Cómo configurar y verificar las políticas de seguridad en la puerta de enlace de servicios SRX

Una vez que haya direcciones y servicios configurados en el SRX, usted está listo para configurar la política de seguridad en sí. Configuración de las direcciones y servicios de primera permite direcciones y servicios definidos que se utilizan en muchas políticas. De esa manera, si uno de direcciones o de servicios cambios, debe ser cambiado en un solo lugar con el fin de cambiarlo en todas las políticas.

Desde la perspectiva SRX, el tráfico siempre está llegando de una zona y haciendo su camino a otra zona. Técnicamente, estos cruces de zona se denominan contextos. El contexto es donde se aplican las políticas de seguridad.

Usted tiene sólo dos zonas (administradores y untrust), Por lo que hay dos contextos políticos intrazona (administradores a administradores y untrust a untrust) Y dos contextos de política inter-zona (administradores a untrust y untrust a administradores). No todos ellos se configurará aquí.

Configurar las políticas de seguridad

En primer lugar, usted quiere dar el tráfico que se origina en el administradores permiso de zona para pasar a la untrust zona:

[editar] políticas de seguridad root # edición de zona administradores a-zona Untrust [las políticas de seguridad de edición de zonas amdins a la zona Untrust] administradores-a-untrust política root # conjunto fuente-dirección de partido alguno-dirección de destino cualquier anyroot aplicación # establecer los administradores-a-untrust política luego permitroot # showpolicy administradores-a-untrust {match {fuente-dirección de cualquier destino, dirección de cualquier aplicación any-} entonces {permit-}}

Siendo realistas, la política probablemente contar los paquetes y registrar las iniciaciones de sesión y cierra entre las zonas.

El segundo objetivo, que es la construcción de una política de seguridad para permitir cierto tráfico entre los hosts de la administradores zona es bastante fácil de hacer, con su conjunto de servicios:

[editar las políticas de seguridad de la zona admins a zona administradores] fuente-dirección de la política de partido root # conjunto dentro de la zona peatonal cualquier destino-addressany política MYSERVICESroot aplicación # conjunto dentro de la zona peatonal y luego permiten

El segundo requisito es ahora satisfecho. No se requiere ninguna configuración para el tercer punto, negando el tráfico de untrust el acceso a los administradores. Porque " niegan " es la acción predeterminada, el SRX ya se ha encargado de eso.

Verifique las políticas

La forma más fácil de verificar que las políticas están funcionando como se esperaba es poner a prueba el tráfico de datos. También puede inspeccionar la tabla de sesiones SRX:

root # demuestran la seguridad Identificación sessionSession flujo: 100001782, Política nombre: administradores-a-Untrust / 4, Tiempo de espera: 1796In: 192.168.2.2/4777~~number=plural - 216.52.233.201/443-tcp, Si: ge-0/0 / 0.0Out: 216.52.233.201/443 - 192.168.2.2/4777-tcp, Si: ge-0/0 / 2.0Session ID: 100001790, nombre de la política: los administradores-a-Untrust / 4, Tiempo de espera: 1800In: 192.168.2.2/4781 - 216.239 .112.126 / 80-tcp, Si: ge-0/0 / 0.0Out: 216.239.112.126/80 - 192.168.2.2/4781-tcp, Si: ge-0/0 / 2.0

En el mundo real, estas políticas se llevan a cabo el registro y el recuento, pero recuerde, estos son sólo ejemplos.