Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Secure Wire en dispositivos de seguridad

Descripción de Secure Wire en dispositivos de seguridad

El tráfico que llega a una interfaz específica se puede reenviar sin cambios a través de otra interfaz. Esta asignación de interfaces, llamada cable seguro, permite que una serie SRX se despliegue en la ruta del tráfico de red sin necesidad de un cambio en las tablas de enrutamiento o una reconfiguración de los dispositivos vecinos. Figura 1 muestra una implementación típica en ruta de una serie SRX con cable seguro.

Figura 1: Implementación en ruta de la serie SRX con Secure WireImplementación en ruta de la serie SRX con Secure Wire

Secure Wire asigna dos interfaces pares. Se diferencia de los modos transparente y de ruta en que no hay búsqueda de conmutación o enrutamiento para reenviar el tráfico. Mientras el tráfico esté permitido por una política de seguridad, un paquete que llega a una interfaz par se reenvía inmediatamente sin cambios desde la otra interfaz del mismo nivel. No se toma ninguna decisión de enrutamiento o conmutación en el paquete. El tráfico de retorno también se reenvía sin cambios.

La asignación segura de cables se configura con la secure-wire instrucción en el nivel de jerarquía [edit security forwarding-options]; se deben especificar dos interfaces lógicas Ethernet. Las interfaces lógicas Ethernet deben configurarse con family ethernet-switching y cada par de interfaces debe pertenecer a la(s) VLAN. Las interfaces deben estar enlazadas a zonas de seguridad y debe configurarse una política de seguridad para permitir el tráfico entre las zonas.

Esta función solo está disponible en interfaces lógicas Ethernet; se admiten tanto el tráfico IPv4 como el IPv6. Puede configurar interfaces para el modo de acceso o troncal. Secure Wire admite interfaces Ethernet redundantes de clúster de chasis. Esta característica no admite características de seguridad no admitidas en modo transparente, incluidas NAT y VPN IPsec.

Secure Wire es compatible con funciones de capa 7 como AppSecure, proxy SSL, seguridad de contenido e IPS/IDP.

Secure Wire es un caso especial del modo transparente de capa 2 en firewalls de la serie SRX que proporcionan conexiones punto a punto. Esto significa que lo ideal es que las dos interfaces de un cable seguro estén conectadas directamente a entidades de capa 3, como enrutadores o hosts. Las interfaces de cable seguro se pueden conectar a conmutadores. Sin embargo, tenga en cuenta que una interfaz Secure Wire reenvía todo el tráfico que llega a la interfaz del mismo nivel solo si el tráfico está permitido por una política de seguridad.

El cable seguro puede coexistir con el modo de capa 3. Aunque puede configurar interfaces de capa 2 y capa 3 al mismo tiempo, el reenvío de tráfico se produce de forma independiente en las interfaces de capa 2 y capa 3.

El cable seguro puede coexistir con el modo transparente de capa 2. Si ambas funciones existen en el mismo firewall de la serie SRX, debe configurarlas en VLAN diferentes.

Nota:

Las interfaces de enrutamiento y puente integrados (IRB) no son compatibles con Secure Wire.

Ejemplo: Simplificación de la implementación del firewall de la serie SRX con interfaces seguras de cable a través del modo de acceso

Si está conectando un firewall de la serie SRX a otros dispositivos de red, puede usar Secure Wire para simplificar la implementación de dispositivos en la red. No es necesario realizar cambios en las tablas de enrutamiento o reenvío del firewall de la serie SRX ni reconfigurar los dispositivos vecinos. Secure Wire permite que el tráfico se reenvíe sin cambios entre las interfaces de modo de acceso especificadas en un firewall de la serie SRX, siempre y cuando lo permitan las políticas de seguridad u otras características de seguridad. Siga este ejemplo si está conectando un firewall de la serie SRX a otros dispositivos de red a través de interfaces de modo de acceso.

