩니다.

각 정책은 다음과 같은 특성과 관련이 있습니다.

• 소스 영역

• 대상 영역

• 하나 또는 많은 소스 주소 이름 또는 주소 세트 이름

• 하나 또는 많은 대상 주소 이름 또는 주소 세트 이름

• 하나 또는 많은 애플리케이션 이름 또는 애플리케이션 세트 이름

이러한 특성을 일치 기준이라고 합니다. 각 정책에는 허용, 거부, 거부, 카운트, 로그 및 VPN 터널과 관련된 작업도 있습니다. 정책, 소스 주소, 대상 주소 및 애플리케이션 이름을 구성할 때 일치 조건 인수를 지정해야 합니다.

와일드카드 항목을 any사용하여 IPv4 또는 IPv6 주소로 정책을 구성하도록 지정할 수 있습니다. IPv6 트래픽에 대한 플로우 지원이 활성화되지 않은 경우, any IPv4 주소와 일치합니다. IPv6 트래픽에 대한 플로우 지원이 활성화되면 IPv4 any 및 IPv6 주소가 모두 일치합니다. IPv6 트래픽에 대한 플로우 기반 포워딩을 활성화하려면 명령을 사용합니다 set security forwarding-options family inet6 mode flow-based . 또한 와일드카드 any-ipv4 또는 any-ipv6 소스 및 대상 주소 일치 기준에 대해 각각 IPv4 또는 IPv6 주소만 포함하도록 지정할 수 있습니다.

IPv6 트래픽에 대한 플로우 지원이 활성화되면 보안 정책에서 구성할 수 있는 최대 IPv4 또는 IPv6 주소 수는 다음 일치 기준을 기반으로 합니다.

• Number_of_src_IPv4_addresses + number_of_src_IPv6_addresses * 4<= 1024

• Number_of_dst_IPv4_addresses + number_of_dst_IPv6_addresses * 4<= 1024

일치 기준에 대한 Thr 이유는 IPv6 주소가 IPv4 주소가 사용하는 메모리 공간의 4배를 사용하기 때문입니다.

참고:

디바이스에서 IPv6 트래픽 플로우 지원이 활성화된 경우에만 IPv6 주소로 보안 정책을 구성할 수 있습니다.

특정 애플리케이션을 지정하지 않으시면 을(를) 기본 애플리케이션으로 입력 any 합니다. 구성 모드에서 기본 애플리케이션을 보려면 을(를) 입력합니다 show groups junos-defaults | find applications (predefined applications). 예를 들어, 애플리케이션 이름을 제공하지 않으면 정책이 와일드카드로 애플리케이션과 함께 설치됩니다(기본값). 따라서 주어진 정책의 나머지 매개 변수와 일치하는 모든 데이터 트래픽은 데이터 트래픽의 애플리케이션 유형에 관계없이 정책과 일치합니다.

참고:

정책이 여러 애플리케이션으로 구성되고 하나 이상의 애플리케이션이 트래픽과 일치하면 일치 기준을 가장 잘 충족하는 애플리케이션이 선택됩니다.

트래픽이 일치하는 첫 번째 정책의 작업이 패킷에 적용됩니다. 일치하는 정책이 없으면 패킷이 누락됩니다. 정책은 위에서 아래로 검색되므로 목록 맨 위에 더 구체적인 정책을 배치하는 것이 좋습니다. 또한 IPSec VPN 터널 정책을 맨 위에 배치해야 합니다. 특정 사용자가 모든 인터넷 애플리케이션에 액세스할 수 있도록 허용하는 정책과 같은 일반적인 정책을 목록 맨 아래에 배치합니다. 예를 들어, 모든 특정 정책이 이전에 구문 분석되고 합법적인 트래픽이 허용/카운트/로그된 후에 deny-all 또는 reject-all 정책을 맨 아래에 배치합니다.

