Juniper防火墙快速配置.doc

目 录 1,前言. 4 1.1,JUNIPER防火墙配置概述. 4 1.2,JUNIPER防火墙管理配置的基本信息. 4 1.3,JUNIPER防火墙的常用功能. 6 2,JUNIPER防火墙三种部署模式及基本配置. 6 2.1,NAT模式. 6 2.2,ROUTE模式. 7 2.3,透明模式. 8 2.4,基于向导方式的NAT/ROUTE模式下的基本配置. 9 2.5,基于非向导方式的NAT/ROUTE模式下的基本配置.18 2.5.1,NS-5GT NAT/Route模式下的基本配置. 19 2.5.2,非NS-5GT NAT/Route模式下的基本配置. 20 2.6,基于非向导方式的透明模式下的基本配置. 21 3,JUNIPER防火墙几种常用功能的配置. 22 3.1,MIP的配置. 22 3.1.1,使用Web浏览器方式配置MIP. 23 3.1.2,使用命令行方式配置MIP. 25 3.2,VIP的配置. 25 3.2.1,使用Web浏览器方式配置VIP . 26 3.2.2,使用命令行方式配置VIP . 27 3.3,DIP的配置. 28 3.3.1,使用Web浏览器方式配置DIP . 28 3.3.2,使用命令行方式配置DIP . 30 4,JUNIPER防火墙IPSEC VPN的配置. 30 4.1,站点间IPSEC VPN配置:STAIC IP-TO-STAIC IP.30 4.1.1,使用Web浏览器方式配置. 31 4.1.2,使用命令行方式配置. 35 4.2,站点间IPSEC VPN配置:STAIC IP-TO-DYNAMIC IP. 37 4.2.1,使用Web浏览器方式配置. 38 4.2.1,使用命令行方式配置. 41 5,JUNIPER中低端防火墙的UTM功能配置. 43 5.1,防病毒功能的设置. 44 5.1.1,Scan Manager的设置. 44 5.1.2,Profile的设置. 45 5.1.3,防病毒profile在安全策略中的引用. 47 5.2,防垃圾邮件功能的设置. 49 5.2.1,Action 设置. 50 5.2.2,White List与Black List的设置. 50 5.2.3,防垃圾邮件功能的引用. 52 5.3,WEB/URL过滤功能的设置. 52 5.3.1,转发URL过滤请求到外置URL过滤服务器. 52 5.3.2,使用内置的URL过滤引擎进行URL过滤. 54 5.3.3,手动添加过滤项. 55 5.4,深层检测功能的设置. 59 5.4.1,设置DI攻击特征库自动更新. 59 5.4.2,深层检测(DI)的引用. 60 6,JUNIPER防火墙的HA(高可用性)配置. 62 6.1,使用WEB浏览器方式配置. 63 6.2,使用命令行方式配置. 65 7,JUNIPER防火墙一些实用工具. 66 7.1,防火墙配置文件的导出和导入. 66 7.1.1,配置文件的导出. 67 7.1.2,配置文件的导入. 67 7.2,防火墙软件(SCREENOS)更新. 68 7.3,防火墙恢复密码及出厂配置的方法. 69 8,JUNIPER防火墙的一些概念. 69 关于本手册的使用: 本手册更多的从实际使用的角度去编写,如果涉及到的一些概念上的东西表述不够透彻,清晰,请使用者自行去参考其它资料进行查证; 本手册在编写的过程中对需要使用者特别注意的地方,都有注标识,请读者仔细阅读相关内容;对于粗体,红,蓝色标注的地方也需要多注意; 本着技术共享的原则,我们编写了该手册,希望对销售以及使用Juniper防火墙的相应技术人员有所帮助,在使用过程中有任何建议可反馈到:chuang_li.hk;jiajun_xiong.hk; 本手册版权归联强国际(香港)有限公司所有,严禁盗版. 1,前言 我们制作本安装手册的目的是使初次接触Juniper网络安全防火墙设备(在本安装手册中简称为Juniper防火墙)的工程技术人员,可以通过此安装手册完成对Juniper防火墙基本功能的实现和应用. 1.1,Juniper防火墙配置概述 Juniper防火墙作为专业的网络安全设备,可以支持各种复杂网络环境中的网络安全应用需求;但是由于部署模式及功能的多样性使得Juniper防火墙在实际部署时具有一定的复杂性. 在配置Juniper防火墙之前我们通常需要先了解用户现有网络的规划情况和用户对防火墙配置及实现功能的诸多要求,建议参照以下思路和步骤对Juniper防火墙进行配置和管理. 基本配置: 1. 确认防火墙的部署模式:NAT模式,路由模式,或者透明模式; 2. 为防火墙的端口配置IP地址(包括防火墙的管理IP地址),配置路由信息; 3. 