《Juniper防火墙维护手册》由会员分享，可在线阅读，更多相关《Juniper防火墙维护手册（73页珍藏版）》请在金锄头文库上搜索。
1、Juniper维护手册深圳发展银行Juniper防火墙维护手册（版本号：V1.0）运营部网络管理室目录一、Juniper防火墙介绍51.1、NS5000系列51.1.1、NS540051.1.2、NS520051.2、ISG系列61.2.1、ISG200061.2.2、ISG100061.3、SSG500系列71.3.1 SSG 550M71.3.2 SSG 52071.4、SSG300系列81.4.1 SSG 350M81.4.2 SSG 320M81.5、SSG140系列81.5.1 SSG 14091.6、SSG5/20系列91.6.1 SSG 591.6.2 SSG 209二、防火墙常
2、用配置102.1 Juniper防火墙初始化配置和操纵102.2 查看系统概要信息142.3主菜单常用配置选项导航162.4 Configration配置菜单172.5 Update更新系统镜像和配置文件182.5.1更新ScreenOS系统镜像182.5.2 更新config file配置文件192.6 Admin管理202.7 Networks配置菜单222.7.1 Zone安全区227.2 Interfaces接口配置247.2.1查看接口状态的概要信息247.2.2设置interface接口的基本信息247.2.3设置地址转换262.7.4设置接口Secondary IP地址342.7
3、.5 Routing路由设置342.8 Policy策略设置372.8.1 查看目前策略设置372.9创建策略382.10对象Object设置402.11 策略Policy报告Report41四、防火墙日常应用424.1、Netscreen 冗余协议（NSRP）424.1.1、NSRP部署建议：434.1.2NSRP常用维护命令444.2、策略配置与优化（Policy）454.3、攻击防御（Screen）464.4、特殊应用处理484.4.1、长连接应用处理484.4.2、不规范TCP应用处理494.4.3、VOIP应用处理49五、防火墙日常维护515.1、常规维护525.2、常规维护建议：5
4、45.3 应急处理565.3.1检查设备运行状态565.4、 总结改进585.5、 故障处理工具58六、 Juniper防火墙设备恢复处理方法706.1设备重启动706.2操作系统备份706.3操作系统恢复706.4配置文件备份716.5配置文件恢复716.6恢复出厂值726.7硬件故障处理726.8设备返修（RMA）72一、Juniper防火墙介绍1.1、NS5000系列1.1.1、NS5400性能和处理能力 30 Gbps 防火墙 (12G 64byte小包) 18MPPS2 百万同时会话数15 Gbps 3DES VPN25,000 IPSec VPN 通道1.1.2、NS5200性能和
5、处理能力 10 Gbps 防火墙 (4G 64byte小包)1 百万同时会话数5 Gbps 3DES VPN 25,000 IPSec VPN 通道1.2、ISG系列1.2.1、ISG2000性能和处理能力4 Gbps 状态监测防火墙任何大小的数据包2 Gbps 3DES和AES IPSec VPN 任何大小数据包防火墙数据包转发性能：3 MPPS最大在线会话数：100万，每秒23,000个新会话1.2.2、ISG1000性能和处理能力2 Gbps 状态监测防火墙任何大小的数据包1 Gbps 3DES和AES IPSec VPN 任何大小数据包防火墙数据包转发性能：1.5 MPPS最大在线会话
6、数：50万，每秒20,000个新会话1.3、SSG500系列1.3.1 SSG 550M4Gbps 的 FW IMIX / 600K pps1Gbps 的FW IMIX / 500 Mbps IPSec VPN6个 I/O 插槽 4个可插 LAN口模块双电源，DC为选项， NEBS为选项12.8万个会话，1,000条VPN 隧道1.3.2 SSG 5202Gbps 的 FW / 300K pps600 Mbps 的 FW IMIX / 300 Mbps IPSEC VPN6个 I/O插槽 2个可插 LAN口模块单一AC或DC电源6.4万个会话，500条VPN 隧道1.4、SSG300系列1.4
7、.1 SSG 350M1.2 Gbps 的 FW / 225K pps500 Mbps 的FW IMIX / 225 Mbps IPSec VPN5个 I/O 插槽9.6万个会话，每秒2.6万会话1.4.2 SSG 320M1.2 Gbps 的 FW / 175K pps400 Mbps 的FW IMIX / 175 Mbps IPSec VPN3个 I/O插槽6.4万个会话，每秒2万会话1.5、SSG140系列1.5.1 SSG 140950Mbps 的FW/ 100K pps300 Mbps的Firewall IMIX / 100 Mbps IPSec VPN4个 I/O插槽4.8万个会话
