下载文档原格式
Juniper 防火墙策略路由配置一、网络拓扑图要求：1、默认路由走电信；2、源地址为192.168.1.10 的pc 访问电信1.0.0.0/8 的地址，走电信，访问互联网走网通；二、建立extended acl1、选择network---routing---pbr---extended acl list,点击new 添加：Extended acl id:acl 编号Sequence No.：条目编号源地址：192.168.1.10/32 目的地址：1.0.0.0/8 Protocol：选择为any端口号选择为：1-65535 点击ok：2、点击add seg No.再建立一条同样的acl，但protocol 为icmp，否则在trace route 的时候仍然后走默认路由:3、建立目的地址为0.0.0.0 的acl：切记添加一条协议为icmp 的acl；命令行：set access-list extended 10 src-ip 192.168.1.10/32 dst-ip 1.0.0.0/8 src-port 1-65535 dst-port 1-65535 protocol any entry 10set access-list extended 10 src-ip 192.168.1.10/32 dst-ip 1.0.0.0/8 protocol icmp entry 20set access-list extended 20 src-ip 192.168.1.10/32 dst-ip 0.0.0.0/0 src-port 1-65535 dst-port 1-65535 protocol any entry 10set access-list extended 20 src-ip 192.168.1.10/32 dst-ip 0.0.0.0/0 protocolicmp entry 20三、配置match group：1、network---routing---pbr---match group，点击add：Match group 的作用就是关联acl按照同样的方法将两个acl 进行关联：命令行：set match-group name group_10set match-group group_10 ext-acl 10 match-entry 10set match-group name group_20set match-group group_20 ext-acl 20 match-entry 10四、配置action group：1、network---routing---pbr---action group，点击add：在这里指定下一跳接口和地址。
附录A网络拓扑图中常用的图标1．交换机类图标2．路由器类图标固化汇聚交换机模块化汇聚交换机核心交换机二层堆叠交换机三层堆叠交换机接入交换机高端路由器中低端路由器VOICE多业务路由器附录 A 网络拓扑图中常用的图标·1·3．无线网络设备类图标4．网络安全设备类图标5．服务器类图标IPS 入侵检测系统 VPN 网关 IDS 入侵检测系统 防火墙-02 单路AP 双路AP室外天线天线网桥-01 天线网桥-02天线交换机 天线网卡-01天线网卡-02 笔记本+天线网卡加密隧道-02 加密隧道-01 SOHO 多业务路由器IPv6多业务路由器防火墙-01加密锁USB Key VPN 客户端软件计算机网络工程实用教程·2·6．PC 机与笔记本类图标视频服务器数据库服务器 通用服务器-02Web服务器 台式机 笔记本-01 笔记本-02 液晶显示器 电视机通用服务器-03SMP 服务器TMS 服务器LIMP 服务器Strar View 服务器认证客户端服务器群-01服务器群-02SAM 服务器 通用服务器-01文件服务器 SAS 服务器CA 服务器打印服务器附录 A 网络拓扑图中常用的图标·3·7．用户/办公设备类图标8．建筑环境类图标用户-男 用户-女用户群办公会议黑客-01 黑客-02 黑客-03 打印机 多功能一体机电话 可视电话 IP 电话 PDA 手机制造业商业中心 小区 企业住宅 办公楼酒店-01 酒店-02教育-01 教育-02金融政府 医疗公检法邮政计算机网络工程实用教程·4·9．网络/线路类图标10．其他Modem 池 RACK 实验台磁盘阵列磁带库空磁盘钥匙证书Modem 网络基地。
Netscreen 204防火墙/VPN NSRP(HA)冗余设置步骤目录一、网络拓扑结构图 (3)二、设置步骤 (3)三、命令行配置方式 (4)四、图形界面下的配置步骤 (8)设置前请先将在线主防火墙的配置备份一次，具体步骤请参考《维护文档》一、网络拓扑结构图二、设置步骤1、将两台防火墙的第四个端口连接在一起，我们设置将原有防火墙设置为主防火墙，新增加的防火墙为备份的防火墙，备份的防火墙只连接第四个端口，其他的端口将在防火墙配置完毕后才连接上2、使用终端线缆连接到防火墙的Console口，超级终端参数设置为9600-8-无-1-无。
三、命令行配置方式蓝色字体为在超级终端上输入的命令3.1、主防火墙配置，（移动公司在线使用的Netscreen-204防火墙）ns204>unset interface e4 ip将端口4的IP地址删除，ns204>set interface e4 zone ha将端口4和HA区域绑定一起配置NSRPns204->ns204->ns204-> get nsrp查看NSRP配置信息nsrp version: 2.0cluster info:cluster id not set: nsrp is inactive 默认的情况下NSRP没有击活VSD group info:init hold time: 5heartbeat lost threshold: 3heartbeat interval: 1000(ms)group priority preempt holddown inelig master PB other memberstotal number of vsd groups: 0Total iteration=3808,time=2721060,max=880,min=286,average=714RTO mirror info:run time object sync: disabledping session sync: enabledcoldstart sync donensrp link info:no nsrp link has been defined yetNSRP encryption: disabled--- more ---NSRP authentication: disabledNSRP monitor interface: nonenumber of gratuitous arps: 4 (default)track ip: disabledns204-> set nsrp cluster id 1 设置cluster组号ns204(M)-> set nsrp vsd id 0 设置VSD的组号,这条命令可以不用输入，因为Netscreen防火墙的默认的虚拟安全数据库（VSD）的值是0。
