Глобальные политики безопасности
Политика безопасности — это политика межсетевого экрана с функцией ведения базы данных, которая контролирует поток трафика из одной зоны в другую, определяя тип трафика, разрешенного из конкретных IP-источников в конкретные IP-направления в запланированное время. Чтобы избежать создания нескольких политик в каждом возможном контексте, вы можете создать глобальную политику, которая охватывает все зоны или многозонную политику, которая охватывает несколько зон. Используя глобальную политику, вы можете регулировать трафик с помощью адресов и приложений, независимо от их зон безопасности, ссылаясь на определяемые пользователем адреса или предварительно определенный адрес, а также предоставляя доступ к нескольким зонам источника и нескольким зонам назначения в одной политике.
Обзор глобальной политики
В межсетевом экране с функцией ведения базы данных в ОС Junos политики безопасности применяют правила для транзитного трафика с точки зрения того, что трафик может проходить через межсетевой экран, и действия, которые должны происходить в трафике по мере его прохождения через межсетевой экран. Политики безопасности требуют входа трафика в одну зону безопасности и выхода из другой зоны безопасности. Такое сочетание от зоны до зоны называется . context В каждом контексте содержится упорядоченный список политик. Каждая политика обрабатывается в порядке, который он определяется в контексте. Трафик классифицируется путем сопоставления политик из зоны в зону, адрес источника, адрес назначения и приложение, которое трафик несет в заголовке протокола. Каждая глобальная политика, как и любая другая политика безопасности, имеет следующие действия: разрешение, отказ, отклонение, регистрация, подсчет голосов.
Вы можете настроить политику безопасности с помощью пользовательского интерфейса. Политики безопасности управляют потоком трафика из одной зоны в другую, определяя тип трафика, разрешенного из конкретных IP-источников в конкретные IP-направления в запланированное время. В большинстве случаев это работает хорошо, но недостаточно гибко. Например, если вы хотите выполнять действия в отношении трафика, необходимо настроить политики для каждого возможного контекста. Чтобы избежать создания нескольких политик в каждом возможном контексте, вы можете создать глобальную политику, которая охватывает все зоны или многозонную политику, которая охватывает несколько зон.
Используя глобальную политику, вы можете регулировать трафик с помощью адресов и приложений, независимо от их зон безопасности, ссылаясь на определяемые пользователем адреса или предопределенный адрес "любой". Эти адреса могут охватывать несколько зон безопасности. Например, если вы хотите предоставить доступ к нескольким зонам или из них, вы можете создать глобальную политику с адресом «любой», который охватывает все адреса во всех зонах. Выбор «любого» адреса соответствует любому IP-адресу, и когда «любой» используется в качестве адреса источника/назначения в любой конфигурации глобальной политики, он соответствует адресу источника/адреса назначения любого пакета.
Используя глобальную политику, вы также можете предоставить доступ к нескольким зонам источника и зонам назначения в одной политике. Однако мы рекомендуем в целях безопасности избежать подмены трафика при создании многозонной политики, в которой используются идентичные критерии соответствия (адрес источника, адрес назначения, приложение) и идентичные действия. Например, на рис. 1 при создании многозонной политики, включающей DMZ и недоверие из зон, спуфинг трафика 203.0.0.113.0/24 из зоны DMZ может успешно соответствовать политике и достичь защищенного хоста в зоне «Доверие к зоне».
безопасности многозонной глобальной политики
Глобальные политики без информации о зонах и зонах не поддерживают туннели VPN, поскольку туннели VPN требуют информации о конкретных зонах.
При поиске политик проводится проверка политик в следующем порядке: внутризоны (доверие к доверию), между зонами (доверие к недоверию), затем глобальной. Как и в случае с регулярными политиками, приказываются глобальные политики в контексте, чтобы применима первая соответствующая политика к трафику.
Если у вас есть глобальная политика, убедитесь, что вы не определили правило «поймать всех», например, источник совпадения, место назначения совпадения любого или соответствующее приложение в внутризонных или межзонных политиках, потому что глобальные политики не будут проверены. Если у вас нет глобальной политики, то рекомендуется включить действие «отрицать все» в свои внутризоны или между зонами политики. Если у вас есть глобальная политика, то вы должны включить действие "отказ всех" в глобальной политике.
