DNS Doctoringは、NATデバイスの背後にあるホストのDNS応答を変更し、パブリックネットワークからクエリを受けた際に、内部リソースの正しいパブリックIPアドレスを受信できるようにします。これにより、プライベートIPアドレスが返され、外部からアクセスできないという問題を回避できます。詳細については、Juniper DNS Doctoringのドキュメントをご覧ください。
このシナリオでは、ホストAはドメイン名web.acme.comを解決しようとしていますが、DNS解決はウェブサーバーのパブリックIPアドレスではなくプライベートIPアドレスを返します。これは、内部ではプライベートアドレスが使用され、外部クライアントにはパブリックアドレスが必要とされるネットワークでよく発生する問題です。
* 回答 C (DNS Doctoring) の説明:
* DNSドクターとは、SRXデバイスを通過するDNS応答を変更する機能です。この場合、DNSドクターを使用することで、DNS応答で返されたプライベートIPアドレスをホストAの正しいパブリックIPアドレスに置き換えることができます。これにより、外部クライアントはプライベートIPアドレスを意識することなく内部リソースにアクセスできるようになります。
設定例:
バッシュ
コードをコピー
セキュリティ nat dns-doctoring からゾーン untrust へゾーン trust を設定する
Juniper セキュリティ リファレンス:
* DNS Doctoringの概要：DNS Doctoringは、外部クライアントがパブリックIPアドレスを使用して内部リソースにアクセスできるように、DNS応答を変更するために使用されます。参考：Juniper DNS Doctoringドキュメント。

NAT64では、適切なステートフル・インスペクションとアドレス変換を保証するために、IPv4とIPv6の両方でフローベース転送が必要です。パケットベース転送では、NAT64に必要なステートフル・インスペクションをサポートしていません。NAT64の詳細については、Juniper NAT64の概要をご覧ください。
NAT64は、IPv6アドレスをIPv4アドレスに変換し、その逆も行うことで、IPv6デバイスとIPv4デバイス間の通信を可能にします。Juniper SRXデバイスでは、デバイスの転送モードがトラフィック処理方法に大きく影響します。
* フローベース転送モード:
* 正解：オプションC：NAT64構成におけるIPv4トラフィックの場合、SRXデバイスはフローベース転送モードに設定する必要があります。フローベースモードとは、デバイスがトラフィックセッションを検査し、状態を追跡することを意味します。これは、NAT64の適切な動作に不可欠です。このモードでは、デバイスはセッション状態を維持しながら、IPv4プロトコルとIPv6プロトコル間の動的な監視と変換を行うことができます。
* 正解：オプションD：同様に、IPv6トラフィックの場合、SRXデバイスはフローベースモードにする必要があります。フローベースモードでは、SRXは各接続の状態を保持することでIPv6からIPv4への変換を適切に追跡し、一貫したNAT64動作を保証します。
* パケットベース転送モード：パケットベースモードは、NAT64が正しく機能するために必要なステートフルインスペクションを提供しないため、NAT64操作には使用されません。したがって、オプションAとBは誤りです。
ジュニパーリファレンス:
* Juniper NAT64 ドキュメント: SRX デバイスでの NAT64 の機能について説明し、これらのプロトコル間の変換時に IPv4 と IPv6 の両方のトラフィックにフローベース モードが必要であることを指定します。

* 回答Aの説明（セッションの再分類）:
* APBR（Advanced Policy-Based Routing）では、指定されたルールに基づいてセッションを分類する必要がありますが、このルールは、追加のパケットが処理されるにつれて途中で変更される可能性があります。APBRルールが有効になる前にセッションが既に確立されていた場合、トラフィックが新しいAPBRルールに一致するように正しく再分類されず、バイパスされる代わりにIDP（Introduction Detection and Prevention）処理が行われる可能性があります。これは、ルール変更前にセッションが既に確立されていた場合に特に発生する可能性があります。
* 回答 C (アプリケーション サービス バイパス) の説明:
* APBR が機能し、IDP サービスをバイパスするには、アプリケーション サービス バイパスを明示的に設定する必要があります。この設定がない場合、APBR ルールはトラフィックをリダイレクトする可能性がありますが、IDP サービスはトラフィックを検査し、場合によってはドロップします。これは、ソーシャルメディア プラットフォームなど、IDP をバイパスする必要がある特定のサイト宛てのトラフィックの場合に特に重要です。
IDP サービスをバイパスするための構成例:
バッシュ
set security forwarding-options advanced-policy-based-routing profile <profile-name> application-services- bypass 手順ごとの解決方法:
* セッションの途中で再分類する:
* APBR ルールが適用される前にトラフィックがすでに処理されていた場合は、現在のセッションを終了するか、最初から APBR ルールが適用されるようにして、セッションが再分類されるようにしてください。
セッションをクリアするコマンド:
バッシュ
セキュリティフローセッションのクリア宛先プレフィックス <IPアドレス>
* アプリケーション サービス バイパスを構成する:
* 検査すべきでないトラフィックに対して IDP またはその他のセキュリティ サービスを適切にバイパスするためのアプリケーション サービス バイパス構成が APBR ルールに含まれていることを確認します。
構成例:
バッシュ
set security forwarding-options advanced-policy-based-routing profile <profile-name> application-services- bypass Juniperセキュリティリファレンス:
* APBRにおけるセッションの再分類：APBRでは、中間パケットが適切なルールで処理されるように、セッションをリアルタイムで再分類する必要があります。これは、ポリシーが動的に変更された場合や新しいルールが追加された場合に非常に重要です。
* APBRにおけるアプリケーションサービスバイパス：この機能は、特定のAPBRルールに一致するトラフィックに対して、IDPなどのセキュリティサービスをバイパスすることを保証します。これは、パフォーマンスが優先され、セキュリティ検査が不要なアプリケーションにとって不可欠です。