Zonas de seguridad para sistemas de inquilinos
Las zonas de seguridad se pueden configurar con sistemas de inquilinos. Para obtener más información, consulte los temas siguientes:
Descripción de zonas para sistemas de inquilinos
Las zonas de seguridad son entidades lógicas a las que están enlazadas una o más interfaces. El administrador puede configurar zonas de seguridad en los sistemas de inquilinos. En un sistema de inquilinos, el administrador puede configurar varias zonas de seguridad, dividiendo la red en segmentos de red a los que se pueden aplicar varias opciones de seguridad.
El administrador principal configura los números máximos y reservados de zonas de seguridad para el sistema de inquilinos. A continuación, el administrador del sistema de inquilinos puede crear las zonas de seguridad en el sistema de inquilinos y asignar interfaces a cada zona de seguridad. El número de zonas configuradas en el sistema de inquilinos cuenta para el número máximo de zonas disponibles en el dispositivo. El show system security-profile zones comando se utiliza para ver el número de zonas de seguridad asignadas al sistema de inquilinos y el show interfaces comando para ver las interfaces asignadas al sistema de inquilinos.
Puede configurar las siguientes características en una zona de seguridad del sistema de inquilinos:
Interfaces que forman parte de una zona de seguridad.
Opciones de pantalla: para cada zona de seguridad, puede habilitar un conjunto de opciones de pantalla predefinidas que detecten y bloqueen varios tipos de tráfico que el dispositivo determine como potencialmente dañino.
TCP-Reset: cuando esta función está activada, el sistema envía un segmento TCP con el indicador RESET establecido cuando llega tráfico que no coincide con una sesión existente y no tiene el indicador de sincronización establecido.
Tráfico entrante del host: esta función especifica los tipos de tráfico que pueden llegar al dispositivo desde los sistemas que están directamente conectados a sus interfaces. Puede configurar estos parámetros en el nivel de zona, en cuyo caso afectan a todas las interfaces de la zona, o en el nivel de interfaz. La configuración de la interfaz anula la de la zona.
No hay zonas de seguridad preconfiguradas en el sistema de inquilinos.
La zona funcional de administración (MGT) se puede configurar para el sistema de inquilinos. Existe la interfaz de administración por dispositivo que se asigna al sistema de inquilinos.
El administrador del sistema de inquilinos puede configurar y ver todos los atributos de una zona de seguridad en un sistema de inquilinos. Todos los atributos de zona de seguridad de un sistema de inquilinos también son visibles para el administrador principal.
Ejemplo: configuración de zonas en el sistema de inquilinos
En este ejemplo se muestra cómo configurar las zonas para el sistema de inquilinos.
Requisitos
Antes de comenzar la configuración:
Configure las interfaces creadas por el administrador principal. Consulte Ejemplo: Configuración de interfaces e instancias de enrutamiento para un sistema de inquilinos.
Visión general
En este ejemplo, puede configurar zonas para los sistemas de inquilinos. Las zonas de seguridad son los bloques de construcción de las políticas; Son entidades lógicas a las que están enlazadas una o más interfaces. El [edit tenants tenant-name security zones] nivel de jerarquía se utiliza para configurar las zonas de seguridad. En este ejemplo se configuran las zonas y las directivas de seguridad descritas en la tabla 1.
Característica |
Parámetros de configuración |
|---|---|
Zonas 1 |
|
Zona 2 |
|
Configuración
Procedimiento
Configuración rápida de CLI
Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía y, a continuación, ingrese commit desde el [edit] modo de configuración.
set tenants TN1 security zones security-zone trust host-inbound-traffic system-services any-service set tenants TN1 security zones security-zone trust interfaces xe-0/0/1.0 set tenants TN1 security zones security-zone untrust host-inbound-traffic system-services any-service set tenants TN1 security zones security-zone untrust interfaces xe-0/0/3.0
Procedimiento paso a paso
En el ejemplo siguiente es necesario navegar por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacerlo, consulte Uso del editor de CLI en modo de configuración en la Guía del usuario de CLI de Junos OS.
Para configurar zonas de seguridad en el sistema de inquilinos:
Defina el nombre del sistema de inquilinos como TN1.
[edit] user@host# set tenants TN1
Configure una zona de seguridad como confianza que permita el tráfico de confianza de zona y asígnelo a una interfaz.
[edit tenants TN1 security zones security-zone trust] user@host# set host-inbound-traffic system-services any-service user@host# set interfaces xe-0/0/1.0
Configure una zona de seguridad como no confiable que permita el tráfico desde la zona de no confianza y asígnelo a una interfaz.
[edit tenants TN1 security zones security-zone untrust] user@host# set host-inbound-traffic system-services any-service user@host# set interfaces xe-0/0/3.0
Resultados
Desde el modo de configuración, confirme la configuración introduciendo el show tenants tenant-name security policies comando y show tenants tenant-name security zones . Si el resultado no muestra la configuración deseada, repita las instrucciones de configuración en este ejemplo para corregirla.
user@host# show tenants TN1 security zones
security-zone trust {
host-inbound-traffic {
system-services {
any-service;
}
}
interfaces {
xe-0/0/1.0;
}
}
security-zone untrust {
host-inbound-traffic {
system-services {
any-service;
}
}
interfaces {
xe-0/0/3.0;
}
}
Verificación
Para confirmar que la configuración funciona correctamente, realice la siguiente tarea:
Comprobación de la configuración de la zona
Propósito
Compruebe la información sobre las zonas de seguridad.
Acción
Para comprobar que la configuración funciona correctamente, introduzca el comando desde el show security zones tenant all modo operativo.
user@host> show security zones tenant all
Tenant: TN1 Security zone: Host Send reset for non-SYN session TCP packets: Off Policy configurable: Yes Interfaces bound: 0 Interfaces: Security zone: abc Send reset for non-SYN session TCP packets: Off Policy configurable: Yes Interfaces bound: 0 Interfaces:xe-0/0/1.0 Security zone: def Send reset for non-SYN session TCP packets: Off Policy configurable: Yes Interfaces bound: 1 Interfaces:xe-0/0/3.0
Significado
El resultado muestra la información de las zonas de seguridad configuradas en el sistema de inquilinos.