资源描述
JUNIPER防火墙配置维护 内部公开▲
JUNIPER防火墙配置维护
编者：周洪强
审核：谢 斌
中兴通讯固网深圳用服部
本文中的所有信息归中兴通讯股份有限公司所有，未经允许，不得外传 -30-
修改记录
文档编号
版本号
拟制人/修改人
审核人
拟制/修改
日期
更改原因
主要更改内容要点
无
V1.00
周洪强
谢斌
2008-8-20
2008年专题文档光盘编写
根据资料修改
无
V1.01
曹文彬
潘玉宝
2008-9-11
2008年专题文档光盘编写
修改格式
目 录
第1章 防火墙的基本知识及概念 1
第2章 安装步骤 2
2.1 初始化配置 2
2.2 端口设置 4
2.2.1 设置HA端口 4
2.2.2 连接接口设置 5
2.2.3 Internet接口设置。 6
2.2.4 设置redundant 冗余接口 7
2.2.5 建立red1冗余接口的成员 8
2.3 设置路由 9
2.3.1 路由表选择 9
2.3.2 增加默认路由 10
2.3.3 增加内部网络的路由 11
2.4 NAT设置 11
2.4.1 设置Internet网端的NAT 11
2.4.2 设置10.0.0.0网端的地址翻译 14
2.5 端口服务 15
2.6 定义策略 18
2.6.1 设置10.0.0.0网端访问防火墙内部业务处理机服务器的策略 18
2.6.2 内部网络访问外部网络的策略定义 21
2.7 双机冗余NSRP配置 22
2.7.1 激活NSRP 22
2.7.2 设置VSD Group 23
2.7.3 同步 23
2.7.4 监控端口 24
2.7.5 同步另一台配置 25
2.8 账号管理 26
2.9 配置文件备份 27
2.10 版本升级步骤 29
第1章 防火墙的基本知识及概念
摘要：
本章内容介绍防火墙基本知识和概念。
安全区是由一个或多个网段组成的集合，需要通过策略来对入站和出站信息流进行调整安全区是绑定了一个或多个接口的逻辑实体。
1． 通过多种类型的NetScreen设备，用户可以定义多个安全区，确切数目可根据网络需要来确定。除用户定义的区段外，用户还可以使用预定义的区段：Trust、Untrust和DMZ（用于第3层操作），或者V1-Trust、V1-Untrust和V1-DMZ（用于第2层操作）。
2． 如果愿意，可以继续使用这些预定义区段。也可以忽略预定义区段而只使用用户定义的区段。
3． 另外，用户还可以同时使用这两种区段:预定义和用户定义。利用区段配置的这种灵活性，用户可以创建能够最好地满足用户的具体需要的网络设计。
图 1 1 网络图
第2章 安装步骤
摘要：
本章内容介绍juniper防火墙的安装设置。
2.1 初始化配置
按以下连接防火墙，然后进行初始化设置。
1． Console方式
基于Console终端配置ISG2000的准备工作如下：
安装Windows操作系统的PC一台（装有超级终端）
ISG2000设备自带的Console电缆一条
使用超级终端建立一个连接，通过Console电缆一端连接ISG2000，一端连接COM，COM的参数设置如图2 1：
图2 1 com属性
2． 基于WEB方式
在浏览器地址栏键入http://10.147.66.65（ISG2000设备初始IP地址 192.168.1.1），如下图2 2：
图2 2 IE初始化打开登陆界面
使用Console端口做初始化配置。Juniper防火墙的初始账号和密码分别为：
login: netscreen
password:netscreen
nsisg2000-> set hostname FW01 ----------设置主机名称
FW01->
FW01-> set int mgt ip 10.147.66.65/27 ---------设置管理端口的地址
将电脑网卡地址设置成和管理端口同一网段。
3． 图形登陆
打开IE浏览器，并在URL：输入防火墙的管理地址。
图 2 3 IE打开登陆界面
2.2 端口设置
2.2.1 设置HA端口
选择Network > Interfaces > Ethernet1/1 > Edit
在Zone Name ：HA ---------将Ethernet 1/1 设置成HA心跳端口
图 2 4 HA端口设置界面
选择Network > Interfaces > Ethernet1/2 > Edit
在Zone Name ：HA ---------将Ethernet 1/2 设置成HA心跳端口
图 2 5 HA心跳端口设置界面
2.2.2 连接接口设置
选择Network > Interfaces > Ethernet2/1 > Edit ：输入以下内容，单击OK
在Zone Name ：Untrust ---------将Ethernet 2/1 设置成Untrust安全区域
IP Address / Netwask : 10.0.0.251 /25 ----------输入IP 地址
图 2 6 连接接口设置界面
2.2.3 Internet接口设置。
图 2 7 Internet接口设置界面
2.2.4 设置redundant 冗余接口
选择Network > Interfaces > Redundant IF：单击New
图 2 8 redundant冗余接口界面
输入以下内容，单击OK
Interface Name : Redundant 1 ----------------建立red1接口
Zone Name ：Trust ---------将Red1接口 设置成Trust安全区域
IP Address / Netwask : 10.147.67.1/27 ----------输入IP地址和掩码
图 2 9 Redundant
