当前位置：文档之家 › Juniper SRX Branch系列防火墙J-WEB配置手册

Juniper SRX Branch系列防火墙J-WEB配置手册

  • 格式：pdf
  • 大小：5.81 MB
  • 文档页数：40

一、J-WEB管理系统简介 (3)1.1SRX系列防火墙J-WEB界面使用注意事项 (3)二、SRX防火墙J-WEB操作应用场景一 (4)2.1固定公网IP地址上网应用场景拓扑及需求说明 (4)2.1.1应用场景一拓扑图 (4)2.1.2拓扑图介绍及需求说明 (4)2.1.3应用场景一需求分解与配置思路说明 (5)2.2初始化安装 (5)2.2.1设备登陆 (5)2.2.2系统基线配置指引 (5)2.3应用场景一生产配置实施步骤介绍 (7)2.3.1WEB界面登录到防火墙 (7)2.3.2配置接口IP地址 (8)2.3.3配置安全区域 (9)2.3.4配置路由协议 (11)2.3.5配置NAT地址转换 (11)2.3.6配置安全策略 (14)2.3.7应用场景一验证测试结果 (15)2.3.8应用场景一测试配置CLI(生产配置) (16)三、SRX防火墙J-WEB操作应用场景二 (18)3.1PPPOE拨号上网应用场景拓扑及需求说明 (18)3.1.1应用场景二拓扑图 (18)3.1.2拓扑介绍及需求说明 (18)3.1.3应用场景二需求分解与配置思路说明 (18)3.2初始化安装 (19)3.2.1设备登陆 (19)3.2.2系统基线配置指引 (19)3.3应用场景二生产配置实施步骤介绍 (20)3.3.1配置PPPOE拨号 (20)3.3.2配置DHCP服务器 (29)3.3.3配置目标地址转换 (30)3.3.4配置源地址转换 (32)3.3.5配置安全策略 (32)3.3.6应用场景二验证测试结果 (33)四、SRX防火墙J-WEB操作应用场景三 (34)4.1远程动态VPN应用场景拓扑及需求说明 (34)4.1.1应用场景三拓扑图 (34)4.1.2拓扑介绍及需求说明 (34)4.1.3应用场景三需求分解与配置思路说明 (35)4.2初始化安装 (35)4.2.1设备登陆 (35)4.2.2系统基线配置指引 (35)4.3应用场景三生产配置实施步骤介绍 (36)4.3.1动态VPN配置思路及过程介绍和验证 (36)Juniper SRX Branch系列防火墙J-WEB配置手册说明SRX系列防火墙是Juniper公司基于JUNOS操作系统的安全系列产品，JUNOS集成了路由、交换、安全性和一系列丰富的网络服务。

目前Juniper公司的全系列路由器产品、交换机产品和SRX安全产品均采用统一源代码的JUNOS操作系统，JUNOS是全球首款将转发与控制功能相隔离，并采用模块化软件架构的网络操作系统。

JUNOS作为电信级产品的精髓是Juniper真正成功的基石，它让企业级产品同样具有电信级的不间断运营特性，更好的安全性和管理特性，JUNOS软件创新的分布式架构为高性能、高可用、高可扩展的网络奠定了基础。

基于NP架构的SRX系列产品产品同时提供性能优异的防火墙、NAT、IPSEC、IPS、UTM等全系列安全功能，其安全功能主要来源于已被广泛证明的ScreenOS操作系统。

本文旨在为熟悉Netscreen防火墙ScreenOS操作系统的工程师提供SRX防火墙参考配置，主要以WEB界面配置操作为主，帮助大家能够快速部署和维护SRX防火墙。

本手册主要应用于中小型企业客户运维人员和一线代理商工程师，文档主要通过三种网络环境及需求分别进行配置讲解，希望能够借助于本文的三种网络环境和需求能够覆盖大部分中小型企业客户对SRX低端系列防火墙的配置和维护，同时也能够更快的从SCREENOS操作系统WEB界面过渡到JUNOS操作系统防火墙WEB界面。

