Juniper防火墙安全方案.doc

Juniper防火墙安全方案

60
2020年5月29日
文档仅供参考

计算机网络系统
防火墙部署工程

技术方案

目录

第一章 Juniper的安全理念 3
1.1 基本防火墙功能 3
1.2 内容安全功能 4
1.3 虚拟专网(VPN)功能 7
1.4 流量管理功能 7
1.5 强大的ASIC的硬件保障 8
1.6 设备的可靠性和安全性 8
1.7 完备简易的管理 9
第二章 项目概述 9
第三章 总体方案建议 10
3.1 防火墙A和防火墙B的双机热备、均衡负载实现方案 10
3.2 防火墙A和防火墙B的VLAN(802.1Q的trunk协议)实现方案 15
3.3 防火墙A和防火墙B的动态路由支持程度的实现方案 16
3.4 防火墙的VPN实现方案 16
3.5 防火墙的安全控制实现方案 17
3.6 防火墙的网络地址转换实现方案 25
3.7 防火墙的应用代理实现方案 28
3.9 防火墙用户认证的实现方案 28
3.10 防火墙对带宽管理实现方案 30
3.11 防火墙日志管理、管理特性以及集中管理实现方案 31

第一章 Juniper的安全理念
网络安全能够分为数据安全和服务安全两个层次。数据安全是防止信息被非法探听;服务安全是使网络系统提供不间断的通畅的对外服务。从严格的意义上讲,只有物理上完全隔离的网络系统才是安全的。但为了实际生产以及信息交换的需要,采用完全隔离手段保障网络安全很少被采用。在有了对外的联系之后,网络安全的目的就是使不良用心的人窃听数据、破坏服务的成本提高到她们不能承受的程度。这里的成本包括设备成本、人力成本、时间成本等多方面的因素。Juniper的整合式安全设备是专为互联网网络安全而设,将硬件状态防火墙、虚拟专用网(IPsec VPN)、入侵防护(IPS)和流量管理等多种安全功能集于一体。Juniper整合式安全设备具有ASIC芯片硬件加速的安全策略、IPSec加密演算性能、低延时,能够无缝地部署到任何网络。设备安装和操控也是非常容易,能够经过内置的WebUI、命令行界面或中央管理方案进行统一管理。

