Aplicaciones y conjuntos de aplicaciones de políticas de seguridad

Las aplicaciones son tipos de tráfico para los que existen estándares de protocolo. Cada aplicación tiene un protocolo de transporte y números de puerto de destino asociados, como TCP/puerto 21 para FTP y TCP/puerto 23 para Telnet. Cuando cree una política, debe especificar una aplicación para ella.

Puede seleccionar una de las aplicaciones predefinidas del libro de aplicaciones, o una aplicación personalizada o un conjunto de aplicaciones que haya creado. Puede ver qué aplicación puede utilizar en una política mediante el comando de la show applications CLI.

Cuando cree una política, debe especificar una aplicación o servicio para que indique que la política se aplica al tráfico de ese tipo. A veces, las mismas aplicaciones, o un subconjunto de ellas, pueden estar presentes en varias políticas, lo que dificulta su administración. Junos OS le permite crear grupos de aplicaciones denominados conjuntos de aplicaciones. Los conjuntos de aplicaciones simplifican el proceso al permitirle administrar un pequeño número de conjuntos de aplicaciones, en lugar de un gran número de entradas de aplicación individuales.

Las políticas de seguridad hacen referencia a la aplicación (o conjunto de aplicaciones) como criterios de coincidencia para los paquetes que inician sesiones. Si el paquete coincide con el tipo de aplicación especificado por la política y todos los demás criterios coinciden, la acción de la política se aplica al paquete.

Puede especificar el nombre de un conjunto de aplicaciones en una política. En este caso, si todos los demás criterios coinciden, cualquiera de las aplicaciones del conjunto de aplicaciones sirve como criterio de coincidencia válido; any es el nombre predeterminado de la aplicación que indica todas las aplicaciones posibles.

Las aplicaciones se crean en el .../applications/application/application-name directorio. No es necesario configurar una aplicación para ninguno de los servicios predefinidos por el sistema.

Además de los servicios predefinidos, puede configurar un servicio personalizado. Después de crear un servicio personalizado, puede hacer referencia a él en una política.

En este ejemplo, se muestra cómo configurar aplicaciones y conjuntos de aplicaciones.

El valor de tiempo de espera de aplicación que establezca para una aplicación determina el tiempo de espera de sesión. Puede establecer el umbral de tiempo de espera para una aplicación predefinida o personalizada; Puede utilizar el tiempo de espera predeterminado de la aplicación, especificar un tiempo de espera personalizado o no utilizar ningún tiempo de espera.

Los valores de tiempo de espera de la aplicación se almacenan en la tabla de tiempo de espera basada en puertos TCP y UDP raíz y en la tabla de tiempo de espera predeterminado basada en protocolos. Cuando se establece un valor de tiempo de espera de aplicación, Junos OS actualiza estas tablas con el valor nuevo. También hay valores de tiempo de espera predeterminados en la base de datos de entrada de aplicaciones, que se toman de aplicaciones predefinidas. Puede establecer un tiempo de espera, pero no puede modificar un valor predeterminado.

Cada aplicación personalizada se puede configurar con su propio tiempo de espera de aplicación personalizado. Si se configuran varias aplicaciones personalizadas con tiempos de espera personalizados, cada aplicación tendrá su propio tiempo de espera de aplicación personalizado.

Si la aplicación que coincide con el tráfico tiene un valor de tiempo de espera, se utiliza ese valor de tiempo de espera. De lo contrario, la búsqueda continúa en el siguiente orden hasta que se encuentra un valor de tiempo de espera de aplicación:

1. Se busca un valor de tiempo de espera en la tabla de tiempo de espera basada en puertos TCP y UDP raíz.

2. Se busca un valor de tiempo de espera en la tabla de tiempo de espera predeterminada basada en protocolos. Consulte la Tabla 1.

   Tabla 1: Tiempo de espera predeterminado basado en protocolos

   Protocolo	Tiempo de espera predeterminado (segundos)
   TCP	1800
   UDP	60
   ICMP	60
   OSPF	60
   Otros	1800

Al establecer tiempos de espera, tenga en cuenta las siguientes contingencias:

• Si una aplicación contiene varias entradas de reglas de aplicación, todas las entradas de regla comparten el mismo tiempo de espera. Debe definir el tiempo de espera de la aplicación una sola vez. Por ejemplo, si crea una aplicación con dos reglas, los siguientes comandos establecerán el tiempo de espera en 20 segundos para ambas reglas:

• Si se configuran varias aplicaciones personalizadas con tiempos de espera personalizados, cada aplicación tendrá su propio tiempo de espera de aplicación personalizado. Por ejemplo:

  Con esta configuración, Junos OS aplica un tiempo de espera de 10 segundos para el puerto de destino 2121 y un tiempo de espera de 20 segundos para el puerto de destino 2300 en un grupo de aplicaciones.

En este ejemplo se muestra cómo establecer un valor de tiempo de espera de aplicación de directiva.