참고:

IPv6 주소에 대한 지원이 Junos OS 릴리스 10.2에 추가되었습니다. 액티브/액티브 섀시 클러스터 구성에서 IPv6 주소(액티브/패시브 섀시 클러스터 구성의 기존 지원 외)에 대한 지원이 Junos OS 릴리스 10.4에 추가됩니다.

방화벽 필터 및 스크린이 처리된 후 플로우 처리 중에 정책이 조회되고 SPU(Services Processing Unit)(SRX5400, SRX5600 및 SRX5800 디바이스용)에서 경로 조회가 완료되었습니다. 정책 조회는 대상 영역, 대상 주소 및 송신 인터페이스를 결정합니다.

정책을 생성할 때 다음 정책 규칙이 적용됩니다.

• 보안 정책은 방향에 from-zone to-zone 따라 구성됩니다. 특정 영역 방향에서 각 보안 정책에는 이름, 일치 기준, 작업 및 기타 옵션이 포함됩니다.

• 정책 이름, 일치 기준 및 작업이 필요합니다.

• 정책 이름은 키워드입니다.

• 일치 기준의 소스 주소는 의 하나 이상의 주소 이름 또는 주소 세트 이름으로 구성됩니다 from-zone.

• 일치 기준의 대상 주소는 의 하나 이상의 주소 이름 또는 주소 세트 이름으로 구성됩니다 to-zone.

• 일치 기준의 애플리케이션 이름은 하나 이상의 애플리케이션 또는 애플리케이션 세트의 이름으로 구성됩니다.

• 다음 작업 중 하나가 필요합니다: 허용, 거부 또는 거부.

• 계정 및 감사 요소를 지정할 수 있습니다. 카운트 및 로그.

• 명령으로 세션의 끝 또는 명령으로 session-close 세션의 시작 부분에서 로깅을 활성화할 session-init 수 있습니다.

• 카운트 알람이 켜져 있는 경우 초당 바이트 또는 분당 킬로바이트의 알람 임계값을 지정합니다.

• 다음 조건을 제외하고 을(를to-zone) from-zone 또는 중 하나로 지정할 global 수 없습니다.

  전역 영역으로 구성된 to-zone 모든 정책은 정적 네트워크 주소 변환(NAT) 또는 수신 NAT가 정책에서 구성되었음을 나타내기 위해 단일 대상 주소를 가져야 합니다.

• SRX 시리즈 서비스 게이트웨이에서는 NAT를 통한 정책 허용 옵션이 단순화됩니다. 각 정책은 선택적으로 NAT 변환을 허용하는지, NAT 변환을 허용하지 않는지, 상관하지 않는지를 나타냅니다.

• 주소 이름은 다음 예약된 접두사로 시작할 수 없습니다. 이는 주소 NAT 구성에만 사용됩니다.

  • static_nat_

  • incoming_nat_

  • junos_

• 애플리케이션 이름은 예약된 접두사로 junos_ 시작할 수 없습니다.

셀프 트래픽에 대한 보안 정책을 구성하여 셀프 트래픽에 서비스를 적용할 수 있습니다. 호스트 아웃바운드 정책은 호스트 디바이스에서 생성된 패킷이 플로우를 거치고 이 패킷의 수신 인터페이스가 로컬로 설정된 경우에만 작동합니다.

셀프 트래픽 사용의 장점은 다음과 같습니다.

• 전송 트래픽에 사용되는 기존 정책 또는 플로우 인프라의 대부분을 활용할 수 있습니다.

• 서비스를 활성화하기 위해 별도의 IP 주소가 필요하지 않습니다.

• 디바이스의 모든 인터페이스의 대상 IP 주소를 사용하여 모든 호스트 인바운드 트래픽에 서비스 또는 정책을 적용할 수 있습니다.

참고:

관련 서비스로만 셀프 트래픽에 대한 보안 정책을 구성할 수 있습니다. 예를 들어, 호스트 아웃바운드 트래픽에서 fwauth 서비스를 구성하는 것은 관련이 없으며 gprs-gtp 서비스는 셀프 트래픽에 대한 보안 정책과 관련이 없습니다.