1.1 基本防火墙功能
　　Juniper提供了可扩展的网络安全解决方案,适用于包括宽带移动用户、中小型企业Internet边界、大型企业的内部网络安全域划分和控制,以至电子商务网站的服务器保护等等。Juniper全功能防火墙采用实时检测技术,能够防止入侵者和拒绝服务(denial-of-service)的攻击。
Juniper防火墙采用ScreenOS软件,是经过ICSA认证的实时检测防火墙。
Juniper的防火墙系列采用安全优化的硬件(包括ASIC芯片和主板、操作系统和防火墙),比拼凑而成的软件类方案提供更高级的安全水平。
Juniper的防火墙系列提供强大的攻击防御能力,包括SYN攻击、ICMP泛滥、端口扫描(Port Scan)等攻击防御能力,配备硬件加速的会话建立 (session ramp rates)性能,即使在最关键性的环境下也能够提供安全保护。
Juniper的防火墙系列提供各种网络地址翻译(NAT)、端口地址翻译(PAT)的功能――有效隐藏内部、无法路由的IP地址。
1.2 内容安全功能
Juniper提供多样的内容安全功能,包括深层检测功能、防病毒、垃圾邮件过滤、和网页过滤4种,而且能够提供试用的临时许可license,能够让用户在一定时间内下载特征库及使用该内容安全更新。过了试用期后,用户必须定购年度服务来获得最新的入侵防护攻击库、病毒库、并得到垃圾邮件和网页过滤的定时更新。
用户能够分别购买某个单项的内容安全服务,也能够购买价格更加优惠的4项打包的内容安全服务。
1.2.1 深层检测功能(Deep Inspection)
深层检测功能(Deep Inspection,简称DI)是Juniper的防火墙操作系统ScreenOS里集成的一个专门对网络流量里的应用层攻击(包括网络蠕虫、木马和恶意软件)进行检测的功能,其实就是将Juniper的IPS/IDP的入侵检测和防护的功能集成到Juniper防火墙的ScreenOS里面,对会话实施基于状态的策略的同时进行对应用层攻击特征的匹配,而且作出相应的保护动作。Juniper的防火墙针对流量的应用层的分析和特征匹配进行了一系列的优化,降低了对数据吞吐能力的影响。
为了减少对防火墙性能的影响,Juniper为深层检测提供4种特征包,让IT管理员根据需要保护的资源而灵活选择下载、更新和采用,包括:
1、 基础版(Base)特征包:针对中小型企业的全面防护(包括保护C/S应用和防蠕虫);
2、 服务器(Server)特征包:针对服务器群进行保护(包括保护IIS、Exchange和Oracle服务器等);
3、 客户端(Client)特征包:针对分布式企业的中小型分支机构客户端设备进行保护(如手提电脑等);
4、 常见蠕虫保护(Worm)特征包:针对大企业的分支机构提供全面的常见的蠕虫保护。
深层检测(DI)防火墙被设计用来对网络上一系列最常见的协议(如HTTP, DNS, FTP, SMTP, POP3, IMAP, NetBIOS/SMB, MS-RPC, P2P, 和IM等)的应用层保护,而且可在将来简单地添加更多的协议。对这些协议,深层检测(DI)防火墙采用和数据接收方(如服务器和客户端的应用)相同的方式来理解应用层信息。为了精确地理解应用层信息,深层检测(DI)防火墙实施包碎片重组,次序重组,去除无用信息和信息正常化处理。一旦深层检测(DI)防火墙按这些方法重组出了网络流量,它就用协议异常检测和服务控制字段里的上下文的攻击特征匹配的方法来对流量里的攻击进行防护。
深层检测(DI)防火墙利用了攻击数据库来储存异常协议和攻击特征(有时被称做”特征”),按协议和攻击的严重性分类,来实施状态检测和深层检测任务。防火墙的分析引擎由其本身的数据库实时提取有关的攻击特征来有效地分析流量。
一旦Juniper的深层检测(DI)防火墙对应用层数据进行重组后,它就实施针对该应用的分析,决定该流量的目的是恶意的还是非恶意的。首先,它根据协议的定义进行分析,如果数据偏离了协议的定义,就代表了协议异常。高冲击力的、带恶意的协议异常,如设法造成内存溢出来控制系统的,将被识别为攻击。对协议异常的细化管理包括调整如何及在哪里查找异常,从而使得支持非正常协议的系统获得同样的支持。深层检测(DI)防火墙将按照细化的协议控制来对相关的服务域进行识别。服务控制字段是与特别功能相关的流量中的部分,如email地址、URL、文件名等。深层检测(DI)防火墙将按特征匹配的方法对相应的字段进行检测。而这些字段就代表了应用层信息,并让深层检测(DI)防火墙能够理解应用层会话,并在正确的字段上进行攻击特征库的匹配查找。
协议符合检查使用户获得攻击出现日第0天防护
因为Juniper深层检测(DI)防火墙能够对流量进行协议符合检查,它也就具备了无须了解某一特别攻击,就能够对一系列的攻击如内存溢出攻击等的防护能力。这意味着这种解决方法能够在对新攻击出现的第0天即具备防护能力。同时,这也是对某些无法简单匹配特征的更狡猾攻击的防护方式。
对已知攻击的服务控制字段特征匹配
协议匹配检测的是一些未知的和更狡猾的攻击,还有一些攻击是已知的,能够经过已知的特征匹配的方式来更有效地防护它们。Juniper深层检测(DI)防火墙实施应用分析,理解信息内容,并将流量信息的不同部分对应到相应的服务控制字段上。服务控制字段是依相应协议事先定义的包头值,代表了相应的目的,使用了固定的流量的相对位置。如:在SMTP里,有一些服务控制字段包括:命令行(从客户端发给服务器的命令),数据行(一行email内容),From:(发送者的email地址),等。深层检测(DI)防火墙应用已知的特征匹配(在防火墙内部的数据库里已经有了相应的定义),与流量的相关部分进行比较,查找出带攻击的恶意部分流量。Juniper的特征匹配减少了系统资源的使用,将主要精力集中在相关恶意流量部分,有效地实施了对已知攻击的保护。
Juniper的防火墙当前都能够集成入侵防护的功能,而且入侵防护的特征库能够更新升级,当前攻击特征已超过800种。当然,攻击特征库能够自动或手动更新,更新过程将包括连接Juniper的攻击特征库服务器(定期对新攻击和旧有攻击进行更新)。另外,Juniper还按需要发布紧急更新,对重点攻击进行防护。
1.2.2 防病毒