En este ejemplo se muestra cómo configurar una asignación segura de cables para dos interfaces de modo de acceso. Esta configuración se aplica a escenarios en los que el tráfico de usuarios no está etiquetado como VLAN.

Requisitos

No se necesita ninguna configuración especial más allá de la inicialización del dispositivo antes de configurar esta función.

Descripción general

En este ejemplo se configura el secure wire access-sw que asigna la interfaz ge-0/0/3.0 a la interfaz ge-0/0/4.0. Las dos interfaces del mismo nivel están configuradas para el modo de acceso. El ID de VLAN 10 está configurado para las interfaces vlan-10 y de modo de acceso.

Nota:

Se debe configurar un ID de VLAN específico para una VLAN.

Topología

Figura 2 muestra las interfaces de modo de acceso asignadas en Secure Wire Access-SW.

Figura 2: Interfaces de modo de acceso Secure WireInterfaces de modo de acceso Secure Wire

Configuración

Procedimiento

Configuración rápida de CLI
Nota:

A partir de Junos OS versión 15.1X49-D10 y Junos OS versión 17.3R1, algunas instrucciones de configuración de CLI de capa 2 se mejoran y algunos comandos se cambian. Para obtener información detallada acerca de las jerarquías modificadas, consulte Declaración de configuración de CLI de capa 2 mejorada y cambios de comando para dispositivos de seguridad.

Las instrucciones de configuración que se muestran a continuación corresponden a Junos OS versión 15.1X49-D10 o superior y Junos OS versión 17.3R1.

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía [edit] y, luego, ingrese commit desde el modo de configuración.

Nota:

En el modo de conmutación, la interfaz de conmutación Ethernet no debe estar en la zona de seguridad. Debe habilitar el modo transparente para que las interfaces de conmutación Ethernet se permitan en zonas de seguridad mediante el global-mode (Protocols) comando.

Procedimiento paso a paso

En el ejemplo siguiente, debe explorar por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacer eso, consulte Uso del editor de CLI en el modo de configuración de la Guía del usuario de CLI.

Para configurar una asignación segura de cables para interfaces de modo de acceso:

  1. Configure la VLAN.

  2. Configure las interfaces del modo de acceso.

  3. Configure la asignación segura de cables.

  4. Configure zonas de seguridad.

  5. Crear entradas de libreta de direcciones. Adjunte zonas de seguridad a las libretas de direcciones.

  6. Configure una directiva de seguridad para permitir el tráfico de correo.

Resultados

Desde el modo de configuración, ingrese los comandos show vlans, show interfaces, show security forwarding-options y show security zones para confirmar la configuración. Si el resultado no muestra la configuración deseada, repita las instrucciones en este ejemplo para corregir la configuración.

Cuando termine de configurar el dispositivo, ingrese commit en el modo de configuración.

Verificación

Confirme que la configuración funcione correctamente.

Verificación de la asignación segura de cables

Propósito

Verifique la asignación segura de cables.

Acción

Desde el modo operativo, ingrese el comando show security forwarding-options secure-wire.

Verificación de la VLAN

Propósito

Verifique la VLAN.

Acción

Desde el modo operativo, ingrese el comando show vlans vlan-10.

Comprobación de la configuración de directivas

Propósito

Verifique la información sobre las políticas de seguridad.

Acción

Desde el modo operativo, ingrese el comando show security policies detail.

Ejemplo: Simplificación de la implementación del firewall de la serie SRX con interfaces seguras de cable a través del modo troncal

Si está conectando un firewall de la serie SRX a otros dispositivos de red, puede usar Secure Wire para simplificar la implementación de dispositivos en la red. No es necesario realizar cambios en las tablas de enrutamiento o reenvío del firewall de la serie SRX ni reconfigurar los dispositivos vecinos. Secure Wire permite que el tráfico se reenvíe sin cambios entre las interfaces de modo troncal especificadas en un firewall de la serie SRX, siempre que lo permitan las políticas de seguridad u otras características de seguridad. Siga este ejemplo si está conectando un firewall de la serie SRX a otros dispositivos de red a través de interfaces de modo troncal.

