【文章內(nèi)容簡(jiǎn)介】 PER 防火墻快速安裝手冊(cè)第 20 頁 共 53 頁⑦ Set policy from trust to untrust any any any permit log（定義一條由內(nèi)網(wǎng)到外網(wǎng)的訪問策略。策略的方向是：由 zone trust 到 zone untrust， 源地址為：any，目標(biāo)地址為：any，網(wǎng)絡(luò)服務(wù)為：any，策略動(dòng)作為：permit 允許，log：開啟日志記錄） ；⑧ Save （保存上述的配置文件） 。、NS25208 NAT/Route 模式下的基本配置① Unset interface ether1 ip（清除防火墻內(nèi)網(wǎng)口缺省 IP 地址） ；② Set interface ether1 zone trust（將 ether1 端口分配到 trust zone） ； ③ Set interface ether1 ip （定義 ether1 端口的 IP 地址） ；④ Set interface ether3 zone untrust（將 ether3 端口分配到 untrust zone） ；JUNIPER 防火墻快速安裝手冊(cè)第 21 頁 共 53 頁⑤ Set interface ether3 ip （定義 ether3 端口的 IP 地址） ； ⑥ Set route （定義防火墻對(duì)外的缺省路由網(wǎng)關(guān)） ；⑦ Set policy from trust to untrust any any any permit log（定義由內(nèi)網(wǎng)到外網(wǎng)的訪問控制策略） ；⑧ Save （保存上述的配置文件）注：上述是在命令行的方式上實(shí)現(xiàn)的 NAT 模式的配置，因?yàn)榉阑饓Τ鰪S時(shí)在內(nèi)網(wǎng)端口（trust zone 所屬的端口）上啟用了 NAT，所以一般不用特別設(shè)置，但是其它的端口則工作在路由模式下，例如：untrust 和 DMZ 區(qū)的端口。 如果需要將端口從路由模式修改為 NAT 模式，則可以按照如下的命令行進(jìn)行修改：① Set interface ether2 NAT （設(shè)置端口 2 為 NAT 模式）② Save總結(jié)：① NAT/Route 模式做防火墻部署的主要模式，通常是在一臺(tái)防火墻上兩種模式混合進(jìn)行（除非防火墻完全是在內(nèi)網(wǎng)應(yīng)用部署，不需要做 NAT地址轉(zhuǎn)換，這種情況下防火墻所有端口都處于 Route 模式，防火墻首先作為一臺(tái)路由器進(jìn)行部署） ；② 關(guān)于配置舉例，NS5GT 由于設(shè)備設(shè)計(jì)上的特殊性，因此專門列舉加以說明；Juniper 在 2022 年全新推出的 SSG 系列防火墻，除了端口命名不一樣，和 NS25等設(shè)備管理配置方式一樣。、基于非向?qū)Х绞降耐该髂Ｊ较碌幕九渲脤?shí)現(xiàn)透明模式配置建議采用命令行的方式，因?yàn)椴捎?Web 的方式實(shí)現(xiàn)時(shí)相對(duì)命令行的方式麻煩。通過控制臺(tái)連接防火墻的控制口，登錄命令行管理界面，通過如下命令及步驟進(jìn)行二層透明模式的配置：① Unset interface ether1 ip（將以太網(wǎng) 1 端口上的默認(rèn) IP 地址刪除） ；JUNIPER 防火墻快速安裝手冊(cè)第 22 頁 共 53 頁② Set interface ether1 zone v1trust（將以太網(wǎng) 1 端口分配到 v1trust zone：基于二層的安全區(qū)，端口設(shè)置為該安全區(qū)后，則端口工作在二層模式，并且不能在該端口上配置 IP 地址） ；③ Set interface ether2 zone v1dmz（將以太網(wǎng) 2 端口分配到 v1dmz zone） ；④ Set interface ether3 zone v1untrust（將以太網(wǎng) 3 端口分配到 v1untrust zone） ；⑤ Set interface vlan1 ip （設(shè)置 VLAN1 的 IP 地址為：，該地址作為防火墻管理 IP 地址使用） ；⑥ Set policy from v1trust to v1untrust any any any permit log（設(shè)置一條由內(nèi)網(wǎng)到外網(wǎng)的訪問策略） ；⑦ Save（保存當(dāng)前的配置） ；總結(jié)：① 帶有 V1字樣的 zone 為基于透明模式的安全區(qū)，在進(jìn)行透明模式的應(yīng)用時(shí)，至少要保證兩個(gè)端口的安全區(qū)工作在二層模式；② 雖然 Juniper 防火墻可以在某些特殊版本工作在混合模式下（二層模式和三層模式的混合應(yīng)用） ，但是通常情況下，建議盡量使防火墻工作在一種模式下（三層模式可以混用：NAT 和路由） 。