《Juniper防火墙 安装手册 1.doc》由会员分享，可在线阅读，更多相关《Juniper防火墙 安装手册 1.doc（10页珍藏版）》请在金锄头文库上搜索。
1、2、Juniper防火墙三种部署模式及基本配置 Juniper防火墙在实际的部署过程中主要有三种模式可供选择，这三种模式分别是： 基于TCP/IP协议三层的NAT模式； 基于TCP/IP协议三层的路由模式； 基于二层协议的透明模式。 2.1、NAT模式 当Juniper防火墙入口接口（“内网端口”）处于NAT模式时，防火墙将通往 Untrust 区（外网或者公网）的IP 数据包包头中的两个组件进行转换：源 IP 地址和源端口号。 防火墙使用 Untrust 区（外网或者公网）接口的 IP 地址替换始发端主机的源 IP 地址；同时使用由防火墙生成的任意端口号替换源端口号。 NAT模式应用的环境特
2、征： 注册IP地址（公网IP地址）的数量不足； 内部网络使用大量的非注册IP地址（私网IP地址）需要合法访问Internet； 内部网络中有需要外显并对外提供服务的服务器。 2.2、Route-路由模式 当Juniper防火墙接口配置为路由模式时，防火墙在不同安全区间（例如：Trust/Utrust/DMZ）转发信息流时IP 数据包包头中的源地址和端口号保持不变。 与NAT模式下不同，防火墙接口都处于路由模式时，不需要为了允许入站数据流到达某个主机而建立映射 IP (MIP) 和虚拟 IP (VIP) 地址； 与透明模式下不同，当防火墙接口都处于路由模式时，其所有接口都处于不同的子网中。 路由
3、模式应用的环境特征： 注册IP（公网IP地址）的数量较多； 非注册IP地址（私网IP地址）的数量与注册IP地址（公网IP地址）的数量相当； 防火墙完全在内网中部署应用。 2.3、透明模式 当Juniper防火墙接口处于“透明”模式时，防火墙将过滤通过的IP数据包，但不会修改 IP数据包包头中的任何信息。防火墙的作用更像是处于同一VLAN的2 层交换机或者桥接器，防火墙对于用户来说是透明的。 透明模式是一种保护内部网络从不可信源接收信息流的方便手段。使用透明模式有以下优点： 不需要修改现有网络规划及配置； 不需要为到达受保护服务器创建映射或虚拟 IP 地址； 在防火墙的部署过程中，对防火墙的系统
4、资源消耗最低。 2.4、基于向导方式的NAT/Route模式下的基本配置 Juniper防火墙NAT和路由模式的配置可以在防火墙保持出厂配置启动后通过Web浏览器配置向导完成。 注：要启动配置向导，则必须保证防火墙设备处于出厂状态。例如：新的从未被调试过的设备，或者经过命令行恢复为出厂状态的防火墙设备。 通过Web浏览器登录处于出厂状态的防火墙时，防火墙的缺省管理参数如下： 缺省IP：192.168.1.1/255.255.255.0； 缺省用户名/密码：netscreen/ netscreen； 注：缺省管理IP地址所在端口参见在前言部份讲述的“Juniper防火墙缺省管理端口和IP地址”中
5、查找！ 在配置向导实现防火墙应用的同时，我们先虚拟一个防火墙设备的部署环境，之后，根据这个环境对防火墙设备进行配置。 防火墙配置规划： 防火墙部署在网络的Internet出口位置，内部网络使用的IP地址为192.168.1.0/255.255.255.0所在的网段，内部网络计算机的网关地址为防火墙内网端口的IP地址：192.168.1.1； 防火墙外网接口IP地址（通常情况下为公网IP地址，在这里我们使用私网IP地址模拟公网IP地址）为：10.10.10.1/255.255.255.0，网关地址为：10.10.10.251 要求： 实现内部访问Internet的应用。 注：在进行防火墙设备配置
6、前，要求正确连接防火墙的物理链路；调试用的计算机连接到防火墙的内网端口上。 1. 通过IE或与IE兼容的浏览器（推荐应用微软IE浏览器）使用防火墙缺省IP地址登录防火墙（建议：保持登录防火墙的计算机与防火墙对应接口处于相同网段，直接相连）。 2. 使用缺省IP登录之后，出现安装向导： 注：对于熟悉Juniper防火墙配置的工程师，可以跳过该配置向导，直接点选：No，skip the wizard and go straight to the WebUI management session instead，之后选择Next，直接登录防火墙设备的管理界面。 3. 使用向导配置防火墙，请直接选择：