셀프 트래픽에 대한 보안 정책은 영역이라는 junos-host 새로운 기본 보안 영역에서 구성됩니다. junos-host zone은 junos-defaults 구성의 일부가 되므로 사용자는 이를 삭제할 수 없습니다. 인터페이스, 화면, tcp-rst, host-inbound-traffic 옵션과 같은 기존 영역 구성은 junos-host zone에 의미가 없습니다. 따라서 junos-host 영역에 대한 전용 구성은 없습니다.

참고:

host-inbound-traffic을 사용하여 디바이스로 들어오는 연결을 제어할 수 있습니다. 그러나 디바이스에서 나가는 트래픽을 제한하지는 않습니다. 반면, junos-host-zone을 사용하면 선택한 애플리케이션을 선택하고 나가는 트래픽도 제한할 수 있습니다. 예를 들어, NAT, IDP, UTM 등과 같은 서비스는 이제 junos-host-zone을 사용하여 SRX 시리즈 디바이스로 이동하거나 나가는 트래픽을 활성화할 수 있습니다.

보안 정책을 생성하려면 다음 작업을 완료해야 합니다.

1. 영역을 생성합니다. 예: 보안 영역 생성을 참조하십시오.

2. 정책에 대한 주소와 주소록을 구성합니다. 예: 주소록 및 주소 집합 구성을 참조하십시오.

3. 정책이 해당 유형의 트래픽에 적용된다는 것을 나타내는 애플리케이션(또는 애플리케이션 세트)을 생성합니다. 예: 보안 정책 애플리케이션 및 애플리케이션 세트 구성을 참조하십시오.

4. 정책을 생성합니다. 예: 모든 트래픽을 허용하거나 거부하는 보안 정책 구성, 예: 선택한 트래픽을 허용 또는 거부하는 보안 정책 구성, 예: 와일드카드 주소 트래픽을 허용하거나 거부하도록 보안 정책 구성을 참조하십시오.

5. 정책에 사용할 계획인 경우 스케줄러를 생성합니다. 예: 1일을 제외한 매일 일정에 대한 스케줄러 구성을 참조하십시오.

방화벽 정책 마법사를 사용하면 기본 보안 정책 구성을 수행할 수 있습니다. 보다 진보된 구성을 위해 J-Web 인터페이스 또는 CLI를 사용합니다.

보안 네트워크는 비즈니스에 필수적입니다. 네트워크를 보호하려면 네트워크 관리자가 해당 비즈니스 내의 모든 네트워크 리소스와 해당 리소스에 필요한 보안 수준을 개략적으로 설명하는 보안 정책을 만들어야 합니다. 보안 정책은 컨텍스트(영역에서 영역까지) 내의 전송 트래픽에 보안 규칙을 적용하며 각 정책은 이름으로 고유하게 식별됩니다. 트래픽은 소스 및 대상 영역, 소스 및 대상 주소, 트래픽이 프로토콜 헤더에서 전송하는 애플리케이션과 데이터 플레인의 정책 데이터베이스를 일치시켜 분류됩니다.

표 1 은 SRX300, SRX320, SRX340, SRX345, SRX380, SRX550, SRX650, SRX550M, SRX1400, SRX1500, SRX3400, SRX3600, SRX4100, SRX4200, SRX4600, SRX5400, SRX5600 및 SRX5800 디바이스. 플랫폼 지원은 설치 시 Junos OS 릴리스에 따라 다릅니다.

참고:

Junos OS 릴리스 12.3X48-D15 및 Junos OS 릴리스 17.3R1부터 SRX5400, SRX5600 및 SRX5800 디바이스의 정책당 주소 개체의 최대 수는 1024에서 4096으로 증가하고 컨텍스트당 최대 정책 수는 10240에서 80,000으로 증가합니다.