防病毒也是一项内容保护不可缺少的部分。深层检测(DI)是对应用层控制字段信息进行攻击特征匹配(一般是蠕虫病毒或缓冲区溢出等攻击),而防病毒是针对文件里的携带的攻击(包括间谍软件、广告软件、网络钓鱼软件和键盘侧录软件)进行匹配的技术,而文件的传递一般依靠web、FTP的下载和上传,以及email附件等。经过和业界领先的防病毒厂家的卡巴斯基(Kaspersky)公司合作,Juniper在HSC、NetScreen-5GT和SSG系列(包括SSG550、SSG520等)的防火墙提供防病毒的一体化解决方案,即卡巴斯基(Kaspersky)病毒扫描引擎完全集成在防火墙的操作系统里,而且经过操作系统的升级而升级。
对于不同的用户,Juniper能够提供3种不同的扫描级别,包括:
A） 标准级别(Standard):缺省和推荐采用的级别,能够提供最全面和误报率最低的扫描;
B） 常见病毒级别(In the wild):只对常见病毒进行扫描从而性能更佳;
C） 扩展级别(Extended):对更多的广告软件进行扫描,误报率相对较高。
而对其它高端产品,则用重定向到防病毒网关服务器上的方式实现网关防毒。
1.2.3 垃圾邮件过滤
垃圾邮件过滤功能也是内容安全的一个重要的组成部分。Juniper的垃圾邮件过滤功能主要集成在Juniper的中低端防火墙(包括HSC、NetScreen-5GT、NS25、NS50、以及SSG系列)里。经过不断更新的IP地址和垃圾邮件发送者列表,有效地高精确性地屏蔽垃圾邮件发送者和网络钓鱼者。当然用户也能够自己定义垃圾邮件的白名单和黑名单,手工地对垃圾邮件进行屏蔽。
1.2.4 网页过滤
对于放在网络边界为用户提供Internet访问的边界防火墙而言,还必须对企业员工对Internet访问的网站进行控制。包括Surfcontrol和Websense都实时对Internet上的站点进行分类,如:新闻类、盗版软件类、军事类、财经等等。经过允许用户能和不能访问某一类型的网站,能够提高企业员工的工作效率,并避免诸如员工到非法恶意软件站点下载等情况而导致的法律纠纷。Juniper的网页过滤功能(采用Surfcontrl技术)主要集成在Juniper的中低端防火墙(包括HSC、NetScreen-5GT、NS25、NS50、以及SSG系列)里,而对中高端的防火墙而言,能够采用用防火墙重定向到Surfcontrol或Websense服务器的方式。
1.3 虚拟专网(VPN)功能
Juniper防火墙中整合了一个全功能VPN解决方案,它们支持站点到站点VPN及远程接入VPN应用。
· 经过VPNC测试,与其它经过IPSec认证的厂商设备兼容。
· 三倍DES、DES和AES加密使用数字证书(PKI X.509),自动的或手动的IKE。
· SHA-1和MD5认证。
· 同时支持网状式(mesh)及集中星型(hub and spoke)的VPN网络,可按VPN部署的需求,配置用其一或整合两种网络拓扑。
· Juniper的防火墙很好地支持VPN的冗余,能够实施基于策略的VPN和基于路由的VPN。
1.4 流量管理功能
流量管理允许网络管理员实时监视、分析和分配各类网络流量使用的带宽,有助确保在用户上网浏览时或在执行其它非关键性应用时而不会影响关键性业务的流量。
· 根据IP地址、用户、应用或时间段来进行管理
· 能够对进出两个方向的流量都进行流量管理
· 设定保障带宽和最大带宽
· 以八种优先等级,为流量分配优先权
· 支持符合行业标准的diffserv数据包标记
1.5 强大的ASIC的硬件保障
　　Juniper防火墙的安全机制广泛采用了ASIC芯片技术,在ASIC硬件中处理防火墙访问策略和加密算法,这方面运算的速度是软件类方案不能相比的;同时它还能够省出中央处理器资源用于管理数据流。这种安全加密的ASIC更可与Juniper的ScreenOS操作系统和系统软件紧密地集成起来,与其它基于通用的商用操作系统的安全产品相比,Juniper产品消除了不必要的软件层和安全漏洞。Juniper将安全功能提升到系统层次,更能够节省建立额外平台带来的开支。当前,其它采用PC或工作站作为平台的软件类方案,往往令系统性能大打折扣。
ASIC芯片对防火墙的性能和稳定性有极大的提高,主要体现在:
1、 ASIC芯片能够对会话建立后的流量进行不经过CPU处理的直接转发;
2、 ASIC芯片能够对IPsec VPN进行加解密处理。
3、 能够对一系列的网络层的DDoS攻击(包括生成对TCP Syn泛洪攻击的cookie)进行防护,直接在ASIC芯片上对数据包进行丢弃,避免了对系统的影响。
4、 IP包的碎片重组和流量统计也依靠ASIC芯片实现。
正是由于采用了高性能的专用ASIC芯片,因此Juniper的安全产品的性能不但仅在实验室网络环境下都能够发挥出高水平,在实际的生产网络环境中同样能够保持高性能。
1.6 设备的可靠性和安全性
　　Juniper将所有功能集成于单一硬件产品中,它不但易于安装和管理,而且能够提供更高可靠性和安全性。由于Juniper设备没有其它品牌对硬盘驱动器和移动部件所存在的稳定型问题,因此它是对在线时间要求极高的用户的最佳方案。采用Juniper设备的WebUI管理方式,能够直接登陆Web界面里对防火墙、VPN和流量管理功能进行配置和管理,减轻了配置另外的硬件和操作系统。这个做法缩短了安装的时间,并在防范安全漏洞的工作上,减少设定的步骤。
1.7 完备简易的管理
　　Juniper的安全设备包括强健的管理支持,允许网络管理员安全地管理设备。由于VPN功能是内置的,因此能够对所有管理加密,从而实现真正的安全远程管理。
· 采用NetScreen Security Manager,以C/S形式实现中央站点管理。
· 经过内置WebUI实现浏览操作式的管理。
· 带内,可透过SSH和Telnet进入命令行界面(CLI);带外,则可透过控制台/调制解调器端口/带外管理口进行管理。
· 电子邮件告警、SNMP traps和告警。
· 系统日志(Syslog)、简单网络管理协议(SNMP)、WebTrends和MicroMuse NetCool界面可与第三方报表系统互兼容。
防火墙上将syslog发到到多台普通的syslog服务器上,如果要进行syslog汇总分析报表,则能够和WebTrend服务器配合使用,也能够经过多家syslog的报表分析软件(包括中文界面的软件)对syslog进行日志报表。
除了Syslog服务器,Juniper防火墙还能够将syslog发到Juniper的NSM集中管理服务器上,然后NSM服务器按照策略将不同的日志发给不同的syslog服务器。如果在NSM服务器的基础上安装了SRS的日志报表服务器后,用户也能够用SRS来生成历史报表。
防火墙上本身提供一定数量的本地认证用户数据库,也可和Radius服务器、LDAP服务器等配合使用提供外部用户身份认证。
第二章 项目概述