配置访问控制策略,完成基本配置. 其它配置: 1. 配置基于端口和基于地址的映射; 2. 配置基于策略的VPN; 3. 修改防火墙默认的用户名,密码以及管理端口. 1.2,Juniper防火墙管理配置的基本信息 Juniper防火墙常用管理方式: 通过Web浏览器方式管理.推荐使用IE浏览器进行登录管理,需要知道防火墙对应端口的管理IP地址; 命令行方式.支持通过Console端口超级终端连接和Telnet防火墙管理IP地址连接两种命令行登录管理模式. Juniper防火墙默认端口绑定说明: 型号 端口命名方式(从左往右计数) 配置界面端口形式 NS-5GT 1口为Untrust接口;2-4口为Trust接口; Interface:untrust,trust NS25 1口为Trust接口;2口为DMZ接口;3口为Untrust接口;4口为Null Interface:1口为ethernet1,2口为ethernet2,其他接口顺序后推 NS50-204 1口为Trust接口;2口为DMZ接口;3口为Untrust接口;4口为HA接口 Interface:1口为ethernet1,2口为ethernet2,其他接口顺序后推 NS208 1口为Trust接口;2口为DMZ接口;3口为Untrust接口;4-7口为Null接口;8口为HA接口; Interface:1口为ethernet1,2口为ethernet2,其他接口顺序后推 SSG5 1口为Untrust接口;2口为DMZ接口;3-7口为Trust接口; Interface:1口为ethernet0/0,2口为ethernet0/1,其他接口顺序后推 SSG20 1口为Untrust接口;2口为DMZ接口;3-5口为Trust接口; Interface:1口为ethernet0/0,2口为ethernet0/1,其他接口顺序后推 SSG140 1口为Trust接口;2口为DMZ接口;3口为Untrust接口;4-10口为Null接口; Interface:1口为ethernet0/0,2口为ethernet0/1,其他接口顺序后推 SSG520-550 1口为Trust接口;2口为DMZ接口;3口为Untrust接口;4口为Null接口; Interface:1口为ethernet0/0,2口为ethernet0/1,其他接口顺序后推 Juniper防火墙缺省管理端口和IP地址: Juniper防火墙出厂时可通过缺省设置的IP地址使用Telnet或者Web方式管理.缺省IP地址为:192.168.1.1/255.255.255.0; 缺省IP地址通常设置在防火墙的Trust端口上(NS-5GT),最小端口编号的物理端口上(NS-25/50/204/208/SSG系列),或者专用的管理端口上(ISG-1000/2000,NS-5200/5400). Juniper防火墙缺省登录管理账号: 用户名:netscreen; 密 码:netscreen. 1.3,Juniper防火墙的常用功能 在一般情况下,防火墙设备的常用功能包括:透明模式的部署,NAT/路由模式的部署,NAT的应用,MIP的应用,DIP的应用,VIP的应用,基于策略VPN的应用. 本安装手册将分别对以上防火墙的配置及功能的实现加以说明. 注:在对MIP/DIP/VIP等Juniper防火墙的一些基本概念不甚了解的情况下,请先到本手册最后一章节内容查看了解! 2,Juniper防火墙三种部署模式及基本配置 Juniper防火墙在实际的部署过程中主要有三种模式可供选择,这三种模式分别是: 基于TCP/IP协议三层的NAT模式; 基于TCP/IP协议三层的路由模式; 基于二层协议的透明模式. 2.1,NAT模式 当Juniper防火墙入口接口(内网端口)处于NAT模式时,防火墙将通往 Untrust 区(外网或者公网)的IP 数据包包头中的两个组件进行转换:源 IP 地址和源端口号. 防火墙使用 Untrust 区(外网或者公网)接口的 IP 地址替换始发端主机的源 IP 地址;同时使用由防火墙生成的任意端口号替换源端口号. NAT模式应用的环境特征: 注册IP地址(公网IP地址)的数量不足; 内部网络使用大量的非注册IP地址(私网IP地址)需要合法访问Internet; 内部网络中有需要外显并对外提供服务的服务器. 2.2,Route模式 当Juniper防火墙接口配置为路由模式时,防火墙在不同安全区间(例如:Trust/Utrust/DMZ)转发信息流时IP 数据包包头中的源地址和端口号保持不变(除非明确采用了地址翻译策略). 