图 2 10 redundant冗余接口界面
2.2.5 建立red1冗余接口的成员
选择Network > Interfaces >Ethernet 3/2：输入以下内容，单击OK
As member of group : redundant 1
图 2 11 建立red1冗余接口的成员界面
选择Network > Interfaces >Ethernet 3/1：输入以下内容，单击OK
As member of group : redundant 1
图 2 12 建立red1冗余接口的成员界面
图 2 13 建立red1冗余接口的成员界面
2.3 设置路由
2.3.1 路由表选择
Network > Routing >Routing Entries
图 2 14 路由表选择界面
2.3.2 增加默认路由
Network > Routing >Routing Entries > trust-vr > New，输入以下内容，单击OK。
Network Address / Netmask : 0.0.0.0 / 0
Gateway：
Interface: ethernet2/2
Gateway IP Address : 211.138.184.193 ------网关地址，CMNet6506接口地址
图 2 15 增加默认路由界面
2.3.3 增加内部网络的路由
Network > Routing >Routing Entries > trust-vr > New，输入以下内容，单击OK。
Network Address / Netmask : 10.147.70.0 / 255.255.255.0
Gateway：
Interface: redundant1
Gateway IP Address : 10.147.70.2 ------网关地址，F5 VRRP接口地址
输入10.147.70.30
图 2 16 增加内部网络的路由界面
2.4 NAT设置
2.4.1 设置Internet网端的NAT
Network > Internet（List）
图 2 17 设置Internet网端的NAT界面
选择正确的接口。Ethernet2/2接口是连接Internet接口，因此选择在该端口上设置NAT。
图 2 18 设置Internet网端的NAT界面
选择Network > Interface > Ethernet 2/2 > Edit > MIP （List） > NEW
图 2 19 设置Internet网端的NAT界面
输入以下内容，单击OK。
Mapped IP : 211.138.184.198 -------公网WWW服务器地址
Network : 255.255.255.255
Host IP Address : 10.147.67.68 -------内网WWW服务器网卡地址
Host Virtual Router Name :trust-vr
图 2 20 设置Internet网端的NAT界面
图 2 21 设置Internet网端的NAT界面
2.4.2 设置10.0.0.0网端的地址翻译
Network > Interface > Ethernet 2/1 > Edit
图 2 22 设置10.0.0.0网端的地址翻译界面
选择MIP。
图 2 23 设置10.0.0.0网端的地址翻译界面
输入以下内容，单击OK。
Mapped IP : 10.0.0.172 -------服务地址
Network : 255.255.255.255
Host IP Address : 10.147.67.5 -------F5 设备VIP 地址
Host Virtual Router Name :trust-vr
输入:10.147.70.5
图 2 24 设置10.0.0.0网端的地址翻译界面
2.5 端口服务
选择Objects > Services > Custom：
图 2 25 设置端口服务界面
选择，输入以下内容，单击OK。
图 2 26 设置端口服务界面
选择OK。
图 2 27 设置端口服务界面
增加其他的服务：
图 2 28 设置端口服务界面
2.6 定义策略
2.6.1 设置10.0.0.0网端访问防火墙内部业务处理机服务器的策略
选择Policy > From Untrust > To Global > New
图 2 29 定义策略界面
输入以下内容，单击OK。
Source Address : Address Book Entry :Any
Destination Address: Address book Entry : MIP（10.0.0.172）
Service : 点击 Multiple ，选择以下服务
Brower_ud
DNS
ENUM_DNS_IN
ENUM_DNS_OUT
FTP
HTTP
HTTPS
Push_tcp
Radius_udp
Smsc5016_tcp
Snmp_GET_SET-UDP
SNMP_Trap_udp
Action : Permit
Logging :√
图 2 30 定义策略界面
在选择service 的选择框。
图 2 31 定义策略界面
图 2 32 定义策略界面
2.6.2 内部网络访问外部网络的策略定义
Policy > From Trust > To Untrust > New
图 2 33 内部网络访问外部网络的策略定义界面
输入以下内容，单击OK
Source Address : Address Book Entry :Any
Destination Address: Address book Entry : Any
Service : any
Action : Permit
Logging :√
