Bagaimana Mengelola Beberapa Kebijakan Keamanan pada SRX Services Gateway - dummies

Jika SRX hanya dapat menetapkan antarmuka ke zona dan mengizinkan layanan tertentu masuk dan keluar, tidak akan banyak yang terjadi. Tapi SRX jauh lebih bertenaga. Setelah Anda memiliki zona dan antarmuka yang disiapkan, Anda dapat memanfaatkan kekuatan sesungguhnya dari SRX: kebijakan keamanan itu sendiri.

Tanpa kebijakan keamanan, semua SRX bisa dilakukan adalah membuat zona antarmuka dan menyaring layanan tertentu. Kebijakan keamanan memungkinkan Anda untuk mengkonfigurasi rincian dari apa dan tidak diizinkan melalui SRX.

SRX besar dapat memiliki ratusan bahkan ribuan kebijakan, karena kebijakan menjadi semakin kompleks saat mereka mencoba dan melakukan terlalu banyak. Jadi, Anda dapat memiliki beberapa kebijakan yang diterapkan pada lalu lintas, semuanya berdasarkan zona sumber dan tujuan. Kebijakan diterapkan satu demi satu sampai sebuah tindakan ditentukan. Default terakhir, tentu saja, adalah untuk menolak lalu lintas dan membuang paket.

Pengecualian terhadap aturan penolakan default adalah lalu lintas pada antarmuka manajemen fxp0, yang membuat pengelolaan SRX selalu tersedia (walaupun konfigurasi rusak), dan membiarkan lalu lintas ini berisiko kecil. karena lalu lintas pengguna luar tidak pernah muncul di antarmuka ini.

Semua kebijakan keamanan SRX mengikuti algoritma IF-THEN-ELSE. JIKA lalu lintas X cocok dengan beberapa peraturan, MAKA aksi Y dilakukan, ELSE default denied (drop) diterapkan.

JIKA bagian dari kebijakan memeriksa lima aspek paket untuk menguji kecocokan:

Zona sumber lalu lintas yang telah ditentukan sebelumnya atau yang dikonfigurasi yang diperiksa

• Zona tujuan yang telah ditentukan atau dikonfigurasi dimana lalu lintas menuju

• Alamat IP sumber, atau isi buku alamat, lalu lintas

• Alamat tujuan, atau isi buku alamat, tempat lalu lintas menuju

• Aplikasi atau layanan yang telah ditetapkan atau dikonfigurasi atau diizinkan ditolak

• Bila paket masuk sesuai dengan kelima parameter default atau yang dikonfigurasi di bagian IF dari kebijakan, salah satu tindakan ini diterapkan:

Deny:

• Paket diam-diam terjatuh. Tolak:

• Paket dijatuhkan, dan TCP-Rest dikirim ke originator. Izin:

• Paket diizinkan lewat. Log:

• SRX membuat entri log untuk paket. Hitung:

• Paket dihitung sebagai bagian dari proses akuntansi SRX. Saat sebuah tindakan diterapkan pada sebuah paket, rantai kebijakan akan dihentikan. Jadi, urutan kebijakan! Umumnya, Anda mengkonfigurasi aturan yang paling spesifik di bagian atas rantai dan lebih banyak kebijakan umum di bagian bawah.Jika tidak, satu kebijakan mungkin menutupi efek yang diinginkan pihak lain.

Sekarang, tambahkan contoh kebijakan ke zona keamanan yang telah Anda konfigurasikan. Inilah yang Anda inginkan agar dilakukan kebijakan:

Izinkan lalu lintas dari host mana pun di zona admin ke tujuan mana pun di zona tepercaya.

• Izinkan lalu lintas tertentu dari host manapun di zona admin ke host lain di zona yang sama.

• Tolak lalu lintas dari zona tidak tepercaya ke zona admin.