与NAT模式下不同,防火墙接口都处于路由模式时,防火墙不会自动实施地址翻译; 与透明模式下不同,当防火墙接口都处于路由模式时,其所有接口都处于不同的子网中. 路由模式应用的环境特征: 防火墙完全在内网中部署应用; NAT模式下的所有环境; 需要复杂的地址翻译. 2.3,透明模式 当Juniper防火墙接口处于透明模式时,防火墙将过滤通过的IP数据包,但不会修改 IP数据包包头中的任何信息.防火墙的作用更像是处于同一VLAN的2 层交换机或者桥接器,防火墙对于用户来说是透明的. 透明模式是一种保护内部网络从不可信源接收信息流的方便手段.使用透明模式有以下优点: 不需要修改现有网络规划及配置; 不需要实施 地址翻译; 可以允许动态路由协议,Vlan trunking的数据包通过. 2.4,基于向导方式的NAT/Route模式下的基本配置 Juniper防火墙NAT和路由模式的配置可以在防火墙保持出厂配置启动后通过Web浏览器配置向导完成. 注:要启动配置向导,则必须保证防火墙设备处于出厂状态.例如:新的从未被调试过的设备,或者经过命令行恢复为出厂状态的防火墙设备. 通过Web浏览器登录处于出厂状态的防火墙时,防火墙的缺省管理参数如下: 缺省IP:192.168.1.1/255.255.255.0; 缺省用户名/密码:netscreen/ netscreen; 注:缺省管理IP地址所在端口参见在前言部份讲述的Juniper防火墙缺省管理端口和IP地址中查找! 在配置向导实现防火墙应用的同时,我们先虚拟一个防火墙设备的部署环境,之后,根据这个环境对防火墙设备进行配置. 防火墙配置规划: 防火墙部署在网络的Internet出口位置,内部网络使用的IP地址为192.168.1.0/255.255.255.0所在的网段,内部网络计算机的网关地址为防火墙内网端口的IP地址:192.168.1.1; 防火墙外网接口IP地址(通常情况下为公网IP地址,在这里我们使用私网IP地址模拟公网IP地址)为:10.10.10.1/255.255.255.0,网关地址为:10.10.10.251 要求: 实现内部访问Internet的应用. 注:在进行防火墙设备配置前,要求正确连接防火墙的物理链路;调试用的计算机连接到防火墙的内网端口上. 1. 通过IE或与IE兼容的浏览器(推荐应用微软IE浏览器)使用防火墙缺省IP地址登录防火墙(建议:保持登录防火墙的计算机与防火墙对应接口处于相同网段,直接相连). 2. 使用缺省IP登录之后,出现安装向导: 注:对于熟悉Juniper防火墙配置的工程师,可以跳过该配置向导,直接点选:No,skip the wizard and go straight to the WebUI management session instead,之后选择Next,直接登录防火墙设备的管理界面. 3. 使用向导配置防火墙,请直接选择:Next,弹出下面的界面: 4. 欢迎使用配置向导,再选择Next. 注:进入登录用户名和密码的修改页面,Juniper防火墙的登录用户名和密码是可以更改的,这个用户名和密码的界面修改的是防火墙设备上的根用户,这个用户对于防火墙设备来说具有最高的权限,需要认真考虑和仔细配置,保存好修改后的用户名和密码. 5. 在完成防火墙的登录用户名和密码的设置之后,出现了一个比较关键的选择,这个选择决定了防火墙设备是工作在路由模式还是工作在NAT模式: 选择Enable NAT,则防火墙工作在NAT模式; 不选择Enable NAT,则防火墙工作在路由模式. 6. 防火墙设备工作模式选择,选择:Trust-Untrust Mode模式.这种模式是应用最多的模式,防火墙可以被看作是只有一进一出的部署模式. 注:NS-5GT防火墙作为低端设备,为了能够增加低端产品应用的多样性,Juniper在NS-5GT的OS中独立开发了几种不同的模式应用于不同的环境.目前,除NS-5GT以外,Juniper其他系列防火墙不存在另外两种模式的选择. 7. 完成了模式选择,点击Next进行防火墙外网端口IP配置.外网端口IP配置有三个选项分别是:DHCP自动获取IP地址;通过PPPoE拨号获得IP地址;手工设置静态IP地址,并配置子网掩码和网关IP地址. 在这里,我们选择的是使用静态IP地址的方式,配置外网端口IP地址为:10.10.10.1/255.255.255.0,网关地址为:10.10.10.251. 8. 完成外网端口的IP地址配置之后,点击Next进行防火墙内网端口IP配置: 9. 在完成了上述的配置之后,防火墙的基本配置就完成了,点击Next进行DHCP服务器配置. 注:DHCP服务器配置在需要防火墙在网络中充当DHCP服务器的时候才需要配置.