SSG - Interface / Zone / Virtual Router 2



 ◆ ゾーンとは

 ゾーンには、セキュリティゾーン以外にファンクションゾーンとトンネルゾーンがありますが、設定上で
 意識する必要があるのは主にセキュリティゾーンです。SSGの初期設定として存在するゾーンは以下です。

3種類のゾーン ゾーン名 説明
セキュリティゾーン Untrust  Untrst(=信頼されない)。インターネットやWANなどの外部接続用
Trust  Trust(=信頼される)。社内LANなどの内部接続用
DMZ  公開サーバ接続用
Global  仮想IPの定義ゾーン、デフォルトポリシーの作成に使用されるゾーン
V1-Untrust  トランスペアレントモード(L2モード)使用時の外部接続用
V1-Trust  トランスペアレントモード(L2モード)使用時の内部接続用
V1-DMZ  トランスペアレントモード(L2モード)使用時のDMZ接続用
ファンクションゾーン Null  I/Fがセキュリティゾーンにアサインされる前に定義されるゾーン
Self  リモート管理接続 (Telnet、HTTPなど) のための内部使用のゾーン
HA  HA ( High Availability ) 用で使用するゾーン
MGT  管理インターフェースで使用するゾーン
トンネルゾーン  Untrust-Tun  VPNトンネル用に使用するゾーン


 インターフェースに割り当てる仮想的なグループであるセキュリティゾーンには以下のルールがあります。


   


 ◆ バーチャルルータとは

 バーチャルルータとは仮想的なルータのこと。これにより、1つの物理的なSSGに複数の仮想的なルータを
 存在させることができるので、バーチャルルータの数だけルーティングテーブルを保持することができます。
 SSGではデフォルトで「Trust-VR、Untrust-VR」の2つがあります。通常はTrust-VRのみが使用されます。

 このように、2つのルーティングドメインを1つの物理的なSSGで持つことができて、それぞれの経路情報
 の分断や交換が可能になります。社内NWでは1つのVR構成が多く、DMZ構成時にVRを2つ使用する場合が
 あります。下図はバーチャルルータが1台の時のルーティングテーブルであり、一般的なルータと同じです。


    



 一方、バーチャルルータを2台使用した時の構成が下図であり、VRごとに独自のルーティングテーブルを
 保持することになるので、trust-vr と untrust-vr 間とで通信するためには、バーチャルルータ間において
 ルーティングの設定が必要となります。CiscoでいうVRFを理解している人には理解しやすいかと思います。


   


 trust-vr のネットワークから、untrust-vr のネットワークへ通信したい場合、set route 20.1.0.0/16 vrouter untrust-vr が必要。
 この場合、trust-vr から untrust-vr ネットワークへのみ通信が可能(戻りは可)となり untrust-vr からのアクセスはできません。

    



Juniper SSG - ScreenOS 設定コマンド解説

Copyright(C) 2002-2024 ネットワークエンジニアとして All Rights Reserved