图 2 34 内部网络访问外部网络的策略定义界面
2.7 双机冗余NSRP配置
2.7.1 激活NSRP
选择Network > NSRP > Cluster ，输入以下内容，单击Apply
Cluster ID :1----------0是关闭NSRP功能，参数1-7 是激活NSRP
NSRP Authentication Password: Netscreen
NSRP Encryption Password: Netscreen
图 2 35 激活NSRP
2.7.2 设置VSD Group
选择Network > NSRP > VSD Group > Configuration，输入以下内容，单击OK。
Group ID :0
Priority :50
图 2 36 设置VSD Group NSRP
2.7.3 同步
选择Network > NSRP > Synchronization。
图 2 37 同步
2.7.4 监控端口
NSRP监控的端口出现故障，两台做双机的设备将切换主/备关系。
选择Network >NSRP > Monitor > Interface > VSD ID : 0 > Edit Interface。
图 2 38 监控端口
图 2 39 监控端口
2.7.5 同步另一台配置
本操作必须在超级终端中设置。同步过程中关键的信息只有在超级终端中才能看到。
该步骤将主防火墙的配置和备份防火墙的配置进行同步，设置前请先将主防火墙的配置备份一次。
使用超级终端登陆备份防火墙的console端口。
使用一下命令：
nsisg2000-> set hostname FW02 ----------设置主机名称
FW02->
FW02-> set int mgt ip 10.147.66.66/27 ---------设置管理端口的地址
FW02-> set int e1/1 zone ha ---------设置HA心跳端口
FW02-> set int e1/2 zone ha ---------设置HA心跳端口
FW02->set nsrp cluster id 1
FW02（B）->set nsrp vsd-group id 0 priority 100 -------设备状态切换到备份状态
FW02（B）->set nsrp rto-mirror sync ---------NSRP的配置
FW02（B）-> exec nsrp sync rto all from peer -------将从主设备上向备份主机同步会话状态信息
FW02（B）-> exec nsrp sync file from peer -------将从主设备上向备份主机同步配置信息
FW02（B）-> exec nsrp sync global-config check-sum ------将两台设备的配置进行校检，如有不同，备份的设备将会在重启后把主设备上的配置导入备份主机中
FW02（B）-> exec nsrp sync global-config save -----如有不同，备份的设备将会在重启后把主设备上的配置导入备份主机中
以下信息只有在超级终端上才有显示：
FW02 （B）-> exec nsrp sync global-config save
load peer system config to save
Save global configuration successfully.
Continue to save local configurations ... Save local configuration successfully.
done.
Please reset your box to let cluster configuration take effect!
FW02 （B）-> reset
System reset, are you sure? y/[n] y
In reset
重启备份防火墙，在重启的过程中，备份的防火墙将会从主设备上同步配置。
FW02 （B）-> reset
重启后在超级终端中显示如下：
System config （1242 bytes） loaded
.Done.
Local config （209 bytes） loaded
Load System Configuration
.......................................................Done
configuration in sync
System change state to Active（1）
Received all run-time-object from peer.
Login:
Login:
Netscreen防火墙的冗余配置结束，登录设备检查配置。
2.8 账号管理
选择Configuration > Admin > Administrators > Edit。
图 2 40 账号管理
2.9 配置文件备份
选择Configuration >Update > Config file > Save TO File。
图 2 41 配置文件备份
图 2 42 配置文件备份
选择配置文件保存的目录。
图 2 43 配置文件备份
2.10 版本升级步骤
升级前请将原有配置备份。建议升级过程中使用超级终端连接到防火墙的Console 端口上。
选择Configuration > Update > ScreenOS/KEY > Fireware Update （ScreenOS） > 浏览。
图 2 44 版本升级
选择文件 > 打开 > Apply。
图 2 45 版本升级
展开阅读全文
浙ICP备2021020529号-1 | 浙B2-20240490 
