すべてのジュニパーセキュリティリファレンスを含む包括的で詳細なステップバイステップの説明シナリオを理解する：
* マルチノードHAデフォルトモードの展開:
* シャーシ クラスターでは、2 つの SRX デバイスが連携して動作し、高可用性を実現します。
* ICL (クラスター間リンク) がダウンしています:
* ノード間の制御リンクとファブリック リンクが動作していません。
* 客観的：
* ICL を使用せずに SRX デバイスが互いのアクティブ状態を確認する方法を決定します。
オプション A: アクティブネス プローブにカスタム IP アドレスを設定できます。
* 説明：
* 制御リンクがダウンしている場合、SRX デバイスは ICMP ping ベースのアクティブネス プローブを使用してピアのステータスを確認します。
* ピアのアクティブ性を確認するために、カスタム IP アドレスをプローブ ターゲットとして設定できます。

ターゲットホストを指定したパーシステントNATは、セッション開始を特定のアドレスに制限することでセキュリティを強化します。リフレクシブNATは、元のポートを保持することで複数の接続をサポートします。Juniper NAT設定ドキュメントを参照してください。
図に示す NAT 構成を参照します。
* 特定のホストがセッションを開始できる（回答B）：この設定では、permit target-host-portステートメントを使用したパーシステントNATを使用しています。これにより、初期セッションの確立後、特定の外部ホスト（初期セッションで使用されたターゲットホストとポートに基づく）が内部ホストへのセッションを開始できるようになります。
説明: 永続的な NAT は、変換状態が維持されることを保証し、外部ホストが特定の条件 (元の接続で使用されたのと同じターゲット ホストとポートなど) でのみ接続できるようにします。
* 元の宛先ポート（回答D）：外部から内部へのセッションが確立される際、内部ホストが使用した元の宛先ポートが送信元ポートとして保持されます。この動作は、パーシステントNATが内部セッションと外部セッションをバインドし、最初のセッションで使用されたのと同じポートで通信が行われるようにする仕組みによるものです。

sp-1 というシステムセキュリティプロファイルには、ポリシーとゾーンにそれぞれ最大100個のリソースと50個の予約が割り当てられています。ポートアドレス変換なしのNAT（nat-nopat-address）の場合、最大115個のリソースと100個の予約が割り当てられ、静的NATルール（nat-static-rule）の場合、最大125個のリソースと100個の予約が割り当てられています。
テナント システムを検討する場合、適用されたプロファイル (sp-1) によって、c-1 という名前のテナント システムで使用可能なリソースが決まります。
c-1 TSYS には、セキュリティ フロー リソースの予約があります。 - プロファイル sp-1 に予約があるため、「セキュリティ フロー リソース」がポリシーとゾーンを参照する場合は、これが当てはまります。
c-1 TSYS は、システムの最大値までセキュリティ フロー リソースを使用できます。 - システムの最大値よりも低い明示的な制限が設定されていない限り、これは通常、どのテナント システムにも当てはまります。