九juniper防火墻技術(shù)基本原理管理高可用性

1、技術(shù)博客 http:/1914756383/郵件訂閱/KUCqX2Juniper簡(jiǎn)明實(shí)用手冊(cè)（版本號(hào)：V1.0） HYPERLINK http:/c/ http:/c技術(shù)博客 http:/1914756383/郵件訂閱/KUCqX2目錄1juniper 中文參考手冊(cè)重點(diǎn)章節(jié)導(dǎo)讀31.1第二卷：基本原理....81.1.9第一章：ScreenOS 體系結(jié)構(gòu)3第二章：路由表和靜態(tài)路由3第三章：區(qū)段3第四章：接口3第五章：接口模式4第六章：為策略構(gòu)建塊4第七章：策略4第八章：地址轉(zhuǎn)換4第十一章：系統(tǒng)參數(shù)51.2第三卷：管理51.

2、2.1第一章：管理51.2.2NetScreen設(shè)備51.3第八卷：高可用性.2JuniperNSRP5故障切換6初始化配置和72345查看系統(tǒng)概要信息8主菜單常用配置選項(xiàng)導(dǎo)航9Configration 配置菜單105.15.2Date/Time:日期和時(shí)間10Update 更新系統(tǒng)鏡像和配置文件115.2.1更新 ScreenOS 系統(tǒng)鏡像115.2.2更新 config file 配置文件12Admin 管理145.3.1Administrators 管理員賬戶管理Permitted IPs：允許哪些主機(jī)可以對(duì)進(jìn)行管理15第 1 頁 HYPERLINK

3、 http:/c/ http:/c技術(shù)博客 http:/1914756383/郵件訂閱/KUCqX26Networks 配置菜單166.16.2Zone 安全區(qū)16erfa接口配置..4查看接口狀態(tài)的概要信息18設(shè)置erface 接口的基本信息18設(shè)址轉(zhuǎn)換20設(shè)置接口 Secondary IP 地址246.3Routing 路由設(shè)置256.3.1查看路由表設(shè)置256.3.2創(chuàng)建新的路由條目26Policy 策略設(shè)置2777.17.2查看目前策略設(shè)置27創(chuàng)建策略2889對(duì)象 Object 設(shè)置30策略 PolicyReport32第 2 頁 HYPERLIN

4、K http:/c/ http:/c技術(shù)博客 http:/1914756383/郵件訂閱/KUCqX21 juniper 中文參考手冊(cè)重點(diǎn)章節(jié)導(dǎo)讀版本：Juniper5.0 中文參考手冊(cè)，內(nèi)容非常龐大和繁雜，其中很多介紹和功能實(shí)際應(yīng)用的可能性不大，為了讓大家盡快用最短的時(shí)間內(nèi)掌握J(rèn)uniper的實(shí)際操作，下面簡(jiǎn)單對(duì)參考手冊(cè)中的重點(diǎn)章節(jié)進(jìn)行一個(gè)總結(jié)和概括，掌握了這些內(nèi)容大家就可以基本能夠完成安全部署和的工作。1.1 第二卷：基本原理1.1.1第一章：ScreenOS 體系結(jié)構(gòu)安全區(qū)安全區(qū)接口策略1.1.2第二章：路由表和靜態(tài)路由配置靜態(tài)路由1.1.3第三章：區(qū)段安全區(qū)配置安全區(qū)功能區(qū)段：HA 區(qū)

5、段1.1.4第四章：接口接口類型：安全區(qū)接口：物理接口類型：安全區(qū)接口：功能區(qū)段接口察看接口配置安全區(qū)接口：將接口綁定到安全區(qū)、從安全區(qū)解除接口綁定、修3 HYPERLINK http:/c/ http:/c技術(shù)博客 http:/1914756383/郵件訂閱/KUCqX2IP 地址改接口、二級(jí) IP 地址1.1.5第五章：接口模式透明模式NAT 模式路由模式1.1.6第六章：為策略構(gòu)建塊地址：地址條目、地址組服務(wù)：預(yù)定義的服務(wù)、定務(wù)DIP 池：端口地址轉(zhuǎn)換、范例：創(chuàng)建帶有 PAT 的 DIP 池、范例：修改DIP 池、擴(kuò)展接口和 DIP時(shí)間表1.1.7第七章：策略三種類型的策略策略定義策略應(yīng)

