juniper_netscreen__防火墻培訓(xùn)基礎(chǔ)篇_

1、Juniper netscreen 防火墻培訓(xùn)　　　　 王慶生　　 juniper 認(rèn)證工程師,課程目標(biāo),NS防火墻部署方式介紹，部署方式主要有以下幾種1、路由模式2、透明模式3、混合模式（1、2兩種模式的結(jié)合）,內(nèi)網(wǎng)各種應(yīng)用服務(wù)器（WEB、ERP、EMAIL）的發(fā)布1、MIP、VIP、DIP2、訪問(wèn)應(yīng)用服務(wù)器的安全策略,路由模式防火墻最常用的一種部署方式，主要是取代原有網(wǎng)絡(luò)中的網(wǎng)關(guān)路由器。如圖：,防火墻部署方式

2、一、路由模式,原網(wǎng)絡(luò)環(huán)境,架墻之后的拓?fù)?,路由模式的配置步驟,第一步、配置防火墻的接口地址第二步、配置防火墻的缺省路由第三步、配置防火墻安全策略下面以截圖具體說(shuō)明,網(wǎng)絡(luò)拓?fù)?,,E 0/0,E 0/2,,192.168.1.1/24,接口地址一覽表(初始),,,編輯缺省外網(wǎng)接口,配置缺省外網(wǎng)接口IP及管理項(xiàng),配置靜態(tài)公網(wǎng)IP,公網(wǎng)遠(yuǎn)程管理開(kāi)關(guān),,選擇管理項(xiàng),,外網(wǎng)口為ROUTE內(nèi)網(wǎng)口為NAT,內(nèi)外網(wǎng)接口配置完成后一覽表,,

3、路由一覽表,,添加路由條目按鍵,添加缺省路由,,缺省路由配置格式,防火墻互聯(lián)網(wǎng)網(wǎng)關(guān)地址,,選擇外網(wǎng)接口,添加缺省路由后路由表,,創(chuàng)建Trust-?Untrust區(qū)域策略,,,,源區(qū)域 目的區(qū)域 創(chuàng)建,創(chuàng)建Trust?Untrust區(qū)域策略,自定義策略名稱,內(nèi)網(wǎng)的所有地址可以訪問(wèn)外網(wǎng)的所有地址,,開(kāi)啟LOG;并把該策

4、略置頂執(zhí)行,創(chuàng)建Trust-?Untrust區(qū)域策略,,完成策略配置,點(diǎn)擊此處可以查看策略日志,路由模式配置完成,配置完成后:Ping測(cè)試,使用內(nèi)網(wǎng)PC用Ping192.168.1.1地址進(jìn)行連通測(cè)試.Ping測(cè)試,使用內(nèi)網(wǎng)PC用Ping外網(wǎng)地址進(jìn)行互聯(lián)網(wǎng)測(cè)試.,透明模式的部署環(huán)境分兩種1、標(biāo)準(zhǔn)包下的透明模式2、TRUNK模式下的透明模式下面結(jié)合具體環(huán)境說(shuō)明一下,防火墻部署方式二、透明模式,架墻之后的拓?fù)?原網(wǎng)絡(luò)環(huán)境,標(biāo)準(zhǔn)包下

5、的透明模式,標(biāo)準(zhǔn)包下的透明模式配置步驟,第一步、配置防火墻的接口為二層模式第二步、配置防火墻的VLAN1的地址第三步、配置防火墻安全策略下面以截圖具體說(shuō)明,網(wǎng)絡(luò)拓?fù)?,,VLAN1IP 192.168.2.1/24,,192.168.1.1/24,Router,透明模式步驟外網(wǎng)接口配置,初始未配置頁(yè)面,,,透明模式步驟外網(wǎng)接口配置,改變Untrust->V1-Untrust,透明模式--外網(wǎng)接口配置,,,設(shè)置VLAN1

6、管理地址,配置用于管理的VLAN 1 IP地址,配置與缺省地址的不同私有地址用于管理,,,透明模式--內(nèi)網(wǎng)接口配置,,刪除原有IP,透明模式--內(nèi)網(wǎng)接口配置,更改Trust?V1-Trust,透明配置完成后再次登陸,,使用配置的VALN 1 IP 地址登錄WEB界面,創(chuàng)建V1-Trust-?V1-Untrust區(qū)域策略,,,源區(qū)域 目的區(qū)域

7、 創(chuàng)建,,透明模式配置完成,配置完成后:Ping測(cè)試,使用內(nèi)網(wǎng)PC用Ping “路由器內(nèi)網(wǎng)接口地址”進(jìn)行連通測(cè)試.Ping測(cè)試,使用內(nèi)網(wǎng)PC用Ping外網(wǎng)地址進(jìn)行互聯(lián)網(wǎng)測(cè)試.,TRUNK模式下的透明模式下面結(jié)合具體環(huán)境說(shuō)明一下,防火墻部署方式二、透明模式,架墻之后的拓?fù)?,ROUTE,,,內(nèi)網(wǎng)PC,FW,原網(wǎng)絡(luò)環(huán)境,TRUNK模式下的透明模式,SW,TRUNK,,ROUTE,,,內(nèi)網(wǎng)PC,SW,TRUN