一、J-WEB管理系统简介Juniper SCREENOS操作系统防火墙其WEB界面语言是采用html超文本标记语言，而SRX系列防火墙J-WEB 是采用Javascript语言编写，采用Javascipt可以嵌套在html里面，实现一些动态的功能，丰富了用户体验的同时加大了WEB界面的功能，而脚本语言html用于编写静态页面，因此在功能上SRX系列防火墙WEB界面的功能要强大于SCREENOS系列防火墙，采用Javascipt语言编写WEB界面虽然可以实现大量的动态功能，但是相比采用HTML静态页面来讲Javascipt语言的WEB界面将消耗更大的系统资源和浏览器资源，因此在用户体验角度上来讲会相对缓慢一些当你使用SRX系列防火墙的WEB界面时候，从另外一个方面来讲，Javascript语言是一种趋势，其兼容性和扩展性相对比较完善和全面，同时其支持的浏览器类型会更丰富，不会因为IE等各类浏览器的版本升级导致无法使用WEB界面的问题。

1.1SRX系列防火墙J-WEB界面使用注意事项1)J-WEB界面当你配置完成之后并非立刻生效配置，需要在完成配置之后点击commit来提交系统配置，这里相比SCREENOS防火墙的WEB界面是一个亮点；2)J-WEB界面在用户视图上将系统配置、系统监控、系统排错、系统维护、仪表盘进行分离，这里相比SCREENOS防火墙的WEB界面是一个改进和提升；3)J-WEB界面在防火墙部署HA的模式下，J-WEB只能管理控制平面主机，这是默认的系统设计，由于SRX HA是一种集群模式，在集群正常工作的情况下，两台物理设备的资源(I/O)等均可以在一台设备上执行配置和监控，不存在单独需要登录到备机上来完成；4)J-WEB前面提到过由于采用的是Javascript语言，因此在操作上请尽量平缓的执行和查看监控设备及配置，避免因操作过快导致系统WEB界面管理进程繁忙；5)当使用J-WEB操作防火墙的时候，请尽量保证没有其他运维管理人员通过WEB界面登录到设备操作，同时CLI命令行登录到设备请尽量不要进入配置模式，此举是为了保证设备配置的安全性考虑；6)如果操作过程中出现页面无法响应的情况下，请点击logout或者等待页面响应恢复正常再进行配置操作。

二、SRX防火墙J-WEB操作应用场景一2.1固定公网IP地址上网应用场景拓扑及需求说明2.1.1应用场景一拓扑图2.1.2拓扑图介绍及需求说明1)本应用场景部署一台SRX220防火墙作为公网出口，运行路由和NAT模式，实现地址转换、策略防护等功能，防火墙公网出口互联网段地址是30位掩码的静态IP地址；2)防火墙划分三个安全区域，分别对应内网、外网、DMZ服务器区；3)考虑到DMZ区域需要对外发布两台服务器，为此准备向电信运营商申请一段公网IP地址(与公网接口互联地址不在一个网段范围内)；4)对外发布的两台服务器应用能够同时被互联网客户端与内部网客户端进行访问；5)内部网和DMZ区域机器可以访问互联网资源；6)内部网区域部署一台三层交换机，防火墙与三层交换机之间采用静态路由的方式进行通信，内部网客户端的网关终结在三层交换机上；7)DMZ区域部署一台二层交换机，所有服务器的三层网关终结在防火墙上；8)安全策略控制的源地址、目标地址、服务需要精确的网段和服务器IP地址和固定的端口号；2.1.3应用场景一需求分解与配置思路说明1)初始化防火墙设备，初次必须设定配置root帐号密码；2)基线配置导入，基线配置包括设备名称、管理服务、内网接口IP地址、内部区域名称等；3)配置接口IP地址、静态路由(公网缺省路由，内部网静态路由)；4)服务器对外发布，配置地址转换，由于本应用场景采用向运营商申请的一段非防火墙公网接口直连网段固定IP地址，在公网地址丰富的情况下，可以考虑采用比较简单的NAT方式,选择用静态一对一地址转换；5)内部网与DMZ区机器访问互联网配置地址转换，考虑到公网地址丰富的情况下，可以分配一段未使用的公网地址(服务器对外发布一对一地址转换之后剩余的地址对象)用来做源地址转换实现内部网用户访问互联网。

2.2初始化安装2.2.1设备登陆Juniper SRX系列防火墙，当你购买到货之后，上架开机之后，第一次必须通过Console口(通用超级终端缺省配置)连接SRX，输入root用户名登陆，密码为空<初始第一次登陆>进入到SRX设备之后可以开始加载基线配置。

