Juniper SRX Branch系列防火墙J-WEB配置手册

一、J-WEB管理系统简介 (3)

1.1SRX系列防火墙J-WEB界面使用注意事项 (3)

二、SRX防火墙J-WEB操作应用场景一 (4)

2.1固定公网IP地址上网应用场景拓扑及需求说明 (4)

2.1.1应用场景一拓扑图 (4)

2.1.2拓扑图介绍及需求说明 (4)

2.1.3应用场景一需求分解与配置思路说明 (5)

2.2初始化安装 (5)

2.2.1设备登陆 (5)

2.2.2系统基线配置指引 (5)

2.3应用场景一生产配置实施步骤介绍 (7)

2.3.1WEB界面登录到防火墙 (7)

2.3.2配置接口IP地址 (8)

2.3.3配置安全区域 (9)

2.3.4配置路由协议 (11)

2.3.5配置NAT地址转换 (11)

2.3.6配置安全策略 (14)

2.3.7应用场景一验证测试结果 (15)

2.3.8应用场景一测试配置CLI(生产配置) (16)

三、SRX防火墙J-WEB操作应用场景二 (18)

3.1PPPOE拨号上网应用场景拓扑及需求说明 (18)

3.1.1应用场景二拓扑图 (18)

3.1.2拓扑介绍及需求说明 (18)

3.1.3应用场景二需求分解与配置思路说明 (18)

3.2初始化安装 (19)

3.2.1设备登陆 (19)

3.2.2系统基线配置指引 (19)

3.3应用场景二生产配置实施步骤介绍 (20)

3.3.1配置PPPOE拨号 (20)

3.3.2配置DHCP服务器 (29)

3.3.3配置目标地址转换 (30)

3.3.4配置源地址转换 (32)

3.3.5配置安全策略 (32)

3.3.6应用场景二验证测试结果 (33)

四、SRX防火墙J-WEB操作应用场景三 (34)

4.1远程动态VPN应用场景拓扑及需求说明 (34)

4.1.1应用场景三拓扑图 (34)

4.1.2拓扑介绍及需求说明 (34)

4.1.3应用场景三需求分解与配置思路说明 (35)

4.2初始化安装 (35)

4.2.1设备登陆 (35)

4.2.2系统基线配置指引 (35)

4.3应用场景三生产配置实施步骤介绍 (36)

4.3.1动态VPN配置思路及过程介绍和验证 (36)

Juniper SRX Branch系列防火墙J-WEB配置手册说明

SRX系列防火墙是Juniper公司基于JUNOS操作系统的安全系列产品，JUNOS集成了路由、交换、安全性和一系列丰富的网络服务。目前Juniper公司的全系列路由器产品、交换机产品和SRX安全产品均采用统一源代码的JUNOS操作系统，JUNOS是全球首款将转发与控制功能相隔离，并采用模块化软件架构的网络操作系统。JUNOS作为电信级产品的精髓是Juniper真正成功的基石，它让企业级产品同样具有电信级的不间断运营特性，更好的安全性和管理特性，JUNOS软件创新的分布式架构为高性能、高可用、高可扩展的网络奠定了基础。基于NP架构的SRX系列产品产品同时提供性能优异的防火墙、NAT、IPSEC、IPS、UTM等全系列安全功能，其安全功能主要来源于已被广泛证明的ScreenOS操作系统。

本文旨在为熟悉Netscreen防火墙ScreenOS操作系统的工程师提供SRX防火墙参考配置，主要以WEB界面配置操作为主，帮助大家能够快速部署和维护SRX防火墙。

本手册主要应用于中小型企业客户运维人员和一线代理商工程师，文档主要通过三种网络环境及需求分别进行配置讲解，希望能够借助于本文的三种网络环境和需求能够覆盖大部分中小型企业客户对SRX低端系列防火墙的配置和维护，同时也能够更快的从SCREENOS操作系统WEB界面过渡到JUNOS操作系统防火墙WEB界面。

一、J-WEB管理系统简介

Juniper SCREENOS操作系统防火墙其WEB界面语言是采用html超文本标记语言，而SRX系列防火墙J-WEB 是采用Javascript语言编写，采用Javascipt可以嵌套在html里面，实现一些动态的功能，丰富了用户体验的同时加大了WEB界面的功能，而脚本语言html用于编写静态页面，因此在功能上SRX系列防火墙WEB界面的功能要强大于SCREENOS系列防火墙，采用Javascipt语言编写WEB界面虽然可以实现大量的动态功能，但是相比采用HTML静态页面来讲Javascipt语言的WEB界面将消耗更大的系统资源和浏览器资源，因此在用户体验角度上来讲会相对缓慢一些当你使用SRX系列防火墙的WEB界面时候，从另外一个方面来讲，Javascript语言是一种趋势，其兼容性和扩展性相对比较完善和全面，同时其支持的浏览器类型会更丰富，不会因为IE等各类浏览器的版本升级导致无法使用WEB界面的问题。