Requisitos

No se necesita ninguna configuración especial más allá de la inicialización del dispositivo antes de configurar esta función.

Descripción general

En este ejemplo se configura el troncal-sw de cable seguro que asigna la interfaz ge-0/1/0.0 a la interfaz ge-0/1/1.0. Las dos interfaces del mismo nivel están configuradas para el modo de troncalización y transportan tráfico de usuario etiquetado con ID de VLAN de 100 a 102. La lista de ID de VLAN 100-102 está configurada para la VLAN vlan-100 y las interfaces de modo de troncalización.

Nota:

Se debe configurar un ID de VLAN específico para una VLAN.

Topología

Figura 3 Muestra las interfaces del modo de troncalización que se asignan en Secure Wire Trunk-SW.

Figura 3: Interfaces de modo de troncalización de cable seguroInterfaces de modo de troncalización de cable seguro

Configuración

Procedimiento

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía [edit] y, luego, ingrese commit desde el modo de configuración.

Procedimiento paso a paso

En el ejemplo siguiente, debe explorar por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacer eso, consulte Uso del editor de CLI en el modo de configuración de la Guía del usuario de CLI.

Para configurar una asignación segura de cables para interfaces en modo troncal:

  1. Configure la VLAN.

  2. Configure las interfaces del modo troncal.

  3. Configure la asignación segura de cables.

  4. Configure zonas de seguridad.

  5. Configure una política de seguridad para permitir el tráfico.

Resultados

Desde el modo de configuración, ingrese los comandos show vlans, show interfaces, show security forwarding-options y show security zones para confirmar la configuración. Si el resultado no muestra la configuración deseada, repita las instrucciones en este ejemplo para corregir la configuración.

Cuando termine de configurar el dispositivo, ingrese commit en el modo de configuración.

Verificación

Confirme que la configuración funcione correctamente.

Verificación de la asignación segura de cables

Propósito

Verifique la asignación segura de cables.

Acción

Desde el modo operativo, ingrese el comando show security forwarding-options secure-wire.

Verificación de la VLAN

Propósito

Verifique la VLAN.

Acción

Desde el modo operativo, ingrese el comando show vlans.

Nota:

Las VLAN se expanden automáticamente, con una VLAN para cada ID de VLAN en la lista de ID de VLAN.

Ejemplo: Simplificación de la implementación del firewall de la serie SRX con Secure Wire a través de vínculos agregados de miembros de la interfaz

Si está conectando un firewall de la serie SRX a otros dispositivos de red, puede usar Secure Wire para simplificar la implementación de dispositivos en la red. No es necesario realizar cambios en las tablas de enrutamiento o reenvío del firewall de la serie SRX ni reconfigurar los dispositivos vecinos. Secure Wire permite que el tráfico se reenvíe sin cambios entre los vínculos agregados especificados de los miembros de la interfaz en un firewall de la serie SRX, siempre que lo permitan las políticas de seguridad u otras características de seguridad. Siga este ejemplo si está conectando un firewall de la serie SRX a otros dispositivos de red a través de vínculos agregados de miembros de la interfaz.

Nota:

LACP no es compatible. Las asignaciones seguras de cables se pueden configurar para enlaces de miembros de paquetes de vínculos en lugar de asignar directamente interfaces Ethernet agregadas. Cuando los puertos o las interfaces del firewall de la serie SRX están en modo troncal, el dispositivo no transmite las PDU LACP y falla el LACP. Debe agregar una VLAN nativa a las interfaces de cable seguras para que LACP funcione.

Nota:

En los dispositivos SRX210, SRX220, SRX240, SRX300, SRX320, SRX340, SRX345, SRX550 y SRX650, cuando se crea una interfaz agregada con dos o más puertos y se establece la familia en Conmutación Ethernet y, si un vínculo del paquete deja de funcionar, el tráfico reenviado a través del mismo vínculo se redirigirá dos segundos después. Esto provoca una interrupción del tráfico que se envía al vínculo hasta que se complete el redireccionamiento.

