【正文】 配置舉例：set applications application 8080 protocol tcpset applications application 8080 sourceport 165535set applications application 8080 destinationport 808027 / 34 安全策略配置SRX 的安全策略配置里必須包含以下要素：? Fromzone? Tozone? Policy name? Match sourceaddress? Match destinationaddress? Match application? Then action(permit,deny,log,idp policy 等等)配置舉例：set security policies fromzone trust tozone untrust policy 1020 match sourceaddress set security policies fromzone trust tozone untrust policy 1020 match destinationaddress webserverset security policies fromzone trust tozone untrust policy 1020 match application 8080set security policies fromzone trust tozone untrust policy 1020 match application junosset security policies fromzone trust tozone untrust policy 1020 then permitset security policies fromzone trust tozone untrust policy 1020 then log sessionclose SRX NAT 配置介紹SRX 的 NAT 配置與 ScreenOS 顯著不同，為保證系統(tǒng)的靈活性，SRX 把 NAT 配置從安全策略里剝離出來，單獨成為一個層次：即在 SRX JUNOS 中安全策略只負責控制業(yè)務數(shù)據(jù)的轉發(fā)與否，NAT 策略只控制業(yè)務數(shù)據(jù)的源地址和端口的翻譯規(guī)則，兩者各自獨立。SRX3K/5K 的所有接口默認都放在null zone 內。然后再處理。[edit]rootset security zones securityzone trust hostinboundtraffic systemservices tel[edit]root set security zones securityzone trust hostinboundtraffic systemservices 9. 配置允許內網(wǎng)到外網(wǎng)的流量和策略。Junos 系統(tǒng)的要求密碼最少為六位，而且必須包含字母和數(shù)字。16 / 34 開機登錄1. 第一次開機登錄用戶名為 root，密碼為空。 基本管理配置介紹 CLIShell 模式用 root 用戶登錄時，先進入的是 shell 模式，提示符為：%，必須輸入 cli 命令后才能進入用戶模式進行對設備的操作；如果以非 root 用戶登錄，則直接進入用戶模式。如果要進行電源關閉的重新啟動，請參閱“設備關閉” ，在重新開啟電源之前必須等待60 秒。如果沒有顯示，請檢查線纜或者終端的配置是否正確。它運行在 Juniper 網(wǎng)絡公司的所有 T系列、 M/MX 系列和 J系列路由器以及 SRX 系列集成安全網(wǎng)關上，被部署在全球最大、增長最迅速的網(wǎng)絡中。神州數(shù)碼系統(tǒng)網(wǎng)絡事業(yè)部神州數(shù)碼系統(tǒng)網(wǎng)絡事是全球領先的網(wǎng)絡和安全解決方案供應商Juniper網(wǎng)絡公司的總分銷商，是全球知名提供通訊服務的西門子公司在中國的總代理，是智能應用交換機全球領導者Radware 公司和世界領先的下一代企業(yè)移動系統(tǒng)供應商Aruba無線網(wǎng)絡公司在中國的總分銷商。集團業(yè)務主要包括IT規(guī)劃、流程外包、應用開發(fā)、系統(tǒng)集成、硬件基礎設施服務、維保、硬件安裝、分銷及零售等八類業(yè)務，面向中國市場，為行業(yè)客戶、企業(yè)級客戶、中小企業(yè)與個人消費者提供全方位的IT服務。Juniper網(wǎng)絡公司推出的一系列聯(lián)網(wǎng)解決方案, 提供所需的安全性和性能來支持全球最大型、最復雜、要求最嚴格的關鍵網(wǎng)絡, 其中包括全球頂尖的25 家服務供應商和《財富》全球500 強企業(yè)前15強中的8個企業(yè)。神州數(shù)碼（中國）有限公司可能隨時更改本《手冊》中提到的產(chǎn)品或調試命令等技術，恕不另行通知。5 / 34前言Juniper 網(wǎng)絡公司介紹Juniper網(wǎng)絡公司致力于實現(xiàn)網(wǎng)絡商務模式的轉型。集團由原聯(lián)想集團分拆而來，并于二零零一年六月一日在香港聯(lián)合交易所有限公司主板獨立上市。神州數(shù)碼企業(yè)系統(tǒng)本部神州數(shù)碼企業(yè)系統(tǒng)本部是以企業(yè)數(shù)據(jù)中心建設為目標，重點覆蓋網(wǎng)絡、主機、存儲、軟件4 大業(yè)務領域，致力于為客戶提供國際上主流的企業(yè)級軟硬件產(chǎn)品、骨干網(wǎng)絡、基礎網(wǎng)絡設備和全面產(chǎn)品解決方案。7 / 34本文檔為神州數(shù)碼公司編寫。9 / 343. 打開計算機中的終端軟件工具。如果出現(xiàn)任何現(xiàn)場無法解決的問題，請咨詢 Juniper TAC 的幫助，參閱 尋求 JTAC 幫助。如果設備的 Root 密碼丟失，而且沒有其他的超級用戶權限，那么就需要執(zhí)行密碼恢復，該操作需要中斷設備的正常功能。CLI 命令行可以顯示路由表信息，路由協(xié)議的信息，使用 ping 和traceroute 工具體現(xiàn)的網(wǎng)絡連接信息。2. 一般情況下這份配置不要保留使用，為了方便日后故障排查，我們需要將其刪17 / 34除，重新配置：root delete This will delete the entire configurationDelete everything under this level? [yes,no] (no) yes配置 root 根用戶密碼，這個必須配置，否則無法 mit 提交生效配置。