Junos OS 릴리스 17.3R1부터 SRX5400, SRX5600 및 SRX5800 디바이스의 보안 정책 수와 컨텍스트당 최대 정책 수가 80,000에서 100,000으로 증가합니다.

Junos OS 릴리스 15.1X49-D120부터 SRX5400, SRX5600 및 SRX5800의 정책당 주소 개체 수가 4096에서 16,000으로 증가합니다.

표 1: SRX 시리즈 디바이스의 정책 제한 사항

SRX 시리즈 디바이스	주소 객체	애플리케이션 객체	보안 정책	정책 컨텍스트(영역 쌍)	컨텍스트별 정책	카운팅이 활성화된 정책
SRX300SRX320	2048	128	1024	256	1024	256
SRX340	2048	128	2048	512	2048	256
SRX345	2048	128	4096	1024	4096	256
SRX380	2048	128	4096	1024	4096	256
SRX550SRX650	1024	128	10240	2048	10240	1024
SRX550M	2048	128	10240	2048	10240	1024
SRX1400SRX1500	1024	3072	16000	4096	16000	1024
SRX3400SRX3600	4096	3072	40000	4096	40000	1024
SRX4100	1024	3072	60000	4096	60000	1024
SRX4200	1024	3072	60000	4096	60000	1024
SRX4600	4096	3072	80000	8192	80000	1024
SRX5400SRX5600 SRX5800	16000	3072	100000	8192	100000	1024

따라서 각 규칙에서 주소와 애플리케이션의 수를 늘리면 정책 정의에 의해 사용되는 메모리 양이 증가하고 때로는 정책이 80,000개 미만인 메모리가 부족할 때도 있습니다.

패킷 전달 엔진(PFE) 및 라우팅 엔진(RE)에서 정책의 실제 메모리 활용도를 얻으려면 메모리 트리의 다양한 구성 요소를 고려해야 합니다. 메모리 트리에는 다음 두 가지 구성 요소가 포함됩니다.

• 정책 컨텍스트 - 이 컨텍스트에서 모든 정책을 조직하는 데 사용됩니다. 정책 컨텍스트에는 소스 및 대상 영역과 같은 변수가 포함됩니다.

• 정책 엔터티– 정책 데이터를 보관하는 데 사용됩니다. 정책 엔티티는 정책 이름, IP 주소, 주소 수, 애플리케이션, 방화벽 인증, WebAuth, IPsec, 카운트, 애플리케이션 서비스 및 JSF(Junos Services Framework)와 같은 매개 변수를 사용하여 메모리를 계산합니다.

또한 정책, 규칙 세트 및 기타 구성 요소를 저장하는 데 사용되는 데이터 구조는 패킷 전달 엔진 및 라우팅 엔진 서로 다른 메모리를 사용합니다. 예를 들어, 정책의 각 주소에 대한 주소 이름은 라우팅 엔진 저장되지만 패킷 전달 엔진 수준에는 메모리가 할당되지 않습니다. 마찬가지로, 포트 범위는 접두사 및 마스크 쌍으로 확장되어 패킷 전달 엔진 저장되지만 이러한 메모리는 라우팅 엔진 할당되지 않습니다.

따라서 정책 구성에 따라 라우팅 엔진 정책 기여자는 패킷 전달 엔진 것과 다르며 메모리가 동적으로 할당됩니다.

또한 메모리는 "삭제 연기" 상태에서 소비됩니다. 지연된 삭제 상태에서 SRX 시리즈 디바이스가 정책 변경을 적용하면 이전 및 새 정책이 모두 존재하는 일시적 피크 사용이 발생합니다. 따라서 짧은 기간 동안 패킷 전달 엔진 기존 정책과 새 정책이 모두 존재하며, 이는 메모리 요구 사항의 두 배에 해당합니다.

따라서 메모리 요구 사항은 정책의 특정 구성에 의존하며 메모리는 동적으로 할당되기 때문에 주어진 시점에서 구성 요소(패킷 전달 엔진 또는 라우팅 엔진)가 얼마나 많은 메모리가 사용되는지 명확하게 추론할 수 있는 확실한 방법은 없습니다.

