当前位置：文档之家 › juniper防火墙常用配置

juniper防火墙常用配置

  • 格式：docx
  • 大小：24.63 KB
  • 文档页数：11

1.Juniper防火墙管理配置的基本信息Juniper防火墙常用管理方式：①通过Web浏览器方式管理。

推荐使用IE浏览器进行登录管理，需要知道防火墙对应端口的管理IP地址；Juniper防火墙缺省管理端口和IP地址：Juniper防火墙缺省登录管理账号：①用户名：②密码：NS-5GT NAT/Route模式下的基本配置注：NS-5GT设备的物理接口名称叫做trust和untrust；缺省Zone包括：trust和untrust，请注意和接口区分开。

① Unset interface trust ip （清除防火墙内网端口的IP地址）；② Set interface trust zone trust（将内网端口trust分配到trust zone）；③（设置内网端口trust的IP地址，必须先定义zone，之后再定义IP地址）；④ Set interface untrust zone untrust（将外网口untrust分配到untrust zone）；⑤（设置外网口untrust的IP地址）；⑥（设置防火墙对外的缺省路由网关地址）；⑦ Set policy from trust to untrust any any any permit log（定义一条由内网到外网的访问策略。

策略的方向是：由zone trust 到zone untrust，源地址为：any，目标地址为：any，网络服务为：any，策略动作为：permit允许，log：开启日志记录）；⑧ Save （保存上述的配置文件）。

NS-25-208 NAT/Route模式下的基本配置我们在做nat地址转换的时候要注意当前内网接口和外网接口的模式，正常的应该是：⑦ Set policy from trust to untrust any any any permit log（定义由内网到外网的访问控制策略）；⑧ Save （保存上述的配置文件）3.Juniper防火墙几种常用功能的配置这里讲述的Juniper防火墙的几种常用功能主要是指基于策略的NAT的实现，包括：MIP（映射IP）、VIP（虚拟IP）和DIP，这三种常用功能主要应用于防火墙所保护服务器提供对外服务。

3.1、MIP的配置MIP是“一对一”的双向地址翻译（转换）过程。

通常的情况是：注：3.1.1、使用Web浏览器方式配置MIP①登录防火墙，将防火墙部署为三层模式（NAT或路由模式）；②定义MIP：公网IP地址，Host IP：内网服务器IP地址③定义策略：在POLICY中，配置由外到内的访问控制策略，以此允许来自外部网络对内部网络服务器应用的访问。

3.1.2、使用命令行方式配置MIP①配置接口参数②定义MIP③定义策略set policy from untrust to trust any mip(1.1.1.5) http permitsave3.2、VIP的配置MIP是一个公网IP地址对应一个私有IP地址，是一对一的映射关系；而VIP是一个公网IP地址的不同端口（协议端口如：21、25、110.443等）与内部多个私有IP地址的不同服务端口的映射关系。

通常应用在只有很少的公网IP地址，却拥有多个私有IP地址的服务器，并且，这些服务器是需要对外提供各种服务的。

注：3.2.1、使用Web浏览器方式配置VIP①登录防火墙，配置防火墙为三层部署模式。

②添加VIP：③添加与该VIP公网地址相关的访问控制策略。

3.2.2、使用命令行方式配置VIP<!--[if !supportLists]-->1. <!--[endif]-->①配置接口参数②定义VIP③定义策略set policy from untrust to trust any vip(1.1.1.10) http permit (此处不能把目标地址设为any)save注：VIP的地址可以利用防火墙设备的外网端口地址实现（限于低端设备）。

使用Web浏览器方式配置DIP①登录防火墙设备，配置防火墙为三层部署模式；②定义DIP：③定义策略：定义由内到外的访问策略，在策略的高级（ADV）部分NAT的相关内容中，启用源地址NAT，并在下拉菜单中选择刚刚定义好的DIP地址池，保存策略，完成配置；策略配置完成之后拥有内部IP地址的网络设备在访问互联网时会自动从该地址池中选择一个公网IP地址进行NAT。

使用命令行方式配置DIP①配置接口参数②定义DIP③定义策略set policy from trust to untrust any any http nat src dip-id 5 permit save4、Juniper防火墙一些实用工具4.1、防火墙配置文件的导出和导入Juniper防火墙的配置文件的导入导出功能为用户提供了一个快速恢复当前配置的有效的手段。

