下载文档原格式
概述juniper防火墙的双机具有高冗余性和安全性，便于管理，分为三种组网模式：layer3的A/P组网模式layer3的full-mesh的A/P组网模式layer3的full-mesh的A/A组网模式其中layer3A/P模式对环境要求最低，是业界广为流行的配置。
但是，其利用率不高，同一时间只有一台防火墙处理网络流量，一侧链路和设备出现故障时提供冗余切换。
配置要求硬件和软件版本相同，接口编号相同，放入HA的接口要统一。
配置时只需清空备的那一台，然后将HA、manger ip 、MGT端口ip，及个性化配置即可。
两台防火墙用e4口连接。
配置主防火墙unset interface e4 ip//清空e4口的ip地址set interface e4 zone ha//将e4口和HA区域绑定//-----配置NSRP----set nsrp cluster id 1//设置cluster组号set nsrp vsd id 0//设置虚拟安全数据库的组号0set nsrp vsd-group id 0 priority 50//设置nsrp主设备的优先级（优先级数值越大，优先级越小）set nsrp rto syn//设置配置同步set nsrp vsd-group id 0 monitor interface ethernet3set nsrp vsd-group id 0 monitor interface ethernet1//设置防火墙监控的端口//只有当备份防火墙配置之后，主设备上才能检测到备防火墙的状态（get nsrp）set nsrp vsd-group hb-interval 200//设置心跳信息每隔200秒发送问候信息set nsrp vsd-group hb-threshold 3//设置心跳信息总共发出3次问候信息save//保存配置备防火墙unset all//恢复出厂设置set interface e4 zone ha//将e4和ha区域绑定set nsrp cluster id 1//设置cluster组号set nsrp vsd id 0//设置vsd组号set nsrp vsd-group id 0 priority 100//设置nsrp主设备的优先级（优先级数值越大，优先级越小）set nsrp rto syn//设置配置同步set nsrp vsd-group id 0 monitor interface ethernet3set nsrp vsd-group id 0 monitor interface ethernet1//设置防火墙监控的端口set nsrp vsd-group hb-interval 200//设置心跳信息每隔200秒发送问候信息set nsrp vsd-group hb-threshold 3//设置心跳信息总共发出3次问候信息save //保存同步配置在备机上操作exec nsrp sync global-config check-sum//将两台设备的配置进行校检，如有不同，备份的设备将会在重启后把主设备上的配置导入备份主机中exec nsrp sync global-config save//如有不同，备份的设备将会在重启后把主设备上的配置导入备份主机中。
juniper防火墙详细配置手册Juniper防火墙简明实用手册（版本号：V1.0）目录1juniper中文参考手册重点章节导读 (4)1.1第二卷：基本原理41.1.1第一章：ScreenOS 体系结构41.1.2第二章：路由表和静态路由41.1.3第三章：区段41.1.4第四章：接口41.1.5第五章：接口模式51.1.6第六章：为策略构建块51.1.7第七章：策略51.1.8第八章：地址转换51.1.9第十一章：系统参数61.2第三卷：管理61.2.1第一章：管理61.2.2监控NetScreen 设备61.3第八卷：高可用性61.3.1...................................................... NSRP61.3.2故障切换72Juniper防火墙初始化配置和操纵 (8)3查看系统概要信息 (9)4主菜单常用配置选项导航 (10)5Configration配置菜单 (11)5.1Date/Time:日期和时间115.2Update更新系统镜像和配置文件125.2.1更新ScreenOS系统镜像125.2.2更新config file配置文件135.3Admin管理155.3.1Administrators管理员账户管理155.3.2Permitted IPs：允许哪些主机可以对防火墙进行管理166Networks配置菜单 (17)6.1Zone安全区176.2Interfaces接口配置196.2.1查看接口状态的概要信息196.2.2设置interface接口的基本信息196.2.3设置地址转换216.2.4设置接口Secondary IP地址256.3Routing路由设置266.3.1查看防火墙路由表设置266.3.2创建新的路由条目277Policy策略设置 (28)7.1查看目前策略设置287.2创建策略298对象Object设置 (31)9策略Policy报告Report (33)1juniper中文参考手册重点章节导读版本：Juniper防火墙5.0中文参考手册，内容非常庞大和繁杂，其中很多介绍和功能实际应用的可能性不大，为了让大家尽快用最短的时间内掌握Juniper防火墙的实际操作，下面简单对参考手册中的重点章节进行一个总结和概括，掌握了这些内容大家就可以基本能够完成安全部署和维护的工作。