第三章 总体方案建议
计算机网络安全建设方案是参照国际通行的PDRR(Protection－防护、Detection－检测、Respone－响应和Recovery－恢复)安全模型进行设计的。与防火墙A和B直接相关的网络部分如下图所示:

注:◎ 2台防火墙间可增加HA(高可用性)连接。
3.1 防火墙A和防火墙B的双机热备、均衡负载实现方案
Juniper 的中高端防火墙对双机热备、负载分担的实现有很好的支持,实施的方式是经过Juniper的冗余协议NSRP,类似于VRRP(HSRP)但在其基础上有很大的改进,现详细介绍如下:
Juniper为了实现更安全、更有效的防火墙冗余体系,开发了专有的防火墙HA工作的协议NSRP,NSRP协议借鉴了VRRP协议,而且弥补了VRRP协议的不足,是针对安全设备的HA协议。NSRP实现了:
①在HA组成员之间镜像配置,在发生故障切换时确保正确的行为。
②能够在HA组中维护所有活动会话和VPN隧道。
③故障切换算法根据系统健康状态确定哪个系统是主系统,把状态与相邻系统连接起来或监控从本系统到远端的路径。
④无论活动会话和VPN隧道的数量有多少,故障检测和切换到备用系统能够在低于一秒时间内完成。
⑤整个系统的防火墙处理能力提高一倍。
⑥Juniper 的中高端防火墙更支持全网状的Active/Active HA,避免低级的网络故障导致Juniper防火墙的不可用。
Juniper 设备处于”路由”或 NAT 模式时,能够将冗余集群中的两台设备都配置为主动,经过具有负载均衡能力的路由器,运行诸如”虚拟路由器冗余协议 (VRRP)”等协议,共享它们之间分配的流量。经过使用”NetScreen 冗余协议 (NSRP)”创立两个虚拟安全设备 (VSD) 组,每个组都具有自己的虚拟安全接口 (VSI),即可实现此目的。设备 A 充当 VSD 组 1 的主设备,并充当 VSD 组 2 的备份设备。设备 B 充当 VSD 组 2 的主设备,并充当 VSD 组 1 的备份设备。此配置称为双主动(请参阅下图)。由于设备冗余,因此不存在单一故障点。负载分担的方式是经过同一VLAN内一部分设备的网关指向一台防火墙的端口ip地址,另一部分设备的网网关指向另一台防火墙的端口ip地址。故障切换后,该VLAN的所有设备都指向同一防火墙的物理端口(逻辑上具备两个同网段的IP地址,作为不同设备的缺省网关IP地址)。