1.1SRX系列防火墙J-WEB界面使用注意事项

1)J-WEB界面当你配置完成之后并非立刻生效配置，需要在完成配置之后点击commit来提交系统配置，这

里相比SCREENOS防火墙的WEB界面是一个亮点；

2)J-WEB界面在用户视图上将系统配置、系统监控、系统排错、系统维护、仪表盘进行分离，这里相比SCREENOS

防火墙的WEB界面是一个改进和提升；

3)J-WEB界面在防火墙部署HA的模式下，J-WEB只能管理控制平面主机，这是默认的系统设计，由于SRX HA

是一种集群模式，在集群正常工作的情况下，两台物理设备的资源(I/O)等均可以在一台设备上执行配置和监控，不存在单独需要登录到备机上来完成；

4)J-WEB前面提到过由于采用的是Javascript语言，因此在操作上请尽量平缓的执行和查看监控设备及配

置，避免因操作过快导致系统WEB界面管理进程繁忙；

5)当使用J-WEB操作防火墙的时候，请尽量保证没有其他运维管理人员通过WEB界面登录到设备操作，同时

CLI命令行登录到设备请尽量不要进入配置模式，此举是为了保证设备配置的安全性考虑；

6)如果操作过程中出现页面无法响应的情况下，请点击logout或者等待页面响应恢复正常再进行配置操作。

二、SRX防火墙J-WEB操作应用场景一

2.1固定公网IP地址上网应用场景拓扑及需求说明

2.1.1应用场景一拓扑图

2.1.2拓扑图介绍及需求说明

1)本应用场景部署一台SRX220防火墙作为公网出口，运行路由和NAT模式，实现地址转换、策略防护等功

能，防火墙公网出口互联网段地址是30位掩码的静态IP地址；

2)防火墙划分三个安全区域，分别对应内网、外网、DMZ服务器区；

3)考虑到DMZ区域需要对外发布两台服务器，为此准备向电信运营商申请一段公网IP地址(与公网接口互

联地址不在一个网段范围内)；

4)对外发布的两台服务器应用能够同时被互联网客户端与内部网客户端进行访问；

5)内部网和DMZ区域机器可以访问互联网资源；

6)内部网区域部署一台三层交换机，防火墙与三层交换机之间采用静态路由的方式进行通信，内部网客户端

的网关终结在三层交换机上；

7)DMZ区域部署一台二层交换机，所有服务器的三层网关终结在防火墙上；

8)安全策略控制的源地址、目标地址、服务需要精确的网段和服务器IP地址和固定的端口号；

2.1.3应用场景一需求分解与配置思路说明

1)初始化防火墙设备，初次必须设定配置root帐号密码；

2)基线配置导入，基线配置包括设备名称、管理服务、内网接口IP地址、内部区域名称等；

3)配置接口IP地址、静态路由(公网缺省路由，内部网静态路由)；

4)服务器对外发布，配置地址转换，由于本应用场景采用向运营商申请的一段非防火墙公网接口直连网段固

定IP地址，在公网地址丰富的情况下，可以考虑采用比较简单的NAT方式,选择用静态一对一地址转换；

5)内部网与DMZ区机器访问互联网配置地址转换，考虑到公网地址丰富的情况下，可以分配一段未使用的公

网地址(服务器对外发布一对一地址转换之后剩余的地址对象)用来做源地址转换实现内部网用户访问互联网。

2.2初始化安装

2.2.1设备登陆

Juniper SRX系列防火墙，当你购买到货之后，上架开机之后，第一次必须通过Console口(通用超级终端缺省配置)连接SRX，输入root用户名登陆，密码为空<初始第一次登陆>进入到SRX设备之后可以开始加载基线配置。

特别提醒：SRX低端系列防火墙，当购买到货上架开机之后，通过console口登录到设备，进入操作模式>执行命令”show configuration”你会发现系统本身已经具备了一些配置内容(包括DNS名称、DHCP服务器、VLAN 名称、安全策略、接口缺省IP地址等)，建议你忽略并删除这些配置，重新配置基线配置，原因是因为系统缺省出厂的配置可能与你实际的需求会有所差异，避免因为系统缺省的配置给你规划和部署防火墙配置的时候带来疑惑。

