ゾーンのポリシー

ステートフル・ファイアウォールを構成するには、以下の手順を実行します。

1. セキュリティー・ゾーンを作成し、それぞれインターフェースを割り当てます。

   スタンドアロン・シナリオ:

   	 set security zones security-zone CUSTOMER-PRIVATE interfaces ge-0/0/0.1
   	 set security zones security-zone CUSTOMER-PUBLIC interfaces ge-0/0/1.1
   

   高可用性のシナリオ:

   set security zones security-zone CUSTOMER-PRIVATE interfaces reth2.1
   set security zones security-zone CUSTOMER-PUBLIC interfaces reth2.1
   

2. 2 種類のゾーン間のポリシーとルールを定義します。

   以下の例は、ゾーン Customer-Private から Customer-Public へのトラフィックの ping を図示しています。

   	set security policies from-zone CUSTOMER-PRIVATE to-zone CUSTOMER-PUBLIC policy ALLOW_ICMP match source-address any destination-address any application junos-icmp
   
   	set security policies from-zone CUSTOMER-PRIVATE to-zone CUSTOMER-PUBLIC policy ALLOW_ICMP then permit
   

以下は、ポリシーで定義できる属性の一部です：

• 送信側アドレス
• 受信側アドレス
• アプリケーション
• アクション (permit/deny/reject/count/log)

これはステートフルな操作なので、リターン・パケット（この場合はエコー・リプライ）を許可する必要はない。

以下のコマンドを使用して、vSRX に向けられるトラフィックを許可します。

スタンドアロン・ケース:

set security zones security-zone CUSTOMER-PRIVATE interfaces ge-0/0/0.0 host-inbound-traffic system-services all

HA の場合:

set security zones security-zone CUSTOMER-PRIVATE interfaces reth2.0 host-inbound-traffic system-services all

OSPF や BGP などのプロトコルを許可するには、以下のコマンドを使用します。

スタンドアロン・ケース:

set security zones security-zone trust interfaces ge-0/0/0.0 host-inbound-traffic protocols all

HA の場合:

set security zones security-zone trust interfaces reth2.0 host-inbound-traffic protocols all

ファイアウォール・フィルター

デフォルトでは、IBM Cloud® Juniper vSRX は PROTECT-IN インターフェースに lo フィルターを適用して、それ自体に対する ping、SSH、HTTPS を許可し、その他のトラフィックをすべて除去します。

新しいステートレス・ファイアウォールを構成するには、以下の手順を実行します。

1. ファイアウォール・フィルターと term を作成します (以下のフィルターは ICMP のみを許可し、他のすべてのトラフィックをドロップします)。

   set firewall filter ALLOW-PING term ICMP from protocol icmp
   set firewall filter ALLOW-PING term ICMP then accept
   

2. フィルター規則をインターフェースに適用します (以下のコマンドは、フィルターをすべてのプライベート・ネットワーク・トラフィックに適用します)。

   	set interfaces ge-0/0/0 unit 0 family inet filter input ALLOW-PING