否则请选择NO跳过. 注:上面的页面信息显示的是在防火墙设备上配置实现一个DHCP服务器功能,由防火墙设备给内部计算机用户自动分配IP地址,分配的地址段为:192.168.1.100-192.168.1.150一共51个IP地址,在分配IP地址的同时,防火墙设备也给计算机用户分配了DNS服务器地址,DNS用于对域名进行解析,如:将WWW.SINA.COM.CN解析为IP地址:202.108.33.32.如果计算机不能获得或设置DNS服务器地址,无法访问互联网. 10. 完成DHCP服务器选项设置,点击Next会弹出之前设置的汇总信息: 11. 确认配置没有问题,点击Next会弹出提示Finish配置对话框: 在该界面中,点选:Finish之后,该Web页面会被关闭,配置完成. 此时防火墙对来自内网到外网的访问启用基于端口地址的NAT,同时防火墙设备会自动在策略列表部分生成一条由内网到外网的访问策略: 策略:策略方向由Trust到Untrust,源地址:ANY,目标地址:ANY,网络服务内容:ANY; 策略作用:允许来自内网的任意IP地址穿过防火墙访问外网的任意地址. 重新开启一个IE页面,并在地址栏中输入防火墙的内网端口地址,确定后,出现下图中的登录界面.输入正确的用户名和密码,登录到防火墙之后,可以对防火墙的现有配置进行修改. 总结: 上述就是使用Web浏览器通过配置向导完成的防火墙NAT或路由模式的应用.通过配置向导,可以在不熟悉防火墙设备的情况下,配置简单环境的防火墙应用. 2.5,基于非向导方式的NAT/Route模式下的基本配置 基于非向导方式的NAT和Route模式的配置建议首先使用命令行开始,最好通过控制台的方式连接防火墙,这个管理方式不受接口IP地址的影响. 注:在设备缺省的情况下,防火墙的信任区(Trust Zone)所在的端口是工作在NAT模式的,其它安全区所在的端口是工作在路由模式的. 基于命令行方式的防火墙设备部署的配置如下(网络环境同上一章节所讲述的环境): 2.5.1,NS-5GT NAT/Route模式下的基本配置 注:NS-5GT设备的物理接口名称叫做trust和untrust;缺省Zone包括:trust和untrust,请注意和接口区分开. Unset interface trust ip (清除防火墙内网端口的IP地址); Set interface trust zone trust(将内网端口分配到trust zone); Set interface trust ip 192.168.1.1/24(设置内网端口的IP地址,必须先定义zone,之后再定义IP地址); Set interface untrust zone untrust(将外网口分配到untrust zone); Set interface untrust ip 10.10.10.1/24(设置外网口的IP地址); Set route 0.0.0.0/0 interface untrust gateway 10.10.10.251(设置防火墙对外的缺省路由网关地址); Set policy from trust to untrust any any any permit log(定义一条由内网到外网的访问策略.策略的方向是:由zone trust 到 zone untrust, 源地址为:any,目标地址为:any,网络服务为:any,策略动作为:permit允许,log:开启日志记录); Save (保存上述的配置文件). 2.5.2,非NS-5GT NAT/Route模式下的基本配置 Unset interface ethernet1 ip(清除防火墙内网口缺省IP地址); Set interface ethernet1 zone trust(将ethernet1端口分配到trust zone); Set interface ethernet1 ip 192.168.1.1/24(定义ethernet1端口的IP地址); Set interface ethernet3 zone untrust(将ethernet3端口分配到untrust zone); Set interface ethernet3 ip 10.10.10.1/24(定义ethernet3端口的IP地址); Set route 0.0.0.0/0 interface ethernet3 gateway 10.10.10.251(定义防火墙对外的缺省路由网关); Set policy from trust to untrust any any any permit log(定义由内网到外网的访问控制策略); Save (保存上述的配置文件) 注:上述是在命令行的方式上实现的NAT模式的配置,因为防火墙出厂时在内网端口(trust zone所属的端口)上启用了NAT,所以一般不用特别设置,但是其它的端口则工作在路由模式下,例如:untrust和DMZ区的端口. 