设备 A 和设备 B 各接收 50% 的网络和 VPN 流量。设备 A 出现故障时,设备 B 变成 VSD 组 1 的主设备,同时继续作为 VSD 组 2 的主设备,并处理 100% 的流量。在双主动配置中,故障切换产生的流量转移结果如下图所示。

尽管处于双主动配置的两台设备分开的会话总数不能超过单个防火墙设备的容量,但添加的第二台设备使可用的潜在带宽加倍。第二台主动设备也保证两台设备都具有网络连接功能。即双主动的配置方法的最大连接数保持为原单机时的数量,该数量对一个大型网络也已足够了,可是数据吞吐量则增大一倍。
除 NSRP 集群(主要负责在组成员间传播配置并通告每个成员的当前 VSD 组状态)外,还能够将设备 A 和设备 B 配置为 RTO 镜像组中的成员,该镜像组负责维持一对设备之间执行对象 (RTO)3 的同步性。主设备让位时,经过维持所有当前会话,备份设备可立即用最短的服务停顿时间承担主地位。
除冗余设备外,还能够在防火墙设备上配置冗余物理接口。如果一级端口失去网络连接,则二级端口承担连接的任务。
在防火墙设备中,也存在冗余物理 HA 接口,它不但处理不同种类的 HA 通信,而且彼此充当备份。缺省情况下, HA1 处理控制消息, HA2 处理数据消息。如果失去任一 HA 链接,则另一链接可承担起两种消息类型。在没有专用 HA 接口的 Juniper 设备上,必须将一个或两个物理以太网接口绑定到 HA 区段上。
由于 NSRP 通信的机密特性,能够经过加密和认证保障所有 NSRP 流量的安全。对于加密和认证,NSRP 分别支持DES 和 MD5 算法。
一般,在Juniper的冗余协议NSRP的支持下,防火墙的冗余连接有以下几种形式:
l Active-Standby:
有冗余,无法同时工作
l Active-Active:
有冗余,双机同时工作,仅能容忍1个故障点
l Active-Active(全网状,Full Mesh):
有冗余,双机同时工作,最多容忍3个故障点,网络结构较复杂,能够检测切换非相邻设备的故障。

Juniper的中高端防火墙设备经过一个或两个高可靠性端口HA1和HA2来实现NSRP。在实际配置时,可将第一个端口HA1配置为传递控制信息的连接,实现两台防火墙的配置同步、心跳检测、故障检测、实时会话信息同步等功能,此时两台防火墙的会话状态表保持一致,传递信息的流量实际并不大(主要是会话建立的初期需要传递较多的会话的参数信息),因此两台防火墙的会话信息能够实时得到同步。第二个端口HA2配置为传递实际数据流量数据线路,主要是在不对称流量进出的情况发挥作用,即某一会话的流量进来是经过第一台防火墙,可是返回的流量却因为相邻路由设备的原因发到了第二台防火墙,此时第二台防火墙进行会话状态检测后发现是基于现有会话的,而且属于第一台防火墙处理的流量,于是将返回的流量经过HA2端口发给第一台防火墙。两个HA端口能够作为备份,即实际上一个HA就能够实现以上功能,保证了网络的高可靠性。
在实际应用中,能够经过网络优化、路由调整的方法将不对称的流量减少,从而使得第二个端口HA2的负载处在合理水平。
以上的故障切换均可在小于1秒内完成,而且对用户流量透明。具体切换的触发因素和检测方式列表如下:
故障描述
NSRP / Juniper 保护
Juniper 保护的故障

数据端口故障 (物理层和链路层)
冗余数据端口
HA端口
冗余HA端口
电源故障
冗余电源
设备完全掉电
心跳信号
ScreenOS 系统故障导致流量不经过但端口是up的 (layer 3 故障)
心跳信号

