Políticas de segurança globais
Uma política de segurança é uma política de firewall stateful e controla o fluxo de tráfego de uma zona para outra, definindo os tipos(s) de tráfego permitido de fontes IP específicas para destinos IP específicos em horários programados. Para evitar a criação de várias políticas em todos os contextos possíveis, você pode criar uma política global que engloba todas as zonas ou uma política multizona que engloba várias zonas. Usando uma política global, você pode regular o tráfego com endereços e aplicativos, independentemente de suas zonas de segurança, fazendo referência a endereços definidos pelo usuário ou ao endereço predefinido e também fornece acesso a várias zonas de origem e várias zonas de destino em uma única política.
Visão geral da política global
Em um firewall stateful do Junos OS, as políticas de segurança aplicam regras para o tráfego de trânsito, em termos do que o tráfego pode passar pelo firewall e das ações que precisam ocorrer no tráfego conforme ele passa pelo firewall. As políticas de segurança exigem que o tráfego entre em uma zona de segurança e saia de outra zona de segurança. Essa combinação de zona a zona é chamada de context. Cada contexto contém uma lista ordenada de políticas. Cada política é processada na ordem em que é definida em um contexto. O tráfego é classificado combinando a política de zona a zona, endereço de origem, endereço de destino e o aplicativo que o tráfego transporta em seu cabeçalho de protocolo. Cada política global, como em qualquer outra política de segurança, tem as seguintes ações: permitir, negar, rejeitar, registrar, contar.
Você pode configurar uma política de segurança a partir da interface do usuário. As políticas de segurança controlam o fluxo de tráfego de uma zona para outra, definindo os tipos de tráfego permitido de fontes IP específicas para destinos IP específicos em horários programados. Isso funciona bem na maioria dos casos, mas não é flexível o suficiente. Por exemplo, se você quiser realizar ações no tráfego, você precisa configurar políticas para cada contexto possível. Para evitar a criação de várias políticas em todos os contextos possíveis, você pode criar uma política global que engloba todas as zonas ou uma política multizona que engloba várias zonas.
Usando uma política global, você pode regular o tráfego com endereços e aplicativos, independentemente de suas zonas de segurança, fazendo referência a endereços definidos pelo usuário ou ao endereço predefinido "qualquer". Esses endereços podem abranger várias zonas de segurança. Por exemplo, se você quiser fornecer acesso a ou a várias zonas, você pode criar uma política global com o endereço "qualquer", que abrange todos os endereços em todas as zonas. Selecionar o endereço "qualquer" corresponde a qualquer endereço IP e quando "qualquer" é usado como endereço de origem/destino em qualquer configuração de política global, ele corresponde ao endereço de origem/destino de qualquer pacote.
Usando uma política global, você também pode fornecer acesso a várias zonas de origem e várias zonas de destino em uma única política. No entanto, recomendamos que, por razões de segurança e para evitar a falsificação de tráfego, quando você cria uma política de multizona você usa critérios de correspondência idênticos (endereço de origem, endereço de destino, aplicativo) e uma ação idêntica. Na Figura 1, por exemplo, se você criar uma política multizona que inclua DMZ e Untrust a partir de zonas, falsificar tráfego a partir de 203.0.113.0/24 da zona DMZ pode combinar com a política com sucesso e alcançar o host protegido na zona de confiança para zona.
Políticas globais sem informações de zona a zona não oferecem suporte a túneis VPN porque os túneis vpn exigem informações específicas da zona.
Quando a pesquisa de políticas é realizada, as políticas são verificadas na seguinte ordem: intra-zona (confiança para confiança), inter-zona (confiança para não confiável), depois global. Semelhante às políticas regulares, as políticas globais em um contexto são ordenadas, de modo que a primeira política combinada seja aplicada ao tráfego.
Se você tem uma política global, certifique-se de não ter definido uma regra de "catch-all", como, fonte de correspondência qualquer, destino de correspondência qualquer, ou aplicativo compatível qualquer nas políticas intra-zona ou entre zonas, porque as políticas globais não serão verificadas. Se você não tem uma política global, então é recomendado que você inclua uma ação de "negar tudo" em suas políticas intra-zona ou entre zonas. Se você tem uma política global, então você deve incluir uma ação de "negar tudo" na política global.