设备开机请直接通过Console连接到防火墙设备

login: root

Password: /***初始化第一次登录的时候，此处请直接按回车键***/

--- JUNOS 9.5R1.8 built 2009-07-16 15:04:30 UTC

root% cli /***进入操作模式***/

root>

root> configure

Entering configuration mode /***进入配置模式***/

[edit]

Root#delete /***配置模式执行命令“delete”全局删除所有的系统缺省配置***/

接下来请不要退出系统，也不需要执行commit命令，开始准备执行系统基线配置，请参考下节内容。

2.2.2系统基线配置指引

接上章节，当进入到系统配置模式之后，全局执行完”delete”命令，下面将需要赋予系统一些基线配置，保证系统的正常运维(包括系统名称、接口IP地址、安全区域)等，系统基线配置会根据客户实际环境进行定义一般情况下，我们将只实施一些基础配置，保证远程机器能够登录到设备，通过telnet\ssh\web等方式，当基础配置完成之后，可以通过远程或者本地console开始执行和完善一些生产配置与基线配置，比如安全策略、高级路由、地址转换等等。

下面表格中是本次应用场景的基线配置及配置步骤，可以应用于大多数企业初始化过程中的基线配置环境。

2.3应用场景一生产配置实施步骤介绍

2.3.1WEB界面登录到防火墙

打开浏览器，输入http://Ip地址，输入用户名和密码，点击login进入到WEB管理。

2.3.2配置接口IP地址

首先点击WEB界面顶端菜单栏的”Configure”按钮，然后点击并展开左边菜单栏的”interface”按钮，接下来点击ports，按钮，页面将展示系统在线的所有端口。

然后我们可以开始查看并配置相应的物理接口IP地址，在本应用场景中，我们将需要在WEB界面配置ge-0/0/0/端口(连接公网)和ge-0/0/1端口(连接DMZ区域)，ge-0/0/2端口由于属于内网接口，在之前基线配置中已经完成，因此WEB界面不再重新说明如何配置，配置方法与接下来的端口配置一致。

在此选择一个你想要配置的物理接口，点击右上角的”ADD”按钮下拉，然后再点击“logical interface”。

当点击”logical interface”之后，系统会自动跳出一个对话框，让你配置接口IP地址、接口描述等信息。

必须填写一个unit数字，比如0(建议)，这个unit是一个物理接口

中逻辑接口的标识，没有特殊的意义，但是必须要配置。在描述信息

中可以根据实际情况进行填写，一般建议取一个比较有意义易识别的

简单拼音或英语。在ZONE此处可以暂时不选择，因为后面会配置。

VLAN ID也不需要配置，因为是三层接口，而并非VLAN接口，接下来

就是需要配置一个通信IP地址和子网掩码。最后点击OK按钮，代表

此接口配置结束，仅仅是结束并不是生效，后面我们需要根据步骤和

系统右上角的”Actions”按钮会出现闪烁，提醒我们需要对刚刚完

成的配置进行提交和保存，如下图，我们需要点击右上角

的”Actions”按钮下拉，然后点击commmit按钮，提交和保存配置，

如果配置校验检查失败，将会有告警提醒用户。

点击commit之后，系统会显示配置提交过程，此过程需要经历配置校验和检查，系统自动完成整个过程，如果有发现与本地运行配置冲突或者配置错误的地方，将会显示提交失败并报告错误信息在页面。

最后完成提交之后，我们再次查看接口状态，接口IP地址、UP/DOWN状态等，至此接口IP地址配置完成。

2.3.3配置安全区域

首先点击WEB界面顶端菜单栏的” Configure”按钮，然后点击并展开左边菜单栏的”security”按钮，接下来点击zone/screens，按钮，页面将展示已经存在的安全功能区域，下图中有一个trust安全区域是我们之前基线配置中完成的，接下来我们需要点击右上角的“ADD”按钮来创建新的安全区域”untrust”、“DMZ”。

当点击,add按钮系统将自动弹出一个安全ZONE创建的页面，在该页面的main界面填写ZONE的名称和ZONE的类型，同时关联到一个接口，接口从左边移动到右边。

接下来，点击该页面的host inbound traffic interface按钮，选中一个接口，下下方的interfce service 和interfce protocaols选择赋予接口相应的服务和协议，服务是保证接口能够对外提供的应用，比如被允许ping\telnet\http等，协议是该端口参与IPSEC VPN以及高级动态路由时候需要选择。