6、用1.1.8第八章：地址轉(zhuǎn)換地址轉(zhuǎn)換簡(jiǎn)介源網(wǎng)絡(luò)地址轉(zhuǎn)換目的網(wǎng)絡(luò)地址轉(zhuǎn)換IP 地址虛擬 IP 地址4 HYPERLINK http:/c/ http:/c技術(shù)博客 http:/1914756383/郵件訂閱/KUCqX21.1.9 第十一章：系統(tǒng)參數(shù)/上傳設(shè)置和固件系統(tǒng)時(shí)鐘1.2 第三卷：管理1.2.1第一章：管理通過 WEB 用戶界面進(jìn)行管理通過命令行界面進(jìn)行管理管理的級(jí)別：根管理員、可讀/用戶寫管理員、只讀管理員、定義 Admin、更改Admin保證管理信息流的安全：更改端登錄名和、重置設(shè)備到出廠缺省設(shè)置、限制管理1.2.2NetScreen 設(shè)備日志信息事件日志信息流日志系統(tǒng)日志1.3 第

7、八卷：高可用性1.3.1 NSRPNSRP 概述NSRP和NETSCREEN的操作模式NSRP 集群VSD 組5 HYPERLINK http:/c/ http:/c技術(shù)博客 http:/1914756383/郵件訂閱/KUCqX2同步1.3.2故障切換設(shè)備故障切換(NSRP)VSD 組故障切換(NSRP)為設(shè)備或 VSD組故障切換配置對(duì)象6 HYPERLINK http:/c/ http:/c技術(shù)博客 http:/1914756383/郵件訂閱/KUCqX22 Juniper初始化配置和對(duì)一臺(tái)空配置的 Juniper可以用兩種方法去進(jìn)行：Console控制臺(tái)和 WEB。1. Console

8、控制臺(tái)：使用 Console 線連接到Juniper 的上的Console口，利用超級(jí)終端用 CLI 命令行界面進(jìn)行配置。2. 使用 WEB 界面：Juniper上默認(rèn)情況下在 E1 接口（trust）口有一個(gè)初始管理 IP 地址 ；可以把自己的筆記本和的 E1 口用一根交叉線連接起來，然后把本機(jī)的地址配置為 192.168.1.X ，之后就可以在本機(jī)上通過 IE瀏覽器登陸 的地址通過 WEB 界面對(duì)設(shè)備進(jìn)行配置了。注意 1：Juniper接口的 WEB 管理特性默認(rèn)只在 E1 接口（trust）口才啟用，也就是說有可能無法通過用 WEB 登陸其他接口進(jìn)行，除非提前已經(jīng)打開了相應(yīng)接口的 WEB

9、 管理選項(xiàng)。注意 2：如果 Juniper上有配置，不知道目前 E1 接口的 IP 地址，我們可以先通過 Console 控制臺(tái)用“geterface”令看一下目前 E1 口的IP 地址。注意 3：JuniperOS 5.0 以上的版本支持 MDI 和 MDIX 自適應(yīng)，也就是說的主機(jī)和 E1 口也可以用直通線進(jìn)行互連，但這種方式有失效的時(shí)候，如果出現(xiàn)用交叉線互連物理也無法 UP 的情況，可以在 Console 控制臺(tái)用 “ NS208- delete file flash:/ns_sys_config”刪除配置文件并重起防火墻的方式可以解決(Juniper 的 BUG)。注：系統(tǒng)默認(rèn)登陸用戶