Requisitos

No se necesita ninguna configuración especial más allá de la inicialización del dispositivo antes de configurar esta función.

Descripción general

En este ejemplo se configuran cables seguros para dos paquetes de vínculos de interfaz Ethernet agregados con dos vínculos cada uno. Se configuran dos cables seguros separados, ae-link1 y ae-link2, mediante un vínculo de cada paquete de vínculos Ethernet agregado. Esta asignación estática requiere que los dos paquetes de vínculos tengan el mismo número de vínculos.

Para los paquetes de vínculos, todas las interfaces lógicas de las asignaciones seguras de cables deben pertenecer a la misma VLAN. El ID de VLAN 10 está configurado para la VLAN vlan-10 y las interfaces lógicas. Todas las interfaces lógicas de un paquete de vínculos deben pertenecer a la misma zona de seguridad.

Nota:

Se debe configurar un ID de VLAN específico o una lista de ID de VLAN para una VLAN.

Topología

Figura 4 muestra las interfaces agregadas que se asignan en configuraciones de cable seguro.

Figura 4: Interfaces agregadas Secure WireInterfaces agregadas Secure Wire

Configuración

Procedimiento

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía [edit] y, luego, ingrese commit desde el modo de configuración.

Procedimiento paso a paso

En el ejemplo siguiente, debe explorar por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacer eso, consulte Uso del editor de CLI en el modo de configuración de la Guía del usuario de CLI.

Para configurar una asignación segura de cables para vínculos agregados de miembros de la interfaz:

  1. Configure la VLAN.

  2. Configure las interfaces.

  3. Configure las asignaciones seguras de cables.

  4. Configure zonas de seguridad.

  5. Configure una política de seguridad para permitir el tráfico.

Resultados

Desde el modo de configuración, ingrese los comandos show vlans, show interfaces, show security forwarding-options y show security zones para confirmar la configuración. Si el resultado no muestra la configuración deseada, repita las instrucciones en este ejemplo para corregir la configuración.

Cuando termine de configurar el dispositivo, ingrese commit en el modo de configuración.

Verificación

Confirme que la configuración funcione correctamente.

Verificación de la asignación segura de cables

Propósito

Verifique la asignación segura de cables.

Acción

Desde el modo operativo, ingrese el comando show security forwarding-options secure-wire.

Verificación de la VLAN

Propósito

Verifique la VLAN.

Acción

Desde el modo operativo, ingrese el comando show vlans vlan-10.

Ejemplo: Simplificación de la implementación del clúster de chasis con Secure Wire a través de interfaces Ethernet redundantes

Si va a conectar un clúster de chasis serie SRX a otros dispositivos de red, puede usar Secure Wire para simplificar la implementación del clúster en la red. No es necesario realizar cambios en las tablas de enrutamiento o reenvío del clúster ni reconfigurar los dispositivos vecinos. Secure Wire permite que el tráfico se reenvíe sin cambios entre las interfaces Ethernet redundantes especificadas en el clúster de chasis de la serie SRX, siempre que lo permitan las políticas de seguridad u otras características de seguridad. Siga este ejemplo si está conectando un clúster de chasis de la serie SRX a otros dispositivos de red a través de interfaces Ethernet redundantes.

Requisitos

Antes de empezar:

  • Conecte un par de firewalls de la serie SRX en un clúster de chasis.

  • Configure el ID de nodo y el ID de clúster del clúster del chasis.

  • Establezca el número de interfaces Ethernet redundantes en el clúster de chasis.

  • Configure la estructura del clúster de chasis.

  • Configure el grupo de redundancia del clúster de chasis (en este ejemplo se utiliza el grupo de redundancia 1).

Para obtener más información, consulte la Guía del usuario del clúster de chasis para dispositivos de la serie SRX.

