* フローログ出力の理解:
展示のフローログから、次の重要なイベントを確認できます。
* セッションの作成が開始されました (flow_first_create_session) が、ポリシー検索は失敗しました (flow_first_policy_search)。これは、関係するゾーン (ゾーン trust -> ゾーン dmz) 間で一致するポリシーが見つからなかったことを意味します。
* パケットは「ポリシーにより拒否」という理由でドロップされました。これは、一致するセキュリティ ポリシーがないため、またはデフォルト ポリシーがトラフィックを拒否したためにパケットがドロップされたことを示します (パケットがドロップされ、ポリシーにより拒否されました)。
* ポリシー default-policy-logical-system-00(2) によって拒否された行は、デフォルトのセキュリティ ポリシーがトラフィックを拒否する責任があることを示しており、このトラフィックを許可する明示的なセキュリティ ポリシーが設定されていないことを確認しています。
* 回答 A の説明 (デフォルトのセキュリティ ポリシーによってドロップされます):
ログ メッセージには、パケットがデフォルトのセキュリティ ポリシー (default-policy-logical-system-00) によってドロップされたことが明確に示されています。Junos では、2 つのゾーン間でセッションが試行され、トラフィックを許可する明示的なポリシーが存在しない場合、デフォルト ポリシーによってトラフィックが拒否されます。これは、セキュリティ ポリシーがゾーン間のトラフィックを明示的に許可していない場合の Junos OS での一般的な動作です。
* 回答 D の説明 (basic-datapath の traceoptions フラグが必要):
ログに表示される情報には、セッションの作成、フロー ポリシーの検索、ポリシー違反によるパケットのドロップなどがあり、これらはすべてデータ パスにおける基本的なパケット処理の一部です。このタイプの情報は、traceoptions フラグが basic-datapath に設定されている場合にログに記録されます。basic-datapath トレース オプションは、ポリシー検索やパケット ドロップなど、転送プロセスに関する詳細な情報を提供します。これはまさに、この図に示されている内容です。
* traceoptions フラグの host-traffic(回答 C) は不正解です。host-traffic は通常、Junos デバイス自体宛てのトラフィックや Junos デバイス自体から生成されたトラフィック (例: SRX デバイスへの SSH または SNMP トラフィック) に使用され、デバイスを通過するトラフィックには使用されないからです。
* 示されているようなフロー処理の詳細をキャプチャするには、パケット転送とポリシー評価に関する詳細を提供する basic-datapath traceoptions フラグが必要です。
トレースのステップバイステップ構成 (Basic-Datapath):
* フロートレースオプションを有効にする:
ポリシー検索やフロー セッションの作成など、トラフィックの処理方法に関する詳細な情報を取得するには、フローに対して traceoptions を有効にします。
バッシュ
コードをコピー
セキュリティフロートレースオプションファイルフローログを設定する
セキュリティフローのトレースオプションフラグの基本データパスを設定する
* 設定を適用してコミットします。
バッシュ
コードをコピー
専念
* ログを表示します:
有効にすると、パケット フロー、ポリシー検索、セッション作成の詳細のトレース ログを確認できます。
バッシュ
コードをコピー
ログフローログを表示
このログには、セッション作成の試行やセキュリティ ポリシーによるパケット ドロップなど、展示と同様の情報が含まれます。
Juniper セキュリティ リファレンス:
* デフォルトのセキュリティ ポリシー: Juniper SRX デバイスには、ユーザー定義のポリシーで明示的に許可されていないすべてのトラフィックを拒否するデフォルトのセキュリティ ポリシーがあります。これは、セキュリティのベスト プラクティスに不可欠です。参照:
セキュリティ ポリシーに関する Juniper Networks のドキュメント。
* フローのデバッグ用の Traceoptions: 特にポリシーの誤った構成やルーティングによって問題が発生した場合、SRX によるトラフィックの処理方法をデバッグして理解するには、traceoptions の使用が不可欠です。参考: Juniper Traceoptions。
basic-datapath トレース オプションを使用すると、図に示されているように、ポリシー ルックアップ、ルート ルックアップ、パケット ドロップなど、デバイスがトラフィックを処理する方法の詳細を把握できます。

B,Cこの展示では、透過モード (レイヤー 2) とレイヤー3 ルーティングを同時に
実行する SRX シリーズ デバイスに関する情報が提供されます。正解を見てみましょう。
* 回答 B の説明 (セキュリティ ポリシーによる VLAN 間トラフィックのセキュリティ保護):
* SRX デバイスは、異なる VLAN 間のレイヤー 3 トラフィックのセキュリティ ポリシーをサポートしているため、VLAN 間トラフィックを保護できます。この場合、異なる VLAN 間を移動するトラフィック (つまり、レイヤー 3 トラフィック) は、セキュリティ ポリシーを使用して処理および制御できます。
* 回答 C (レイヤー 2 とレイヤー 3 のトラフィックを同時に通過させる) の説明:
* SRXデバイスは、レイヤー2とレイヤー3のトラフィックを同時に処理できます。混合モードでは、デバイスはレイヤー2（VLAN内）でトラフィックをスイッチングしながら、レイヤー3でトラフィックをルーティングすることができます。
3 (VLAN 間)。これは、透過ブリッジ モードとレイヤ 3 インターフェイスを示すグローバル設定から明らかです。
Juniper セキュリティ リファレンス:
* 混合モードの概要: 混合モードの Juniper SRX デバイスは、レイヤー 2 スイッチとレイヤー 3 ルーターの両方として動作し、両方のレイヤーで同時にトラフィックを通過させることができます。参考: Juniper 混合モードのドキュメント。