10、名和口令都是：“netscreen”。7 HYPERLINK http:/c/ http:/c技術(shù)博客 http:/1914756383/郵件訂閱/KUCqX23查看系統(tǒng)概要信息使用 WEB 登陸的管理地址，進(jìn)入 GUI 管理界面，如上圖所示。左邊是主配置菜單。右邊最上方是系統(tǒng)啟動(dòng)以及時(shí)間信息，右上角顯示主機(jī)名。Device information：設(shè)備信息，顯示設(shè)備硬版本、序列號(hào)以及主機(jī)名。erface link sus：接口鏈路狀態(tài)，顯示接口所屬區(qū)和鏈路 UP/DOWN信息。ResourSus：資源狀況，顯示系統(tǒng) CPU 和內(nèi)存使用率以及目前的會(huì)話和策略是系統(tǒng)滿負(fù)荷的比例。（其中注意內(nèi)存使

11、用率是不真實(shí)的，在系統(tǒng)空負(fù)荷的情況下內(nèi)存占用率也會(huì)很高，是系統(tǒng)本身設(shè)計(jì)）。The most recent alarms：系統(tǒng)最近的信息8 HYPERLINK http:/c/ http:/c技術(shù)博客 http:/1914756383/郵件訂閱/KUCqX2The most recent events：系統(tǒng)最近的通告信息4 主菜單常用配置選項(xiàng)導(dǎo)航在主菜單中經(jīng)常用到的配置菜單如下，后面將針對(duì)這些常用配置選項(xiàng)進(jìn)行詳細(xì)的介紹。.5.Configuration：Date/Time；Update；Admin；Auth；Report SettingsNetwork：Zones；serfa；Ro

12、uting；NSRPObjects：Addresses；ServiReports：s只要能夠熟練掌握以上設(shè)置選項(xiàng)，就足以應(yīng)對(duì)改造和日常的工作。9 HYPERLINK http:/c/ http:/c技術(shù)博客 http:/1914756383/郵件訂閱/KUCqX25 Configration 配置菜單5.1 Date/Time:日期和時(shí)間準(zhǔn)確設(shè)置 Juniper的時(shí)鐘主要是為了使 LOG 信息都帶有正確的時(shí)間以便于分析和排錯(cuò)，設(shè)置時(shí)鐘主要有三種方法。1.2.3.用 CLI 命令行設(shè)置：set clock mm/dd/yyyy hh:mm:ss 。用 WEB 界面使用和客戶端本機(jī)的時(shí)鐘同步：簡(jiǎn)單

13、實(shí)用。用 WEB 界面配置 NTP 和 NTP 服務(wù)器的時(shí)鐘同步。10 HYPERLINK http:/c/ http:/c技術(shù)博客 http:/1914756383/郵件訂閱/KUCqX25.2 Update 更新系統(tǒng)鏡像和配置文件5.2.1更新 ScreenOS 系統(tǒng)鏡像11 HYPERLINK http:/c/ http:/c技術(shù)博客 http:/1914756383/郵件訂閱/KUCqX25.2.2更新 config file 配置文件在這個(gè)菜單中可以查看目前文本形式的配置文件，把目前的配置文件導(dǎo)出進(jìn)行備份，以及替換和更新目前的配置。注意單選框默認(rèn)是點(diǎn)選在“Merge to Curre

14、nt Configration”即和目前配置融合的位置，而一般是要完全替換目前的配置文件的，因此一定要注意把單選框點(diǎn)擊到“Replace Current Configration”。當(dāng)進(jìn)行配置替換的之后系統(tǒng)會(huì)自動(dòng)重起使新配置生效。TIP：進(jìn)行配置的替換必須用 ROOT 用戶進(jìn)行登陸，用 ReadWrite 用戶進(jìn)行登陸是無法進(jìn)行配置的替換的，只有融合配置的選項(xiàng)，替換目前配置的選項(xiàng)將會(huì)隱藏不可見，如下圖所示：12 HYPERLINK http:/c/ http:/c技術(shù)博客 http:/1914756383/郵件訂閱/KUCqX213 HYPERLINK http:/c/ http:/c技術(shù)博客