Em sistemas lógicos, você pode definir políticas globais para cada sistema lógico. As políticas globais em um sistema lógico estão em um contexto separado do que outras políticas de segurança, e têm uma prioridade menor do que as políticas de segurança regulares em uma pesquisa de políticas. Por exemplo, se uma pesquisa de políticas for realizada, as políticas de segurança regulares têm prioridade em relação às políticas globais. Portanto, em uma pesquisa de políticas, as políticas de segurança regulares são pesquisadas primeiro e, se não houver correspondência, a pesquisa de políticas globais é realizada.
Veja também
Exemplo: configuração de uma política global sem restrições de zona
Ao contrário de outras políticas de segurança no Junos OS, as políticas globais não fazem referência a zonas de origem e destino específicas. As políticas globais fazem referência ao endereço predefinido "qualquer" ou endereços definidos pelo usuário que podem abranger várias zonas de segurança. As políticas globais oferecem a flexibilidade de realizar ações no tráfego sem restrições de zona. Por exemplo, você pode criar uma política global para que cada host em cada zona possa acessar o site da empresa, por exemplo, www.example.com. Usar uma política global é um atalho conveniente quando existem muitas zonas de segurança. O tráfego é classificado combinando seu endereço de origem, endereço de destino e o aplicativo que o tráfego transporta em seu cabeçalho de protocolo.
Este exemplo mostra como configurar uma política global para negar ou permitir o tráfego.
Requisitos
Antes de começar:
Analise as políticas de segurança do firewall.
Veja a visão geral das políticas de segurança, a visão geral da política global, a compreensão das regras da política de segurança ea compreensão dos elementos da política de segurança.
Configure uma lista de endereços e crie endereços para uso na política.
Veja exemplo: configuração de livros de endereços e conjuntos de endereços.
Crie um aplicativo (ou conjunto de aplicativos) que indique que a política se aplica ao tráfego desse tipo.
Veja exemplo: Configuração de aplicativos de políticas de segurança e conjuntos de aplicativos.
Visão geral
Este exemplo de configuração mostra como configurar uma política global que realiza o que várias políticas de segurança (usando zonas) teriam conseguido. A política global gp1 permite todo o tráfego, enquanto a política gp2 nega todo o tráfego.
Topologia
Configuração
Configuração rápida da CLI
Para configurar rapidamente este exemplo, copie os seguintes comandos, cole-os em um arquivo de texto, remova quaisquer quebras de linha, altere todos os detalhes necessários para combinar com a configuração da sua rede, copiar e colar os comandos na CLI no nível de [edit] hierarquia e, em seguida, entrar no commit modo de configuração.
set security address-book global address server1 dns-name www.example.com set security address-book global address server2 dns-name www.mail.example.com set security policies global policy gp1 match source-address server1 set security policies global policy gp1 match destination-address server2 set security policies global policy gp1 match application any set security policies global policy gp1 then permit set security policies global policy gp2 match source-address server2 set security policies global policy gp2 match destination-address server1 set security policies global policy gp2 match application junos-ftp set security policies global policy gp2 then deny
Procedimento
Procedimento passo a passo
O exemplo a seguir exige que você navegue por vários níveis na hierarquia de configuração. Para obter instruções sobre como fazer isso, veja Usando o Editor de CLI no modo de configuração no guia do usuário da CLI.
Configurar uma política global para permitir ou negar todo o tráfego:
Crie endereços.
[edit security] user@host# set security address-book global address server1 dns-name www.example.com user@host# set security address-book global address server2 dns-name www.mail.example.com
Crie a política global para permitir todo o tráfego.
[edit security] user@host# set policy global policy gp1 match source-address server1 user@host# set policy global policy gp1 match destination-address server2 user@host# set policy global policy gp1 match application any user@host# set policy global policy gp1 then permit
Crie a política global para negar todo o tráfego.
