《Juniper防火墙的基本设置v.1》由会员分享，可在线阅读，更多相关《Juniper防火墙的基本设置v.1（22页珍藏版）》请在金锄头文库上搜索。
1、 通过 Web 浏览器方式管理.推荐使用 IE 浏览器进行登录管理,需要知道防火墙对应端口的管理 IP 地址; 命令行方式.支持通过 Console 端口超级终端连接和 Telnet 防火墙管理 IP 地址连接两种命令行登录管理模式. Juniper 防火墙默认端口绑定说明: 型号 端口命名方式(从左往右计数) 配置界面端口形式 NS-5GT 1 口为 Untrust 接口;2-4 口为 Trust 接口; Interface:untrust,trust NS25 1 口为 Trust 接口;2 口为 DMZ 接口;3 口为 Untrust接口;4 口为 Null Interface:1 口为
2、 ethernet1,2 口为 ethernet2,其他接口顺序后推 NS50-204 1 口为 Trust 接口;2 口为 DMZ 接口;3 口为 Untrust接口;4 口为 HA 接口 Interface:1 口为 ethernet1,2 口为 ethernet2,其他接口顺序后推 NS208 1 口为 Trust 接口;2 口为 DMZ 接口;3 口为 Untrust接口;4-7 口为 Null 接口;8 口为 HA 接口; Interface:1 口为 ethernet1,2 口为 ethernet2,其他接口顺序后推 SSG5 1 口为 Untrust 接口;2 口为 DMZ 接口
3、;3-7 口为 Trust接口; Interface:1 口为 ethernet0/0,2 口为 ethernet0/1,其他接口顺序后推 SSG20 1 口为 Untrust 接口 ;2 口为 DMZ 接口;3-5 口为 Trust接口; Interface:1 口为 ethernet0/0,2 口为 ethernet0/1,其他接口顺序后推 SSG140 1 口为 Trust 接口;2 口为 DMZ 接口;3 口为 Untrust接口;4-10 口为 Null 接口; Interface:1 口为 ethernet0/0,2 口为 ethernet0/1,其他接口顺序后推 SSG520-5
4、50 1 口为 Trust 接口 ;2 口为 DMZ 接口;3 口为 Untrust接口;4 口为 Null 接口; Interface:1 口为 ethernet0/0,2 口为 ethernet0/1,其他接口顺序后推 Juniper 防火墙缺省管理端口和 IP 地址: Juniper 防火墙出厂时可通过缺省设置的 IP 地址使用 Telnet 或者 Web 方式管理.缺省IP 地址为:192.168.1.1/255.255.255.0; 缺省 IP 地址通常设置在防火墙的 Trust 端口上(NS-5GT),最小端口编号的物理端口上(NS-25/50/204/208/SSG 系列),或者
5、专用的管理端口上(ISG-1000/2000,NS-5200/5400). Juniper 防火墙缺省登录管理账号: 用户名:netscreen; 密 码:netscreen. 1.3,Juniper 防火墙的常用功能 在一般情况下,防火墙设备的常用功能包括:透明模式的部署,NAT/路由模式的部署,NAT 的应用 ,MIP 的应用,DIP 的应用,VIP 的应用,基于策略 VPN 的应用. 本安装手册将分别对以上防火墙的配置及功能的实现加以说明. 注:在对 MIP/DIP/VIP 等 Juniper 防火墙的一些基本概念不甚了解的情况下,请先到本手册最后一章节内容查看了解! 2,Juniper