Descripción general

Secure Wire es compatible con interfaces Ethernet redundantes en un clúster de chasis. Las dos interfaces Ethernet redundantes deben configurarse en el mismo grupo de redundancia. Si se produce una conmutación por error, ambas interfaces Ethernet redundantes deben conmutar por error juntas.

Nota:

No se admite la asignación segura de cables de grupos de agregación de vínculos Ethernet (LAG) redundantes. LACP no es compatible.

En este ejemplo se configura el cable seguro reth-sw que asigna la interfaz de entrada reth0.0 a la interfaz de salida reth1.0. Cada interfaz Ethernet redundante consta de dos interfaces secundarias, una en cada nodo del clúster de chasis. Las dos interfaces Ethernet redundantes están configuradas para el modo de acceso. El ID de VLAN 10 está configurado para la VLAN vlan-10 y las interfaces Ethernet redundantes.

Nota:

Se debe configurar un ID de VLAN específico o una lista de ID de VLAN para una VLAN.

Topología

Figura 5 muestra las interfaces Ethernet redundantes que están asignadas en Secure Wire reth-sw.

Figura 5: Interfaces Ethernet redundantes Secure WireInterfaces Ethernet redundantes Secure Wire

Configuración

Procedimiento

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía [edit] y, luego, ingrese commit desde el modo de configuración.

Procedimiento paso a paso

En el ejemplo siguiente, debe explorar por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacer eso, consulte Uso del editor de CLI en el modo de configuración de la Guía del usuario de CLI.

Para configurar una asignación segura de cables para interfaces Ethernet redundantes de clúster de chasis:

  1. Configure la VLAN.

  2. Configure las interfaces Ethernet redundantes.

  3. Configure la asignación segura de cables.

  4. Configure zonas de seguridad.

  5. Configure una política de seguridad para permitir el tráfico.

Resultados

Desde el modo de configuración, ingrese los comandos show vlans, show interfaces, show security forwarding-options y show security zones para confirmar la configuración. Si el resultado no muestra la configuración deseada, repita las instrucciones en este ejemplo para corregir la configuración.

Cuando termine de configurar el dispositivo, ingrese commit en el modo de configuración.

Verificación

Confirme que la configuración funcione correctamente.

Verificación de la asignación segura de cables

Propósito

Verifique la asignación segura de cables.

Acción

Desde el modo operativo, ingrese el comando show security forwarding-options secure-wire.

Verificación de la VLAN

Propósito

Verifique la VLAN.

Acción

Desde el modo operativo, ingrese el comando show vlan vlan-10.

Ejemplo: Simplificación de la implementación de clústeres de chasis con Secure Wire a través de interfaces Ethernet redundantes agregadas

Si va a conectar un clúster de chasis serie SRX a otros dispositivos de red, puede usar Secure Wire para simplificar la implementación del clúster en la red. No es necesario realizar cambios en las tablas de enrutamiento o reenvío del clúster ni reconfigurar los dispositivos vecinos. Secure Wire permite que el tráfico se reenvíe sin cambios entre las interfaces Ethernet redundantes especificadas en el clúster de chasis de la serie SRX, siempre que lo permitan las políticas de seguridad u otras características de seguridad. Siga este ejemplo si está conectando un clúster de chasis de la serie SRX a otros dispositivos de red a través de interfaces Ethernet redundantes agregadas.

Nota:

No se pueden configurar cables seguros para grupos de agregación de vínculos de interfaz Ethernet (LAG) redundantes. Para la asignación segura de cables que se muestra en este ejemplo, no hay ninguna configuración LAG en el clúster de chasis de la serie SRX. Cada interfaz Ethernet redundante consta de dos interfaces secundarias, una en cada nodo del clúster de chasis. Los usuarios de dispositivos ascendentes o descendentes conectados al clúster de la serie SRX pueden configurar los vínculos secundarios redundantes de la interfaz Ethernet en los LAG.

Requisitos

Antes de empezar:

  • Conecte un par de firewalls de la serie SRX en un clúster de chasis.

