《防火墙三种部署模式及基本配置》由会员分享，可在线阅读，更多相关《防火墙三种部署模式及基本配置（7页珍藏版）》请在金锄头文库上搜索。
1、防火墙三种部署模式及基本配置Juniper 防火墙在实际的部署过程中主要有三种模式可供选择，这三种模式分别是： 基于 TCP/IP 协议三层的 NAT 模式； 基于 TCP/IP 协议三层的路由模式； 基于二层协议的透明模式。2.1、NAT 模式当 Juniper 防火墙入口接口（“内网端口”）处于 NAT 模式时，防火墙将通往 Untrust 区（外网或者公网）的 IP 数据包包头中的两个组件进行转换：源 IP 地址和源端口号。 防火墙使用 Untrust 区（外网或者公网）接口的 IP 地址替换始发端主机的源 IP 地址；同时使用由防火墙生成的任意端口号替换源端口号。NAT 模式应用的环境
2、特征： 注册 IP 地址（公网 IP 地址）的数量不足； 内部网络使用大量的非注册 IP 地址（私网 IP 地址）需要合法访问Internet； 内部网络中有需要外显并对外提供服务的服务器。2.2、Route-路由模式当 Juniper 防火墙接口配置为路由模式时，防火墙在不同安全区间（例如：Trust/Utrust/DMZ）转发信息流时 IP 数据包包头中的源地址和端口号保持不变。 与 NAT 模式下不同，防火墙接口都处于路由模式时，不需要为了允许入站数据流到达某个主机而建立映射 IP (MIP) 和虚拟 IP (VIP) 地址； 与透明模式下不同，当防火墙接口都处于路由模式时，其所有接口都
3、处于不同的子网中。路由模式应用的环境特征： 注册 IP（公网 IP 地址）的数量较多； 非注册 IP 地址（私网 IP 地址）的数量与注册 IP 地址（公网 IP 地址）的数量相当； 防火墙完全在内网中部署应用。2.3、透明模式当 Juniper 防火墙接口处于“透明”模式时，防火墙将过滤通过的 IP 数据包，但不会修改 IP 数据包包头中的任何信息。防火墙的作用更像是处于同一 VLAN的 2 层交换机或者桥接器，防火墙对于用户来说是透明的。 透明模式是一种保护内部网络从不可信源接收信息流的方便手段。使用透明模式有以下优点： 不需要修改现有网络规划及配置； 不需要为到达受保护服务器创建映射或虚
4、拟 IP 地址； 在防火墙的部署过程中，对防火墙的系统资源消耗最低。2.4、基于向导方式的 NAT/Route 模式下的基本配置Juniper 防火墙 NAT 和路由模式的配置可以在防火墙保持出厂配置启动后通过Web 浏览器配置向导完成。注：要启动配置向导，则必须保证防火墙设备处于出厂状态。例如：新的从未被调试过的设备，或者经过命令行恢复为出厂状态的防火墙设备。通过 Web 浏览器登录处于出厂状态的防火墙时，防火墙的缺省管理参数如下： 缺省 IP：192.168.1.1/255.255.255.0； 缺省用户名/密码：netscreen/ netscreen；注：缺省管理 IP 地址所在端口参
5、见在前言部份讲述的“Juniper 防火墙缺省管理端口和 IP 地址”中查找！在配置向导实现防火墙应用的同时，我们先虚拟一个防火墙设备的部署环境，之后，根据这个环境对防火墙设备进行配置。防火墙配置规划： 防火墙部署在网络的 Internet 出口位置，内部网络使用的 IP 地址为192.168.1.0/255.255.255.0 所在的网段，内部网络计算机 的网关地址为防火墙内网端口的 IP 地址：192.168.1.1； 防火墙外网接口 IP 地址（通常情况下为公网 IP 地址，在这里我们使用私网IP 地址模拟公网 IP 地址） 为：10.10.10.1/255.255.255.0，网关地址
6、为：10.10.10.251要求：实现内部访问 Internet 的应用。注：在进行防火墙设备配置前，要求正确连接防火墙的物理链路；调试用的计算机连接到防火墙的内网端口上。1. 通过 IE 或与 IE 兼容的浏览器（推荐应用微软 IE 浏览器）使用防火墙缺省IP 地址登录防火墙（建议：保持登录防火墙的计算机与防火墙对应接口处于相同网 段，直接相连）。2. 使用缺省 IP 登录之后，出现安装向导：注：对于熟悉 Juniper 防火墙配置的工程师，可以跳过该配置向导，直接点选：No，skip the wizard and go straight to the WebUI management se
7、ssion instead，之后选择 Next，直接登录防火墙设备的管理界面。3. 使用向导配置防火墙，请直接选择：Next，弹出下面的界面：4. “欢迎使用配置向导”，再选择 Next。注：进入登录用户名和密码的修改页面，Juniper 防火墙的登录用户名和密码是可以更改的，这个用户名和密码的界面修改的是防火墙设备上的根用户，这个 用户对于防火墙设备来说具有最高的权限，需要认真考虑和仔细配置，保存好修改后的用户名和密码。5. 在完成防火墙的登录用户名和密码的设置之后，出现了一个比较关键的选择，这个选择决定了防火墙设备是工作在路由模式还是工作在 NAT 模式：选择 Enable NAT，则防火
8、墙工作在 NAT 模式； 不选择 Enable NAT，则防火墙工作在路由模式。6. 防火墙设备工作模式选择，选择：Trust-Untrust Mode 模式。这种模式是应用最多的模式，防火墙可以被看作是只有一进一出的部署模式。注：NS-5GT 防火墙作为低端设备，为了能够增加低端产品应用的多样性，Juniper 在 NS-5GT 的 OS 中独立开发了几种不同的模式应用于不 同的环境。目前，除 NS-5GT 以外，Juniper 其他系列防火墙不存在另外两种模式的选择。7. 完成了模式选择，点击“Next”进行防火墙外网端口 IP 配置。外网端口 IP配置有三个选项分别是：DHCP 自动获取