정책 구현을 위한 다음과 같은 모범 사례를 통해 시스템 메모리를 더 잘 사용하고 정책 구성을 최적화할 수 있습니다.

• 소스 및 대상 주소에 단일 접두사 사용. 예를 들어, /32 주소를 사용하고 각 주소를 별도로 추가하는 대신 필요한 대부분의 IP 주소를 다루는 큰 서브넷을 사용합니다.

• 가능할 때마다 애플리케이션 "any"을 사용합니다. 정책에서 개별 애플리케이션을 정의할 때마다 52바이트를 추가로 사용할 수 있습니다.

• IPv6 주소가 더 많은 메모리를 소비하기 때문에 IPv6 주소 사용량이 줄어듭니다.

• 정책 구성에서 더 적은 수의 영역 쌍을 사용합니다. 각 소스 또는 대상 영역은 약 16,048바이트의 메모리를 사용합니다.

• 다음 매개 변수는 지정된 대로 바이트에 의해 메모리가 소비되는 방식을 변경할 수 있습니다.

  • 방화벽 인증 –약 16바이트 이상(고정되지 않은)

  • 웹 인증–약 16바이트 이상(고정되지 않은)

  • IPsec–12바이트

  • 애플리케이션 서비스–28바이트

  • 카운트 –64바이트

• 정책 컴파일 전후에 메모리 사용률을 확인합니다.

  참고:

  각 디바이스에 대한 메모리 요구 사항은 다릅니다. 일부 디바이스는 기본적으로 512,000개의 세션을 지원하며, 부팅 메모리는 일반적으로 72~73%입니다. 다른 디바이스는 최대 100만 개의 세션을 가질 수 있으며 부팅 메모리는 최대 83~84%가 될 수 있습니다. 최악의 시나리오에서 SPU에서 약 80,000개 정책을 지원하려면 SPU가 최대 82%의 플로우 커널 메모리 소비량과 170메가바이트 이상의 메모리를 사용할 수 있는 방식으로 부팅해야 합니다.

이 예는 모든 트래픽을 허용하거나 거부하는 보안 정책을 구성하는 방법을 보여줍니다.

이 예는 선택한 트래픽을 허용하거나 거부하는 보안 정책을 구성하는 방법을 보여줍니다.

이 예는 와일드카드 주소 트래픽을 허용하거나 거부하는 보안 정책을 구성하는 방법을 보여줍니다.

이 예는 디바이스에서 생성된 트래픽 로그를 외부 시스템 로그 서버로 전송하도록 보안 정책을 구성하는 방법을 보여줍니다.

주소 항목을 정책에 수동으로 추가하는 데 많은 시간이 걸릴 수 있습니다. 특정 목적(예: 차단 목록)이 있거나 공통 속성(예: 위협이 될 수 있는 특정 위치 또는 동작)을 가진 IP 주소 목록을 제공하는 외부 소스가 있습니다. 외부 소스를 사용하여 IP 주소로 위협 소스를 식별한 다음 해당 주소를 동적 주소 항목으로 그룹화하고 보안 정책에서 해당 항목을 참조할 수 있습니다. 따라서 이러한 주소로 오가는 트래픽을 제어할 수 있습니다. 이러한 각 IP 주소 그룹은 동적 주소 항목이라고 합니다.

지원되는 IP 주소 유형은 다음과 같습니다.

• 단일 IP. 예를 들어: 192.0.2.0

• IP 범위. 예를 들어: 192.0.2.0- 192.0.2.10

• Cidr. 예를 들어: 192.0.2.0/24

각 항목은 한 줄을 차지합니다. 릴리스 19.3R1 Junos OS IP 주소 범위를 오름차순으로 정렬할 필요가 없으며 IP 항목의 값은 동일한 피드 파일에서 겹칠 수 있습니다. 19.3R1 이전의 Junos OS 릴리스에서 IP 주소 범위는 오름차순으로 정렬해야 하며 IP 항목의 값은 동일한 피드 파일에서 겹칠 수 없습니다.