Juniper 防火墻幾種常用功能的配置這里講述的 Juniper 防火墻的幾種常用功能主要是指基于策略的 NAT 的實(shí)現(xiàn)，包括：MIP、VIP 和 DIP，這三種常用功能主要應(yīng)用于防火墻所保護(hù)服務(wù)器提供對(duì)外服務(wù)。、MIP 的配置MIP 是“一對(duì)一”的雙向地址翻譯（轉(zhuǎn)換）過程。通常的情況是：當(dāng)你有若干個(gè)公網(wǎng) IP 地址，又存在若干的對(duì)外提供網(wǎng)絡(luò)服務(wù)的服務(wù)器（服務(wù)器使用私有 IP 地址） ，為了實(shí)現(xiàn)互聯(lián)網(wǎng)用戶訪問這些服務(wù)器，可在 Inter 出口的防火墻上建立公網(wǎng) IP 地址與服務(wù)器私有 IPJUNIPER 防火墻快速安裝手冊(cè)第 23 頁 共 53 頁地址之間的一對(duì)一映射（MIP ） ，并通過策略實(shí)現(xiàn)對(duì)服務(wù)器所提供服務(wù)進(jìn)行訪問控制。MIP 應(yīng)用的網(wǎng)絡(luò)拓?fù)鋱D：注：MIP 配置在防火墻的外網(wǎng)端口（連接 Inter 的端口） 。、使用 Web 瀏覽器方式配置 MIP① 登錄防火墻，將防火墻部署為三層模式（NAT 或路由模式） ；② 定義 MIP：Network=Interface=ether2=MIP ，配置實(shí)現(xiàn) MIP 的地址映射。Mapped IP：公網(wǎng) IP 地址， Host IP：內(nèi)網(wǎng)服務(wù)器 IP 地址JUNIPER 防火墻快速安裝手冊(cè)第 24 頁 共 53 頁③ 定義策略：在 POLICY 中，配置由外到內(nèi)的訪問控制策略，以此允許來自外部網(wǎng)絡(luò)對(duì)內(nèi)部網(wǎng)絡(luò)服務(wù)器應(yīng)用的訪問。JUNIPER 防火墻快速安裝手冊(cè)第 25 頁 共 53 頁、使用命令行方式配置 MIP① 配置接口參數(shù)set interface ether1 zone trustset interface ether1 ip set interface ether1 natset interface ether2 zone untrustset interface ether2 ip ② 定義MIPset interface ether2 mip host mask vrouter trustvr③ 定義策略set policy from untrust to trust any mip() permitsave、VIP 的配置MIP 是一個(gè)公網(wǎng) IP 地址對(duì)應(yīng)一個(gè)私有 IP 地址，是一對(duì)一的映射關(guān)系；而 VIP 是一個(gè)公網(wǎng)IP 地址的不同端口（協(xié)議端口如：22110 等）與內(nèi)部多個(gè)私有 IP 地址的不同服務(wù)端口的映射關(guān)系。通常應(yīng)用在只有很少的公網(wǎng) IP 地址，卻擁有多個(gè)私有 IP 地址的服務(wù)器，并且，這些服務(wù)器是需要對(duì)外提供各種服務(wù)的。JUNIPER 防火墻快速安裝手冊(cè)第 26 頁 共 53 頁VIP 應(yīng)用的拓?fù)鋱D：注：VIP 配置在防火墻的外網(wǎng)連接端口上（連接 Inter 的端口） 。、使用 Web 瀏覽器方式配置 VIP① 登錄防火墻，配置防火墻為三層部署模式。② 添加VIP： Network=Interface=ether8=VIP③ 添加與該VIP 公網(wǎng)地址相關(guān)的訪問控制策略。JUNIPER 防火墻快速安裝手冊(cè)第 27 頁 共 53 頁、使用命令行方式配置 VIP① 配置接口參數(shù)set interface ether1 zone trustset interface ether1 ip set interface ether1 natset interface ether3 zone untrustset interface ether3 ip ② 定義VIPset interface ether3 vip 80 ③ 定義策略set policy from untrust to trust any vip() permitsave注：VIP 的地址可以利用防火墻設(shè)備的外網(wǎng)端口地址實(shí)現(xiàn)（限于低端設(shè)備） 。