8、，每秒8k会话1.6、SSG5/20系列 1.6.1 SSG 5SSG 5 是一个固定规格的平台，提供 160 Mbps 的状态防火墙流量和 40 Mbps 的 IPSec VPN 吞吐量。SSG 5 系列配备 7 个内部集成的 10/100 接口，并带有可选的固定广域网端口（ISDN BRI S/T、V.92 或 RS-232 Serial/Aux）。802.11 a/b/g 和多种无线特定的安全性支持是可选项，使 SSG 5 能够将安全性、路由和无线接入点整合到单个设备中。1.6.2 SSG 20SSG 20 是一个模块化平台，提供 160 Mbps 的状态防火墙流量和 40 Mbps 的
9、 IPSec VPN 吞吐量。SSG 20 配备 5 个内部集成的 10/100 接口和 2 个 I/O 扩展插槽，可支持 I/O 卡，如ADSL2+、T1、E1、ISDN BRI S/T 以及 V.92，从而实现额外的广域网连接。802.11 a/b/g和多种无线特定的安全性支持是可选项，使 SSG 20 能够将安全性、路由和无线接入点整合到单个设备中。二、防火墙常用配置2.1 Juniper防火墙初始化配置和操纵对一台空配置的Juniper防火墙我们可以用两种方法去进行操纵：Console控制台和WEB。Console控制台：使用Console线连接到Juniper的防火墙上的Consol
10、e口，利用超级终端用CLI命令行界面进行配置。使用WEB界面：Juniper防火墙上默认情况下在E1接口（trust）口有一个初始管理IP地址192.168.1.1 255.255.255.0；我们可以把自己的笔记本和防火墙的E1口用一根交叉线连接起来，然后把本机的地址配置为192.168.1.X 255.255.255.0，之后我们就可以在本机上通过IE浏览器登陆192.168.1.1的地址通过WEB界面对设备进行配置了。通过IE或与IE兼容的浏览器（推荐应用微软IE浏览器）使用防火墙缺省IP地址登录防火墙（建议：保持登录防火墙的计算机与防火墙对应接口处于相同网段，直接相连）。使用缺省IP登
11、录之后，出现安装向导：注：对于熟悉Juniper防火墙配置的工程师，可以跳过该配置向导，直接点选：No，skip the wizard and go straight to the WebUI management session instead，之后选择Next，直接登录防火墙设备的管理界面。使用向导配置防火墙，请直接选择：Next，弹出下面的界面：“欢迎使用配置向导”，再选择Next。注：进入登录用户名和密码的修改页面，Juniper防火墙的登录用户名和密码是可以更改的，这个用户名和密码的界面修改的是防火墙设备上的根用户，这个用户对于防火墙设备来说具有最高的权限，需要认真考虑和仔细配置，保
12、存好修改后的用户名和密码。注意1：Juniper防火墙接口的WEB管理特性默认只在E1接口（trust）口才启用，也就是说我们有可能无法通过用WEB登陆其他接口进行操纵，除非我们提前已经打开了相应接口的WEB管理选项。注意2：如果Juniper防火墙上有配置，我们不知道目前E1接口的IP地址，我们可以先通过Console控制台用“get interface”的命令看一下目前E1口的IP地址。注意3：Juniper防火墙OS 5.0以上的版本支持MDI和MDIX自适应，也就是说我们的主机和E1口也可以用直通线进行互连，但这种方式有失效的时候，如果出现用交叉线互连物理也无法UP的情况，可以在Con
13、sole控制台用“ NS208- delete file flash:/ns_sys_config”删除配置文件并重起防火墙的方式可以解决(Juniper的BUG)。注：系统默认登陆用户名和口令都是：“netscreen”。2.2 查看系统概要信息使用WEB登陆防火墙的管理地址，进入GUI管理界面，如图所示。左边是主配置菜单。右边最上方是系统启动以及时间信息，右上角显示主机名。Device information：设备信息，显示设备硬软件版本、序列号以及主机名。Interface / VPN Link Status Monitoring：接口链路状态，显示接口所属区和链路UP/DOWN信息。R
14、esources Status：资源状况，显示系统CPU和内存使用率以及目前的会话和策略是系统满负荷的比例。（其中注意内存使用率是不真实的，在系统空负荷的情况下内存占用率也会很高，是系统本身设计的问题）。System Most Recent Alarms / Events：系统最近的报警和通告信息。2.3主菜单常用配置选项导航在主菜单中我们经常用到的配置菜单如下，后面将针对这些常用配置选项进行详细的介绍。Configuration: Date/Time; Update; Admin; Auth; Infranet Auth; Report Settings; CPU Protection; Network: Binding; DNS; Zones; Interfaces; DHCP; 802.1X; Routing; NSRP; Vlan; Security: Screening; Web Filtering; Deep Inspection; Antivirus; ALG; Policy: Policies; MCast Policies; Policy Elements;VPNs: AutoKey IKE; AutoKey Advanced; Manual Key; L2TP; Monitor Status;Objects: Users; IP Pools; Ce