Netscreen 204防火墙/VPN NSRP(HA)冗余设置步骤目录一、网络拓扑结构图 (3)二、设置步骤 (3)三、命令行配置方式 (4)四、图形界面下的配置步骤 (8)设置前请先将在线主防火墙的配置备份一次，具体步骤请参考《维护文档》一、网络拓扑结构图二、设置步骤1、将两台防火墙的第四个端口连接在一起，我们设置将原有防火墙设置为主防火墙，新增加的防火墙为备份的防火墙，备份的防火墙只连接第四个端口，其他的端口将在防火墙配置完毕后才连接上2、使用终端线缆连接到防火墙的Console口，超级终端参数设置为9600-8-无-1-无。
三、命令行配置方式蓝色字体为在超级终端上输入的命令3.1、主防火墙配置，（移动公司在线使用的Netscreen-204防火墙）ns204>unset interface e4 ip将端口4的IP地址删除，ns204>set interface e4 zone ha将端口4和HA区域绑定一起配置NSRPns204->ns204->ns204-> get nsrp查看NSRP配置信息nsrp version: 2.0cluster info:cluster id not set: nsrp is inactive 默认的情况下NSRP没有击活VSD group info:init hold time: 5heartbeat lost threshold: 3heartbeat interval: 1000(ms)group priority preempt holddown inelig master PB other memberstotal number of vsd groups: 0Total iteration=3808,time=2721060,max=880,min=286,average=714RTO mirror info:run time object sync: disabledping session sync: enabledcoldstart sync donensrp link info:no nsrp link has been defined yetNSRP encryption: disabled--- more ---NSRP authentication: disabledNSRP monitor interface: nonenumber of gratuitous arps: 4 (default)track ip: disabledns204-> set nsrp cluster id 1 设置cluster组号ns204(M)-> set nsrp vsd id 0 设置VSD的组号,这条命令可以不用输入，因为Netscreen防火墙的默认的虚拟安全数据库（VSD）的值是0。
Juniper防火墙的配置方法为防止Juniper防火墙设备故障情况下造成网络中断，保障用户业务不间断运行，现针对Juniper防火墙故障情况下的快速恢复做具体描述。
一、设备重启动：Juniper防火墙在工作期间出现运行异常时，如需进行系统复位，可通过console线缆使用reset命令对防火墙进行重启，重启动期间可以在操作终端上查看防火墙相关启动信息。
二、操作系统备份：日常维护期间可将防火墙操作系统ScreenOS备份到本地设备，操作方式为：启动tftp 服务器并在命令行下执行：save software from flash to tftp x.x.x.x filename。
三、操作系统恢复：当防火墙工作发生异常时，可通过两种方式快速恢复防火墙操作系统，命令行方式：save software from tftp x.x.x.x filename to flash，或通过web方式：Configuration > Update > ScreenOS/Keys下选中Firmware Update (ScreenOS)选项，并在Load File栏选中保存在本地的ScreenOS文件，然后点击apply按钮，上传ScreenOS后防火墙将自动进行重启。
四、配置文件备份：日常维护期间可将防火墙配置信息备份到本地以便于故障时的恢复，操作方式有三种：1、启动tftp 服务器并在命令行下执行：save config from flash to tftp x.x.x.x filename。
2、通过超级终端远程telnet/ssh到防火墙，通过log记录方式将get config配置信息记录到本地。
3、通过web页面进行配置文件备份：Configuration > Update > Config File，点击save to file。
五、配置文件恢复：防火墙当前配置信息若存在错误，需进行配置信息快速恢复，操作方式有三种：1、启动tftp 服务器并在命令行下执行：save config from tftp x.x.x.x filename to flash，配置文件上传后需执行reset命令进行重启。