相邻设备故障

完全掉电和不提供服务
IP 路径检测
路由器故障

端口故障
链路监测
设备故障
IP 路径检测&链路监测
应用故障
IP 路径检测
交换机故障

端口故障
链路监测
设备故障
链路监测
应用故障
IP 路径检测
管理员控制的设备维护和down机
IP 路径检测

多设备故障

Juniper 和周围设备在不同路径故障
冗余端口

环境故障

物理接线故障
链路监测
电路故障
心跳信号, 多电源, 链路监测, IP路径检测
另外,由于实施了Juniper 的冗余协议NSRP,包括VPN、地址翻译等多种应用的实时信息都得到同步,即对VPN连接、地址翻译连接的切换也是在小于1秒完成,因此在实施时具备很强的灵活性,适应了各种网络应用的情况。而且查错较为简单。因此该方案的优势还是比较明显的,只需在实施时注意减少不对称路由的条数,让大部分的流量对称地传送,小部分不对称路由的流量经过HA2口做”h”型的转发即可。
3.2 防火墙A和防火墙B的VLAN(802.1Q的trunk协议)实现方案
Juniper 防火墙在路由模式的(包括5GT)都支持VLAN终结和VLAN间的路由,即在物理端口下能够开802.1Q的逻辑子接口。
不同的逻辑子接口能够放在不同的安全区里面,然后能够对不同安全区之间的互相访问进行控制(缺省情况下的规则是不允许互相访问)。
Juniper防火墙在透明模式下一般能够支持对不带vlan tag标记和带vlan tag标记的数据包的穿越,同时对该数据包的IP层及应用层的信息进行分析,从而能够更容易地将该防火墙部署到网络里面。
3.3 防火墙A和防火墙B的动态路由支持程度的实现方案
Juniper 的防火墙支持的路由协议包括:
1、 OSPF/BGP动态路由;
2、 RIPv2动态路由;
3、 源路由:即根据源IP地址或源接口来确定下一跳;
4、 多链路负载均衡:Juniper防火墙支持同一物理接口下多链路和不同不物理接口下的多链路的负载均衡,最多的链路可达4条。
5、 Juniper防火墙的三层接口,包括物理接口、逻辑子接口、loopback接口、VPN通道接口等都能够运行动态路由;

3.4 防火墙的VPN实现方案
Juniper防火墙的各个三层接口都可端结IPsec VPN,而且能够实施基于策略的VPN(经过防火墙策略定义手动调用相应的VPN),和基于路由的VPN(经过路由协议自动选择相应的VPN隧道,然后单独实施防火墙策略)。
Juniper防火墙中整合了一个全功能VPN解决方案,它们支持站点到站点VPN及远程接入VPN应用。
· 经过VPNC测试,与其它经过IPSec认证的厂商设备兼容。
· 三倍DES、DES和AES加密,使用数字证书(PKI X.509),自动的或手动的IKE。
· SHA-1和MD5认证。
· 同时支持网状式(mesh)及集中星型(hub and spoke)的VPN网络,可按VPN部署的需求,配置用其一或整合两种网络拓扑。
· 支持IPsec NAT穿越;
· 支持远程接入VPN,即经过PC上的VPN客户端(需客户自己提供)发起IPsec VPN,并在防火墙上终结。

3.5 防火墙的安全控制实现方案
防火墙系统的安全策略是整个系统的核心,对于一个安全系统,安全策略的制订至关重要。策略本身出现问题,会导致整个安全系统产生致命的安全问题。因此,对于安全系统的策略制订一定要遵守相关的原则。
几乎所有防火墙系统的安全策略由以下元素组成:
源地址 目的地址 服务 动作
所有防火墙策略的执行是按照前后顺序方式执行,当策略被执行后,其后的策略不被执行。因此,在制订安全策略时要遵循以下原则:
· 越严格的策略越要放在前面
· 越宽松的策略越要往后放
· 策略避免有二意性
三种类型的策略
可经过以下三种策略控制信息流的流动:
· 经过创立区段间策略,能够管理允许从一个安全区段到另一个安全区段的信息流的种类。
· 经过创立区段内部策略,也能够控制允许经过绑定到同一区段的接口间的信息流的类型。
· 经过创立全局策略,能够管理地址间的信息流,而不考虑它们的安全区段。
区段间策略
区段间策略提供对安全区段间信息流的控制。能够设置区段间策略来允许、拒绝或设置从一个区段到另一个区段的信息流通道。使用状态式检查技术,Juniper 设备保持活动TCP 会话表和活动UDP”pseudo”会话表,以便允许它能回应服务请求。例如,如果有一个策略允许从Trust 区段中的主机A 到Untrust 区段中的服务器B 的HTTP 请求,则当Juniper 设备接收到从服务器B 到主机A 的HTTP 回应时,Juniper 设备将接收到的封包与它的表进行对照检查。找到回应批准HTTP 请求的封包时,Juniper 设备允许来自Untrust 区段中服务器B 的封包穿越防火墙到达Trust 区段中的主机A。要控制由服务器B 发起的流向主机A 的信息流(不只是回应由主机A 发起的信息流),必须创立从Untrust 区段中服务器B 到Trust 区段中主机A 的第二个策略。

