SSG520快速安装手册.docx
- 文档编号:29912241
- 上传时间:2023-08-03
- 格式:DOCX
- 页数:79
- 大小:6.48MB
SSG520快速安装手册.docx
《SSG520快速安装手册.docx》由会员分享,可在线阅读,更多相关《SSG520快速安装手册.docx(79页珍藏版)》请在冰豆网上搜索。
SSG520快速安装手册
Juniper网络安全防火墙设备快速安装手册V1.0
1、前言
我们制作本安装手册的目的是使初次接触Juniper网络安全防火墙设备(在本安装手册中简称为“Juniper防火墙”)的工程技术人员,可以通过此安装手册完成对Juniper防火墙基本功能的实现和应用。
1.1、Juniper防火墙配置概述
Juniper防火墙作为专业的网络安全设备,可以支持各种复杂网络环境中的网络安全应用需求;但是由于部署模式及功能的多样性使得Juniper防火墙在实际部署时具有一定的复杂性。
在配置Juniper防火墙之前我们通常需要先了解用户现有网络的规划情况和用户对防火墙配置及实现功能的诸多要求,建议参照以下思路和步骤对Juniper防火墙进行配置和管理。
基本配置:
1.确认防火墙的部署模式:
NAT模式、路由模式、或者透明模式;
2.为防火墙的端口配置IP地址(包括防火墙的管理IP地址),配置路由信息;
3.配置访问控制策略,完成基本配置。
其它配置:
1.配置基于端口和基于地址的映射;
2.配置基于策略的VPN;
3.修改防火墙默认的用户名、密码以及管理端口。
1.2、Juniper防火墙管理配置的基本信息
Juniper防火墙常用管理方式:
1通过Web浏览器方式管理。
推荐使用IE浏览器进行登录管理,需要知道防火墙对应端口的管理IP地址;
2命令行方式。
支持通过Console端口超级终端连接和Telnet防火墙管理IP地址连接两种命令行登录管理模式。
Juniper防火墙缺省管理端口和IP地址:
1Juniper防火墙出厂时可通过缺省设置的IP地址使用Telnet或者Web方式管理。
缺省IP地址为:
192.168.1.1/255.255.255.0;
2缺省IP地址通常设置在防火墙的Trust端口上(NS-5GT)、最小端口编号的物理端口上(NS-25/50/204/208/SSG系列)、或者专用的管理端口上(ISG-1000/2000,NS-5200/5400)。
Juniper防火墙缺省登录管理账号:
1用户名:
netscreen;
2密码:
netscreen。
1.3、Juniper防火墙的常用功能
在一般情况下,防火墙设备的常用功能包括:
透明模式的部署、NAT/路由模式的部署、NAT的应用、MIP的应用、DIP的应用、VIP的应用、基于策略VPN的应用。
本安装手册将分别对以上防火墙的配置及功能的实现加以说明。
注:
在对MIP/DIP/VIP等Juniper防火墙的一些基本概念不甚了解的情况下,请先到本手册最后一章节内容查看了解!
2、Juniper防火墙三种部署模式及基本配置
Juniper防火墙在实际的部署过程中主要有三种模式可供选择,这三种模式分别是:
1基于TCP/IP协议三层的NAT模式;
2基于TCP/IP协议三层的路由模式;
3基于二层协议的透明模式。
2.1、NAT模式
当Juniper防火墙入口接口(“内网端口”)处于NAT模式时,防火墙将通往Untrust区(外网或者公网)的IP数据包包头中的两个组件进行转换:
源IP地址和源端口号。
防火墙使用Untrust区(外网或者公网)接口的IP地址替换始发端主机的源IP地址;同时使用由防火墙生成的任意端口号替换源端口号。
NAT模式应用的环境特征:
1注册IP地址(公网IP地址)的数量不足;
2内部网络使用大量的非注册IP地址(私网IP地址)需要合法访问Internet;
3内部网络中有需要外显并对外提供服务的服务器。
2.2、Route-路由模式
当Juniper防火墙接口配置为路由模式时,防火墙在不同安全区间(例如:
Trust/Utrust/DMZ)转发信息流时IP数据包包头中的源地址和端口号保持不变(除非明确采用了地址翻译策略)。
1与NAT模式下不同,防火墙接口都处于路由模式时,防火墙不会自动实施地址翻译;
2与透明模式下不同,当防火墙接口都处于路由模式时,其所有接口都处于不同的子网中。
路由模式应用的环境特征:
1防火墙完全在内网中部署应用;
2NAT模式下的所有环境;
3需要复杂的地址翻译。
2.3、透明模式
当Juniper防火墙接口处于“透明”模式时,防火墙将过滤通过的IP数据包,但不会修改IP数据包包头中的任何信息。
