Hur man konfigurerar SRX-säkerhetszoner med Junos-dummies

Du kan inte hantera SRX Services Gateway som du skulle ha en router. SRX är en låst enhet. Du kan inte ens ping ett gränssnitt på SRX inledningsvis, även om det har en giltig IP-adress. SRX använder begreppet nestade säkerhetszoner. Zoner är ett kritiskt begrepp i SRX-konfiguration. Ingen trafik går in eller ut om säkerhetszoner är korrekt konfigurerade på SRX-gränssnitten.

För att konfigurera en säkerhetszon måste du koppla gränssnittet med en säkerhetszon och säkerhetszoner måste vara bundna med en routing-instans (om det finns flera routing-instanser).

Det låter komplicerat, men det är det inte. Först konfigurerar du zoner och associerar du gränsytorna med zonerna. Här antar vi att du bara använder en routinginstans. Du kan konfigurera en zon med mer än ett gränssnitt. Varje gränssnitt kan dock tillhöra endast en zon.

Skapa nu två säkerhetszoner för en enkel SRX-konfiguration. En zon är för ett lokalt nätverk som heter admins (administration) på gränssnittet ge-0/0/0. 0, och den andra zonen är för två länkar till Internet som kallas oförtrogen med gränssnitt ge-0/0/1. 0 och ge-0/0/2. 0:

root # redigera säkerhetszoner [redigera säkerhetszoner] root # set säkerhetszon admins root # set säkerhetszon untrust root # set säkerhetszon admins gränssnitt ge-0/0/0. 0 root # set säkerhetszonen untrust gränssnitt ge-0/0/1. 0 root # set säkerhetszonen untrust gränssnitt ge-0/0/2. 0

Konfigurera alltid zoner från perspektivet av SRX du konfigurerar. Många andra zoner kan vara på LAN (förtroende, redovisning osv.). Men denna SRX länkar bara till administratörer och otillförlitliga.

Nu kan du lägga till tjänster i de zoner du just har konfigurerat. Antag att inkommande ssh, ftp och ping trafik tillåts från den otillförlitliga zonen.

Detta är bara ett exempel. Innan du aktiverar några tjänster alls på din SRX, se till att du verkligen behöver dem. FTP i synnerhet anses ofta riskabelt eftersom FTP inte har någon riktig säkerhet, och du har bara slagit ett stort hål för det i din säkerhetszon.

[redigera säkerhetszoner] root # set säkerhetszon untrust värd-inkommande trafik ssh root # set säkerhetszon untrust värd-inkommande trafik ftp root # set säkerhetszon untrust värd-inkommande trafik ping

Din konfiguration nu ser så här ut:

[editera säkerhetszoner] {security-zone untrust {host-inbound-traffic {systemtjänster {ssh; ftp; ping;}} gränssnitt {ge-0/0/1. 0; ge-0/0/2. 0;}} säkerhetszonadministratörer {gränssnitt {ge-0/0/0. 0;}}

Om du inte har konfigurerat routing och tillämpat licensiering till din SRX, får du ett hämtningsfelmeddelande när du försöker lägga till säkerhetskonfigurationen.Detta fel kommer att gå ifrån när konfigurationen är klar.