特别提醒：SRX低端系列防火墙，当购买到货上架开机之后，通过console口登录到设备，进入操作模式>执行命令”show configuration”你会发现系统本身已经具备了一些配置内容(包括DNS名称、DHCP服务器、VLAN 名称、安全策略、接口缺省IP地址等)，建议你忽略并删除这些配置，重新配置基线配置，原因是因为系统缺省出厂的配置可能与你实际的需求会有所差异，避免因为系统缺省的配置给你规划和部署防火墙配置的时候带来疑惑。

设备开机请直接通过Console连接到防火墙设备login: rootPassword: /***初始化第一次登录的时候，此处请直接按回车键***/--- JUNOS 9.5R1.8 built 2009-07-16 15:04:30 UTCroot% cli /***进入操作模式***/root>root> configureEntering configuration mode /***进入配置模式***/[edit]Root#delete /***配置模式执行命令“delete”全局删除所有的系统缺省配置***/接下来请不要退出系统，也不需要执行commit命令，开始准备执行系统基线配置，请参考下节内容。

2.2.2系统基线配置指引接上章节，当进入到系统配置模式之后，全局执行完”delete”命令，下面将需要赋予系统一些基线配置，保证系统的正常运维(包括系统名称、接口IP地址、安全区域)等，系统基线配置会根据客户实际环境进行定义一般情况下，我们将只实施一些基础配置，保证远程机器能够登录到设备，通过telnet\ssh\web等方式，当基础配置完成之后，可以通过远程或者本地console开始执行和完善一些生产配置与基线配置，比如安全策略、高级路由、地址转换等等。

下面表格中是本次应用场景的基线配置及配置步骤，可以应用于大多数企业初始化过程中的基线配置环境。

2.3应用场景一生产配置实施步骤介绍2.3.1WEB界面登录到防火墙打开浏览器，输入http://Ip地址，输入用户名和密码，点击login进入到WEB管理。

2.3.2配置接口IP地址首先点击WEB界面顶端菜单栏的”Configure”按钮，然后点击并展开左边菜单栏的”interface”按钮，接下来点击ports，按钮，页面将展示系统在线的所有端口。

然后我们可以开始查看并配置相应的物理接口IP地址，在本应用场景中，我们将需要在WEB界面配置ge-0/0/0/端口(连接公网)和ge-0/0/1端口(连接DMZ区域)，ge-0/0/2端口由于属于内网接口，在之前基线配置中已经完成，因此WEB界面不再重新说明如何配置，配置方法与接下来的端口配置一致。

合集下载

Juniper SRX 防火墙学习一本通(4)

Juniper SRX 防火墙学习一本通(4)

Juniper SRX 防火墙学习一本通（4）一、SRX防火墙基本配置操作1.实验拓扑2.SRX 主要配置内容部署SRX防火墙主要有以下几个方面需要进行配置：◼System：主要是系统级内容配置，如主机名、管理员账号口令及权限、时钟时区、Syslog、SNMP、系统级开放的远程管理服务（如telnet）等内容。

◼Interface:接口相关配置内容。

◼Security: 是SRX防火墙的主要配置内容，安全相关部分内容全部在Security层级下完成配置，如NAT、Zone、Policy、Address-book、Ipsec、Screen、Idp、UTM等，可简单理解为ScreenOS防火墙安全相关内容都迁移至此配置层次下，除了Application自定义服务。