  • Configure el ID de nodo y el ID de clúster del clúster del chasis.

  • Establezca el número de interfaces Ethernet redundantes en el clúster de chasis.

  • Configure la estructura del clúster de chasis.

  • Configure el grupo de redundancia del clúster de chasis (en este ejemplo, se usa el grupo de redundancia 1).

Para obtener más información, consulte la Guía del usuario del clúster de chasis para dispositivos de la serie SRX.

Descripción general

En este ejemplo se configuran cables seguros para cuatro interfaces Ethernet redundantes: reth0, reth1, reth2 y reth3. Cada interfaz Ethernet redundante consta de dos interfaces secundarias, una en cada nodo del clúster de chasis. Las cuatro interfaces Ethernet redundantes deben estar en la misma VLAN; en este ejemplo, la VLAN es vlan-0. Dos de las interfaces Ethernet redundantes, reth0.0 y reth2.0, se asignan a la zona de confianza, mientras que las otras dos interfaces, reth1.0 y reth3.0, se asignan a la zona de no confianza.

En este ejemplo se configuran los siguientes cables seguros:

  • RETH-SW1 asigna la interfaz RETH0.0 a la interfaz RETH1.0

  • Mapas RETH-SW2 Interfaz RETH2.0 a RETH3.0

Todas las interfaces Ethernet redundantes están configuradas para el modo de acceso. El ID de VLAN 10 está configurado para la VLAN vlan-0 y las interfaces Ethernet redundantes.

Nota:

Se debe configurar un ID de VLAN específico o una lista de ID de VLAN para una VLAN.

Topología

Figura 6 muestra los vínculos secundarios de interfaz Ethernet redundantes que se asignan en las configuraciones de cable seguro reth-sw1 y reth-sw2. Cada interfaz Ethernet redundante consta de dos interfaces secundarias, una en cada nodo del clúster de chasis.

Figura 6: Enlaces secundarios de interfaz Ethernet redundante Secure WireEnlaces secundarios de interfaz Ethernet redundante Secure Wire

Los usuarios de dispositivos ascendentes o descendentes conectados al clúster de la serie SRX pueden configurar vínculos secundarios de interfaz Ethernet redundantes en un LAG, siempre y cuando el LAG no abarque nodos de clúster de chasis. Por ejemplo, ge-0/0/0 y ge-0/1/0 y ge-0/0/1 y ge-0/1/1 en el nodo 0 se pueden configurar como LAG en dispositivos conectados. Del mismo modo, ge-1/0/0 y ge-1/1/0 y ge-1/0/1 y ge-1/1/1 en el nodo 1 se pueden configurar como LAG en dispositivos conectados.

Configuración

Procedimiento

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía [edit] y, luego, ingrese commit desde el modo de configuración.

Procedimiento paso a paso

En el ejemplo siguiente, debe explorar por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacer eso, consulte Uso del editor de CLI en el modo de configuración de la Guía del usuario de CLI.

Para configurar una asignación segura de cables para vínculos agregados de miembros de la interfaz:

  1. Configure la VLAN.

  2. Configure las interfaces Ethernet redundantes.

  3. Configure las asignaciones seguras de cables.

  4. Configure zonas de seguridad.

  5. Configure una política de seguridad para permitir el tráfico.

Resultados

Desde el modo de configuración, ingrese los comandos show vlans, show interfaces, show security forwarding-options y show security zones para confirmar la configuración. Si el resultado no muestra la configuración deseada, repita las instrucciones en este ejemplo para corregir la configuración.

Cuando termine de configurar el dispositivo, ingrese commit en el modo de configuración.

Verificación

Confirme que la configuración funcione correctamente.

Verificación de la asignación segura de cables

Propósito

Verifique la asignación segura de cables.

Acción

Desde el modo operativo, ingrese el comando show security forwarding-options secure-wire.

Comprobación de VLAN

Propósito

Verifique la VLAN.

Acción

Desde el modo operativo, ingrese el comando show vlans vlan-0.