Juniper SRX1400防火墙DNS Proxy配置

Juniper SRX1400防火墙DNS Proxy配置

• 配置背景

日常配置防火墙的安全策略一般是通过限制IP地址的方式，现在客户需求，要用限制域名的方式来实现访问控制。
一般来说同一个域名可能对应着几个不同的IP地址，这就要求防火墙解析出的域名信息与服务器解析出的域名信息一致。

如下图拓扑所示，DNS服务器IP地址为192.168.1.1，DNS服务器上配置多条A记录对应同一个域名www.test.com。SRX1400上DNS Proxy指向DNS服务器192.168.1.1，并在连接内网的接口reth0上使能DNS Proxy功能。客户端DNS指向防火墙的reth0接口，这样客户端发起的DNS查询被DNS Proxy解析，并且把解析结果存到设备的DNS cache表中。如果再有其他客户端进行相同域名解析动作，防火墙作为DNS代理会响应这些DNS请求，保证了防火墙能够识别客户端访问的域名，从而使防火墙做到基于域名的精确控制。

• 测试拓扑

• 通过Window server 2008部署DNS服务器
  
  
• 防火墙配置DNS Proxy，并在接口上启用DNS Proxy功能

set system services dns dns-proxy interface reth0.0
set system services dns dns-proxy default-domain * forwarders 192.168.1.1

• 客户端DNS地址指向防火墙接口

set interfaces reth0 redundant-ether-options redundancy-group 1
set interfaces reth0 unit 0 family inet address 1.1.1.1/24

• 防火墙配置address-book与policy

set security zones security-zone untrust address-book address test11 dns-name www.test.com

set security policies from-zone trust to-zone untrust policy test11 match source-address any
set security policies from-zone trust to-zone untrust policy test11 match destination-address test11
set security policies from-zone trust to-zone untrust policy test11 match application any
set security policies from-zone trust to-zone untrust policy test11 then deny
set security policies from-zone trust to-zone untrust policy test11 then log session-init
set security policies from-zone trust to-zone untrust policy test11 then log session-close
set security policies from-zone trust to-zone untrust policy test12 match source-address any
set security policies from-zone trust to-zone untrust policy test12 match destination-address any
set security policies from-zone trust to-zone untrust policy test12 match application any
set security policies from-zone trust to-zone untrust policy test12 then permit

• 客户端测试
  防火墙上deny客户端访问www.test.com，然后permit客户端访问www.test.com。
  
• 总结
  在Juniper的High-end系列的cluster中，DNS代理功能可以正常使用，可以作为KB27492的补充说明。（KB27492：DNS proxy is currently not supported for SRX devices in a cluster）
  KB27492：http://kb.juniper.net/InfoCenter/index?page=content&id=KB27492&actp=search