一旦用户不小心因为操作失误或设备损坏更换，都可以利用该功能，实现快速的防火墙配置的恢复，在最短的时间内恢复设备和网络正常工作。

4.1.1、配置文件的导出配置文件的导出（WebUI）：在Configuration > Update > Config File位置，点选：Save to file，将当前的防火墙设备的配置文件导出为一个无后缀名的可编辑文本文件。

配置文件的导出（CLI）：ns208->save config from flash to tftp 1.1.7.25015Jun03.cfg4.1.2、配置文件的导入配置文件的导入（WebUI）：在Configuration > Update > Config File位置，1、点选：Merge to Current Configuration，覆盖当前配置并保留不同之处；2、点选：Replace Current Configuration 替换当前配置文件。

导入完成之后，防火墙设备会自动重新启动，读取新的配置文件并运行。

配置文件的导入（CLI）：ns208->save config from tftp 1.1.7.25015June03.cfgto flash 或者ns208-> save config from tftp 1.1.7.250 15June03.cfg merge4.2、防火墙软件（ScreenOS）更新关于ScreenOS：Juniper防火墙的OS软件是可以升级的，一般每一到两个月会有一个新的OS版本发布，OS版本如：5.0.0R11.0，其中R前面的5.0.0是大版本号，这个版本号的变化代表着功能的变化；R后面的11.0是小版本号，这个号码的变化代表着BUG的完善，因此一般建议，在大版本号确定的情况下，选择小版本号大的OS作为当前设备的OS。

关于OS升级注意事项：升级OS需要一定的时间，根据设备性能的不同略有差异，一般情况下大约需要5分钟的时间。

在升级的过程中，一定要保持电源的供应、网线连接的稳定，最好是将防火墙从网络中暂时取出，待OS升级完成后再将防火墙设备接入网络。

ScreenOS升级（WebUI）：Configuration > Update > ScreenOS/Keys。

ScreenOS升级（CLI）:ns208-> save software from tftp 1.1.7.250 newimage to flash4.3、防火墙恢复密码及出厂配置的方法当防火墙密码遗失的情况下，我们只能将防火墙恢复到出厂配置，方法是：①记录下防火墙的序列号（又称Serial Number，在防火墙机身上面可找到）；②使用控制线连接防火墙的Console端口并重起防火墙；③防火墙正常启动到登录界面，是用记录下来的序列号作为登录的用户名/密码，根据防火墙的提示恢复到出厂配置。

5、Juniper防火墙的一些概念安全区（Security Zone）：Juniper 防火墙增加了全新的安全区域（Security Zone）的概念，安全区域是一个逻辑的结构，是多个处于相同属性区域的物理接口的集合。

当不同安全区域之间相互通讯时，必须通过事先定义的策略检查才能通过；当在同一个安全区域进行通讯时，默认状态下允许不通过策略检查，经过配置后也可以强制进行策略检查以提高安全性。

安全区域概念的出现，使防火墙的配置能更灵活同现有的网络结构相结合。

以下图为例，通过实施安全区域的配置，内网的不同部门之间的通讯也必须通过策略的检查，进一步提高的系统的安全。

接口（Interface）：信息流可通过物理接口和子接口进出安全区（Security Zone）。

为了使网络信息流能流入和流出安全区，必须将一个接口绑定到一个安全区，如果属于第3层安全区，则需要给接口分配一个IP地址。

虚拟路由器（Virtual Router）：Juniper防火墙支持虚拟路由器技术，在一个防火墙设备里，将原来单一路由方式下的单一路由表，进化为多个虚拟路由器以及相应的多张独立的路由表，提高了防火墙系统的安全性以及IP地址配置的灵活性。

安全策略（Policy）：Juniper防火墙在定义策略时，主要需要设定源IP地址、目的IP地址、网络服务以及防火墙的动作。

在设定网络服务时，Juniper防火墙已经内置预设了大量常见的网络服务类型，同时，也可以由客户自行定义网络服务。

在客户自行定义通过防火墙的服务时，需要选择网络服务的协议，是UDP、TCP还是其它，需要定义源端口或端口范围、目的端口或端口范围、网络服务在无流量情况下的超时定义等。

