* 回答A（セッションの再分類）の説明:
* APBR (Advanced Policy-Based Routing) では、指定されたルールに基づいてセッションを分類する必要があります。このルールは、追加のパケットが処理される途中で変更される可能性があります。APBR ルールが有効になる前にセッションがすでに確立されていた場合、トラフィックは新しい APBR ルールに一致するように正しく再分類されず、バイパスされる代わりに IDP (侵入検知および防止) 処理が行われる可能性があります。これは、ルール変更前にセッションがすでに確立されていた場合に特に発生する可能性があります。
* 回答 C (アプリケーション サービス バイパス) の説明:
* APBR が機能し、IDP サービスをバイパスするには、アプリケーション サービス バイパスを明示的に構成する必要があります。この構成がない場合、APBR ルールはトラフィックをリダイレクトする可能性がありますが、IDP サービスは引き続きトラフィックを検査し、ドロップする可能性があります。これは、IDP をバイパスする必要があるソーシャル メディア プラットフォームなどの特定のサイト宛てのトラフィックの場合に特に重要です。
IDP サービスをバイパスするための構成例:
バッシュ
コードをコピー
set security forwarding-options advanced-policy-based-routing profile <profile-name> application-services- bypass ステップバイステップの解決方法:
* セッションの途中で再分類する:
* APBR ルールが適用される前にトラフィックがすでに処理されていた場合は、現在のセッションを終了するか、最初から APBR ルールが適用されるようにして、セッションが再分類されるようにしてください。
セッションをクリアするコマンド:
バッシュ
コードをコピー
セキュリティフローセッションのクリア宛先プレフィックス <IP アドレス>
* アプリケーション サービス バイパスを構成する:
* 検査すべきでないトラフィックに対して IDP またはその他のセキュリティ サービスを適切にバイパスするためのアプリケーション サービス バイパス構成が APBR ルールに含まれていることを確認します。
構成例:
バッシュ
コードをコピー
セキュリティ転送オプションを設定する advanced-policy-based-routing profile <profile-name> application-services- bypass Juniper セキュリティリファレンス:
* APBR でのセッションの再分類: APBR では、中間パケットが正しいルールで処理されるように、セッションをリアルタイムで再分類する必要があります。これは、ポリシーが動的に変更されたり、新しいルールが追加されたりするときに重要です。
* APBR でのアプリケーション サービス バイパス: この機能により、特定の APBR ルールに一致するトラフィックに対して、IDP などのセキュリティ サービスがバイパスされます。これは、パフォーマンスが優先され、セキュリティ検査が不要なアプリケーションにとって不可欠です。

イーサネット インターフェイスがレイヤー 2 として設定され、セキュリティ ゾーンに割り当てられずに同じ VLAN に追加されると、デフォルトではトラフィックは転送されません。また、純粋なレイヤー 2 スイッチング モードで動作しているため、ステートフル セキュリティ ポリシーを適用する機能がありません。詳細については、Juniper イーサネット スイッチング レイヤー 2 ドキュメントを参照してください。
* 回答 A (ステートフル セキュリティ機能を適用できない) の説明:
* 2 つのインターフェイスがレイヤー 2 インターフェイスとして設定され、同じ VLAN に属しているが、どのセキュリティ ゾーンにも割り当てられていない場合、それらのインターフェイス間で切り替えられるトラフィックは、純粋にレイヤー 2 で処理されます。
ファイアウォール ポリシーなどのステートフル セキュリティ機能はレイヤー 3 で適用されるため、これらのインターフェイス間のトラフィックは、デフォルトではステートフル インスペクションやファイアウォール処理を受けません。
* 回答 C (インターフェースはトラフィックを転送しません) の説明:
* Junos では、トラフィック転送を可能にするために、レイヤー 2 インターフェイスをセキュリティ ゾーンに追加する必要があります。このシナリオのインターフェイスはセキュリティ ゾーンの一部ではないため、ゾーンに割り当てられるまでは、デフォルトではトラフィックを転送しません。これは、意図しないトラフィック転送を防ぐためのセキュリティ対策です。
Juniper セキュリティ リファレンス:
* レイヤー 2 インターフェイスの構成: トラフィック転送を有効にし、セキュリティ ポリシーを適用するには、レイヤー 2 インターフェイスをセキュリティ ゾーンに適切に割り当てる必要があります。参照: Juniper Networks レイヤー 2 インターフェイスのドキュメント。

