juniper防火墙配置案例第一季：配置管理地址

Juniper网络安全防火墙设备快速安装手册V1.02009-7目录第一章前言 (4)1.1、J UNIPER防火墙配置概述 (4)1.2、J UNIPER防火墙管理配置的基本信息 (4)1.3、J UNIPER防火墙的常用功能 (5)第二章软件操作 (5)2.1、防火墙配置文件的导出和导入 (5)2.1.1、配置文件的导出 (5)2.1.2、配置文件的导入 (6)2.2、防火墙软件（S CREEN OS）更新 (7)2.3、防火墙恢复密码及出厂配置的方法 (8)2.4、防火墙重启 (8)第三章 NS-5000系列（NS5200/NS5400） (9)3.1、NS-5000结构 (9)3.2、硬件组件故障检查 (10)3.3、设备组件更换 (11)第四章 JUNIPER防火墙部署模式及基本配置 (11)4.1、NAT模式 (11)4.2、R OUTE路由模式 (12)4.3、透明模式 (13)4.4、NAT/R OUTE模式下的基本配置 (14)4.4.1、NS-5200/5400 NAT/Route模式下的基本配置 (14)4.5、透明模式下的基本配置 (16)第五章 JUNIPER防火墙常用功能的配置 (17)5.1、MIP的配置 (17)5.1.1、使用Web浏览器方式配置MIP (18)5.1.2、使用命令行方式配置MIP (19)5.2、VIP的配置 (20)5.2.1、使用Web浏览器方式配置VIP (20)5.2.2、使用命令行方式配置VIP (21)5.3、DIP的配置 (21)5.3.1、使用Web浏览器方式配置DIP (22)5.3.2、使用命令行方式配置DIP (23)5.4、聚合接口（AGGREGATE）的配置 (24)第六章 JUNIPER防火墙双机的配置 (25)6.1、使用W EB浏览器方式配置 (25)6.2、使用命令行方式配置 (27)第七章 JUNIPER防火墙的维护命令 (28)7.1登录J UNIPER防火墙的方式 (28)7.2查看设备相关日志和工作状态 (29)7.3检查设备CPU的占有率 (37)7.3.1 原因分析 (37)7.3.2采取的措施 (37)7.4检查内存占有率 (38)7.4.1 原因分析 (38)7.4.2 采取的措施 (38)7.5双机异常 (38)7.5.1原因分析 (38)7.5.2采取的措施 (39)7.6故障处理工具 (39)7.6.1 Debug (40)7.6.2 Snoop (40)第八章JUNIPER防火墙的配置优化 (41)8.1ALG优化 (41)8.2防火墙数据包处理性能优化 (41)8.3日志优化 (41)8.4关闭双机会话同步 (42)第九章移动W AP网关配置案例 (42)附录、JUNIPER防火墙的一些概念 (51)第一章前言我们制作本安装手册的目的是使维护Juniper网络安全防火墙设备（在本安装手册中简称为“Juniper防火墙”）的NSN公司相关技术人员，可以通过此安装手册完成对Juniper防火墙基本功能的实现、应用和排错。

Junipersrx100防火墙配置指导#一、初始化安装1。

1设备登录Juniper SRX系列防火墙。

开机之后,第一次必须通过console 口（通用超级终端缺省配置）连接SRX , 输入root 用户名登陆,密码为空，进入到SRX设备之后可以开始加载基线配置。

特别注意:SRX低端系列防火墙，在第一次登陆时，执行命令“show configuration”你会发现系统本身已经具备一些配置内容（包括DNS名称、DHCP服务器等），建议删除这些配置,重新配置。

Delete 删除设备开机请直接通过console 连接到防火墙设备Login : rootPassword ： /*＊*初始化第一次登陆的时候，密码为空**/Root％ cli /**进入操作模式＊＊/Root>Root> configure /＊* 进入配置模式＊＊/Root＃ delete /＊＊*配置模式执行命令“delete" 全局删除所有的系统缺省配置＊＊*/ 1。