区段内部策略
区段内部策略提供对绑定到同一安全区段的接口间信息流的控制。源地址和目的地址都在同一安全区段中,可是经过Juniper 设备上的不同接口到达。与区段间策略一样,区段内部策略也控制信息流单向流动。要允许从数据路径任一端发起的信息流,必须创立两个策略,每个方向一个策略。
全局策略
与区段间和区段内部策略不同,全局策略不引用特定的源和目的区段。全局策略引用用户定义的Global 区段地址或预定义的Global 区段地址”any”。这些地址能够跨越多个安全区段。例如,如果要提供对多个区段的访问或从多个区段进行访问,则能够创立具有Global 区段地址”any”的全局策略,它包含所有区段中的所有地址。
策略组列表
Juniper 设备维护三种不同的策略组列表,每种策略组列表对应于以下三种策略之一:
· 区段间策略
· 区段内部策略
· 全局策略
Juniper 设备接收到发起新会话的封包时,会记录入口接口,从而获知接口所绑定的源区段。然后Juniper 设备执行路由查询以确定出口接口,从而确定该接口所绑定的目的区段。使用源区段和目的区段,Juniper 设备能够执行策略查询,按以下顺序查阅策略组列表:
1、 如果源区段和目的区段不同,则Juniper 设备在区段间策略组列表中执行策略查询。(或)如果源区段和目的区段相同,则Juniper 设备在区段内部策略组列表中执行策略查询。
2、 如果Juniper 设备执行区段间或区段内部策略查询,可是没有找到匹配策略,则Juniper 设备会检查全局策略组列表以查找匹配策略。
3、 如果Juniper 设备执行区段间和全局策略查询,可是没有找到匹配项,Juniper 设备会将缺省的允许/拒绝策略应用到封包:unset/set policy default-permit-all。(或)如果Juniper 设备执行区段内部和全局策略查询,可是没有找到匹配策略,Juniper 设备会将该区段的区段内部阻塞设置应用到封包:unset/set zone zone block。
Juniper 设备从上至下搜索每个策略组列表。因此,必须在列表中将较为特殊的策略定位在不太特殊的策略上面。
策略定义
防火墙提供具有单个进入和退出点的网络边界。由于所有信息流都必须经过此点,因此能够筛选并引导所有经过执行策略组列表(区段间策略、内部区段策略和全局策略)产生的信息流。策略能允许、拒绝、加密、认证、排定优先次序、调度以及监控尝试从一个安全区段流到另一个安全区段的信息流。能够决定哪些用户和信息能进入和离开,以及它们进入和离开的时间和地点。
策略的结构
策略必须包含下列元素:
· 区段(源区段和目的区段)
· 地址(源地址和目的地址)
· 服务
· 动作(permit、deny、tunnel)
策略也可包含下列元素:
· VPN 通道确定
· Layer 2(第2 层)传输协议(L2TP) 通道确定
· 策略组列表顶部位置
· 网络地址转换(NAT),使用动态IP (DIP) 池
· 用户认证
· 备份HA 会话
· 记录
· 计数
· 信息流报警设置
· 时间表
· 信息流整形
时间表
经过将时间表与策略相关联,能够确定策略生效的时间。能够将时间表配置为循环生效,也可配置为单次事件。时间表为控制网络信息流的流动以及确保网络安全提供了强有力的工具。在稍后的一个范例中,如果您担心职员向公司外传输重要数据,则可设置一个策略,阻塞正常上班时间以外的出站FTP-Put 和MAIL 信息流。
在WebUI 中,在Objects > Schedules 部分中定义时间表。在CLI 中,使用set schedule 命令。

基于安全区段的防火墙保护选项
防火墙用于保护网络的安全,具体做法是先检查要求从一个安全区段到另一区段的通路的所有连接尝试,然后予以允许或拒绝。缺省情况下,防火墙拒绝所有方向的所有信息流。经过创立策略,定义允许在预定时间经过指定源地点到达指定目的地点的信息流的种类,您能够控制区段间的信息流。范围最大时,能够允许所有类型的信息流从一个区段中的任何源地点到其它所有区段中的任何目的地点,而且没有任何预定时间限制。范围最小时,能够创立一个策略,只允许一种信息流在预定的时间段内、在一个区段中的指定主机与另一区段中的指定主机之间流动。