防火墙的作用更像是处于同一VLAN的2层交换机或者桥接器,防火墙对于用户来说是透明的。
透明模式是一种保护内部网络从不可信源接收信息流的方便手段。
使用透明模式有以下优点:
1不需要修改现有网络规划及配置;
2不需要实施地址翻译;
3可以允许动态路由协议、Vlantrunking的数据包通过。
2.4、基于向导方式的NAT/Route模式下的基本配置
Juniper防火墙NAT和路由模式的配置可以在防火墙保持出厂配置启动后通过Web浏览器配置向导完成。
注:
要启动配置向导,则必须保证防火墙设备处于出厂状态。
例如:
新的从未被调试过的设备,或者经过命令行恢复为出厂状态的防火墙设备。
通过Web浏览器登录处于出厂状态的防火墙时,防火墙的缺省管理参数如下:
1缺省IP:
192.168.1.1/255.255.255.0;
2缺省用户名/密码:
netscreen/netscreen;
注:
缺省管理IP地址所在端口参见在前言部份讲述的“Juniper防火墙缺省管理端口和IP地址”中查找!
!
在配置向导实现防火墙应用的同时,我们先虚拟一个防火墙设备的部署环境,之后,根据这个环境对防火墙设备进行配置。
防火墙配置规划:
1防火墙部署在网络的Internet出口位置,内部网络使用的IP地址为192.168.1.0/255.255.255.0所在的网段,内部网络计算机的网关地址为防火墙内网端口的IP地址:
192.168.1.1;
2防火墙外网接口IP地址(通常情况下为公网IP地址,在这里我们使用私网IP地址模拟公网IP地址)为:
10.10.10.1/255.255.255.0,网关地址为:
10.10.10.251
要求:
实现内部访问Internet的应用。
注:
在进行防火墙设备配置前,要求正确连接防火墙的物理链路;调试用的计算机连接到防火墙的内网端口上。
1.通过IE或与IE兼容的浏览器(推荐应用微软IE浏览器)使用防火墙缺省IP地址登录防火墙(建议:
保持登录防火墙的计算机与防火墙对应接口处于相同网段,直接相连)。
2.使用缺省IP登录之后,出现安装向导:
注:
对于熟悉Juniper防火墙配置的工程师,可以跳过该配置向导,直接点选:
No,skipthewizardandgostraighttotheWebUImanagementsessioninstead,之后选择Next,直接登录防火墙设备的管理界面。
3.使用向导配置防火墙,请直接选择:
Next,弹出下面的界面:
4.“欢迎使用配置向导”,再选择Next。
注:
进入登录用户名和密码的修改页面,Juniper防火墙的登录用户名和密码是可以更改的,这个用户名和密码的界面修改的是防火墙设备上的根用户,这个用户对于防火墙设备来说具有最高的权限,需要认真考虑和仔细配置,保存好修改后的用户名和密码。
5.在完成防火墙的登录用户名和密码的设置之后,出现了一个比较关键的选择,这个选择决定了防火墙设备是工作在路由模式还是工作在NAT模式:
◆选择EnableNAT,则防火墙工作在NAT模式;
◆不选择EnableNAT,则防火墙工作在路由模式。
6.防火墙设备工作模式选择,选择:
Trust-UntrustMode模式。
这种模式是应用最多的模式,防火墙可以被看作是只有一进一出的部署模式。
注:
NS-5GT防火墙作为低端设备,为了能够增加低端产品应用的多样性,Juniper在NS-5GT的OS中独立开发了几种不同的模式应用于不同的环境。
目前,除NS-5GT以外,Juniper其他系列防火墙不存在另外两种模式的选择。
7.完成了模式选择,点击“Next”进行防火墙外网端口IP配置。
外网端口IP配置有三个选项分别是:
DHCP自动获取IP地址;通过PPPoE拨号获得IP地址;手工设置静态IP地址,并配置子网掩码和网关IP地址。
在这里,我们选择的是使用静态IP地址的方式,配置外网端口IP地址为:
10.10.10.1/255.255.255.0,网关地址为:
10.10.10.251。
8.完成外网端口的IP地址配置之后,点击“Next”进行防火墙内网端口IP配置:
9.在完成了上述的配置之后,防火墙的基本配置就完成了,点击“Next”进行DHCP服务器配置。
注:
DHCP服务器配置在需要防火墙在网络中充当DHCP服务器的时候才需要配置。
否则请选择“NO”跳过。
注:
上面的页面信息显示的是在防火墙设备上配置实现一个DHCP服务器功能,由防火墙设备给内部计算机用户自动分配IP地址,分配的地址段为:
192.168.1.100-192.168.1.150一共51个IP地址,在分配IP地址的同时,防火墙设备也给计算机用户分配了DNS服务器地址,DNS用于对域名进行解析,如:
将WWW.SINA.COM.CN解析为IP地址:
202.108.33.32。
如果计算机不能获得或设置DNS服务器地址,无法访问互联网。
10.完成DHCP服务器选项设置,点击“Next”会弹出之前设置的汇总信息:
11.确认配置没有问题,点击“Next”会弹出提示“Finish”配置对话框:
在该界面中,点选:
Finish之后,该Web页面会被关闭,配置完成。
此时防火墙对来自内网到外网的访问启用基于端口地址的NAT,同时防火墙设备会自动在策略列表部分生成一条由内网到外网的访问策略:
◆策略:
策略方向由Trust到Untrust,源地址:
ANY,目标地址:
ANY,网络服务内容:
ANY;
◆策略作用:
允许来自内网的任意IP地址穿过防火墙访问外网的任意地址。
重新开启一个IE页面,并在地址栏中输入防火墙的内网端口地址,确定后,出现下图中的登录界面。
输入正确的用户名和密码,登录到防火墙之后,可以对防火墙的现有配置进行修改。
总结:
上述就是使用Web浏览器通过配置向导完成的防火墙NAT或路由模式的应用。
通过配置向导,可以在不熟悉防火墙设备的情况下,配置简单环境的防火墙应用。
2.5、基于非向导方式的NAT/Route模式下的基本配置
基于非向导方式的NAT和Route模式的配置建议首先使用命令行开始,最好通过控制台的方式连接防火墙,这个管理方式不受接口IP地址的影响。
注:
在设备缺省的情况下,防火墙的信任区(TrustZone)所在的端口是工作在NAT模式的,其它安全区所在的端口是工作在路由模式的。
基于命令行方式的防火墙设备部署的配置如下(网络环境同上一章节所讲述的环境):
2.5.1、NS-5GTNAT/Route模式下的基本配置
注:
NS-5GT设备的物理接口名称叫做trust和untrust;缺省Zone包括:
trust和untrust,请注意和接口区分开。
1Unsetinterfacetrustip(清除防火墙内网端口的IP地址);
2Setinterfacetrustzonetrust(将内网端口分配到trustzone);
3Setinterfacetrustip192.168.1.1/24(设置内网端口的IP地址,必须先定义zone,之后再定义IP地址);
4Setinterfaceuntrustzoneuntrust(将外网口分配到untrustzone);
5Setinterfaceuntrustip10.10.10.1/24(设置外网口的IP地址);
6Setroute0.0.0.0/0interfaceuntrustgateway10.10.10.251(设置防火墙对外的缺省路由网关地址);
7Setpolicyfromtrusttountrustanyanyanypermitlog(定义一条由内网到外网的访问策略。
策略的方向是:
由zonetrust到zoneuntrust,源地址为:
any,目标地址为:
any,网络服务为:
any,策略动作为:
permit允许,log:
开启日志记录);
8Save(保存上述的配置文件)。
2.5.2、NS-25-208NAT/Route模式下的基本配置
1Unsetinterfaceethernet1ip(清除防火墙内网口缺省IP地址);
2Setinterfaceethernet1zonetrust(将ethernet1端口分配到trustzone);
3Setinterfaceethernet1ip192.168.1.1/24(定义ethernet1端口的IP地址);
4Setinterfaceethernet3zoneuntrust(将ethernet3端口分配到untrustzone);
5Setinterfaceethernet3ip10.10.10.1/24(定义ethernet3端口的IP地址);
6Setroute0.0.0.0/0interfaceethernet3gateway10.10.10.251(定义防火墙对外的缺省路由网关);
7Setpolicyfromtrusttountrustanyanyanypermitlog(定义由内网到外网的访问控制策略);
8Save(保存上述的配置文件)
注:
上述是在命令行的方式上实现的NAT模式的配置,因为防火墙出厂时在内网端口(trustzone所属的端口)上启用了NAT,所以一般不用特别设置,但是其它的端口则工作在路由模式下,例如:
untrust和DMZ区的端口。
如果需要将端口从路由模式修改为NAT模式,则可以按照如下的命令行进行修改:
1Setinterfaceethernet2NAT(设置端口2为NAT模式)
2Save
总结:
1NAT/Route模式做防火墙部署的主要模式,通常是在一台防火墙上两种模式混合进行(除非防火墙完全是在内网应用部署,不需要做NAT-地址转换,这种情况下防火墙所有端口都处于Route模式,防火墙首先作为一台路由器进行部署);
2关于配置举例,NS-5GT由于设备设计上的特殊性,因此专门列举加以说明;Juniper在2006年全新推出的SSG系列防火墙,除了端口命名不一样,和NS-25等设备管理配置方式一样。
2.6、基于非向导方式的透明模式下的基本配置
实现透明模式配置建议采用命令行的方式,因为采用Web的方式实现时相对命令行的方式麻烦。
通过控制台连接防火墙的控制口,登录命令行管理界面,通过如下命令及步骤进行二层透明模式的配置:
1Unsetinterfaceethernet1ip(将以太网1端口上的默认IP地址删除);
2Setinterfaceethernet1zonev1-trust(将以太网1端口分配到v1-trustzone:
基于二层的安全区,端口设置为该安全区后,则端口工作在二层模式,并且不能在该端口上配置IP地址);
3Setinterfaceethernet2zonev1-dmz(将以太网2端口分配到v1-dmzzone);
4Setinterfaceethernet3zonev1-untrust(将以太网3端口分配到v1-untrustzone);
5Setinterfacevlan1ip192.168.1.1/24(设置VLAN1的IP地址为:
192.168.1.1/255.255.255.0,该地址作为防火墙管理IP地址使用);
6Setpolicyfromv1-trusttov1-untrustanyanyanypermitlog(设置一条由内网到外网的访问策略);
7Save(保存当前的配置);
总结:
1带有V1-字样的zone为基于透明模式的安全区,在进行透明模式的应用时,至少要保证两个端口的安全区工作在二层模式;
2虽然Juniper防火墙可以在某些特殊版本工作在混合模式下(二层模式和三层模式的混合应用),但是通常情况下,建议尽量使防火墙工作在一种模式下(三层模式可以混用:
NAT和路由)。
3、Juniper防火墙几种常用功能的配置
这里讲述的Juniper防火墙的几种常用功能主要是指基于策略的NAT的实现,包括:
MIP、VIP和DIP,这三种常用功能主要应用于防火墙所保护服务器提供对外服务。
3.1、MIP的配置
MIP是“一对一”的双向地址翻译(转换)过程。
通常的情况是:
当你有若干个公网IP地址,又存在若干的对外提供网络服务的服务器(服务器使用私有IP地址),为了实现互联网用户访问这些服务器,可在Internet出口的防火墙上建立公网IP地址与服务器私有IP地址之间的一对一映射(MIP),并通过策略实现对服务器所提供服务进行访问控制。
MIP应用的网络拓扑图:
注:
MIP配置在防火墙的外网端口(连接Internet的端口)。
3.1.1、使用Web浏览器方式配置MIP
1登录防火墙,将防火墙部署为三层模式(NAT或路由模式);
2定义MIP:
Network=>Interface=>ethernet2=>MIP,配置实现MIP的地址映射。
MappedIP:
公网IP地址,HostIP:
内网服务器IP地址
3定义策略:
在POLICY中,配置由外到内的访问控制策略,以此允许来自外部网络对内部网络服务器应用的访问。
3.1.2、使用命令行方式配置MIP
1配置接口参数
setinterfaceethernet1zonetrust
setinterfaceethernet1ip10.1.1.1/24
setinterfaceethernet1nat
setinterfaceethernet2zoneuntrust
setinterfaceethernet2ip1.1.1.1/24
2定义MIP
setinterfaceethernet2mip1.1.1.5host10.1.1.5netmask255.255.255.255vroutertrust-vr
3定义策略
setpolicyfromuntrusttotrustanymip(1.1.1.5)httppermit
save
3.2、VIP的配置
MIP是一个公网IP地址对应一个私有IP地址,是一对一的映射关系;而VIP是一个公网IP地址的不同端口(协议端口如:
21、25、110等)与内部多个私有IP地址的不同服务端口的映射关系。
通常应用在只有很少的公网IP地址,却拥有多个私有IP地址的服务器,并且,这些服务器是需要对外提供各种服务的。
VIP应用的拓扑图:
注:
VIP配置在防火墙的外网连接端口上(连接Internet的端口)。
3.2.1、使用Web浏览器方式配置VIP
1登录防火墙,配置防火墙为三层部署模式。
2
添加VIP:
Network=>Interface=>ethernet8=>VIP
3添加与该VIP公网地址相关的访问控制策略。
3.2.2、使用命令行方式配置VIP
1配置接口参数
setinterfaceethernet1zonetrust
setinterfaceethernet1ip10.1.1.1/24
setinterfaceethernet1nat
setinterfaceethernet3zoneuntrust
setinterfaceethernet3ip1.1.1.1/24
2定义VIP
setinterfaceethernet3vip1.1.1.1080http10.1.1.10
3定义策略
setpolicyfromuntrusttotrustanyvip(1.1.1.10)httppermit
save
注:
VIP的地址可以利用防火墙设备的外网端口地址实现(限于低端设备)。
3.3、DIP的配置
DIP的应用一般是在内网对外网的访问方面。
当防火墙内网端口部署在NAT模式下,通过防火墙由内网对外网的访问会自动转换为防火墙设备的外网端口IP地址,并实现对外网(互联网)的访问,这种应用存在一定的局限性。
解决这种局限性的办法就是DIP,在内部网络IP地址外出访问时,动态转换为一个连续的公网IP地址池中的IP地址。
DIP应用的网络拓扑图:
3.3.1、使用Web浏览器方式配置DIP
1登录防火墙设备,配置防火墙为三层部署模式;
2定义DIP:
Network=>Interface=>ethernet3=>DIP,在定义了公网IP地址的untrust端口定义IP地址池;
3定义策略:
定义由内到外的访问策略,在策略的高级(ADV)部分NAT的相关内容中,启用源地址NAT,并在下拉菜单中选择刚刚定义好的DIP地址池,保存策略,完成配置;
策略配置完成之后拥有内部IP地址的网络设备在访问互联网时会自动从该地址池中选择一个公网IP地址进行NAT。
3.3.2、使用命令行方式配置DIP
1配置接口参数
setinterfaceethernet1zonetrust
setinterfaceethernet1ip10.1.1.1/24
setinterfaceethernet1nat
setinterfaceethernet3zoneuntrust
setinterfaceethernet3ip1.1.1.1/24
2定义DIP
setinterfaceethernet3dip51.1.1.301.1.1.30
3定义策略
setpolicyfromtrusttountrustanyanyhttpnatsrcdip-id5permit
save
4、Juniper防火墙IPSecVPN的配置
Juniper所有系列防火墙(除部分早期型号外)都支持IPSecVPN,其配置方式有多种,包括:
基于策略的VPN、基于路由的VPN、集中星形VPN和背靠背VPN等。
在这里,我们主要介绍最常用的VPN模式:
基于策略的VPN。
站点间(Site-to-Site)的VPN是IPSecVPN的典型应用,这里我们介绍两种站点间基于策略VPN的实现方式:
站点两端都具备静态公网IP地址;站点两端其中一端具备静态公网IP地址,另一端动态公网IP地址。
4.1、站点间IPSecVPN配置:
staicip-to-staicip
当创建站点两端都具备静态IP的VPN应用中,位于两端的防火墙上的VPN配置基本相同,不同之处是在VPNgateway部分的VPN网关指向IP不同,其它部分相同。
VPN组网拓扑图:
staicip-to-staicip
4.1.1、使用Web浏览器方式配置
1登录防火墙设备,配置防火墙为三层部署模式;
2定义VPN第一阶段的相关配置:
VPNs=>AutokeyAdwanced=>Gateway
配置VPNgateway部分,定义VPN网关名称、定义“对端VPN设备的公网IP地址”
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- SSG520 快速 安装 手册