◼Application：自定义服务单独在此进行配置，配置内容与ScreenOS基本一致。

◼routing-options：配置静态路由或router-id等系统全局路由属性配置。

3.定义远程管理用户[edit]root@R2# set system login user admin class super-user[edit]root@R2# set system login user admin authentication plain-text-passwordNew p assword:Retype new password:[edit]root@R2# commitcommit complete[edit]root@R2#root@R2# show system login user admin | display setset system login user admin uid 2000set system login user admin class super-userset system login user admin authentication encrypted-password "$1$zIX4p$urL1B7d5geQIllG6X3Cr0"4.日志功能Set system syslog file messages any anySet system syslog file messages authorization infoSet system syslog file interactive-commands interactive-commands anySet system syslog file author.log authorization infoSet system syslog file daemon.log daemon warningSet system syslog file firewall.log firewall warningSet system syslog file change.log change-log infoSet system syslog user * any emergencySet system syslog host 192.168.1.8 any anySet system syslog host 192.168.1.8 authorization any5.网管SNMP功能set snmp community "china88" authorization read-onlyset snmp community "china88" clients 192.168.1.8/32set snmp community "china88" clients 0.0.0.0/0 restrictset snmp trap-options source-address 192.168.1.1set snmp trap-group "china88" version v2set snmp trap-group "china88" categories authenticationset snmp trap-group "china88" categories linkset snmp trap-group "china88" categories remote-operationsset snmp trap-group "china88" categories routingset snmp trap-group "china88" categories startupset snmp trap-group "china88" categories configurationset snmp trap-group "china88" targets 192.168.1.86.基本配置端口设置IP：set interfaces ge-0/0/0.0 family inet address 192.168.1.1/24或set interfaces ge-0/0/0 unit 0 family inet address 192.168.1.1/24set interfaces ge-0/0/1 unit 0 family inet address 100.100.100.1/24SRX接口要求IP地址必须配置在逻辑接口下（类似ScreenOS的子接口），通常使用逻辑接口0即可***/路由配置：set routing-options static route 0.0.0.0/0 next-hop 100.100.100.27.区域与接口set security zones security-zone trust interfaces ge-0/0/0.0/***将ge-0/0/0.0接口放到安全区域中，类似ScreenOS***/set security zones security-zone trust host-inbound-traffic system-services pingset security zones security-zone trust host-inbound-traffic system-services httpset security zones security-zone trust host-inbound-traffic system-services telnet/***在untrust zone打开允许远程登陆管理服务，ScreenOS要求基于接口开放服务，SRX要求基于Zone开放，从SRX主动访问出去流量开启服务，类似ScreenOS***/8.地址本策略地址对象定义：SRX服务网关地址对象需要自定义后才可以在策略中进行引用,默认只有any对象自定义单个地址对象如下：root# set security zones security-zone trust address-book address pc-1 192.168.1.8/32root# set security zones security-zone trust address-book address pc-2 192.168.1.9/32自定义单个地址组对象如下：set security zones security-zone trust address-book address-set pc-group address pc-1set security zones security-zone trust address-book address-set pc-group address pc-2set security zones security-zone untrust address-book address serv-1 100.100.100.8/329.定义应用服务set applications application tcp-3389 protocol tcp 定义服务对象协议<TCP\UDP\ICMP\OTHER>set applications application tcp-3389 source-port 1-65535定义服务对象源端口set applications application tcp-3389 destination-port 3389-3389定义服务对象目标地址set applications application tcp-3389 inactivity-timeout never可选定义服务对象timeout时长set applications application tcp-8080 protocol tcpset applications application tcp-8080 source-port 1-65535set applications application tcp-8080 destination-port 8080-8080set applications application tcp-8080 inactivity-timeout 360010.添加策略set security policies from-zone trust to-zone untrust policy p1 match source-address pc-1 set security policies from-zone trust to-zone untrust policy p1 match destination-address any set security policies from-zone trust to-zone untrust policy p1 match application anyset security policies from-zone trust to-zone untrust policy p1 then permitset security policies from-zone trust to-zone untrust policy p1 then log session-initset security policies from-zone trust to-zone untrust policy p1 then log session-closeset security policies from-zone trust to-zone untrust policy p2 match source-address pc-2 set security policies from-zone trust to-zone untrust policy p2 match destination-address any set security policies from-zone trust to-zone untrust policy p2 match application junos-http set security policies from-zone trust to-zone untrust policy p2 match application junos-icmp-allset security policies from-zone trust to-zone untrust policy p2 then permitset security policies from-zone trust to-zone untrust policy p2 then log session-initset security policies from-zone trust to-zone untrust policy p2 then log session-close11.基于时间的策略SRX服务网关时间调度对象需要自定义后才可以在策略中进行引用,默认没有预定义时间调度对象，自定义单个时间调度对象如下：set schedulers scheduler work-time daily s tart-time 09:00:00 stop-time 18:00:00set schedulers scheduler happy-time sunday start-time 00:00:00 stop-time 23:59:59set schedulers scheduler happy-time Saturday start-time 00:00:00 stop-time 23:59:59注意：时间调度服务生效参考设备系统时间,所以需要关注设备系统时间是否正常。