對于 SRX210，對應前兩個接口為千兆口，所以端口命名為:ge0/0/0 和 ge0/0/1，其余的為 fe。[edit]rootmitmit plete20 / 345. 常用故障診斷命令查看端口狀態(tài)labSRX show interfaces terse Interface Admin Link Proto Local Remotege0/0/0 up up ge0/0/1 up down查看路由表labSRX show route terse : 7 destinations, 7 routes (7 active, 0 holddown, 0 hidden)+ = Active Route, = Last Active, * = BothA Destination P Prf Metric 1 Metric 2 Next hop AS path* * ge0/0/ 查看 OSPF 鄰居關系labr1 show ospf neighbor Address Interface State ID Pri Dead fe0/0/ Full 128 36 fe0/0/ Full 128 3521 / 34Pinglabsrx ping PING (): 56 data bytes64 bytes from : icmp_seq=0 ttl=61 time= mslabsrx ping rapid PING (): 56 data bytes!!!!!labSRX run ping rapid count 1000 size 1000 PING (): 1000 data bytes!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!1000 packets transmitted, 1000 packets received, 0% packet lossroundtrip min/avg/max/stddev = Traceroutelabsrx traceroute traceroute to (), 30 hops max, 40 byte packets 1 () ms ms ms2 () ms ms ms監(jiān)控接口流量labsrx monitor interface fe0/0/122 / 34監(jiān)控 RE CPU 利用率labsrxshow chassis routingengine監(jiān)控并發(fā)會話數(shù)labsrxshow security flow session summary冷卻系統(tǒng)故障檢查冷卻系統(tǒng)包含安裝在機箱側面的風扇盤來保證 SRX 工作在一個可以接受的溫度環(huán)境下。? 檢查設備 Craft Interface 上的狀態(tài)報告，看看是否有系統(tǒng)告警，LED 顯示是否正常。配置舉例：set security zones securityzone trust addressbook address internalset security zones securityzone untrust addressbook address webserver addressbook 還支持創(chuàng)建 addressset 來包含多個離散的地址，以方便策略引用 application 配置SRX 安全策略里不允許直接使用協(xié)議號，源端口，目標端口來匹配業(yè)務應用，只能使用[application] 下系統(tǒng)預定義的應用類型或用戶自定義的業(yè)務類型。配置舉例：set security nat source ruleset srcnat from zone trustset security nat source ruleset srcnat to zone untrustset security nat source ruleset srcnat rule src1 match sourceaddress set security nat source ruleset srcnat rule src1 then sourcenat interfaceset security nat destination pool 1026105172p1812 address set security nat destination pool 1026105172p1812 address port 1812set security nat destination ruleset dstnat from zone ggsnset security nat destination ruleset dstnat rule 30 match destinationaddress set security nat destination ruleset dstnat rule 30 match destinationport 1645set security nat destination ruleset dstnat rule 30 then destinationnat pool 1026105172p1812set security nat destination ruleset dstnat rule 40 match destinationaddress set security nat static ruleset static from zone cmset security nat static ruleset static rule static10 match destinationaddress set security nat static ruleset static rule static10 then staticnat prefix set security nat proxyarp interface fe0/0/ address set security nat proxyarp interface fe0/0/ address SRX 一個典型配置此配置包括以下內容：定義登錄的用戶名、密碼及 idle 時間；配置 Static NAT/SrcNAT/DstNAT；配置 ALG、 Application；配置 Base route VPN/Base policy VPN/OSPF；做 f