7、Next，弹出下面的界面： 4. “欢迎使用配置向导”，再选择Next。 注：进入登录用户名和密码的修改页面，Juniper防火墙的登录用户名和密码是可以更改的，这个用户名和密码的界面修改的是防火墙设备上的根用户，这个用户对于防火墙设备来说具有最高的权限，需要认真考虑和仔细配置，保存好修改后的用户名和密码。 5. 在完成防火墙的登录用户名和密码的设置之后，出现了一个比较关键的选择，这个选择决定了防火墙设备是工作在路由模式还是工作在NAT模式： 选择Enable NAT，则防火墙工作在NAT模式； 不选择Enable NAT，则防火墙工作在路由模式。 6. 防火墙设备工作模式选择，选择：Trus
8、t-Untrust Mode模式。这种模式是应用最多的模式，防火墙可以被看作是只有一进一出的部署模式。 注：NS-5GT防火墙作为低端设备，为了能够增加低端产品应用的多样性，Juniper在NS-5GT的OS中独立开发了几种不同的模式应用于不同的环境。目前，除NS-5GT以外，Juniper其他系列防火墙不存在另外两种模式的选择。 7. 完成了模式选择，点击“Next”进行防火墙外网端口IP配置。外网端口IP配置有三个选项分别是：DHCP自动获取IP地址；通过PPPoE拨号获得IP地址；手工设置静态IP地址，并配置子网掩码和网关IP地址。 在这里，我们选择的是使用静态IP地址的方式，配置外网端
9、口IP地址为：10.10.10.1/255.255.255.0，网关地址为：10.10.10.251。 8. 完成外网端口的IP地址配置之后，点击“Next”进行防火墙内网端口IP配置： 9. 在完成了上述的配置之后，防火墙的基本配置就完成了，点击“Next”进行DHCP服务器配置。 注：DHCP服务器配置在需要防火墙在网络中充当DHCP服务器的时候才需要配置。否则请选择“NO”跳过。 注：上面的页面信息显示的是在防火墙设备上配置实现一个DHCP服务器功能，由防火墙设备给内部计算机用户自动分配IP地址，分配的地址段为：192.168.1.100-192.168.1.150一共51个IP地址，在
10、分配IP地址的同时，防火墙设备也给计算机用户分配了DNS服务器地址，DNS用于对域名进行解析，如：将错误！超链接引用无效。地址：202.108.33.32。如果计算机不能获得或设置DNS服务器地址，无法访问互联网。 10. 完成DHCP服务器选项设置，点击“Next”会弹出之前设置的汇总信息： 11. 确认配置没有问题，点击“Next”会弹出提示“Finish”配置对话框： 在该界面中，点选：Finish之后，该Web页面会被关闭，配置完成。 此时防火墙对来自内网到外网的访问启用基于端口地址的NAT，同时防火墙设备会自动在策略列表部分生成一条由内网到外网的访问策略： 策略：策略方向由Trust
11、到Untrust，源地址：ANY，目标地址：ANY，网络服务内容：ANY； 策略作用：允许来自内网的任意IP地址穿过防火墙访问外网的任意地址。 重新开启一个IE页面，并在地址栏中输入防火墙的内网端口地址，确定后，出现下图中的登录界面。输入正确的用户名和密码，登录到防火墙之后，可以对防火墙的现有配置进行修改。 总结： 上述就是使用Web浏览器通过配置向导完成的防火墙NAT或路由模式的应用。通过配置向导，可以在不熟悉防火墙设备的情况下，配置简单环境的防火墙应用。 2.5、基于非向导方式的NAT/Route模式下的基本配置 基于非向导方式的NAT和Route模式的配置建议首先使用命令行开始，最好通过
12、控制台的方式连接防火墙，这个管理方式不受接口IP地址的影响。 注：在设备缺省的情况下，防火墙的信任区（Trust Zone）所在的端口是工作在NAT模式的，其它安全区所在的端口是工作在路由模式的。 基于命令行方式的防火墙设备部署的配置如下（网络环境同上一章节所讲述的环境）： 2.5.1、NS-5GT NAT/Route模式下的基本配置 注：NS-5GT设备的物理接口名称叫做trust和untrust；缺省Zone包括：trust和untrust，请注意和接口区分开。 Unset interface trust ip （清除防火墙内网端口的IP地址）； Set interface trust zone trust（将内网端口分配到trust zone）； Set interface trust ip 192.168.1.1/24（设置内网端口的IP地址，必须先定义zone，之后再定义IP地址）； Set interface untrust zone untrust（将外网口分配到untrust zone）； Set interface untrust ip 10.10.10.1/24（设置外网口的IP地址）；