最后，配置完成点击OK，完成配置再点击右上方的actions按钮，点击commit，提交和保存配置，结果如下。

2.3.4配置路由协议

首先点击WEB界面顶端菜单栏的”Configure”按钮，然后点击并展开左边菜单栏的”routing”按钮，接下来点击static routing，按钮，开始添加静态路由，点击右上角的ADD按钮，系统将自动弹出一个对话框完成静态路由的添加(本次配置缺省路由到公网)，点击add按钮添加下一跳网关地址，完成静态路由的添加配置，最后点击右上角的actions按钮下拉commit并点击，完成静态路由配置的提交和保存。

最后我们静态路由页面可以看到已经添加的静态路由，一条去往公网的缺省路由，一条去往内网的静态路由。

2.3.5配置NAT地址转换

本次应用场景一中的NAT配置包括两个部分，一个是对外发布服务器的静态地址转换，一个是内部网访问互联网资源的源地址转换，NAT配置分离于安全策略配置，JUNOS NAT配置完成需要涉及两个步骤，首先需要定义NAT rule-set,其次还需要定义rules(rules是由多个rule组成)。

首先点击WEB界面顶端菜单栏的”Configure”按钮，然后点击并展开左边菜单栏的”NAT”按钮，接下来点击Static NAT按钮，开始配置静态地址转换，在配置静态地址转换之前，还需要做一个与NAT相关的配置，那就是定义Proxy ARP，定义Proxy ARP是因为我们接下来使用的NAT公网地址并不是接口自身的IP地址。点击Proxy ARP按钮在NAT配置菜单里，点击add,系统自动弹出对话框要求填写NAT公网地址段、连接公网的接口。

接下来配置静态地址转换的规则，其中有两个部分内容需要填写，第一部分是rule-set,然后在rule-set里面定义真正的NAT 规则 rules，rules由多个小的rule组成，比如下图中的右边部分就是rule配置，一个公网地址对应一个内部DMZ区域私网IP地址，实现一对一的静态地址转换。

下图就是在完成上图之后的结果展示，点击定义好的rule-set,可以看到相应的ruels资源。

接下来配置源地址转换的规则，其中有两个部分内容需要填写，第一部分是rule-set,然后在rule-set里面定义真正的NAT 规则 rules，rules由多个小的rule组成，在配置源地址转换的时候，通常我们还需要定义源地址转换使用的地址池，这个地址池是申请的运营商公网IP地址用来给内部用户访问互联网资源的时候做源地址转换使用，为此在本应用环境中，我们定义一段未使用的地址范围：222.11.22.8——222.11.22.10两个地址作为源地址转换的资源地址池。

定义完source nat pool之后，可以开始定义source rule set，点击add,首先配置rule set,此时需要指定rule set name以及NAT的方向，比如从trust zone to untrust zone,接下来点击rules中的Add，开始添加rule,同样需要填写rule name、匹配的条件(源地址、目标地址必须，可选IP协议和目的端口号)，然后在action 部分选择引用NAT地址池对象，就是上面截图中所定义的源地址转换地址池。

最后我们可以查看定义完之后的源地址rule-set对象并执行commit提交配置，最终结果展现如下：

2.3.6配置安全策略

本次应用场景一中的安全策略配置涉及三个方向，内网与外网之间的访问、DMZ与外网之间的访问、外网到DMZ 之间的访问，在配置安全策略之前，我们需要提前配置与安全策略相关的策略元素，其中包括地址对象的自定义，服务对象的自定义等。

下面首先将介绍策略元素的自定义，地址对象与服务对象。首先点击WEB界面顶端菜单栏的” Configure”按钮，然后点击并展开左边菜单栏的”security”按钮，接下来点击policy elements按钮，然后再点击”address book”按钮，接着可以点击右上角的ADD按钮添加地址对象和地址组，地址对象菜单“address”地址组对象菜单”address sets”。

服务对象的定义是点击policy elements按钮下面的applictions按钮，接着点击右上角的ADD按钮添加服务对象和服务对象组，服务对象菜单”custom-applications”，服务对象组菜单”application sets”。

当我们完成地址对象和服务对象的自定义之后，接下来可以书写安全访问控制策略，首先点击WEB界面顶端菜单栏的” Configure”按钮，然后点击并展开左边菜单栏的”security”按钮，接下来点击policy按钮,最后点击apply policy按钮去创建区域与区域之间的安全策略。

