40、SRX设备的入侵预防功能详解

SRX设备的入侵预防功能详解

1. 关闭客户端和服务器连接

当使用TCP协议时，SRX设备可向客户端和服务器发送TCP重置包。这些重置包由SRX伪装，从服务器角度看好像来自客户端，从客户端角度看好像来自服务器。同时，SRX会阻止该连接后续的所有数据包。这在你想要关闭连接并通知双方，避免它们继续重传数据包或误以为连接仍处于打开状态（这可能导致应用程序出现问题）时非常有用。

若数据流的第4层协议不是TCP，且操作设置为“Close - Client - Server”，则实际操作相当于“Drop - Connection”，因为没有TCP重置包，但违规流量仍会被静默丢弃。

2. 标记差分服务代码点（DSCP）

SRX能够在IPS规则库中将IP报头的差分服务代码点（DSCP）位重写为定义的值。如果你想利用IPS识别应用程序，以便上游或下游设备（如路由器）对流量进行服务质量（QoS）处理，这一功能就很有用。

目前，SRX不遵循IPS引擎中执行的DSCP标记，因为SRX上QoS的分类阶段是在流量到达时进行的，而不是在经过IPS处理之后。DSCP标记从第7层的角度识别实际应用程序最为有用，这是标准路由器或交换机无法做到的。在不久的将来，SRX将能够实施自己的DSCP策略，并根据IPS策略对流量进行整形。

3. 推荐操作

“推荐”使用“Whatever”操作，它在预定义的攻击对象（或管理员配置的自定义攻击对象）中定义。预定义的攻击对象带有Juniper安全团队根据攻击性质和建议操作设置的“推荐”操作。

4. 通知操作

SRX提供以下通知操作：
-