因此，通过对网络服务的定义，以及IP地址的定义，使Juniper防火墙的策略细致程度大大加强，安全性也提高了。

除了定义上述这些主要参数以外，在策略中还可以定义用户的认证、在策略里定义是否要做地址翻译、带宽管理等功能。

通过这些主要的安全元素和附加元素的控制，可以让系统管理员对进出防火墙的数据流量进行严格的访问控制，达到保护内网系统资源安全的目的。

映射IP（MIP）：MIP是从一个IP 地址到另一个IP 地址双向的一对一映射。

当防火墙收到一个目标地址为MIP 的内向数据流时，通过策略控制防火墙将数据转发至MIP 指向地址的主机；当MIP映射的主机发起出站数据流时，通过策略控制防火墙将该主机的源IP 地址转换成MIP 地址。

虚拟IP（VIP）：VIP是一个通过防火墙外网端口可用的公网IP地址的不同端口（协议端口如：21、25、110等）与内部多个私有IP地址的不同服务端口的映射关系。

通常应用在只有很少的公网IP地址，却拥有多个私有IP地址的服务器，并且这些服务器是需要对外提供各种服务的。

将要配置桥接模式的接口都不分配IP地址（或分配为0.0.0.0），然后将它们的Zone都设置为：v1-trustv1-untrustv1-dmz的其中一个就可以了。

合集下载

juniper防火墙基本配置文档

juniper防火墙基本配置文档

防火墙基本配置步骤
防火墙的基本配置分三个步骤：
1、配置接口的IP地址和接口模式。

2、配置默认路由！
3、配置允许策略，TRUST到UNTRUST的策略！
这个是接口栏的截图：单击EDIT即可进行编辑！这里需要编辑trust口和untrust口！
这是点击trust口的edit后进入的配置界面，您只要输入IP地址和掩码位即可！注意：Manage ip* 对应的空白框一定不要填入内容，截图里的是自动生成的！其他保持默认，单击下面的OK即可完成！
下图是点击untrust口的edit进入编辑，选择static ip ,填入IP地址和掩码位，这里的IP是公网IP地址，manage ip那依然保持空白，模式为route,然后在service options选项栏中，将web ui,telnet,ping；三处打勾，如图！
然后点击OK即可完成！
点击左栏的Destination选项即可出现路由界面：新建点击NEW即可！
下图为点击NEW后出现的画面：如图填入内容，ip address/netmask填入0.0.0.0/0,
Next hop处选择gateway，在interface 处的下拉菜单中选择出口，gateway ip address填入UNTRUST口IP地址的下一跳网关即可！其他默认单击OK完成！
trust,TO处选择untrust，然后点击NEW！
点击new后的配置界面，如图配置即可！source address,destination address,service三处都选择ANY，action选permit, 在logging处打勾，其他保持默认，点击OK即可！
下图为蓝影标出的这条策略就是如上图配置完成后看到的结果！。

juniper防火墙常用命令

juniper防火墙常用命令

JUNIPER防火墙常用命令常用查看命令Get int查看接口配置信息Get int ethx/x查看指定接口配置信息Get mip查看映射ip关系Get route 查看路由表Get policy id x 查看指定策略Get nsrp查看nsrp信息，后可接参数查看具体vsd组、端口监控设置等Get per cpu de 查看cpu利用率信息Get per session de 查看每秒新建会话信息Get session查看当前会话信息，后可匹配源地址、源端口、目的地址、目的端口、协议等选项Get session info 查看当前会话数量Get system查看系统信息，包括当前os版本，接口信息，设备运行时间等Get chaiss查看设备及板卡序列号，查看设备运行温度Get counter stat 查看所有接口计数信息Get counter stat ethx/x 查看指定接口计数信息Get counter flow zone trust/untrust 查看指定区域数据流信息Get counter screen zone untrust/trust 查看指定区域攻击防护统计信息Get tech-support查看设备状态命令集，一般在出现故障时，收集该信息寻求JTAC支持常用设置命令Set int ethx/x zone trust/untrust/dmz/ha配置指定接口进入指定区域(trust/untrust/dmz/ha等)Set int ethx/x ip x.x.x.x/xx 配置指定接口ip地址Set int ethx/x manage配置指定接口管理选项，打开所有管理选项Set int ethx/x manage web/telnet/ssl/ssh 配置指定接口指定管理选项Set int ethx/x phy full 100mb 配置指定接口速率及双工方式Set int ethx/x phy link-down 配置指定接口shutdownSet nsrp vsd id 0 monitor interface ethx/x配置ha监控端口，如此端口断开，则设备发生主/备切换Exec nsrp vsd 0 mode backup手工进行设备主/备切换，在当前的主设备上执行set route 0.0.0.0/0 interface ethernet1/3 gateway 222.92.116.33 配置路由，需同时指定下一跳接口及ip地址所有set命令，都可以通过unset命令来取消，相当于cisco中的no所有命令都可以通过“TAB”键进行命令补全，通过“?”来查看后续支持的命令。