В логических системах вы можете определять глобальные политики для каждой логической системы. Глобальные политики в одной логической системе находятся в отдельном контексте, чем другие политики безопасности, и имеют более низкий приоритет, чем обычные политики безопасности, в плане поиска политик. Например, если выполняется поиск политик, регулярные политики безопасности имеют приоритет над глобальной политикой. Таким образом, при поиске политик в первую очередь проводится поиск регулярных политик безопасности и при отсутствии совпадений выполняется поиск глобальной политики.
См. также
Пример: настройка глобальной политики без ограничений в отношении зон
В отличие от других политик безопасности в ОС Junos, глобальные политики не ссылаются на конкретные зоны источника и назначения. Глобальные политики ссылаются на предварительно определенный адрес «любые» или определяемые пользователем адреса, которые могут охватывать несколько зон безопасности. Глобальные политики обеспечивают гибкость выполнения действий в отношении трафика без каких-либо ограничений в зонах. Например, вы можете создать глобальную политику, чтобы каждый хост в каждой зоне может получить доступ к веб-сайту компании, например, www.example.com. Использование глобальной политики — это удобный кратчайший путь, когда существует множество зон безопасности. Трафик классифицируется путем сопоставления его исходного адреса, адреса назначения и приложения, которое трафик несет в заголовке протокола.
На этом примере показано, как настроить глобальную политику для отказа или разрешения трафика.
Требования
Прежде чем начать:
Просмотрите политики безопасности межсетевого экрана.
Обзор политик безопасности, обзор глобальной политики, понимание правил политики безопасности ипонимание элементов политики безопасности.
Настраивайте адресную книгу и создавайте адреса для использования в политике.
Создайте приложение (или набор приложений), которое указывает на то, что политика применяется к трафику такого типа.
См . пример: настройка приложений и наборов политик безопасности.
Обзор
Этот пример конфигурации показывает, как настроить глобальную политику, которая позволяет реализовать несколько политик безопасности (с использованием зон). Глобальная политика gp1 позволяет разрешить весь трафик, в то время как политика gp2 отказывает во всем трафике.
Топологии
Конфигурации
Быстрая настройка командной строки
Чтобы быстро настроить этот пример, скопируйте следующие команды, вставьте их в текстовый файл, удалите любые перерывы на строку, измените любые детали, необходимые для соответствия конфигурации сети, скопируйте и вставьте команды в командную строку на [edit] уровне иерархии, а затем введите commit из режима конфигурации.
set security address-book global address server1 dns-name www.example.com set security address-book global address server2 dns-name www.mail.example.com set security policies global policy gp1 match source-address server1 set security policies global policy gp1 match destination-address server2 set security policies global policy gp1 match application any set security policies global policy gp1 then permit set security policies global policy gp2 match source-address server2 set security policies global policy gp2 match destination-address server1 set security policies global policy gp2 match application junos-ftp set security policies global policy gp2 then deny
Процедуры
Пошаговая процедура
Следующий пример требует навигации по различным уровням в иерархии конфигурации. Для получения инструкций о том, как это сделать, см. Руководство по интерфейсу пользователя с помощью редактора командной строки в режиме конфигурации .
Для настройки глобальной политики для разрешения или отказа во всем трафике:
Создавайте адреса.
[edit security] user@host# set security address-book global address server1 dns-name www.example.com user@host# set security address-book global address server2 dns-name www.mail.example.com
Создайте глобальную политику, чтобы разрешить весь трафик.
[edit security] user@host# set policy global policy gp1 match source-address server1 user@host# set policy global policy gp1 match destination-address server2 user@host# set policy global policy gp1 match application any user@host# set policy global policy gp1 then permit
Создайте глобальную политику, чтобы отказать во всем трафике.