2 系统基线配置Set system host—name name/＊＊*配置设备名称“name"＊*＊/Set system time—zone Asia/Chongqing/*＊＊配置系统时区＊＊*/Set system root—authentication plain—text—password 输入命令，回车New password：第一次输入新密码,Retype new password 重新确认新密码/*＊＊配置系统缺省根账号密码，不允许修改根账号名称“root”＊*＊/注意：root帐号不能用于telnet，但是可以用于web和ssh管理登录到设备S et system login user topsci class super—user authentication plain-text—password New password 输入密码Retype new password 确认密码/＊＊*创建一个系统本地账号“name“,set system services sshset system services telnetset system services web—management http interface allset systhm services web-management http port 81 interface allset system services web—management https system—generated—certificateset system services web-management https interface all/*＊*全局开启系统管理服务,ssh\telnet\http\https＊＊＊/set interfacesge—0/0/2unit 0 family inet address 10.10。

对于为什么要在防火墙上配置VPN 功能在此不再介绍，本文介绍如何在juniper 防火墙上配置基于L2TP 的VPN环境拓扑：内网服务器IP 地址：192.168.1.11防火墙eth0/0 端口（内网）IP 地址：192.168.1.10防火墙eth0/2 端口（外网）IP 地址：192.168.0.10外网客户端IP 地址：192.168.0.2541、为VPN 创建IP 地址池2、创建用户和组创建VPN 用户创建组注：创建完组后需要将用户添加到组中3、设置L2TP设置L2TP 缺省配置：建立L2TP 隧道：4、增加防火墙策略虽然VPN 设置完成，但是外网客户端还没有权限拨入，所以还需要创建一台外网到VPN 的策略。

点击pllicy------policies，选择From Untrust To Trust，然后点击“New”然后勾选”Source Translation”，意思是让防火墙在接到VPN 请求后将外网IP 转换为内网IP。

创建完毕后点击“OK”即可。

下图为刚才添加的VPN 的策略（红色圈注部分）5、客户端设置点击控制面板------网络和共享中心-------设置新的连接或网络------连接到工作区------使用我的internet 连接（VPN）下图“internet 地址”为防火墙外网端口的IP，然后勾选“现在不连接….”，因为我们还需要对其进行配置。

输入创建的VPN 用户名和密码右击连接图标，选择“属性”选择VPN 类型和数据加密方式：然后重新输入VPN 用户名和密码，然后点击连接下图已显示VPN 连接建立成功然后可以对图标右击-------属性------详细信息，可以看到自动获得的IP 地址和DNS至此，VPN 配置完毕。

端口的管理地址 + set nsrp monitor track-ip ip x.x.x.x threshold 5#设置trackip地址和连续丢包
的阈值为5 ，降低误报的可能性 + set nsrp monitor track-ip ip x.x.x.x method arp #x.x.x.x是本地设备地址，用
+ set interface “interface name” ip x.x.x.x/xx + set interface “interface name” manage-ip
x.x.x.y#区分NSRP主备机上的Syslog或SNMP或 NTP或Telnet 或Track-ip等管理流量的源IP所必 须具备的前提 + set interface redundant1 primary ethernet2/1 # 如果配置了redundant端口则指定主用端口
Zone配置的特例
+ #如果要求带外管理zone和数据通讯zone进行 路由隔离(企业规范要求或地址冲突等原因)， 则分别使用不同的路由表，进行路由隔离， 一般情况不要如此配置，会增加维护复杂性
+ set zone “MGT” vrouter “trust-vr” “#带外管理 zone使用trust-vr路由表
arp方法检查，y.y.y.y是远端设备地址，用ping方法检查 + set nsrp monitor track-ip ip x.x.x.x weight 150 + set nsrp monitor track-ip ip y.y.y.y threshold 5 #要求同时设置两个以上的
Syslog配置
+ set syslog config “x.x.x.x“#设置syslog服务器 地址