如果需要将端口从路由模式修改为NAT模式,则可以按照如下的命令行进行修改: Set interface ethernet2 NAT (设置端口2为NAT模式) Save 总结: NAT/Route模式做防火墙部署的主要模式,通常是在一台防火墙上两种模式混合进行(除非防火墙完全是在内网应用部署,不需要做NAT-地址转换,这种情况下防火墙所有端口都处于Route模式,防火墙首先作为一台路由器进行部署); 关于配置举例,NS-5GT由于设备设计上的特殊性,因此专门列举加以说明;Juniper在2006年全新推出的SSG系列防火墙,除了端口命名不一样,和NS系列设备管理配置方式一样. 2.6,基于非向导方式的透明模式下的基本配置 实现透明模式配置建议采用命令行的方式,因为采用Web的方式实现时相对命令行的方式麻烦.通过控制台连接防火墙的控制口,登录命令行管理界面,通过如下命令及步骤进行二层透明模式的配置: Unset interface ethernet1 ip(将以太网1端口上的默认IP地址删除); Set interface ethernet1 zone v1-trust(将以太网1端口分配到v1-trust zone:基于二层的安全区,端口设置为该安全区后,则端口工作在二层模式,并且不能在该端口上配置IP地址); Set interface ethernet2 zone v1-dmz(将以太网2端口分配到v1-dmz zone); Set interface ethernet3 zone v1-untrust(将以太网3端口分配到v1-untrust zone); Set interface vlan1 ip 192.168.1.1/24(设置VLAN1的IP地址为:192.168.1.1/255.255.255.0,该地址作为防火墙管理IP地址使用); Set policy from v1-trust to v1-untrust any any any permit log(设置一条由内网到外网的访问策略); Save(保存当前的配置); 总结: 带有V1-字样的zone为基于透明模式的安全区,在进行透明模式的应用时,至少要保证两个端口的安全区工作在二层模式; 虽然Juniper防火墙可以在某些特殊版本工作在混合模式下(二层模式和三层模式的混合应用),但是通常情况下,建议尽量使防火墙工作在一种模式下(三层模式可以混用:NAT和路由). 3,Juniper防火墙几种常用功能的配置 这里讲述的Juniper防火墙的几种常用功能主要是指基于策略的NAT的实现,包括:MIP,VIP和DIP,这三种常用功能主要应用于防火墙所保护服务器提供对外服务. 3.1,MIP的配置 MIP是一对一的双向地址翻译(转换)过程.通常的情况是:当你有若干个公网IP地址,又存在若干的对外提供网络服务的服务器(服务器使用私有IP地址),为了实现互联网用户访问这些服务器,可在Internet出口的防火墙上建立公网IP地址与服务器私有IP地址之间的一对一映射(MIP),并通过策略实现对服务器所提供服务进行访问控制. MIP应用的网络拓扑图: 注:MIP配置在防火墙的外网端口(连接Internet的端口). 3.1.1,使用Web浏览器方式配置MIP 登录防火墙,将防火墙部署为三层模式(NAT或路由模式); 定义MIP:Network=Interface=ethernet2=MIP,配置实现MIP的地址映射.Mapped IP:公网IP地址,Host IP:内网服务器IP地址 定义策略:在POLICY中,配置由外到内的访问控制策略,以此允许来自外部网络对内部网络服务器应用的访问. 3.1.2,使用命令行方式配置MIP 配置接口参数 set interface ethernet1 zone trust set interface ethernet1 ip 10.1.1.1/24 set interface ethernet1 nat set interface ethernet2 zone untrust set interface ethernet2 ip 1.1.1.1/24 定义MIP set interface ethernet2 mip 1.1.1.5 host 10.1.1.5 netmask 255.255.255.255 vrouter trust-vr 定义策略 set policy