[edit security] user@host# set policy global policy gp2 match source-address server2 user@host# set policy global policy gp2 match destination-address server1 user@host# set policy global policy gp2 match application junos-ftp user@host# set policy global policy gp2 then deny
Результаты
Из режима конфигурации подтвердите конфигурацию, введя show security policies и show security policies global команды. Если выходной продукт не отображает предполагаемую конфигурацию, повторяйте инструкции в этом примере, чтобы исправить конфигурацию.
user@host# show security policies
global {
policy gp1 {
match {
source-address server1;
destination-address server2;
application any;
}
then {
permit;
}
}
policy gp2 {
match {
source-address server2;
destination-address server1;
application junos-ftp;
}
then {
deny;
}
}
}
user@host# show security policies global
policy gp1 {
match {
source-address server1;
destination-address server2;
application any;
}
then {
permit;
}
}
policy gp2 {
match {
source-address server2;
destination-address server1;
application junos-ftp;
}
then {
deny;
}
}
Если настройка устройства завершена, введите commit его из режима конфигурации.
Проверки
Проверка конфигурации глобальной политики
Цель
Убедитесь в том, что глобальные политики gp1 и gp2 настроены по мере необходимости.
Действий
Из эксплуатационного режима введите show security policies global команду.
user@host> show security policies global
Global policies:
Policy: gp1, State: enabled, Index: 6, Scope Policy: 0, Sequence number: 1
From zones: any
To zones: any
Source addresses: server1
Destination addresses: server2
Applications: any
Action: permit
Policy: gp2, State: enabled, Index: 7, Scope Policy: 0, Sequence number: 2
From zones: any
To zones: any
Source addresses: server2
Destination addresses: server1
Applications: junos-ftp
Action: deny
Смысл
На выходе отображается информация обо всех глобальных политиках, настроенных на устройстве.
Пример: настройка глобальной политики с помощью нескольких зон
В отличие от других политик безопасности в ОС Junos, глобальные политики позволяют создавать многозонные политики. Глобальная политика — это удобный ярлык, когда существует множество зон безопасности, поскольку она позволяет настраивать несколько зон источника и несколько зон назначения в одной глобальной политике вместо того, чтобы создавать отдельную политику для каждой пары из зоны/зоны, даже если другие атрибуты, такие как адрес источника или адрес назначения, идентичны.
Требования
Прежде чем начать:
Просмотрите политики безопасности межсетевого экрана.
Обзор политик безопасности, обзор глобальной политики, понимание правил политики безопасности и понимание элементов политики безопасности.
Создайте зоны безопасности.
Обзор
На этом примере конфигурации показано, как настроить глобальную политику, которая позволяет реализовать несколько политик безопасности. Глобальная политика Pa позволяет осуществлять весь трафик из зон 1 и 2 в зоны 3 и 4.
Топологии
Конфигурации
Быстрая настройка командной строки
Чтобы быстро настроить этот пример, скопируйте следующие команды, вставьте их в текстовый файл, удалите любые перерывы на строку, измените любые детали, необходимые для соответствия конфигурации сети, скопируйте и вставьте команды в командную строку на [edit] уровне иерархии, а затем введите commit из режима конфигурации.
set security policies global policy Pa match source-address any set security policies global policy Pa match destination-address any set security policies global policy Pa match application any set security policies global policy Pa match from-zone zone1 set security policies global policy Pa match from-zone zone2 set security policies global policy Pa match to-zone zone3 set security policies global policy Pa match to-zone zone4 set security policies global policy Pa then permit
Процедуры
Пошаговая процедура
Следующий пример требует навигации по различным уровням в иерархии конфигурации. Для получения инструкций по этому вопросу см . Использование редактора командной строки в режиме конфигурации.
Для настройки глобальной политики с помощью нескольких зон:
Создайте глобальную политику, позволяющую разрешить любой трафик из зон 1 и 2 в зоны 3 и 4.
[edit security] set security policies global policy Pa match source-address any set security policies global policy Pa match destination-address any set security policies global policy Pa match application any set security policies global policy Pa match from-zone zone1 set security policies global policy Pa match from-zone zone2 set security policies global policy Pa match to-zone zone3 set security policies global policy Pa match to-zone zone4 set security policies global policy Pa then permit
Результаты
Из режима конфигурации подтвердите конфигурацию, введя show security policies global команду. Если выходной продукт не отображает предполагаемую конфигурацию, повторяйте инструкции в этом примере, чтобы исправить конфигурацию.
[edit]
user@host# show security policies global
policy Pa {
match {
source-address any;
destination-address any;
application any;
from-zone [ zone1 zone2 ];
to-zone [ zone3 zone4 ];
}
then {
permit;
}
}
Если настройка устройства завершена, введите commit его из режима конфигурации.