8、K,,TRUNK,TRUNK模式下的典型應(yīng)用--TRUNK透?jìng)?透明模式支持VLAN透?jìng)?VLAN需終結(jié)于FW,TRUNK模式下的典型應(yīng)用--內(nèi)網(wǎng)訪問(wèn)控制,VLAN3用戶,vlan2用戶,,Firewall,192.168.2.2/24,,,VLAN 2,,Cisco 3550,,應(yīng)用1,,聚合端口+中繼端口,Trust zone:Vlan2.gw192.168.2.1/24,Untrust zone:Vlan3.gw192.168

9、.3.1/24,VLAN 3,Vlan4.gw192.168.4.1/24,192.168.3.2/24,192.168.4.2/24,,Vlan5.gw192.168.5.1/24,VLAN5,192.168.5.2/24,VLAN4,應(yīng)用2,互連VLAN:Vlan10192.168.10.0/30,,TRUNK下的透明模式配置步驟,第一步、配置防火墻的接口為二層模式第二步、配置防火墻的VLAN1的地址第三步、配置防火墻的V

10、LAN1接口支持TRUNK第三步、配置防火墻安全策略,混合模式是前兩種模式的結(jié)合，是針對(duì)兩條外網(wǎng)線路環(huán)境下而設(shè)計(jì)的,防火墻部署方式三、混合模式,架墻之后的拓?fù)?,ROUTE1,,,內(nèi)網(wǎng)PC,FW,原網(wǎng)絡(luò)環(huán)境,SW,,ROUTE1,,,內(nèi)網(wǎng)PC,SW,,,,ROUTE2,,透明模式,路由模式,混合模式配置步驟,第一步、配置防火墻的兩個(gè)接口為二層模式第二步、配置防火墻的另外兩個(gè)接口為路由模式第三步、配置防火墻的VLAN1接口地址第三

11、步、配置防火墻安全策略,企業(yè)內(nèi)部有各種應(yīng)用服務(wù)器，需要對(duì)外發(fā)布或外部辦公人員訪問(wèn)，在此種情況下，就需設(shè)置NS墻的MIP、VIP、DIP（防火墻部署方式需路由）,內(nèi)網(wǎng)各種應(yīng)用服務(wù)器（WEB、ERP、EMAIL）的發(fā)布,,,內(nèi)網(wǎng)PC,FW,SW,,WEB,MIP、VIP、DIP之間的區(qū)別,1、MIP是一對(duì)一的地址映射，即一個(gè)公網(wǎng)地址只對(duì)應(yīng)一臺(tái)內(nèi)網(wǎng)服務(wù)器，公網(wǎng)所有端口都映射到內(nèi)部服務(wù)器。2、VIP是一對(duì)多地址轉(zhuǎn)換，即一個(gè)公網(wǎng)地址的不同端口，

12、可以轉(zhuǎn)換到對(duì)應(yīng)多臺(tái)內(nèi)部服務(wù)器，如外網(wǎng)80可轉(zhuǎn)換到服務(wù)器1上，而外網(wǎng)的21(或其它端口)同時(shí)可轉(zhuǎn)換到服務(wù)器2上；而MIP要么映射到服務(wù)器1，要么映射到服務(wù)器2上，兩者不能同時(shí)存在。3、DIP是一組公網(wǎng)地址，讓內(nèi)網(wǎng)機(jī)器隨機(jī)地轉(zhuǎn)換成組內(nèi)任意一個(gè)公網(wǎng)地址。,MIP、VIP配置步驟,第一步、選擇做MIP、VIP對(duì)應(yīng)的外網(wǎng)口第二步、確定是用MIP還是VIP發(fā)布服務(wù)器第三步、設(shè)置MIP或VIP與內(nèi)網(wǎng)服務(wù)器對(duì)應(yīng)關(guān)系第三步、配置與MIP、VIP對(duì)

13、應(yīng)的安全策略下面以最常用的VIP發(fā)布WEB服務(wù)為例具體說(shuō)明，MIP的設(shè)置方法與之基本相同。,,VIP 配置,網(wǎng)絡(luò)拓?fù)?,,,,192.168.1.1/24,WEB Server:192.168.1.254/24,安全網(wǎng)關(guān)VIP 配置,當(dāng)網(wǎng)絡(luò)只有一個(gè)公網(wǎng)IP時(shí)選擇,,,,添加VIP的公網(wǎng)服務(wù)器IP,當(dāng)網(wǎng)絡(luò)有多個(gè)公網(wǎng)IP時(shí)選擇并輸入公網(wǎng)IP,選擇外網(wǎng)口,,,安全網(wǎng)關(guān)VIP 配置,內(nèi)網(wǎng)服務(wù)器地址,此時(shí)和外網(wǎng)WEBUI管理的端口(80)