15、 http:/1914756383/郵件訂閱/KUCqX25.3 Admin 管理5.3.1Administrators 管理員賬戶管理只有用根 ROOT 用戶才能夠創(chuàng)建管理員賬戶?？梢赃M(jìn)行 ROOT 用戶賬戶用戶名和的更改，但此賬戶不能被刪除?？梢詣?chuàng)建只讀賬戶和讀寫賬戶，其中讀寫賬戶可以對(duì)設(shè)備的大部分配置進(jìn)行更改。14 HYPERLINK http:/c/ http:/c技術(shù)博客 http:/1914756383/郵件訂閱/KUCqX25.3.2Permitted IPs：允許哪些主機(jī)可以對(duì)進(jìn)行管理15 HYPERLINK http:/c/ http:/c技術(shù)博客 http:/1914756

16、383/郵件訂閱/KUCqX26 Networks 配置菜單6.1 Zone 安全區(qū)查看目前的安全區(qū)設(shè)置安全區(qū)內(nèi)必須有物理接口才會(huì)有實(shí)際意義，每一個(gè)安全區(qū)同時(shí)可以包含多個(gè)物理接口，但每一個(gè)物理接口同時(shí)只能屬于一個(gè)安全區(qū)。幾個(gè)系統(tǒng)默認(rèn)的安全區(qū)和接口：1：Trust 區(qū)包含 ETH1 口 2：Untrust 區(qū)包含 ETH4 口 3：DMZ 區(qū)包含 ETH3 口其他區(qū)必須進(jìn)行手工創(chuàng)建并把相應(yīng)物理接口放入安全區(qū)內(nèi)。選 Trust-Vr，多個(gè) VR 對(duì)虛擬路由沒有太大意義，不建議使用。16 HYPERLINK http:/c/ http:/c技術(shù)博客 http:/1914756383/郵件訂閱/KUC

17、qX2創(chuàng)建新的安全區(qū)：在輸入安全區(qū)名稱后其余選項(xiàng)均保持默認(rèn)值即可。17 HYPERLINK http:/c/ http:/c技術(shù)博客 http:/1914756383/郵件訂閱/KUCqX26.2erfa接口配置6.2.1查看接口狀態(tài)的概要信息接口概要顯示接口的 IP 地址信息，所屬安全區(qū)，接口類型和鏈路的狀態(tài)。其中接口類型除非是使用透明模式，否則都會(huì)是 Layer3 三層的。6.2.2 設(shè)置erface 接口的基本信息接口基本配置包括接口的 IP 地址掩碼，是否可以被管理，接口的模式以及接口的管理特性選項(xiàng)。18 HYPERLINK http:/c/ http:/c技術(shù)博客 http:/191

18、4756383/郵件訂閱/KUCqX2最上面的幾個(gè)是配置 NAT 地址轉(zhuǎn)換以及 IP等高級(jí)特性的。下面那個(gè)其中需要大家配置的地方是設(shè)置此物理接口屬于哪個(gè)安全區(qū)，從下拉框中點(diǎn)選，其他選項(xiàng)保持不變即可。Staitc IP 選擇框是設(shè)置接口的 IP 地址和掩碼信息的，其中有一個(gè) Mangeable的選項(xiàng)，只有選中才可以通過 WEB 或NET 登陸此地址進(jìn)行管理。Manage IP 框保持為空的時(shí)候系統(tǒng)會(huì)自動(dòng)把實(shí)際 IP 作為管理 IP 自動(dòng)加上。接口模式有路由模式和 NAT 模式：NAT 模式：從此接口進(jìn)入從其他口流出的流量源地址都會(huì)做轉(zhuǎn)換，即使在策略中不轉(zhuǎn)換地址池，源地址都會(huì)轉(zhuǎn)換為出站的接口地址。

19、路由模式：除非在策略定義中明確了轉(zhuǎn)換地址池，否則源地址都不會(huì)做轉(zhuǎn)換。由于路由模式比 NAT 模式更靈活，所以一般都會(huì)用路由模式。ETH1 口默認(rèn)是 NAT 模式，一定要注意把其更改為 Route 路由模式。19 HYPERLINK http:/c/ http:/c技術(shù)博客 http:/1914756383/郵件訂閱/KUCqX2Service options 服務(wù)選項(xiàng)：設(shè)置此接口是否允許被，WEB 或NET等方式進(jìn)行管理，默認(rèn)情況下 ETH1（內(nèi)網(wǎng)口）的都是打開的，而 ETH4 口(外網(wǎng)口)的 WEB 和NET 管理選項(xiàng)是關(guān)閉的，也就是說如果想從登陸 ETH4 口的 IP 進(jìn)行管理，必須把相應(yīng)

