Anforderungen für die Virtuelle Firewall vSRX auf AWS

Mindestsystemanforderungen für AWS

Tabelle 1 listet die Mindestsystemanforderungen für die auf AWS bereitzustellenden Instanzen der Virtuelle Firewall vSRX auf.

in

Tabelle 1: Mindestsystemanforderungen für die Virtuelle Firewall vSRX

Komponente	Spezifikation und Details
Hypervisor-Unterstützung	XEN-HVM
Speicher	4 GB
Speicherplatz	16 GB
vCPUs	2
vNICs	3
vNIC-Typ	SR-IOV
AMD Prozessoren	Ab Junos OS Version 22.3R2 unterstützt die virtuelle Firewall vSRX 3.0 auf Amazon Web Services (AWS) den AMD-Prozessor (Advanced Micro Devices) für eine bessere Leistung.

Schnittstellenzuordnung für die virtuelle Firewall vSRX auf AWS

Virtuelle Firewall vSRX on AWS unterstützt bis zu maximal acht Netzwerkschnittstellen, aber die tatsächliche maximale Anzahl von Schnittstellen, die an eine Virtuelle Firewall vSRX-Instanz angehängt werden können, wird durch den AWS-Instanztyp bestimmt, in dem sie gestartet wird. Für AWS-Instanzen, die mehr als acht Schnittstellen zulassen, unterstützt die Virtuelle Firewall vSRX nur bis zu maximal acht Schnittstellen.

Die folgenden C5-Instanztypen werden unterstützt:

• c5.groß

• c5.xlarge

• c5.2xgroß

• c5.4xgroß

• c5.9xgroß

• c5n.2xgroß

• c5n.4xgroß

• c5n.9xgroß

Im Folgenden sind die unterstützten AMD-basierten AWS-Instanzen aufgeführt:

• C5a.16xgroß

• C5a.8xgroß

• C5a.4xgroß

• C5a.2xgroß

• C5a.xlarge

Ab Junos OS Version 24.4R2 unterstützt vSRX 3.0 die neuen AWS-Instance-Typen c6in und c7i. Diese beiden Instanztypen werden in früheren Junos-Versionen, einschließlich 24.2R2, 23.4R2 und 23.2R2, nicht unterstützt. Verwenden Sie für diese früheren Versionen die Instance-Typen c5, c5a oder c5n.

Ähnliche Informationen	Referenzen
Zum Beispiel Details wie vCPUs, Arbeitsspeicher	Preisinformationen
Für maximale Anzahl an Netzwerkschnittstellen nach Instanztyp	https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/using-eni.html
Für die Zuordnung zwischen Schnittstellennamen der Virtuelle Firewall vSRX und den entsprechenden AWS-Schnittstellennamen für bis zu acht Netzwerkschnittstellen. Die erste Netzwerkschnittstelle wird für die Out-of-Band-Verwaltung (fxp0) der Virtuelle Firewall vSRX verwendet.	Tabelle 2

Tabelle 2: Namen der virtuellen Firewall vSRX und der AWS-Schnittstelle

Schnittstellennummer	Virtuelle Firewall vSRX-Schnittstelle	AWS-Schnittstelle
1	FXP0	eth0
2	GE-0/0/0	eth1
3	GE-0/0/1	Eth2
4	GE-0/0/2	eth3
5	GE-0/0/3	eth4
6	GE-0/0/4	eth5
7	GE-0/0/5	eth6
8	GE-0/0/6	eth7

Wir empfehlen, Umsatzschnittstellen in Routing-Instanzen zu platzieren, um asymmetrisches Routing zu vermeiden. Da fxp0 Teil der Standard-Routing-Tabelle (inet.0) ist, werden möglicherweise zwei Standardrouten in derselben Routing-Instanz benötigt: eine für die fxp0-Schnittstelle für den externen Verwaltungszugriff und die andere für die Umsatzschnittstellen für den Datenverkehrszugriff, was zu einem asymmetrischen Routing führt. Wenn Sie die Umsatzschnittstellen in einer separaten Routing-Instanz platzieren, wird diese Situation von zwei Standardrouten in einer einzigen Routing-Instanz vermieden.

Hinweis:

Stellen Sie sicher, dass sich Schnittstellen, die zur gleichen Sicherheitszone gehören, in derselben Routing-Instanz befinden. Siehe KB-Artikel – Schnittstelle muss sich in derselben Routing-Instanz wie die anderen Schnittstellen in der Zone befinden.

Virtuelle Firewall vSRX Standardeinstellungen auf AWS

Virtuelle Firewall vSRX erfordert die folgenden grundlegenden Konfigurationseinstellungen:

• Schnittstellen müssen IP-Adressen zugewiesen werden.

• Schnittstellen müssen an Zonen gebunden sein.

• Richtlinien müssen zwischen den Zonen konfiguriert werden, um Datenverkehr zuzulassen oder abzulehnen.

• Die ENA-treiberbezogene Komponente muss für die Virtuelle Firewall vSRX bereit sein.

Tabelle 3 listet die werkseitigen Standardeinstellungen für Sicherheitsrichtlinien auf der Virtuelle Firewall vSRX auf.

Tabelle 3: Werkseinstellungen für Sicherheitsrichtlinien

Quell-Zone	Zielzone	Politische Maßnahmen
Vertrauen	nicht vertrauenswürdig	Genehmigung
Vertrauen	Vertrauen	Genehmigung

VORSICHT:

Verwenden Sie den load factory-default Befehl nicht auf einer AWS-Instanz der Virtuelle Firewall vSRX. Die werkseitige Standardkonfiguration entfernt die AWS-Vorkonfiguration. Wenn Sie auf die Werkseinstellungen zurücksetzen müssen, stellen Sie sicher, dass Sie die AWS-Vorkonfigurationsanweisungen manuell neu konfigurieren, bevor Sie die Konfiguration bestätigen. Andernfalls verlieren Sie den Zugriff auf die Instanz der Virtuelle Firewall vSRX. Weitere Informationen zur Vorkonfiguration finden Sie unter Konfigurieren von vSRX mit der CLI für AWS-Vorkonfigurationsdetails.

Best Practices zur Verbesserung der Leistung der virtuellen Firewall vSRX

Überprüfen Sie die folgenden Praktiken für die Bereitstellung, um die Leistung der Virtuelle Firewall vSRX zu verbessern:

• Deaktivieren Sie die Quell-/Zielprüfung für alle Schnittstellen der Virtuelle Firewall vSRX.

• Beschränken Sie die Zugriffsberechtigungen für öffentliche Schlüssel für Schlüsselpaare auf 400.

• Stellen Sie sicher, dass es keine Widersprüche zwischen AWS-Sicherheitsgruppen und Ihrer Konfiguration der Virtuelle Firewall vSRX gibt.

• Verwenden Sie die c5n-Instanztypen in AWS, um den besten Durchsatz auf der Virtuelle Firewall vSRX zu erzielen.

  Hinweis:

  Für große c5-Instances verwendet AWS skalierbare Intel Xeon-Prozessoren der zweiten Generation (Cascade Lake) oder Intel Xeon Platinum 8000-Prozessor der ersten Generation (Skylake-SP) und für große c4-xtra-Instances verwendet AWS Hochfrequenz-Intel Xeon E5-2666 v3.

• Stellen Sie sicher, dass der Datenverkehr über mehrere Schnittstellen der Virtuelle Firewall vSRX fließt, um eine optimale Nutzung der vCPUs zu gewährleisten.

• Verwenden Sie Virtuelle Firewall vSRX NAT, um Ihre Amazon EC2-Instances vor direktem Internetverkehr zu schützen.