セキュリティポリシーのスケジューリング
スケジューラは、指定した期間、ポリシーをアクティブ化できるようにするセキュリティ機能です。ポリシーがアクティブな単一(非反復)または反復タイムスロットに対してスケジューラを定義できます。スケジューラはポリシーに関係なく作成できます。つまり、スケジューラはどのポリシーでも使用できません。
セキュリティ ポリシー スケジューラの概要
スケジューラは、指定した期間、ポリシーをアクティブ化できる強力な機能です。ポリシーがアクティブな単一(非反復)または反復タイムスロットに対してスケジューラを定義できます。スケジューラはポリシーに関係なく作成できます。つまり、スケジューラはどのポリシーでも使用できません。ただし、スケジュールされた時間内にポリシーをアクティブにする場合は、最初にスケジューラを作成する必要があります。
スケジューラがタイムアウトすると、関連付けられたポリシーは非アクティブ化されます。その後、ポリシーに関連付けられたすべてのセッションがタイムアウトするのは、policy-rematch を使用した場合のみです
ポリシーにスケジューラへの参照が含まれている場合、スケジュールによって、ポリシーがいつアクティブになるか、つまり、トラフィックの一致候補として使用できるタイミングが決まります。スケジューラを使用すると、リソースへのアクセスを一定期間制限したり、制限を削除したりできます。
スケジューラには、次のガイドラインが適用されます。
スケジューラには複数のポリシーを関連付けることができます。ただし、ポリシーを複数のスケジューラに関連付けることはできません。
ポリシーは、それが参照するスケジューラーもアクティブな時間帯にアクティブになります。
スケジューラがオフの場合、ポリシーはポリシー検索に使用できません。
スケジューラは、次のいずれかとして構成できます。
スケジューラーは、開始日時と停止日時で指定される単一のタイムスロットに対してアクティブにすることができます。
スケジューラは永久に(繰り返し)アクティブにすることができますが、毎日のスケジュールで指定されます。特定の日 (時間帯) のスケジュールは、毎日のスケジュールよりも優先されます。
スケジューラーは、平日のスケジュールで指定された時間帯内にアクティブにすることができます。
スケジューラは、2つのタイムスロット(毎日とタイムスロット)の組み合わせを持つことができます。
例:1 日を除く日次スケジュールのスケジューラーの設定
この例では、日曜日を除く毎日午前8:00から午後5:00まで、パケット一致チェックのスケジューラを設定する方法を示しています。
要件
始める前に:
セキュリティ ポリシー スケジューラについて理解する。 「セキュリティポリシーの概要」を参照してください。
この構成を適用する前に、セキュリティー・ゾーンを構成してください。
概要
スケジューラは、指定した期間、ポリシーをアクティブ化できる強力な機能です。ポリシーがアクティブな単一(非反復)または反復タイムスロットに対してスケジューラを定義できます。スケジュールされた時間内にポリシーをアクティブにする場合は、最初にスケジューラを作成する必要があります。
スケジューラを設定するには、スケジューラのわかりやすい名前と開始/終了時間を入力します。コメントを添付することもできます。
この例では、次のことを行います。
スケジューラ sch1 を指定します。このポリシーを参照するポリシーを、日曜日を除く毎日午前 8:00 から午後 5:00 までパケット一致チェックに使用できます。
メモ：24 時間形式 (hh:mm) を使用して、毎日の時刻の時間と分を指定します。
ポリシー abc を作成し、指定した条件に一致するトラフィックに対して実行する一致条件とアクションを指定します。スケジューラをポリシーにバインドして、指定した日へのアクセスを許可します。
構成
手順
CLIクイック構成
この例をすばやく設定するには、次のコマンドをコピーしてテキストファイルに貼り付け、改行を削除して、ネットワーク構成に合わせて必要な詳細を変更し、 階層レベルのCLI [edit] にコマンドをコピーして貼り付けます。
set schedulers scheduler sch1 daily start-time 08:00 stop-time 17:00 set schedulers scheduler sch1 sunday exclude set security policies from-zone green to-zone red policy abc match source-address any set security policies from-zone green to-zone red policy abc match destination-address any set security policies from-zone green to-zone red policy abc match application any set security policies from-zone green to-zone red policy abc then permit set security policies from-zone green to-zone red policy abc scheduler-name sch1 set security policies default-policy permit-all
手順
次の例では、設定階層のいくつかのレベルに移動する必要があります。その方法の詳細については、 CLIユーザー ガイドの 設定モードでのCLIエディターの使用 を参照してください。
スケジューラを設定するには:
スケジューラを設定します。
[edit schedulers ] user@host# set scheduler sch1 daily start-time 08:00 stop-time 17:00 user@host# set scheduler sch1 sunday exclude
ポリシーの一致条件を指定します。
[edit security policies from-zone green to-zone red policy abc] user@host# set match source-address any destination-address any application any
アクションを指定します。
[edit security policies from-zone green to-zone red policy abc] user@host# set then permit
スケジューラをポリシーに関連付けます。
[edit security policies from-zone green to-zone red policy abc ] user@host# set scheduler-name sch1
結果
設定モードから、 コマンドを入力して show schedulers 設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。
[edit]
[user@host]show schedulers
scheduler sch1 {
daily {
start-time 08:00 stop-time 17:00;
sunday exclude;
}
[edit]
[user@host]show security policies
from-zone green to-zone red {
policy abc {
match {
source-address any;
destination-address any;
application any;
}
then {
permit;
}
scheduler-name sch1;
}
}
default-policy {
permit-all;
}
デバイスの設定が完了したら、設定モードから を入力します commit 。
スケジュールされたポリシーの確認
目的
スケジュールされたセキュリティポリシーに関する情報を表示します。
アクション
show schedulers CLI コマンドを使用して、システムで構成されているスケジューラーに関する情報を表示します。特定のスケジューラが識別された場合は、そのスケジューラの詳細情報のみが表示されます。
user@host# show schedulers
scheduler sche1 {
/* This is sched1 */
start-date 2006-11-02.12:12 stop-date 2007-11-02.12:11;
}
scheduler sche2 {
daily {
all-day;
}
sunday {
start-time 16:00 stop-time 17:00;
}
friday {
exclude;
}
}
scheduler sche3 {
start-date 2006-11-02.12:12 stop-date 2007-11-02.12:11;
daily {
start-time 10:00 stop-time 17:00
}
sunday {
start-time 12:00 stop-time 14:00;
start-time 16:00 stop-time 17:00;
}
monday {
all-day;
}
friday {
exclude;
}
}
意味
出力には、システムで構成されているスケジューラに関する情報が表示されます。次の情報を確認します。
毎日 (定期的) および 1 回限りのみ (非定期的) のスケジューラーが正しく構成されている。
スケジューラは、ポリシーが関連付けられている場合アクティブになります。