juniper防火墙常用配置

juniper防火墙常用配置

juniper netscreen FW的常用配置1.Juniper防火墙管理配置的基本信息Juniper防火墙常用管理方式：①通过Web浏览器方式管理。

推荐使用IE浏览器进行登录管理，需要知道防火墙对应端口的管理IP地址；②命令行方式。

支持通过Console端口超级终端连接和Telnet防火墙管理IP地址连接两种命令行登录管理模式。

Juniper防火墙缺省管理端口和IP地址：① Juniper防火墙出厂时可通过缺省设置的IP地址使用Telnet或者Web方式管理。

缺省IP地址为：192.168.1.1/255.255.255.0；②缺省IP地址通常设置在防火墙的Trust端口上（NS-5GT）、最小端口编号的物理端口上（NS-25/50/204/208/SSG系列）、或者专用的管理端口上（ISG-1000/2000,NS-5200/5400）。

Juniper防火墙缺省登录管理账号：①用户名：netscreen；②密码：netscreen。

2. 配置ns达到内网能访问internet的要求，我们经常使用的方式是nat/route的方式，主要的配置过程为：NS-5GT NAT/Route模式下的基本配置注：NS-5GT设备的物理接口名称叫做trust和untrust；缺省Zone包括：trust和untrust，请注意和接口区分开。

① Unset interface trust ip （清除防火墙内网端口的IP地址）；② Set interface trust zone trust（将内网端口trust分配到trust zone）；③ Set interface trust ip 192.168.1.1/24（设置内网端口trust的IP地址，必须先定义zone，之后再定义IP地址）；④ Set interface untrust zone untrust（将外网口untrust分配到untrust zone）；⑤ Set interface untrust ip 10.10.10.1/24（设置外网口untrust的IP地址）；⑥ Set route 0.0.0.0/0 interface untrust gateway 10.10.10.251（设置防火墙对外的缺省路由网关地址）；⑦ Set policy from trust to untrust any any any permit log（定义一条由内网到外网的访问策略。

Juniper防火墙配置图解

Juniper防火墙配置图解

Juniper 防火墙v6.0以上版本 L2tpvpn (for XP Win7)配置图解防火墙端配置1、新建地址池Objects – IP Pools – NewIP Pool Name ：用户自定义名称Start IP ：用户自定义一段地址的起始地址End IP ：用户自定义一段地址的结束地址2、修改L2TP 默认设置VPNs – L2TP – Default Settings3、建立用户和组3.1 新建用户Objects – Users – Local -- New重复这个过程，建立多个用户3.2 新建用户组Objects – Users – Local Group -- New4、建立Vpn Tunnel建立tunnel前，先确定好用于拨入VPN的接口编号。

VPNs – L2TP – Tunnel -- New5、建立策略Policy – Policies – NewSource Address : 选择 Dial-UP VPNDestination Address : 选择 New Address ，填入你要访问的目的地址或目的地址段Service ：选择要访问的服务Action : 选择 tunnelL2TP ：选择新建的L2TP vpn tunnelLogging ：可选记录访问日志客户端配置1.1XP端配置1.1.1建立拨号网上邻居右键属性-点击新建连接向导图标点击完成，vpn拨号配置建立完，后面进行配置调整在新建的vpn连接上右键属性提示保留配置时选择Y1.1.2修改注册表点击开始—运行 --- 键入 regedit命令点击确定，进入注册表配置。

进入HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RasMan\Paramete rs ，在右侧新建值命名为“ProhibitIpSec”注意大小写，数值为1修改完毕后重启计算机，进行vpn拨号测试用户名和密码栏中填入防火墙端配置的用户名和密码。