Juniper防火墙灾备切换解决方案目录现状描述............................................................................................................错误!未定义书签。
灾备切换方案....................................................................................................错误!未定义书签。
总结 ...................................................................................................................错误!未定义书签。
现状描述IDC现有Juniper SSG550防火墙两台做NSRP双机热备， IDC主要提供DMZ服务器应用访问。
为了使应用能够得到冗余保障，灾备中心拥有一套相同的系统。
为了顺利的切换应用，需要事先准备应急切换方案。
灾备切换方案方案描述1).相同的配置，当部分应用挂掉时，通过修改路由(需要通过策略路由控制)和MIP策略的方式切换。
修改的MIP策略需要事先加好并disable。
2).当整个Internet挂掉后，通过运营商BGP选路切换，需要部分应用通过修改路由(需要通过策略路由控制)和MIP策略的方式切换;修改的MIP策略需要事先加好并disable。
3).MIP策略需要修改目标Zone和添加DIP，同一条策略需要同时设置MIP和DIP。
4).该方案中配置可以互导，定期的手工导出防火墙配置来进行两边配置的同步工作。
路由设置由于INSIDE区域之间有一条专线，所以，当故障发生时，可以将原本通过MPSL走的路由切换至INSIDE。
由于SSG防火墙默认会根据MPSL接口的IP生成一条接口路由，接口路由的优先级高于静态路由，所以，需要事先添加策略路由指向INSIDE，在不需要切换的时候不启用该路由。
Juniper NETSCREEN NSRP典型配置及维护（一）一、NSRP工作原理NSRP（NetScreen Redundant Protocol）是Juniper公司基于VRRP协议规范自行开发的设备冗余协议。
防火墙作为企业核心网络中的关键设备，需要为所有进出网络的信息流提供安全保护，为满足客户不间断业务访问需求，要求防火墙设备必须具备高可靠性，能够在设备、链路及互连设备出现故障的情况下，提供网络访问路径无缝切换。
NSRP冗余协议提供复杂网络环境下的冗余路径保护机制。
NSRP主要功能有：1、在高可用群组成员之间同步配置信息；2、提供活动会话同步功能，以保证发生路径切换情况下不会中断网络连接；3、采用高效的故障切换算法，能够在短短几秒内迅速完成故障检测和状态切换。
NSRP集群两种工作模式：一、Active/Passive模式：通过对一个冗余集群中的两台安全设备进行电缆连接和配置，使其中一台设备作为主用设备，另一台作为备用设备。
主用设备负责处理所有网络信息流，备用设备处于在线备份状态。
主设备将其网络和配置命令及当前会话信息传播到备用设备，备用设备始终保持与主用设备配置信息和会话连接信息的同步，并跟踪主用设备状态，一旦主设备出现故障，备份设备将在极短时间内晋升为主设备并接管信息流处理。
二、Active/Active模式：在NSRP中创建两个虚拟安全设备 (VSD) 组，每个组都具有自己的虚拟安全接口(VSI)，通过VSI接口与网络进行通信。
设备A充当VSD组1的主设备和VSD 组2的备份设备。
设备B充当VSD组2的主设备和VSD组1的备份设备。
Active/Active模式中两台防火墙同时进行信息流的处理并彼此互为备份。
在双主动模式中不存在任何单一故障点。
如下图所示，通过调整防火墙上下行路由/交换设备到网络的路由指向，HostA通过左侧路径访问ServerA，HostB通过右侧路径访问ServerB，网络中任一设备或链路出现故障时，NSRP集群均能够做出正确的路径切换。
juniper防火墙常用维护指南Netscreen 防火墙日常维护指南一、综述. 3二、Netscreen防火墙日常维护. 3常规维护：. 3应急处理. 7总结改进. 8故障处理工具. 9三、Netscreen 冗余协议（NSRP）. 10NSRP部署建议. 10NSRP常用维护命令. 11四、策略配置与优化（Policy）. 12五、攻击防御（Screen）. 13五、特殊应用处理. 15长连接应用处理. 15不规范TCP应用处理. 16VOIP应用处理. 16附录：JUNIPER防火墙Case信息表. 17一、综述防火墙作为企业核心网络中的关键设备，需要为所有进出网络的信息流提供安全保护，对于企业关键的实时业务系统，要求网络能够提供7*24小时的不间断保护，保持防火墙系统可靠运行及在故障情况下快速诊断恢复成为维护人员的工作重点。
NetScreen防火墙提供了丰富的冗余保护机制和故障诊断、排查方法，通过日常管理维护可以使防火墙运行在可靠状态，在故障情况下通过有效故障排除路径能够在最短时间内恢复网络运行。
