juniper防火墻知識培訓(xùn)(存儲版)
【正文】 ? 本文主要使用命令行的方式進(jìn)行配置，具體的圖形界面參考 《 Juniper防火墻圖形配置手冊 》 ? 其中用戶的需求是： ? （ 1）內(nèi)部用戶能通過防火墻訪問 Inter，防火墻做 NAT ? （ 2） Inter用戶能訪問內(nèi)部的 web， ftp等應(yīng)用 ? （ 3） Inter用戶通過不同的端口訪問內(nèi)部的 webservergroup ? ? 簡單的圖形如下： ? ? Inter路由器 Netscreen內(nèi)網(wǎng) ? ? 具體的 IP地址分配如下：參考上表 ? ? screenset hostname screenisg2022 ? screenisg2022set interface mgt ip ? ? screenisg2022set interface ether1/1 zone trust ? screenisg2022set interface ether1/2 zone untrust ? screenisg2022set interface ether1/1 ip ? screenisg2022set interface ether1/2 ip ? screenisg2022set interface ether1/1 nat ? screenisg2022set interface ether1/2 route ? screenisg2022set interface ether1/2 mip host mask vrouter trustvr. ? screenisg2022set interface ether1/2 vip 80 HTTP ? screenisg2022set interface ether1/2 vip +8080 HTTP ? screenisg2022set interface ether1/2 vip +8900 HTTP ? ? ? 具體的 policy 就不在詳細(xì)的說明了，后面的文章中專門介紹如何配置 policy。 ? Juniper 防護(hù)墻上的 NAT方式也是基于這種功能來實(shí)現(xiàn)的，下面具體的模擬一個(gè)環(huán)境進(jìn)行相關(guān)的說明： ? 設(shè)備名稱 IP地址說明 ISG ether1/2接口 : ? screenisg1000 set interface ether1/1 ip Juniper 防火墻部署 NAT 和路由方式 ? screenisg1000 set interface ether1/1 route ? screenisg1000 set inerface ether1/2 ip ? screenisg1000 set interface ether1/2 nat ? 以下的配置可以簡單的配置 ? screenisg1000 unset interface ether1/1 manage tel ? screenisg1000 set interface ether1/1 manage ping ? screenisg1000 unset interface ether1/1 manage web ? screenisg1000 set interface ether1/2 manage tel ? screenisg1000 set interface ether1/1 manage ping ? screenisg1000 set interface ether1/1 manage web ? ? Juniper 防火墻部署 NAT 和路由方式實(shí)際例子 ? martin人生就是一連串的問題 ,成功更需要打磨和塑造 夫君子之行，靜以修身，儉以養(yǎng)德；非澹泊無以明志，非寧靜無以致遠(yuǎn)。 ? 采用 NAT，可以實(shí)現(xiàn)以下幾個(gè)功能： a， Translation inside local addresses b， Overloading inside global addresses c， TCP load distribution d， Handing overlapping works a，內(nèi)部地址翻譯（ Translation inside local addresses)： 這是比較通用的一種方法，將內(nèi)部 IP一對一的翻譯成外部地址。 采用 NAT后，一個(gè)最主要的改變就是你失去了端對端 IP的 traceability，也就是說，從此你不能再經(jīng)過 NAT使用 ping和 traceroute，其次就是曾經(jīng)的一些 IP對 IP的程序不再可以正常運(yùn)行，潛在的不易被觀察到的缺點(diǎn)就是增加了網(wǎng)絡(luò)延時(shí)。采用 portmultiplexing技術(shù)，或改變外出數(shù)據(jù)的源 port技術(shù)可以將多個(gè)內(nèi)部 IP地址影射到同一個(gè)外部地址，這就是 PAT（ port address translator）。 set interface mgt ip set interface mgt manage tel, set interface mgt manage ssh,
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1