セキュリティポリシーアプリケーションとアプリケーションセット

アプリケーションとは、プロトコル標準が存在するトラフィックのタイプです。各アプリケーションには、FTPの場合はTCP/ポート21、Telnetの場合はTCP/ポート23など、トランスポートプロトコルと宛先ポート番号が関連付けられています。ポリシーを作成するときは、そのポリシー用のアプリケーションを指定する必要があります。

アプリケーションブックから定義済みのアプリケーションの1つを選択するか、作成したカスタムアプリケーションまたはアプリケーションセットを選択できます。ポリシーで使用できるアプリケーションを確認するには、 show applications CLIコマンドを使用します。

ポリシーを作成する際には、そのタイプのトラフィックにポリシーが適用されることを示すために、アプリケーションまたはサービスを指定する必要があります。場合によっては、同じアプリケーションまたはそのサブセットが複数のポリシーに含まれ、管理が困難になることがあります。Junos OSでは、アプリケーションセットと呼ばれるアプリケーションのグループを作成できます。アプリケーションセットは、多数の個別のアプリケーションエントリーではなく、少数のアプリケーションセットを管理できるようにすることで、プロセスを簡素化します。

アプリケーション(またはアプリケーションセット)は、セキュリティポリシーによってセッションを開始するパケットの一致基準として参照されます。パケットがポリシーで指定されたアプリケーションタイプに一致し、他のすべての基準が一致する場合、ポリシーアクションがパケットに適用されます。

ポリシーでアプリケーションセットの名前を指定できます。この場合、他のすべての基準が一致する場合、アプリケーションセット内のアプリケーションのいずれかが有効な一致基準として機能します。 any は、使用可能なすべてのアプリケーションを示すデフォルトのアプリケーション名です。

アプリケーションは .../applications/application/application-name ディレクトリに作成されます。システムによって事前定義されているサービスに対してアプリケーションを設定する必要はありません。

事前定義されたサービスに加えて、カスタムサービスを設定できます。カスタムサービスを作成したら、ポリシーで参照できます。

この例では、アプリケーションとアプリケーションセットを設定する方法を示しています。

アプリケーションに設定したアプリケーションタイムアウト値によって、セッションタイムアウトが決まります。タイムアウトしきい値は、事前定義されたアプリケーションまたはカスタムアプリケーションに設定できます。アプリケーションのデフォルトのタイムアウトを使用したり、カスタムタイムアウトを指定したり、タイムアウトをまったく使用しなかったりすることができます。

アプリケーションタイムアウト値は、ルートTCPおよびUDPポートベースのタイムアウトテーブルと、プロトコルベースのデフォルトタイムアウトテーブルに保存されます。アプリケーションのタイムアウト値を設定すると、Junos OS はこれらのテーブルを新しい値で更新します。アプリケーションエントリーデータベースには、事前定義されたアプリケーションから取得されたデフォルトのタイムアウト値もあります。タイムアウトは設定できますが、デフォルト値を変更することはできません。

各カスタムアプリケーションは、独自のカスタムアプリケーションタイムアウトを設定することができます。複数のカスタムアプリケーションにカスタムタイムアウトが設定されている場合、各アプリケーションには独自のカスタムアプリケーションタイムアウトがあります。

トラフィックに一致するアプリケーションにタイムアウト値がある場合、そのタイムアウト値が使用されます。それ以外の場合は、アプリケーションのタイムアウト値が見つかるまで、ルックアップは次の順序で続行されます。

1. ルートTCPおよびUDPポートベースのタイムアウトテーブルでタイムアウト値が検索されます。

2. プロトコルベースのデフォルトタイムアウトテーブルからタイムアウト値が検索されます。 表1をご覧ください。

   表1:プロトコルベースのデフォルトタイムアウト

   プロトコル	デフォルトのタイムアウト(秒)
   TCP	1800
   UDP	60
   ICMP	60
   OSPF	60
   その他	1800

タイムアウトを設定するときは、以下の不測の事態に注意してください。

• アプリケーションに複数のアプリケーションルールエントリが含まれている場合、すべてのルールエントリが同じタイムアウトを共有します。アプリケーションのタイムアウトは一度だけ定義する必要があります。例えば、2つのルールを持つアプリケーションを作成した場合、以下のコマンドは両方のルールのタイムアウトを 20 秒に設定します。

• 複数のカスタムアプリケーションにカスタムタイムアウトが設定されている場合、各アプリケーションには独自のカスタムアプリケーションタイムアウトがあります。次に例を示します。

  この設定では、Junos OSはアプリケーショングループの宛先ポート 2121 に10秒のタイムアウトを、宛先ポート 2300 に20秒のタイムアウトを適用します。

この例では、ポリシーアプリケーションのタイムアウト値を設定する方法を示しています。