セキュリティポリシーの並べ替え

セキュリティ ポリシーは、構成ファイルに出現する順に実行されるため、次の点に注意する必要があります。

• ポリシーの順序は重要です。
• 新しいポリシーは、ポリシーリストの末尾に移動します。
• 最後のポリシーはデフォルトポリシーで、すべてのトラフィックを拒否するデフォルトアクションがあります。

セキュリティ ポリシーの数を設定した場合、1 つのポリシーが別のポリシーを覆い隠す( シャドウする)可能性があります。この場合、次のようになります。

• ポリシーリスト内のシャドウポリシーのリストを表示するには、 show security shadow-policies コマンドを使用します。
• ステートメントを insert および before 使用することで、ポリシーの順序を変更し、より具体的なポリシーを他のポリシーの前に配置できます。

次の例を考えてみましょう。

例1

例2

例1および2では、ゾーンtrustからゾーンuntrustへのポリシーpermit-all後にポリシーpermit-mailが設定されています。ゾーンuntrustからのすべてのトラフィックは、最初のポリシーpermit-allと一致し、デフォルトで許可されています。ポリシーpermit-mailに一致するトラフィックはありません。

Junos OSはリストの先頭からポリシー検索を実行するため、受信したトラフィックに一致するものを見つけても、ポリシーリストの下位は検索されません。前の例を修正するには、ポリシーの順序を逆にして、より具体的なポリシーを最初に配置します。

ポリシーが数十または数百ある場合、1 つのポリシーが別のポリシーによって削除されることを検出するのは、それほど簡単ではない可能性があります。ポリシーがシャドウされているかどうかを確認するには、次のいずれかのコマンドを入力します。

このコマンドは、シャドウポリシーとシャドウポリシーを報告します。その後、状況を修正するのは管理者の責任です。

手記：

ポリシー シャドウイング の概念は、ポリシー リストの上位にあるポリシーが、常に後続のポリシーよりも先に有効になる状況を指します。ポリシー検索では、送信元と宛先ゾーン、送信元アドレスと宛先アドレス、およびアプリケーションタイプの 5 つの部分からなるタプルに一致する最初のポリシーが常に使用されるため、別のポリシーが同じタプル(またはタプルのサブセット)に適用される場合、ポリシー検索はリスト内の最初のポリシーを使用し、2 番目のポリシーに到達することはありません。