本文对Netscreen防火墙日常维护进行较系统的总结，为防火墙维护人员提供设备运维指导。
二、Netscreen防火墙日常维护围绕防火墙可靠运行和出现故障时能够快速恢复为目标，Netscreen防火墙维护主要思路为：通过积极主动的日常维护将故障隐患消除在萌芽状态；故障发生时，使用恰当的诊断机制和有效的故障排查方法及时恢复网络运行；故障处理后及时进行总结与改进避免故障再次发生。
常规维护：在防火墙的日常维护中，通过对防火墙进行健康检查，能够实时了解Netscreen防火墙运行状况，检测相关告警信息，提前发现并消除网络异常和潜在故障隐患，以确保设备始终处于正常工作状态。
1、日常维护过程中，需要重点检查以下几个关键信息：Session：如已使用的Session数达到或接近系统最大值，将导致新Session不能及时建立连接，此时已经建立Session的通讯虽不会造成影响；但仅当现有session连接拆除后，释放出来的Session资源才可供新建连接使用。
NSRPNSRP工作原理NSRP（NetScreen Redundant Protocol）Netscreen 冗余协议是Juniper公司基于VRRP协议规范自行开发的设备冗余协议。
类似思科防火墙的Failover技术，使防火墙设备必须具备高可靠性，能够在设备、链路及互连设备出现故障的情况下，提供网络访问路径无缝切换。
NSRP冗余协议提供复杂网络环境下的冗余路径保护机制。
NSRP主要功能有：1、在高可用群组成员之间同步配置信息；2、提供活动会话同步功能，以保证发生路径切换情况下不会中断网络连接；3、采用高效的故障切换算法，能够在短短几秒内迅速完成故障检测和状态切换。
NSRP集群两种工作模式：一、Active/Passive模式：通过对一个冗余集群中的两台安全设备进行电缆连接和配置，使其中一台设备作为主用设备，另一台作为备用设备。
主用设备负责处理所有网络信息流，备用设备处于在线备份状态。
主设备将其网络和配置命令及当前会话信息传播到备用设备，备用设备始终保持与主用设备配置信息和会话连接信息的同步，并跟踪主用设备状态，一旦主设备出现故障，备份设备将在极短时间内晋升为主设备并接管信息流处理。
二、Active/Active模式：在NSRP中创建两个虚拟安全设备 (VSD) 组，每个组都具有自己的虚拟安全接口(VSI)，通过VSI接口与网络进行通信。
设备A充当VSD组1的主设备和VSD 组2的备份设备。
设备B充当VSD组2的主设备和VSD组1的备份设备。
Active/Active模式中两台防火墙同时进行信息流的处理并彼此互为备份。
在双主动模式中不存在任何单一故障点。
如下图所示，通过调整防火墙上下行路由/交换设备到网络的路由指向，HostA通过左侧路径访问ServerA，HostB通过右侧路径访问ServerB，网络中任一设备或链路出现故障时，NSRP集群均能够做出正确的路径切换。
NSRP集群技术优势主要体现于：1、消除防火墙及前后端设备单点故障，提供网络高可靠性。
即使在骨干网络中两类核心设备同时出现故障，也能够保证业务安全可靠运行。
2、根据客户网络环境和业务可靠性需要，提供灵活多样的可靠组网方式。
NSRP 双机集群能够提供1、Active-Passive模式Layer2/3多虚拟路由器多虚拟系统和口型/交叉型组网方式；2、Active-Active模式Layer2/3多虚拟路由器多虚拟系统和口型/Fullmesh交叉型组网方式。
为用户提供灵活的组网选择。
3、NSRP双机结构便于网络维护管理，通过将流量在双机间的灵活切换，在防火墙软件升级、前后端网络结构优化改造及故障排查时，双机结构均能够保证业务的不间断运行。
4、结合Netscreen虚拟系统和虚拟路由器技术，部署一对NSRP集群防火墙，可以为企业更多的应用提供灵活可靠的安全防护，减少企业防火墙部署数量和维护成本。
NSRP部署结构典型部署采用Layer3 口型A/P组网模式，该组网模式是当前很多企业广泛采用的HA模式，该结构具有对网络环境要求不高，无需网络结构做较大调整，具有较好冗余性、便于管理维护等优点。
Layer3 口型组网A/P模式具有较强冗余性、低端口成本和网络结构简单、便于维护管理等角度考虑，成为很多企业选用该组网模式的标准。
配置说明：两台Netscreen设备采用相同硬件型号和软件版本，组成Active/Passive冗余模式，两台防火墙均使用一致的Ethernet接口编号连接到网络。
通过将2个Ethernet接口放入HA安全区，其中控制链路用于NSRP心跳信息、配置信息和Session会话同步，数据链路用于在两防火墙间必要时传输数据流量，主设备显示名称HostnameA(M),备用设备显示名称HostnameB(B),状态切换后M\B字母互换。