6、 防火墙三种部署模式及基本配置 Juniper 防火墙在实际的部署过程中主要有三种模式可供选择,这三种模式分别是: 基于 TCP/IP 协议三层的 NAT 模式; 基于 TCP/IP 协议三层的路由模式; 基于二层协议的透明模式. 2.1,NAT 模式 当 Juniper 防火墙入口接口(内网端口) 处于 NAT 模式时,防火墙将通往 Untrust 区(外网或者公网)的 IP 数据包包头中的两个组件进行转换: 源 IP 地址和源端口号. 防火墙使用 Untrust 区( 外网或者公网)接口的 IP 地址替换始发端主机的源 IP 地址;同时使用由防火墙生成的任意端口号替换源端口号. NAT 模
7、式应用的环境特征: 注册 IP 地址(公网 IP 地址)的数量不足; 内部网络使用大量的非注册 IP 地址( 私网 IP 地址)需要合法访问 Internet; 内部网络中有需要外显并对外提供服务的服务器. 2.2,Route 模式 当 Juniper 防火墙接口配置为路由模式时,防火墙在不同安全区间(例如:Trust/Utrust/DMZ)转发信息流时 IP 数据包包头中的源地址和端口号保持不变 (除非明确采用了地址翻译策略). 与 NAT 模式下不同,防火墙接口都处于路由模式时,防火墙不会自动实施地址翻译; 与透明模式下不同,当防火墙接口都处于路由模式时,其所有接口都处于不同的子网中. 路
8、由模式应用的环境特征: 防火墙完全在内网中部署应用; NAT 模式下的所有环境; 需要复杂的地址翻译. 2.3,透明模式 当 Juniper 防火墙接口处于透明模式时,防火墙将过滤通过的 IP 数据包,但不会修改 IP 数据包包头中的任何信息.防火墙的作用更像是处于同一 VLAN 的 2 层交换机或者桥接器,防火墙对于用户来说是透明的. 透明模式是一种保护内部网络从不可信源接收信息流的方便手段.使用透明模式有以下优点: 不需要修改现有网络规划及配置; 不需要实施 地址翻译; 可以允许动态路由协议,Vlan trunking 的数据包通过. 2.4,基于向导方式的 NAT/Route 模式下的基
9、本配置 Juniper 防火墙 NAT 和路由模式的配置可以在防火墙保持出厂配置启动后通过 Web浏览器配置向导完成. 注:要启动配置向导,则必须保证防火墙设备处于出厂状态.例如:新的从未被调试过的设备,或者经过命令行恢复为出厂状态的防火墙设备. 通过 Web 浏览器登录处于出厂状态的防火墙时 ,防火墙的缺省管理参数如下: 缺省 IP:192.168.1.1/255.255.255.0; 缺省用户名/密码:netscreen/ netscreen; 注:缺省管理 IP 地址所在端口参见在前言部份讲述的 Juniper 防火墙缺省管理端口和 IP 地址中查找! 在配置向导实现防火墙应用的同时,我
10、们先虚拟一个防火墙设备的部署环境,之后,根据这个环境对防火墙设备进行配置. 防火墙配置规划: 防火墙部署在网络的 Internet 出口位置,内部网络使用的 IP 地址为192.168.1.0/255.255.255.0 所在的网段,内部网络计算机的网关地址为防火墙内网端口的 IP 地址:192.168.1.1; 防火墙外网接口 IP 地址( 通常情况下为公网 IP 地址,在这里我们使用私网 IP 地址模拟公网 IP 地址)为:10.10.10.1/255.255.255.0,网关地址为:10.10.10.251 要求: 实现内部访问 Internet 的应用. 注:在进行防火墙设备配置前,要
11、求正确连接防火墙的物理链路;调试用的计算机连接到防火墙的内网端口上. 1. 通过 IE 或与 IE 兼容的浏览器(推荐应用微软 IE 浏览器)使用防火墙缺省 IP 地址登录防火墙(建议:保持登录防火墙的计算机与防火墙对应接口处于相同网段,直接相连). 2. 使用缺省 IP 登录之后,出现安装向导: 注:对于熟悉 Juniper 防火墙配置的工程师 ,可以跳过该配置向导,直接点选:No,skip the wizard and go straight to the WebUI management session instead,之后选择 Next,直接登录防火墙设备的管理界面. 3. 使用向导配