JUNIPER 防火墻快速安裝手冊(cè)第 28 頁 共 53 頁、DIP 的配置DIP 的應(yīng)用一般是在內(nèi)網(wǎng)對(duì)外網(wǎng)的訪問方面。當(dāng)防火墻內(nèi)網(wǎng)端口部署在 NAT 模式下，通過防火墻由內(nèi)網(wǎng)對(duì)外網(wǎng)的訪問會(huì)自動(dòng)轉(zhuǎn)換為防火墻設(shè)備的外網(wǎng)端口 IP 地址，并實(shí)現(xiàn)對(duì)外網(wǎng)（互聯(lián)網(wǎng)）的訪問，這種應(yīng)用存在一定的局限性。解決這種局限性的辦法就是 DIP，在內(nèi)部網(wǎng)絡(luò) IP 地址外出訪問時(shí)，動(dòng)態(tài)轉(zhuǎn)換為一個(gè)連續(xù)的公網(wǎng) IP 地址池中的 IP 地址。DIP 應(yīng)用的網(wǎng)絡(luò)拓?fù)鋱D：、使用 Web 瀏覽器方式配置 DIP① 登錄防火墻設(shè)備，配置防火墻為三層部署模式；② 定義DIP：Network=Interface=ether3=DIP，在定義了公網(wǎng)IP地址的untrust端口定義IP 地址池；JUNIPER 防火墻快速安裝手冊(cè)第 29 頁 共 53 頁③ 定義策略：定義由內(nèi)到外的訪問策略，在策略的高級(jí)（ADV）部分NAT的相關(guān)內(nèi)容中，啟用源地址NAT，并在下拉菜單中選擇剛剛定義好的DIP地址池，保存策略，完成配置；策略配置完成之后擁有內(nèi)部 IP 地址的網(wǎng)絡(luò)設(shè)備在訪問互聯(lián)網(wǎng)時(shí)會(huì)自動(dòng)從該地址池中選擇一個(gè)公網(wǎng) IP 地址進(jìn)行 NAT。JUNIPER 防火墻快速安裝手冊(cè)第 30 頁 共 53 頁、使用命令行方式配置 DIP① 配置接口參數(shù)set interface ether1 zone trustset interface ether1 ip set interface ether1 natset interface ether3 zone untrustset interface ether3 ip ② 定義DIPset interface ether3 dip 5 ③ 定義策略set policy from trust to untrust any any nat src dipid 5 permitsaveJuniper 防火墻 IPSec VPN 的配置Juniper 所有系列防火墻（除部分早期型號(hào)外）都支持 IPSec VPN，其配置方式有多種，包括：基于策略的 VPN、基于路由的 VPN、集中星形 VPN 和背靠背 VPN 等。在這里，我們主要介紹最常用的 VPN 模式：基于策略的 VPN。站點(diǎn)間（SitetoSite ）的 VPN 是 IPSec VPN 的典型應(yīng)用，這里我們介紹兩種站點(diǎn)間基于策略 VPN 的實(shí)現(xiàn)方式：站點(diǎn)兩端都具備靜態(tài)公網(wǎng) IP 地址；站點(diǎn)兩端其中一端具備靜態(tài)公網(wǎng) IP 地址，另一端動(dòng)態(tài)公網(wǎng) IP 地址。、站點(diǎn)間 IPSec VPN 配置：staic iptostaic ip當(dāng)創(chuàng)建站點(diǎn)兩端都具備靜態(tài) IP 的 VPN 應(yīng)用中，位于兩端的防火墻上的 VPN 配置基本相同，不同之處是在 VPN gateway 部分的 VPN 網(wǎng)關(guān)指向 IP 不同，其它部分相同。JUNIPER 防火墻快速安裝手冊(cè)第 31 頁 共 53 頁VPN 組網(wǎng)拓?fù)鋱D：staic iptostaic ip、使用 Web 瀏覽器方式配置① 登錄防火墻設(shè)備，配置防火墻為三層部署模式；② 定義 VPN 第一階段的相關(guān)配置：VPNs=Autokey Adwanced=Gateway配置 VPN gateway 部分，定義 VPN 網(wǎng)關(guān)名稱、定義“對(duì)端 VPN 設(shè)備的公網(wǎng) IP 地址”為本地 VPN 設(shè)備的網(wǎng)關(guān)地址、定義預(yù)共享密鑰、選擇發(fā)起 VPN 服務(wù)的物理端口；JUNIPER 防火墻快速安裝手冊(cè)第 32 頁 共 53 頁③ 在