NSRP A/P配置A设备，主用设备set interface ethernet0/3 zone HA //配置HA接口同步信息可设置多个set nsrp cluster id 1 //NSRP集群标示IDset nsrp rto-mirror sync //监控同步配置set nsrp vsd-group id 0 priority 50 //优先级设备，值越小越优Set nsrp vsd-group id 0 preempt //设备抢占set nsrp monitor interface ethernet0/0 //监控端口e0/0,检查端口down 自动切换备为设备set nsrp monitor interface ethernet0/1 //监控端口e0/1B设备，备用设备set interface ethernet0/3 zone HAset nsrp cluster id 1set nsrp rto-mirror syncset nsrp vsd-group id 0 priority 100Set nsrp vsd-group id 0 preemptset nsrp monitor interface ethernet0/0set nsrp monitor interface ethernet0/2图形化界面类似：NSRP日常维护命令exec nsrp sync global-config check-sum在备机上检查双机配置是否同步，通过console口执行这条命令时，防火墙会直接提示当前双机配置是否同步，如通过telnet执行该命令时，需要通过get db stream来查看是否同步提示信息。
exec nsrp sync global-config save如双机配置信息没有自动同步，请在备机上手动执行此同步命令，需重启系统,重启系统前如果提示是否要保存配置，选NO。
get nsrp查看NSRP集群中设备状态、主备关系、会话同步以及参数开关信息。
实例：NS-A(M)-> get nsrp //主设备nsrp version: 2.0cluster info:cluster id: 1, no namelocal unit id: 1484416 //本端IDactive units discovered:index: 0, unit id: 1484416, ctrl mac: 00268816a68c , data mac: 00268816a68d //本端IDindex: 1, unit id: 1488896, ctrl mac: 00268816b80c , data mac: 00268816b80d //备份设备total number of units: 2 //检查到集群内一共两台设备......exec nsrp sync rto all from peer手动执行RTO信息同步，使双机保持会话信息一致exec nsrp vsd-group 0 mode backup手动进行主备状态切换时，在主用设备上执行该切换命令，此时该主用设备应没有启用抢占模式。
exec nsrp vsd-group 0 mode ineligible手动进行主备状态切换时，在主用设备上执行该切换命令，此时该主用设备已启用抢占模式。
get alarm event检查设备告警信息，其中将包含NSRP状态切换信息Juniper防火墙NSRP双机软件升级步骤1．使用Tftp备份两台防火墙现有配置文件和OS系统文件。
2．升级步骤为先升级备用设备后升级主用设备，如果是Active/Active模式请切换为Active/Passive模式后再升级备用设备。
用笔记本电脑连接NS-B的Console口和MGT口，通过Web界面上对NS-B进行升级，并在Console口上观察升级过程。
3．NS-B升级后将自动重启，通过Console口观察重启过程。
启动后在console 上输入get system命令，验证升级后的版本号。
输入get license，验证license 信息是否符合升级要求。
输入get nsrp，验证此设备处于备机状态。
4．Session信息应该自动从主机上同步到备机。
为进一步确保Session信息同步，在NS-B上执行exec nsrp syn rto all from peer，手工同步Session信息。
5．主备双机进行状态切换。
用笔记本接NS-A的Console口，输入exec nsrp vsd-group 0 mode backup命令，将状态切换。
使用get nsrp命令，验证设备状态已切换完成，此时NS-A为备机，NS-B为主机。
6．在Web界面上对NS-A进行升级，在Console口上观察升级过程。
7．NS-A升级后会自动重起，在Console口上观察重起过程。
启动后在console 上输入get system命令，验证升级后的版本号。
输入get license，验证license 信息是否满足升级需求。
输入get nsrp验证此台设备为备机状态。
8．恢复原先的主备状态：在NS-B上执行exec nsrp vsd-group 0 mode backup 命令，将状态切换。
验证设备状态已切换完成，此时NS-A为主机，NS-B为备机。
9．在设备NS-A上执行exec nsrp syn vsd-group 0 global-config checksum，验证两台设备的配置同步。
如双机配置文件没有同步，请执行exec nsrp syn vsd-group 0 global-config save 手动进行配置同步。
10．观察两台防火墙的日志，验证是否存在异常告警信息。