12、置防火墙,请直接选择:Next,弹出下面的界面: 4. 欢迎使用配置向导,再选择 Next. 注:进入登录用户名和密码的修改页面,Juniper 防火墙的登录用户名和密码是可以更改的,这个用户名和密码的界面修改的是防火墙设备上的根用户,这个用户对于防火墙设备来说具有最高的权限,需要认真考虑和仔细配置,保存好修改后的用户名和密码. 5. 在完成防火墙的登录用户名和密码的设置之后,出现了一个比较关键的选择,这个选择决定了防火墙设备是工作在路由模式还是工作在 NAT 模式: 选择 Enable NAT,则防火墙工作在 NAT 模式; 不选择 Enable NAT,则防火墙工作在路由模式. 6. 防火
13、墙设备工作模式选择,选择:Trust-Untrust Mode 模式.这种模式是应用最多的模式,防火墙可以被看作是只有一进一出的部署模式. 注:NS-5GT 防火墙作为低端设备,为了能够增加低端产品应用的多样性,Juniper 在NS-5GT 的 OS 中独立开发了几种不同的模式应用于不同的环境.目前,除 NS-5GT 以外,Juniper 其他系列防火墙不存在另外两种模式的选择. 7. 完成了模式选择,点击Next进行防火墙外网端口 IP 配置.外网端口 IP 配置有三个选项分别是:DHCP 自动获取 IP 地址;通过 PPPoE 拨号获得 IP 地址;手工设置静态 IP地址,并配置子网掩码
14、和网关 IP 地址. 在这里,我们选择的是使用静态 IP 地址的方式,配置外网端口 IP 地址为:10.10.10.1/255.255.255.0,网关地址为:10.10.10.251. 8. 完成外网端口的 IP 地址配置之后,点击Next进行防火墙内网端口 IP 配置: 9. 在完成了上述的配置之后,防火墙的基本配置就完成了,点击Next进行 DHCP 服务器配置. 注:DHCP 服务器配置在需要防火墙在网络中充当 DHCP 服务器的时候才需要配置.否则请选择NO跳过. 注:上面的页面信息显示的是在防火墙设备上配置实现一个 DHCP 服务器功能,由防火墙设备给内部计算机用户自动分配 IP
15、地址,分配的地址段为:192.168.1.100-192.168.1.150 一共 51 个 IP 地址,在分配 IP 地址的同时,防火墙设备也给计算机用户分配了 DNS 服务器地址,DNS 用于对域名进行解析,如:将 WWW.SINA.COM.CN 解析为 IP 地址:202.108.33.32.如果计算机不能获得或设置 DNS 服务器地址,无法访问互联网. 10. 完成 DHCP 服务器选项设置,点击Next 会弹出之前设置的汇总信息: 11. 确认配置没有问题,点击Next会弹出提示Finish配置对话框: 在该界面中,点选:Finish 之后,该 Web 页面会被关闭,配置完成. 此时
16、防火墙对来自内网到外网的访问启用基于端口地址的 NAT,同时防火墙设备会自动在策略列表部分生成一条由内网到外网的访问策略: 策略:策略方向由 Trust 到 Untrust,源地址:ANY,目标地址 :ANY,网络服务内容:ANY; 策略作用:允许来自内网的任意 IP 地址穿过防火墙访问外网的任意地址 . 重新开启一个 IE 页面,并在地址栏中输入防火墙的内网端口地址,确定后,出现下图中的登录界面.输入正确的用户名和密码,登录到防火墙之后,可以对防火墙的现有配置进行修改. 总结: 上述就是使用 Web 浏览器通过配置向导完成的防火墙 NAT 或路由模式的应用.通过配置向导,可以在不熟悉防火墙设备的情况下,配置简单环境的防火墙应用. 2.5,基于非向导方式的 NAT/Route 模式下的基本配置 基于非向导方式的 NAT 和 Route 模式的配置建议首先使用命令行开始 ,最好通过控制台的方式连接