srxwebui配置手册

srxwebui配置手册

目录WebUI配置前准备工作..........................................错误!未定义书签。

一、设备系统配置..........................................错误!未定义书签。

1. 接口配置（静态ip）...................................错误!未定义书签。

（1）创建安全Zone .................................错误!未定义书签。

（2）绑定相应接口..................................错误!未定义书签。

2. 接口配置（pppoe）.....................................错误!未定义书签。

（1）封装端口为ppp-over-ether .....................错误!未定义书签。

（2）ppp-options配置..............................错误!未定义书签。

（3）pppoe-options配置............................错误!未定义书签。

（4）Family属性配置...............................错误!未定义书签。

二、交换机vlan模式配置...................................错误!未定义书签。

1. 创建VLAN（RVI）......................................错误!未定义书签。

2. 创建安全Zone并绑定相应RVI ...........................错误!未定义书签。

三、NAT及其策略配置......................................错误!未定义书签。

1. 源地址NAT ............................................错误!未定义书签。

Juniper SRX路由器命令配置手册

Juniper SRX路由器命令配置手册

Juniper SRX配置手册目录一、JUNOS操作系统介绍 (3)1.1 层次化配置结构 (3)1.2 JunOS配置管理 (3)1.3 SRX主要配置内容 (4)二、SRX防火墙配置对照说明 (5)2.1 初始安装 (5)2.1.1 登陆 (5)2.1.2 设置root用户口令 (5)2.1.3 设置远程登陆管理用户 (5)2.1.4 远程管理SRX相关配置 (6)2.2 Policy (6)2.3 NAT (7)2.3.1 Interface based NAT (7)2.3.2 Pool based Source NAT (8)2.3.3 Pool base destination NAT (9)2.3.4 Pool base Static NAT (10)2.4 IPSEC VPN (10)2.5 Application and ALG (12)2.6 JSRP (12)三、SRX防火墙常规操作与维护 (14)3.1 设备关机 (14)3.2 设备重启 (15)3.3 操作系统升级 (15)3.4 密码恢复 (15)3.5 常用监控维护命令 (16)Juniper SRX防火墙简明配置手册SRX系列防火墙是Juniper公司基于JUNOS操作系统的安全系列产品，JUNOS集成了路由、交换、安全性和一系列丰富的网络服务。

目前Juniper公司的全系列路由器产品、交换机产品和SRX安全产品均采用统一源代码的JUNOS操作系统，JUNOS是全球首款将转发与控制功能相隔离，并采用模块化软件架构的网络操作系统。

JUNOS作为电信级产品的精髓是Juniper真正成功的基石，它让企业级产品同样具有电信级的不间断运营特性，更好的安全性和管理特性，JUNOS软件创新的分布式架构为高性能、高可用、高可扩展的网络奠定了基础。

基于NP架构的SRX系列产品产品同时提供性能优异的防火墙、NAT、IPSEC、IPS、SSL VPN和UTM等全系列安全功能，其安全功能主要来源于已被广泛证明的ScreenOS操作系统。

juniper srx100 防火墙配置---精品管理资料

juniper srx100 防火墙配置---精品管理资料

Junipersrx100防火墙配置指导#一、初始化安装1。

1设备登录Juniper SRX系列防火墙。

开机之后,第一次必须通过console 口（通用超级终端缺省配置）连接SRX , 输入root 用户名登陆,密码为空，进入到SRX设备之后可以开始加载基线配置。

特别注意:SRX低端系列防火墙，在第一次登陆时，执行命令“show configuration”你会发现系统本身已经具备一些配置内容（包括DNS名称、DHCP服务器等），建议删除这些配置,重新配置。

Delete 删除设备开机请直接通过console 连接到防火墙设备Login : rootPassword ： /*＊*初始化第一次登陆的时候，密码为空**/Root％ cli /**进入操作模式＊＊/Root>Root> configure /＊* 进入配置模式＊＊/Root＃ delete /＊＊*配置模式执行命令“delete" 全局删除所有的系统缺省配置＊＊*/ 1。

2 系统基线配置Set system host—name name/＊＊*配置设备名称“name"＊*＊/Set system time—zone Asia/Chongqing/*＊＊配置系统时区＊＊*/Set system root—authentication plain—text—password 输入命令，回车New password：第一次输入新密码,Retype new password 重新确认新密码/*＊＊配置系统缺省根账号密码，不允许修改根账号名称“root”＊*＊/注意：root帐号不能用于telnet，但是可以用于web和ssh管理登录到设备S et system login user topsci class super—user authentication plain-text—password New password 输入密码Retype new password 确认密码/＊＊*创建一个系统本地账号“name“,set system services sshset system services telnetset system services web—management http interface allset systhm services web-management http port 81 interface allset system services web—management https system—generated—certificateset system services web-management https interface all/*＊*全局开启系统管理服务,ssh\telnet\http\https＊＊＊/set interfacesge—0/0/2unit 0 family inet address 10.10。