为保护所有连接尝试的安全,防火墙设备使用了一种动态封包过滤方法,即一般所说的状态式检查。使用此方法,防火墙设备在TCP 包头中记入各种不同的信息单元— 源和目的IP 地址、源和目的端口号,以及封包序列号—并保持穿越防火墙的每个TCP 会话的状态。(防火墙也会根据变化的元素,如动态端口变化或会话终止,来修改会话状态。)当响应的TCP 封包到达时,防火墙设备会将其包头中包含的信息与检查表中储存的相关会话的状态进行比较。如果相符,允许响应封包经过防火墙。如果不相符,则丢弃该封包。

防火墙选项用于保护区段的安全,具体做法是先检查要求经过某一接口离开和到达该区域的所有连接尝试,然后予以准许或拒绝。为避免来自其它区段的攻击,能够启用防御机制来检测并避开以下常见的网络攻击。下列选项可用于具有物理接口的区段(这些选项不适用于子接口):SYN Attack(SYN 攻击)、ICMP Flood(ICMP 泛滥)、UDP Flood (UDP 泛滥)和Port Scan Attack(端口扫描攻击)。

l SYN Attack(SYN 攻击):当网络中充满了会发出无法完成的连接请求的SYN 封包,以至于网络无法再处理合法的连接请求,从而导致拒绝服务(DoS) 时,就发生了SYN 泛滥攻击。
l ICMP Flood(ICMP 泛滥):当ICMP ping 产生的大量回应请求超出了系统的最大限度,以至于系统耗费所有资源来进行响应直至再也无法处理有效的网络信息流时,就发生了ICMP 泛滥。当启用了ICMP 泛滥保护功能时,能够设置一个临界值,一旦超过此值就会调用ICMP 泛滥攻击保护功能。如果超过了该临界值,防火墙设备在该秒余下的时间和下一秒内会忽略其它的ICMP 回应要求。
l UDP Flood(UDP 泛滥):与ICMP 泛滥相似,当以减慢系统速度为目的向该点发送UDP 封包,以至于系统再也无法处理有效的连接时,就发生了UDP 泛滥。当启用了UDP 泛滥保护功能时,能够设置一个临界值,一旦超过此临界值就会调用UDP 泛滥攻击保护功能。如果从一个或多个源向单个目表发送的UDP 封包数超过了此临界值,Juniper 设备在该秒余下的时间和下一秒内会忽略其它到该目标的UDP 封包。
l Port Scan Attack(端口扫描攻击):当一个源IP 地址在定义的时间间隔内向位于相同目标IP 地址10 个不同的端口发送IP 封包时,就会发生端口扫描攻击。这个方案的目的是扫描可用的服务,希望会有一个端口响应,因此识别出作为目标的服务。Juniper 设备在内部记录从某一远程源地点扫描的不同端口的数目。使用缺省设置,如果远程主机在0.005 秒内扫描了10 个端口(5,000 微秒),防火墙会将这一情况标记为端口扫描攻击,并在该秒余下的时间内拒绝来自该源地点的其它封包(不论目标IP 地址为何)。

余下的选项可用于具有物理接口和子接口的区段:
l Limit session(限制会话):防火墙设备可限制由单个IP 地址建立的会话数量。例如,如果从同一客户端发送过多的请求,就能耗尽Web 服务器上的会话资源。此选项定义了每秒钟防火墙设备能够为单个IP 地址建立的最大会话数量。
l SYN-ACK-ACK Proxy 保护:当认证用户初始化Telnet 或FTP 连接时,用户会SYN 封包到Telnet 或FTP服务器。Juniper 设备会截取封包,经过Proxy 将SYN-ACK 封包发送给用户。用户用ACK 封包响应。此时,初始的三方握手就已完成。防火墙设备在其会话表中建立项目,并向用户发送登录提示。如果用户怀有恶意而不登录,但继续启动SYN-ACK-ACK 会话,防火墙会话表就可能填满到某个程度,让设备开始拒绝合法的连接要求。要阻挡这类攻击,您能够启用SYN-ACK-ACK Proxy 保护SCREEN 选项。从相同IP 地址的连接数目到达syn-ack-ack-proxy 临界值后,防火墙设备就会拒绝来自该I