9、 IP 地址；通过 PPPoE 拨号获得 IP 地址；手工设置静态 IP 地址，并配置子网掩码和网关 IP 地址。在这里，我们选择的是使用静态 IP 地址的方式，配置外网端口 IP 地址为：10.10.10.1/255.255.255.0，网关地址 为：10.10.10.251。8.完成外网端口的 IP 地址配置之后，点击“Next”进行防火墙内网端口 IP 配置：9. 在完成了上述的配置之后，防火墙的基本配置就完成了，点击“Next”进行DHCP 服务器配置。注：DHCP 服务器配置在需要防火墙在网络中充当 DHCP 服务器的时候才需要配置。否则请选择“NO”跳过。注：上面的页面信息显示的是
10、在防火墙设备上配置实现一个 DHCP 服务器功能，由防火墙设备给内部计算机用户自动分配 IP 地址，分配的地址段 为：192.168.1.100-192.168.1.150 一共 51 个 IP 地址，在分配 IP 地址的同时，防火墙设备也给计算机用户分配了 DNS 服务器地 址，DNS 用于对域名进行解析，如：将错误！超链接引用无效。地址：202.108.33.32。如果计算机不能获得或设置 DNS 服务器地址，无法访问互 联网。10. 完成 DHCP 服务器选项设置，点击“Next”会弹出之前设置的汇总信息：11. 确认配置没有问题，点击“Next”会弹出提示“Finish”配置对话框：在
11、该界面中，点选：Finish 之后，该 Web 页面会被关闭，配置完成。此时防火墙对来自内网到外网的访问启用基于端口地址的 NAT，同时防火墙设备会自动在策略列表部分生成一条由内网到外网的访问策略：策略：策略方向由 Trust 到 Untrust，源地址：ANY，目标地址：ANY，网络服务内容：ANY；策略作用：允许来自内网的任意 IP 地址穿过防火墙访问外网的任意地址。重新开启一个 IE 页面，并在地址栏中输入防火墙的内网端口地址，确定后，出现下图中的登录界面。输入正确的用户名和密码，登录到防火墙之后，可以对 防火墙的现有配置进行修改。总结：上述就是使用 Web 浏览器通过配置向导完成的防火
12、墙 NAT 或路由模式的应用。通过配置向导，可以在不熟悉防火墙设备的情况下，配置简单环境的防火墙 应用。2.5、基于非向导方式的 NAT/Route 模式下的基本配置基于非向导方式的 NAT 和 Route 模式的配置建议首先使用命令行开始，最好通过控制台的方式连接防火墙，这个管理方式不受接口 IP 地址的影响。注：在设备缺省的情况下，防火墙的信任区（Trust Zone）所在的端口是工作在 NAT 模式的，其它安全区所在的端口是工作在路由模式的。基于命令行方式的防火墙设备部署的配置如下（网络环境同上一章节所讲述的环境）：2.5.1、NS-5GT NAT/Route 模式下的基本配置注：NS-
13、5GT 设备的物理接口名称叫做 trust 和 untrust；缺省 Zone 包括：trust 和 untrust，请注意和接口区分开。 Unset interface trust ip （清除防火墙内网端口的 IP 地址）； Set interface trust zone trust（将内网端口分配到 trust zone）； Set interface trust ip 192.168.1.1/24（设置内网端口的 IP 地址，必须先定义 zone，之后再定义 IP 地址）； Set interface untrust zone untrust（将外网口分配到 untrust zone
14、）； Set interface untrust ip 10.10.10.1/24（设置外网口的 IP 地址）； Set route 0.0.0.0/0 interface untrust gateway 10.10.10.251（设置防火墙对外的缺省路由网关地址）； Set policy from trust to untrust any any any permit log（定义一条由内网到外网的访问策略。策略的方向是：由 zone trust 到 zone untrust， 源地址为：any，目标地址为：any，网络服务为：any，策略动作为：permit允许，log：开启日志记录）；
15、Save （保存上述的配置文件）。2.5.2、NS-25-208 NAT/Route 模式下的基本配置 Unset interface ethernet1 ip（清除防火墙内网口缺省 IP 地址）； Set interface ethernet1 zone trust（将 ethernet1 端口分配到 trust zone）； Set interface ethernet1 ip 192.168.1.1/24（定义 ethernet1 端口的 IP地址）； Set interface ethernet3 zone untrust（将 ethernet3 端口分配到untrust zone）；
16、 Set interface ethernet3 ip 10.10.10.1/24（定义 ethernet3 端口的 IP地址）； Set route 0.0.0.0/0 interface ethernet3 gateway 10.10.10.251（定义防火墙对外的缺省路由网关）； Set policy from trust to untrust any any any permit log（定义由内网到外网的访问控制策略）； Save （保存上述的配置文件）注：上述是在命令行的方式上实现的 NAT 模式的配置，因为防火墙出厂时在内网端口（trust zone 所属的端口）上启用了 NAT，所以一般不用特别设置，但是其它的端口则工作在路由模式下，例如：untrust 和 DMZ 区的端口。如果需要将端口从路由模式修改为 NAT 模式，则可以按照如下的命令行进行修改： Set interface ethernet2 NAT （设置端口 2 为 NAT 模式）