オペレータ ユーザーが SRX に接続された USB スティックに設定ファイルを保存できない問題を解決するには、操作クラスにシステム制御権限フラグを追加する必要があります。
他のオプションは、次の理由で正しくありません。
A) フロッピー パーミッション フラグを操作クラスに追加するだけでは、構成ファイルを USB スティックに保存するのに十分ではなく、必要でもありません。フロッピー パーミッション フラグにより​​、ユーザーはフロッピー ドライブにアクセスできますが、USB ドライブにはアクセスできません。USB ドライブには、操作クラス 1 にすでに含まれているシステム パーミッション フラグによってアクセスします。
C) 操作クラスにインターフェース制御許可フラグを追加するだけでは、設定ファイルを USB スティックに保存するのに十分ではなく、必要でもありません。インターフェース制御許可フラグを使用すると、ユーザーはインターフェースを設定および監視できますが、設定ファイルを保存することはできません。操作クラスにすでに含まれている設定許可フラグを使用すると、ユーザーは設定ファイルを保存できます1。
D) 操作クラスにシステム権限フラグを追加することは冗長であり、USB スティックに設定ファイルを保存するのに効果的ではありません。システム権限フラグにより​​、ユーザーは USB ドライブを含むシステム ディレクトリにアクセスできます。ただし、操作クラスにはデフォルトでシステム権限フラグが既にあります1。問題はシステム権限がないことではなく、システム制御権限がないことにあります。
したがって、正解は B です。問題を解決するには、操作クラスにシステム制御権限フラグを追加する必要があります。システム制御権限フラグにより​​、ユーザーはデバイスの再起動、停止、スナップショット作成などのシステムレベルの操作を実行できます1。これらの操作は、USB ドライブのマウント、アンマウント、および USB ドライブへのファイルのコピーに必要です2。操作クラスにシステム制御権限フラグを追加するには、次の手順を実行する必要があります。
設定モードに入ります: user@host> configure
システムログインクラス階層に移動します: user@host# edit system login class operations システム制御権限フラグを追加します: user@host# set permission system-control 変更をコミットします: user@host# commit 参照: login (System) EX/SRX/MX/QFX シリーズ プラットフォームに USB ドライブをマウントしてファイルをインポート/エクスポートする方法

すべてのジュニパー セキュリティ リファレンスを含む包括的で詳細なステップバイステップの説明 展示の理解:
* SRX デバイスは、次のように示されるように透過モードで動作しています。
* グローバルモード: 透過ブリッジ
SRX デバイスの透過モード:
* 透過モード（レイヤー2モード）：
* SRX デバイスはレイヤー 2 スイッチとして機能します。
* ルーティング機能は実行しません。
* セキュリティ ポリシーは、VLAN 間 (レイヤー 2) トラフィックには適用できますが、VLAN 内トラフィックには適用できません。
* レイヤー 3 トラフィックを同時に処理することはできません。
* オプション A: このデバイスのセキュリティ ポリシーでは、VLAN 内トラフィックを保護することはできません。
* 真実。
* 透過モードでは、VLAN 内トラフィックは VLAN 内でスイッチングされ、SRX ファイアウォール処理エンジンを通過しません。
* したがって、VLAN 内トラフィックにはセキュリティ ポリシーを適用できません。
* オプション B: このデバイスのセキュリティ ポリシーを使用して、VLAN 間トラフィックを保護できます。
* 間違い。
* 透過モードでは、すべてのインターフェースは同じ VLAN 内にあります (VLAN タグ付けが設定されていない場合)。
* デバイスはレイヤー 3 機能を実行しないため、VLAN 間ルーティングは不可能です。
* オプション C: デバイスはレイヤー 2 とレイヤー 3 のトラフィックを同時に通過させることができます。
* 間違い。
* 透過モードでは、SRX デバイスはレイヤー 2 でのみ動作します。
* レイヤー 3 トラフィックを同時に処理することはできません。
* オプション D: デバイスはレイヤー 2 とレイヤー 3 のトラフィックを同時に通過させることはできません。
* 真実。
* 透過モードの SRX デバイスは、レイヤー 2 トラフィックとレイヤー 3 トラフィックの両方を同時に処理することはできません。
要点:
* VLAN内トラフィック:
* 同じ VLAN 内のトラフィック。
* 透過モードでは、このトラフィックはスイッチングされ、ファイアウォールのセキュリティ ポリシーを通過しません。
* VLAN間トラフィック:
* 異なる VLAN 間のトラフィック。
* ルーティング機能（レイヤー 3）が必要です。
* 透過モードでは、SRX はルーティング機能を実行できません。
Juniper セキュリティ リファレンス:
* Juniper Networks ドキュメント:
* 「透過モードでは、SRX シリーズ デバイスはレイヤー 2 スイッチまたはブリッジのように動作します。VLAN 内トラフィックはファイアウォールを通過しないため、セキュリティ ポリシーでは制御できません。
「
* 出典: 透過モードを理解する
* 「デバイスは、透過モードではレイヤー 2 スイッチングとレイヤー 3 ルーティングの両方を同時に実行できません。」
* 出典: 透過モードの制限
結論：
* 透過モードでは、セキュリティ ポリシーを使用して VLAN 内トラフィックを保護できないため、オプション A が正解です。
* オプション D は、デバイスが透過モードで動作している場合、レイヤー 2 とレイヤー 3 の両方のトラフィックを同時に通過させることができないため、正解です。