참고:

동적 주소 항목은 단일 IP 접두사가 아닌 IP 주소 그룹입니다. 동적 주소 항목은 주소록 및 주소 입력 주소의 보안 주소 개념과 다릅니다.

다음은 보안 정책에 동적 주소 항목을 배포할 때의 이점입니다.

• 네트워크 관리자는 IP 주소 그룹으로 유입되는 트래픽을 더 많이 제어할 수 있습니다.

• 외부 서버는 업데이트된 IP 주소 피드를 SRX 시리즈 디바이스에 제공합니다.

• 관리자의 노력이 대폭 감소했습니다. 예를 들어, 레거시 보안 정책 구성에서 참조할 정책에 1,000개의 주소 항목을 추가하려면 약 2,000줄의 구성이 필요합니다. 동적 주소 항목을 정의하고 보안 정책에서 참조하면 추가 구성 노력 없이 최대 수백만 개의 항목이 SRX 시리즈 디바이스로 유입됩니다.

• 새 주소를 추가하는 데 커밋 프로세스가 필요하지 않습니다. 레거시 방법을 통해 수천 개의 주소를 구성에 추가하는 데는 커밋하는 데 오랜 시간이 걸립니다. 또는 동적 주소 항목의 IP 주소는 외부 피드에서 나오므로 항목의 주소가 변경되면 커밋 프로세스가 필요하지 않습니다.

그림 3 은 보안 정책의 동적 주소 항목이 어떻게 작동하는지에 대한 기능 개요를 보여줍니다.

보안 정책은 소스 주소 또는 대상 주소 필드에서 동적 주소 항목을 참조합니다(보안 정책이 레거시 주소 항목을 참조하는 것과 거의 동일한 방식으로).

그림 4는 목적지 주소 필드에서 동적 주소 항목을 사용하는 정책을 보여줍니다.

그림 4에서 정책 1은 레거시 보안 주소 항목인 대상 주소 10.10.1.1을 사용합니다. 정책 2는 네트워크 관리자가 지정한 동적 주소 항목인 대상 주소 벤더 차단 목록을 사용합니다. 콘텐츠는 외부 피드 파일에서 검색된 IP 주소 목록입니다. 다섯 가지 기준과 일치하는 패킷(신뢰할 수 없는 From-Zone, To-Zone 지정 엔지니어, 모든 소스 주소, 벤더 차단 목록 동적 주소 항목에 속하는 대상 IP 주소 및 메일 애플리케이션)은 패킷을 거부하고 기록하기 위한 정책 작업에 따라 처리됩니다.

참고:

동적 주소 항목 이름은 레거시 보안 주소 항목과 동일한 이름 공간을 공유하므로 두 개 이상의 항목에 동일한 이름을 사용하지 마십시오. Junos OS 커밋 프로세스는 이름이 중복되지 않은지 확인하여 충돌을 방지합니다.

동적 주소 그룹은 다음 데이터 피드를 지원합니다.

• 사용자 정의 목록(허용 목록 및 차단 목록)

• Geoip

• 피드 서버
• 번들 피드
• SRX 시리즈 디바이스에 대한 피드 서버 지원

요약 이 예제를 사용하여 EVPN(이더넷 VPN) 가상 확장형 LAN(VXLAN) 터널 검사를 위한 보안 정책을 구성합니다.

요약 이 구성을 사용하여 Geneve 패킷 플로우 터널 검사를 위한 vSRX 3.0의 보안 정책을 활성화합니다.

vSRX 3.0 인스턴스에서 Geneve 지원을 통해 vSRX3.0을 다음과 같이 사용할 수 있습니다.

• 캠퍼스, 데이터센터, 퍼블릭 클라우드 환경과 이들의 밴치에 엔드포인트를 연결합니다.

• 이러한 환경을 임베디드 보안으로 보호하십시오.