2.3.7应用场景一验证测试结果

当我们完成应用场景一的各项需求，涉及到防火墙的接口IP地址配置、路由配置、安全区域配置、NAT地址转换配置以及安全访问控制策略配置之后，可以通过在WEB界面查看相应的防火墙会话和流量日志来验证测试的结果：

防火墙会话搜索：

防火墙转发流量日志搜索：

2.3.8应用场景一测试配置CLI(生产配置)

防火墙端口流量监控视图：

三、SRX防火墙J-WEB操作应用场景二

3.1PPPOE拨号上网应用场景拓扑及需求说明

3.1.1应用场景二拓扑图

3.1.2拓扑介绍及需求说明

1)本应用场景部署一台SRX220防火墙作为公网出口，运行路由和NAT模式，实现地址转换、策略防护等功

能，实际测试过程中涉及的IP地址可能与拓扑有所差异，配置方法、思路、需求没有改变；

2)防火墙本身连接公网通过PPPOE拨号的方式获取公网IP地址，并且承担起内部客户端电脑的DHCP服务器

功能，为内部的PC机分配动态IP地址；

3)内部区域对外发布两台服务器，可以被内部用户及互联网客户端进行访问；

4)内部网用户网关终结在防火墙上；

5)内部用户通过防火墙NAT功能实现访问互联网资源。

3.1.3应用场景二需求分解与配置思路说明

1)首先我们需要为防火墙配置基线配置，比如机器名、管理员帐号等；

2)防火墙采用PPPOE拨号的方式连接互联网，因此还需要在防火墙上配置PPPOE客户端拨号功能，使其能够

获取到公网分配的IP地址；

3)由于防火墙采用的PPPOE拨号上网，因此内部用户上网可以使用接口IP地址NAT出去访问互联网资源。

4)防火墙还需要配置基于接口的目标地址转换，因为PPPOE拨号只有一个动态的公网IP地址，需求是内部

提供两台服务器对外服务，因此在公网地址匮乏的情况下(没有固定的公网IP地址环境)，需要配置目标地址转换采用公网接口IP地址作为NAT地址对外发布服务器，为互联网客户端提供服务。

3.2初始化安装

3.2.1设备登陆

参考应用场景一说明，Console口登录到防火墙之后，配置ROOT帐号，同时全局删除所有系统缺省配置，导入系统基线配置，如下节系统基线配置指引。

3.2.2系统基线配置指引

接上章节，当进入到系统配置模式之后，全局执行完”delete”命令，下面将需要赋予系统一些基线配置，保证系统的正常运维(包括系统名称、接口IP地址、安全区域)等，系统基线配置会根据客户实际环境进行定义一般情况下，我们将只实施一些基础配置，保证远程机器能够登录到设备，通过telnet\ssh\web等方式，当基础配置完成之后，可以通过远程或者本地console开始执行和完善一些生产配置与基线配置，比如安全策略、高级路由、地址转换等等。

下面表格中是本次应用场景的基线配置及配置步骤，可以应用于大多数企业初始化过程中的基线配置环境。

3.3应用场景二生产配置实施步骤介绍

3.3.1配置PPPOE拨号

在本应用场景中，根据拓扑设计将使用ge-0/0/0端口作为公网互联端口，并赋予PPPOE拨号封装，下面将通过截图来说明如何创建PPPOE拨号配置文件并绑定到ge-0/0/0端口，J-WEB内置PPPOE拨号的创建向导，用户可以根据向导开始配置，如下步骤：

首先登录到J-WEB，进入配置菜单，点击WEB界面顶端菜单栏的” Configure”按钮，然后点击并展开左边菜单栏的”Task”按钮，接下来点击configure pppoe按钮，开始PPPOE向导配置，接下来的每一步都将在图片中解释，不在本文中二次说明，请根据步骤的顺序去完成你的PPPOE拨号连接配置。

最后三张截图，是证实PPPOE拨号成功之后在J-WEB和命令行的截图，请与你的配置结构参考。

整个配置的过程完全可以根据J-WEB的向导来完成，唯一需要注意的是PPPOE所绑定的物理接口不要选择错误，用户名和密码不要填写错误。

PPPOE拨号成功之后，系统会在接口列表中”show interface terse”中显示一个PP0端口，并且可以查看到PP0端口的UP/DOWN状态已经获取到的IP地址，同时系统会添加一条缺省路由到系统中。