20、的 WEB 或最后的配置框可以保持默認(rèn)值。NET 選項(xiàng)點(diǎn)中。6.2.3 設(shè)址轉(zhuǎn)換Juniper的地址轉(zhuǎn)換有三種方式：MIP-靜態(tài)一對(duì)一地址轉(zhuǎn)換；VIP-虛擬一對(duì)多地址轉(zhuǎn)換；DIP-動(dòng)態(tài)多對(duì)多地址轉(zhuǎn)換。由于 MIP 和 VIP 地址轉(zhuǎn)換有一些規(guī)則限制，比如要轉(zhuǎn)換發(fā)起流量的源地址的時(shí)候，轉(zhuǎn)換后的地址必須和 ETH1 內(nèi)網(wǎng)口在同一個(gè)子網(wǎng)，否則無法配置。而 DIP 不受此規(guī)則的影響，同時(shí)可以完成 MIP 和 VIP 的功能，應(yīng)用和設(shè)置比較靈活，因此建議地址轉(zhuǎn)換采用 DIP 的方式。配置 MIP 靜態(tài)地址轉(zhuǎn)換20 HYPERLINK http:/c/ http:/c技術(shù)博客 http:/19147563

21、83/郵件訂閱/KUCqX2配置 MIP 靜態(tài)地址的時(shí)候要注意轉(zhuǎn)換后的虛擬地址要在數(shù)據(jù)流的出站接口上進(jìn)行配置：例如流量從 E1 口入從 E4 口出，我們把 192168.1.1 的地址轉(zhuǎn)換為 ，那么這個(gè) 的地址的 MIP 是做在出站接口，也就是 E4 口上的。新建 MIP 靜態(tài)地址當(dāng)使用靜態(tài) MIP 地址MIP 后的地址。時(shí)，對(duì)方發(fā)起的數(shù)據(jù)流的目的地地址要注意設(shè)置為21 HYPERLINK http:/c/ http:/c技術(shù)博客 http:/1914756383/郵件訂閱/KUCqX2設(shè)置 DIP 動(dòng)態(tài)地址轉(zhuǎn)換DIP 動(dòng)態(tài)地址轉(zhuǎn)換可以實(shí)現(xiàn)一對(duì)一，一對(duì)多，多對(duì)一和多對(duì)多的DIP 地址池和 MI

22、P 一樣要設(shè)置在出站接口上來實(shí)現(xiàn)源地址的翻譯。DIP 地址池可以和出站接口不再一個(gè)網(wǎng)段（使用擴(kuò)展 IP 技術(shù)）。是多對(duì)一的（多個(gè)客戶端一個(gè)服務(wù)器），必須使用 Port-Xlate 端如果口轉(zhuǎn)換特性（默認(rèn)設(shè)置，建議都使用這種方式）。如果 DIP 被策略則無法編輯和更改，必須先移除策略后才可以編輯。創(chuàng)建新的 DIP 地址池：22 HYPERLINK http:/c/ http:/c技術(shù)博客 http:/1914756383/郵件訂閱/KUCqX2如果 DIP 地址池和出站接口不在同一網(wǎng)段必須使用擴(kuò)展 IP 特性，把選擇框選擇到下方“he same as the extended ip”，并輸入一個(gè)

23、擴(kuò)展 IP 的地址。例如出站接口是 9X.2.244.1/28，而源地址出站時(shí)想轉(zhuǎn)換成 192.168.1.X的地址，那么在擴(kuò)展 IP 框中可以輸入 /24。擴(kuò)展 IP 地址可以使用一個(gè)地址也可以用一個(gè)網(wǎng)段，使用網(wǎng)段的方式。同一 DIP 地址網(wǎng)段可以同時(shí)分布在多個(gè)接口上，比如 9X.2.18.0 虛擬地址簿可以同時(shí)設(shè)置在 E1、E2 和 E3 口上。但同一個(gè) DIP 地址只能同時(shí)設(shè)置在一個(gè)接口上，比如 9X.2.18.1 地址只能設(shè)置在 E1 或 E2 或 E3 口上，不能同時(shí)在多個(gè)接口上都設(shè)置 9X.2.18.1。23 HYPERLINK http:/c/ http:/c技術(shù)博客 http:

