安全性设备上的安全性区域和安全性策略

2 层安全区域是托管第 2 层接口的区域。安全区域可以是第 2 层区域，也可以是第 3 层区域;它可以托管所有第 2 层接口或所有第 3 层接口，但不能包含第 2 层和第 3 层接口的混合。

安全区域类型（第 2 层或第 3 层）从为安全区域配置的第一个接口隐式设置。为同一安全区域配置的后续接口必须与第一个接口的类型相同。

注意：

您不能将设备配置为同时具有第 2 层和第 3 层安全区域。

您可以为第 2 层安全区域配置以下属性：

• 接口 — 区域中的接口列表。

• 策略 — 主动安全策略，用于对中转流量实施规则，包括哪些流量可以通过防火墙，以及流量通过防火墙时需要对流量执行哪些操作。

• 筛选 — 瞻博网络有状态防火墙通过检查，然后允许或拒绝需要从一个安全区域传递到另一个安全区域的所有连接尝试来确保网络安全。对于每个安全区域和 MGT 区域，您可以启用一组预定义的屏幕选项，用于检测和阻止设备确定为潜在有害的各种流量。

  注意：

  您可以为第 2 层安全区域配置与第 3 层安全区域相同的屏幕选项。

• 通讯簿 - 构成通讯簿的 IP 地址和地址集，用于识别其成员，以便您可以对其应用策略。

• TCP-RST — 启用此功能后，系统将在流量到达时发送一个设置了重置标志的 TCP 分段，该流量与现有会话不匹配且未设置同步标志。

此外，您还可以为主机入站流量配置第 2 层区域。通过此方式，您可以指定从直接连接到区域中接口的系统到达设备的流量类型。您必须指定所有预期的主机入站流量，因为默认情况下，来自直接连接到设备接口的设备的入站流量将被丢弃。

此示例说明如何配置第 2 层安全区域。

在透明模式中，只能在第 2 层区域之间配置安全策略。通过 VLAN 转发数据包时，将在安全区域之间应用安全策略。透明模式的安全策略类似于为第 3 层区域配置的策略，但存在以下例外：

• 不支持 NAT。

• 不支持 IPsec VPN。

• 不支持应用程序 ANY。

第 2 层转发不允许任何区域间流量，除非设备上明确配置了策略。默认情况下，第 2 层转发执行以下操作：

• 允许或拒绝配置的策略指定的流量。

• 允许地址解析协议 （ARP） 和第 2 层非 IP 组播和广播流量。

• 继续阻止所有非 IP 和非 ARP 单播流量。

可以使用 J-Web 或 CLI 配置编辑器更改以太网交换数据包流的此默认行为：

• 配置该 block-non-ip-all 选项以阻止所有第 2 层非 IP 和非 ARP 流量，包括组播和广播流量。

• 配置该 bypass-non-ip-unicast 选项以允许所有第 2 层非 IP 流量通过设备。

注意：

您不能同时配置这两个选项。

从 Junos OS 12.3X48-D10 版和 Junos OS 17.3R1 版开始，您可以在混合模式（默认模式）下为第 2 层和第 3 层接口创建单独的安全区域。但是，IRB 接口之间以及 IRB 接口与第 3 层接口之间没有路由。因此，您无法在第 2 层和第 3 层区域之间配置安全策略。您只能在第 2 层区域之间或第 3 层区域之间配置安全策略。

此示例说明如何在第 2 层区域之间以透明模式配置安全策略。

防火墙用户是指网络用户，在跨防火墙发起连接时，必须提供用户名和密码进行身份验证。防火墙用户身份验证使管理员能够根据用户的源 IP 地址和其他凭据限制和允许用户访问防火墙后面的受保护资源。Junos OS 在 SRX 系列防火墙上支持以下类型的透明模式防火墙用户身份验证：

• 直通身份验证 - 一个区域的主机或用户尝试访问另一个区域上的资源。您必须使用 FTP、Telnet 或 HTTP 客户端才能访问受保护资源的 IP 地址，并接受防火墙的身份验证。设备使用 FTP、Telnet 或 HTTP 收集用户名和密码信息，并根据此身份验证的结果允许或拒绝来自用户或主机的后续流量。

• Web 身份验证 - 用户尝试使用 HTTP 连接到 IRB 接口上启用了 Web 身份验证的 IP 地址。系统会提示您输入设备验证的用户名和密码。根据此身份验证的结果，允许或拒绝从用户或主机到受保护资源的后续流量。