Aplicaciones y conjuntos de aplicaciones de políticas de seguridad

Las aplicaciones son tipos de tráfico para los que existen estándares de protocolo. Cada aplicación tiene un protocolo de transporte y números de puerto de destino asociados, como TCP/puerto 21 para FTP y TCP/puerto 23 para Telnet. Al crear una directiva, debe especificar una aplicación para ella.

Puede seleccionar una de las aplicaciones predefinidas del libro de aplicaciones, o una aplicación personalizada o un conjunto de aplicaciones que haya creado. Puede ver qué aplicación puede usar en una política mediante el comando de la show applications CLI.

Al crear una directiva, debe especificar una aplicación o servicio para que indique que la directiva se aplica al tráfico de ese tipo. A veces, las mismas aplicaciones o un subconjunto de ellas pueden estar presentes en varias políticas, lo que dificulta su administración. Junos OS permite crear grupos de aplicaciones denominados conjuntos de aplicaciones. Los conjuntos de aplicaciones simplifican el proceso al permitirle administrar un pequeño número de conjuntos de aplicaciones, en lugar de un gran número de entradas de aplicaciones individuales.

Las políticas de seguridad hacen referencia a la aplicación (o conjunto de aplicaciones) como criterios de coincidencia para los paquetes que inician sesiones. Si el paquete coincide con el tipo de aplicación especificado por la directiva y todos los demás criterios coinciden, la acción de directiva se aplica al paquete.

Puede especificar el nombre de un conjunto de aplicaciones en una directiva. En este caso, si todos los demás criterios coinciden, cualquiera de las aplicaciones del conjunto de aplicaciones sirve como criterio de coincidencia válido; any es el nombre predeterminado de la aplicación que indica todas las aplicaciones posibles.

Las aplicaciones se crean en el .../applications/application/application-name directorio. No es necesario configurar una aplicación para ninguno de los servicios predefinidos por el sistema.

Además de los servicios predefinidos, puede configurar un servicio personalizado. Después de crear un servicio personalizado, puede hacer referencia a él en una directiva.

En este ejemplo se muestra cómo configurar aplicaciones y conjuntos de aplicaciones.

El valor de tiempo de espera de la aplicación establecido para una aplicación determina el tiempo de espera de la sesión. Puede establecer el umbral de tiempo de espera para una aplicación predefinida o personalizada; Puede usar el tiempo de espera predeterminado de la aplicación, especificar un tiempo de espera personalizado o no usar ningún tiempo de espera.

Los valores de tiempo de espera de la aplicación se almacenan en la tabla de tiempo de espera basada en puertos TCP y UDP raíz y en la tabla de tiempo de espera predeterminada basada en protocolos. Cuando se establece un valor de tiempo de espera de la aplicación, Junos OS actualiza estas tablas con el nuevo valor. También hay valores de tiempo de espera predeterminados en la base de datos de entrada de aplicaciones, que se toman de aplicaciones predefinidas. Puede establecer un tiempo de espera, pero no puede modificar un valor predeterminado.

Cada aplicación personalizada se puede configurar con su propio tiempo de espera de aplicación personalizado. Si se configuran varias aplicaciones personalizadas con tiempos de espera personalizados, cada aplicación tendrá su propio tiempo de espera de aplicación personalizado.

Si la aplicación que coincide con el tráfico tiene un valor de tiempo de espera, se usa ese valor de tiempo de espera. De lo contrario, la búsqueda continúa en el orden siguiente hasta que se encuentre un valor de tiempo de espera de la aplicación:

1. En la tabla de tiempo de espera basada en puertos TCP y UDP raíz se busca un valor de tiempo de espera.

2. Se busca en la tabla de tiempo de espera predeterminada basada en protocolo un valor de tiempo de espera. Ver Tabla 1.

   Tabla 1: Tiempo de espera predeterminado basado en protocolo

   Protocolo	Tiempo de espera predeterminado (segundos)
   TCP	1800
   UDP	60
   ICMP	60
   OSPF	60
   Otro	1800

Al establecer tiempos de espera, tenga en cuenta las siguientes contingencias:

• Si una aplicación contiene varias entradas de regla de aplicación, todas las entradas de regla comparten el mismo tiempo de espera. Debe definir el tiempo de espera de la aplicación solo una vez. Por ejemplo, si crea una aplicación con dos reglas, los siguientes comandos establecerán el tiempo de espera en 20 segundos para ambas reglas:

• Si se configuran varias aplicaciones personalizadas con tiempos de espera personalizados, cada aplicación tendrá su propio tiempo de espera de aplicación personalizado. Por ejemplo:

  Con esta configuración, Junos OS aplica un tiempo de espera de 10 segundos para el puerto de destino 2121 y un tiempo de espera de 20 segundos para el puerto de destino 2300 en un grupo de aplicaciones.

En este ejemplo se muestra cómo establecer un valor de tiempo de espera de aplicación de directiva.