24、/1914756383/郵件訂閱/KUCqX26.2.4設(shè)置接口 Secondary IP 地址24 HYPERLINK http:/c/ http:/c技術(shù)博客 http:/1914756383/郵件訂閱/KUCqX26.3 Routing 路由設(shè)置Juniper一般僅使用靜態(tài)路由，靜態(tài)路由的選路規(guī)則和路由器基本相同，例如最長(zhǎng)掩碼匹配優(yōu)先，接口如果 DOWN，相應(yīng)靜態(tài)條目會(huì)。6.3.1查看路由表設(shè)置路由都設(shè)在 trust-vr 中（默認(rèn)選項(xiàng)）。只有帶“*”號(hào)的才表示路由有效，等同于路由器 show ip route 的效果。添加的路由條目只能刪除，無法編輯。25 HYPERLINK http

25、:/c/ http:/c技術(shù)博客 http:/1914756383/郵件訂閱/KUCqX26.3.2創(chuàng)建新的路由條目目標(biāo)地址段可以寫 IP/掩碼也可以寫 IP/前綴；如 或者/24。下一跳默認(rèn)都是點(diǎn)在 Next Hop Virtual Router Name ； 一定要注意改點(diǎn)到 Gateway 處，否則路由不生效。接口和下一跳網(wǎng)關(guān)地址都要選擇和輸入。26 HYPERLINK http:/c/ http:/c技術(shù)博客 http:/1914756383/郵件訂閱/KUCqX27 Policy 策略設(shè)置7.1查看目前策略設(shè)置可以選擇查看從某個(gè)源安全區(qū)到某個(gè)目的安全區(qū)的策略，也可以選擇從 ALL到

26、ALL 來查看所有的策略。Service 是系統(tǒng)預(yù)定義或自定義的服務(wù)端。Action 動(dòng)作是指策略是允許或，允許是一個(gè)對(duì)勾，是一個(gè) X，另外如果是綠表說明沒有做源地址轉(zhuǎn)換，藍(lán)表說明做了源地址轉(zhuǎn)換。在 Option 下如果有一個(gè)小記事本的圖表，說明流通過時(shí)可以看到詳細(xì)的地址轉(zhuǎn)換情況。要此數(shù)據(jù)流，當(dāng)數(shù)據(jù)生效：可以通過取消對(duì)勾讓本策略暫時(shí)失效。27 HYPERLINK http:/c/ http:/c技術(shù)博客 http:/1914756383/郵件訂閱/KUCqX2移動(dòng)：可以調(diào)整策略查找的順序，策略的查找和匹配默認(rèn)是從上到下，可以通過移動(dòng)來控制策略生效的順序。7.2創(chuàng)建策略源地址和目的地址如果以前曾經(jīng)設(shè)置過，可以用下拉菜單進(jìn)行選擇，否則需要在 New Address 新地址欄進(jìn)行輸入。如果地址曾經(jīng)輸入過，做策略時(shí)仍在 New Address 欄中進(jìn)行輸入，點(diǎn)擊確定的時(shí)候系統(tǒng)會(huì)出現(xiàn)重復(fù) IP 地址條目的提示信息，但不影響策略的設(shè)置。檢測(cè)的配置如果自己不是特別了解應(yīng)用的特性建議不要做任何配置，保持原有默認(rèn)配置不變。在進(jìn)行調(diào)試時(shí)建議打開 LOG，看是否有數(shù)據(jù)流通過及地址轉(zhuǎn)換情況。28 HYPERLINK http:/c/ http:/c技術(shù)博客 http:/1914756383/郵件訂閱/KUCqX2如果要進(jìn)行源或目的地址的轉(zhuǎn)換需要點(diǎn)擊高級(jí)選項(xiàng)進(jìn)入二級(jí)