[edit security] user@host# set policy global policy gp2 match source-address server2 user@host# set policy global policy gp2 match destination-address server1 user@host# set policy global policy gp2 match application junos-ftp user@host# set policy global policy gp2 then deny
Resultados
A partir do modo de configuração, confirme sua configuração inserindo os show security policies comandos e show security policies global os comandos. Se a saída não exibir a configuração pretendida, repita as instruções neste exemplo para corrigir a configuração.
user@host# show security policies
global {
policy gp1 {
match {
source-address server1;
destination-address server2;
application any;
}
then {
permit;
}
}
policy gp2 {
match {
source-address server2;
destination-address server1;
application junos-ftp;
}
then {
deny;
}
}
}
user@host# show security policies global
policy gp1 {
match {
source-address server1;
destination-address server2;
application any;
}
then {
permit;
}
}
policy gp2 {
match {
source-address server2;
destination-address server1;
application junos-ftp;
}
then {
deny;
}
}
Se você terminar de configurar o dispositivo, entre no commit modo de configuração.
Verificação
Verificando a configuração de políticas globais
Propósito
Verifique se as políticas globais gp1 e gp2 estão configuradas conforme necessário.
Ação
A partir do modo operacional, entre no show security policies global comando.
user@host> show security policies global
Global policies:
Policy: gp1, State: enabled, Index: 6, Scope Policy: 0, Sequence number: 1
From zones: any
To zones: any
Source addresses: server1
Destination addresses: server2
Applications: any
Action: permit
Policy: gp2, State: enabled, Index: 7, Scope Policy: 0, Sequence number: 2
From zones: any
To zones: any
Source addresses: server2
Destination addresses: server1
Applications: junos-ftp
Action: deny
Significado
A saída exibe informações sobre todas as políticas globais configuradas no dispositivo.
Exemplo: configuração de uma política global com várias zonas
Ao contrário de outras políticas de segurança no Junos OS, as políticas globais permitem que você crie políticas de multizona. Uma política global é um atalho conveniente quando existem muitas zonas de segurança, porque permite que você configure várias zonas de origem e várias zonas de destino em uma política global, em vez de ter que criar uma política separada para cada par de zona/zona, mesmo quando outros atributos, como endereço de origem ou endereço de destino, são idênticos.
Requisitos
Antes de começar:
Analise as políticas de segurança do firewall.
Veja a visão geral das políticas de segurança, a visão geral da política global, a compreensão das regras da política de segurança e a compreensão dos elementos da política de segurança.
Crie zonas de segurança.
Visão geral
Este exemplo de configuração mostra como configurar uma política global que realiza o que várias políticas de segurança teriam conseguido. A política global Pa permite todo o tráfego das zonas 1 e 2 para as zonas 3 e 4.
Topologia
Configuração
Configuração rápida da CLI
Para configurar rapidamente este exemplo, copie os seguintes comandos, cole-os em um arquivo de texto, remova quaisquer quebras de linha, altere todos os detalhes necessários para combinar com a configuração da sua rede, copiar e colar os comandos na CLI no nível de [edit] hierarquia e, em seguida, entrar no commit modo de configuração.
set security policies global policy Pa match source-address any set security policies global policy Pa match destination-address any set security policies global policy Pa match application any set security policies global policy Pa match from-zone zone1 set security policies global policy Pa match from-zone zone2 set security policies global policy Pa match to-zone zone3 set security policies global policy Pa match to-zone zone4 set security policies global policy Pa then permit
Procedimento
Procedimento passo a passo
O exemplo a seguir exige que você navegue por vários níveis na hierarquia de configuração. Para obter instruções sobre como fazer isso, veja Usando o Editor de CLI no modo de configuração.
Para configurar uma política global com várias zonas:
Crie uma política global para permitir qualquer tráfego das zonas 1 e 2 para as zonas 3 e 4.
[edit security] set security policies global policy Pa match source-address any set security policies global policy Pa match destination-address any set security policies global policy Pa match application any set security policies global policy Pa match from-zone zone1 set security policies global policy Pa match from-zone zone2 set security policies global policy Pa match to-zone zone3 set security policies global policy Pa match to-zone zone4 set security policies global policy Pa then permit
Resultados
A partir do modo de configuração, confirme sua configuração entrando no show security policies global comando. Se a saída não exibir a configuração pretendida, repita as instruções neste exemplo para corrigir a configuração.
[edit]
user@host# show security policies global
policy Pa {
match {
source-address any;
destination-address any;
application any;
from-zone [ zone1 zone2 ];
to-zone [ zone3 zone4 ];
}
then {
permit;
}
}
Se você terminar de configurar o dispositivo, entre no commit modo de configuração.