Junos - mumlarla SRX Güvenlik Bölgelerini Yapılandırma

SRX Services Gateway'i bir yönlendirici gibi yönetemezsiniz. SRX kilitli bir aygıttır. Geçerli bir IP adresi olsa bile başlangıçta SRX'deki bir arabirime ping işlemi yapamazsınız. SRX, iç içe güvenlik bölgeleri kavramını kullanır. Bölgeler SRX yapılandırmasında kritik bir konsepttir. Güvenlik bölgeleri SRX arabirimlerinde düzgün şekilde yapılandırılmadıkça hiçbir trafik girip çıkmaz.

Bir güvenlik bölgesi yapılandırmak için, arabirimi bir güvenlik bölgesi ile ilişkilendirmeniz ve daha sonra güvenlik bölgelerinin bir yönlendirme örneği ile bağlanması gerekir (birden fazla yönlendirme örneği varsa).

Karmaşık geliyor, ama değil. Önce bölgeleri yapılandırdıktan sonra arabirimleri bölgelerle ilişkilendirirsiniz. Burada, yalnızca bir yönlendirme örneği kullandığınızı varsayıyoruz. Bir bölgeyi birden fazla arayüzle yapılandırabilirsiniz. Bununla birlikte, her arabirim yalnızca bir bölgeye ait olabilir.

Şimdi, basit bir SRX yapılandırması için iki güvenlik bölgesi oluşturun. Bir bölge, ge-0/0/0 arayüzünde yöneticiler (yönetim) olarak adlandırılan yerel bir LAN içindir. 0 ve diğer bölge, ge-0/0/1 arabirimleriyle güvenilmez olarak adlandırılan Internet'e iki bağlantı içindir. 0 ve ge-0/0/2. 0:

root # güvenlik bölgelerini düzenle [güvenlik bölgelerini düzenle] root # set güvenlik bölgesi admins root # set güvenlik bölgesi untrust root # set güvenlik bölgesi yöneticileri arayüzleri ge-0/0/0. 0 root # set güvenlik bölgesi güvenilmez arayüzler ge-0/0/1. 0 root # set güvenlik bölgesi güvenilmez arayüzler ge-0/0/2. 0

Bölgeleri daima yapılandırdığınız SRX'in perspektifinden yapılandırın. Diğer birçok bölge LAN'da olabilir (güven, muhasebe vb.). Ancak bu SRX yalnızca yöneticilere ve güvenilmeyen kişilere bağlantı sağlar.

Artık yapılandırdığınız bölgelere hizmet ekleyebilirsiniz. Gelen ssh, ftp ve ping trafiğine güvenilmeyen bölgeden izin verildiğini varsayalım.

Bu sadece bir örnek. SRX'inizde herhangi bir hizmeti etkinleştirmeden önce, gerçekten onlara ihtiyacınız olduğundan emin olun. FTP'nin özellikle riskli olduğu düşünülür, çünkü FTP'nin gerçek bir güvenlik özelliği yoktur ve güvenlik bölgenizde bunun için büyük bir delik açmış olursunuz.

[güvenlik bölgelerini düzenle] root # set güvenlik bölgesi güvenilmez ev sahibi gelen trafik ssh root # güvenlik bölgesi ayarla untrust host-gelen trafik ftp root # güvenlik bölgesi ayarla untrust host-gelen trafik ping

Şimdi yapılandırmanızı şimdi şöyle:

[güvenlik düzenle] bölgeleri {güvenlik bölgesi güvenilmez {ana makine gelen trafik {sistem hizmetleri {ssh; ftp; ping;}} arayüzler {ge-0/0/1. 0; ge-0/0/2. 0;}} güvenlik bölgesi yöneticileri {interfaces {ge-0/0/0. 0;}}

Yönlendirme ayarlamadıysanız ve lisansınızı SRX'e uyguladıysanız, güvenlik konfigürasyonunu denediğinizde ve tamamladığınızda bir getirme hatası mesajı alırsınız.Yapılandırma tamamlandığında bu hata kaybolacaktır.