juniper防火墙

防火墙FireWall

一、基本概念

1、

防火墙是一个用以阻止网络中的非法用户或非授权用户访问某个机构网络的屏障，也称之为控制进/出两个方向通信的闸门。

它部署在网络边界位置，通过防火墙设备的检测、过滤、拦截手段，隔离内部信任网络和外部非信任网络，以阻挡非信任网络对可信任网络的入侵、窃取和破坏，保护网络的安全。

2、

它是基于TCP/IP七层协议中的2-4层协议开发的，可以防止和缓解基于TCP/IP协议2-4层的攻击行为所造成的安全方面的影响。下一代防火墙可以提供应用层的防护功能。

注：分布式拒绝服务攻击，基于非连接的flood攻击，对于传统的防火墙没有很好的防护功能。

3、

防火墙的分类：软件防火墙产品（Check point）、PC架构的防火墙产品（Cisco PIX）、纯硬件设计的产品（Juniper）。

1）软件防火墙依靠另一个硬件平台，因此其致命的弱点就是硬件平台

2）PC架构的防火墙其内部的运算等都是依靠于CPU的

3）纯硬件防火墙的专门的芯片进行快速的数据处理、优化的算法、一体化的OS系统能够保证稳定性和最快的处理速度。

此处的防火墙是三端口，即WAN、DMZ、LAN。

二、Juniper SSG系列安全业务网关

1、

SSG网络安全产品是集成化网络安全产品，企业级产品。集成化产品的原因是：第一它可以当做路由设备使用，集成了很多可扩展的广域网的接口类型，第二是集成了UTM的功能，涵盖了反病毒、反垃圾邮件、WEB过滤以及深层的路径检测功能。

2、

SSG 500的参数说明：

--1 Gbps的FW IMIX @ 600K pps

//FW处理能力的包是混合包，处理速度不低于1Gbps；包转发能力600K pps --500 Mbps的VPN / 500 Mbps IPS

//最强的加密算法，如AS，3倍的death；

--6个I/O插槽-4个可插LAN口模块

--双电源，DC为选项，NEBS为选项

--12.8万个会话，1000条VPN隧道

三、防火墙的基础应用

1、应用模式的选择和实现

设备调试思路：

1）了解网络情况（规模、结构、设备、所提供的应用）；

2）确定防火墙的部署位置；

3）选择防火墙的部署模式，规划网络路由信息

4）确定策略方向、地址、服务信息

5）合理设定访问策略

防火墙设备的设置步骤：

1）确定设置防火墙的部署模式

2）设置防火墙设备的IP地址信息（此IP地址为接口地址或管理地址）3）设置防火墙设备的路由信息

4）确定经过防火墙设备的IP地址信息（基于策略的源、目标地址）

5）确定网络应用，即服务

6）配置访问控制策略（除了基于TUNNEL内端口的方式不需要策略）Juniper NetScreen防火墙有三种应用模式，即透明模式、NAT模式、路由模式。透明模式是基于二层的应用模式，NAT/路由模式是基于三层的应用模式。注：还有一种特殊模式，即二层模式与三层模式混合部署，但是需要一些条件支持，如虚拟路由关系的重新规划。

（1）透明模式

看上去与基于TCP/IP协议二层的设备类似，防火墙的端口上没有IP地址，只有一个用于管理的全局IP。这个IP地址在VLAN 1的接

口上，它是一个全局的接口，这个IP地址是可以被FW的所有端口

访问的；除了用于实现管理外，还用于实现在透明模式下基于IPSec

下的VPN应用（Juniper独有的）。

适用的网络环境：一般用于处于相同网段的不同网络之间的安全隔离。

优点：不需要重新配置路由器或受保护服务器的IP设置；不需要为到达受保护服务器的内向信息流创建地址映射或端口映射。

Juniper FW的透明模式是纯透明的二层模式，与其它基于ARP代

理透明方式的FW是不同的。后者有局限性。假设在下图的网络中，还有另外一个网关地址192.168.2.1，内网还有一个192.168.2.x的网

段，基于ARP代理的透明方式只能保证其中的一段地址是畅通的，

但是juniper设备的是基于纯二层透明的，其IP地址是不进行数据包

的转发，所以不论防火墙的外端或内网有多少个其他的地址段，同样

有隔离的作用并且保证内外网的畅通。基于二层透明模式的拓扑图：

（2）NAT模式

类似于基于TCP/IP第三次协议的设备，通过协议端口或IP头替换的方式实现地址转发和共享访问互联网的应用。

适用的网络环境：客户用于的公网地址数量不能满足网络中的每个设备都拥有一个公共IP地址的情况。

优点：针对内网对互联网的访问，科研大量节省公共IP地址，路由结构清晰。

缺点：NAT穿越的问题，如IPSec VPN应用，或者发起访问的地址和被访问的内网的地址处于同一网段下。

（3）路由模式

与NAT模式类似，也是基于TCP/IP第三层协议的设备，数据流在通过防火墙设备时，IP地址信息不发生替换，以源地址的方式访问

互联网或进入网络访问。

适用的网络环境：用于足够多的公网IP地址，可以满足网络中的所有设备全部使用和拥有公网IP地址的情况。或者在内网中，随

意规划私网地址

优点：路由关系清晰，系统资源损耗较小。

基于三层（NAT/ROUTE）的网络拓扑图：

说明：

假设将172.16.1.1看做公网地址，那么192.168.1. 就属于私网地址。当内网地址穿过防火墙到达外网时，如果其IP包替换成172.16.1.1时，那么它就是NAT模式，没有替换则是ROUTE模式。

2、对防火墙设备进行调试

准备工作物理准备：

1）计算机需要有超级终端程序，提供串口

2）利用设备提供的控制线（console线）连接防火墙的控制口和计算机的串口

3）利用网线，连接防火墙的第一个网络接口和计算机的网卡；配置计算机的IP地址，使该地址与防火墙将要设置的地址保持在相同的网段。

对于某些高级的防火墙，本身提供mgt管理接口，使用该管理接口

的IP地址对其进行管理。

4）观察防火墙的物理端口灯的状态，确认网络连接是否正常。

准备工作参数准备：

1）建立控制台。在开始->程序->附件->超级终端

2）选择连接的串口。设置端口参数，每秒位数（9600），数据位（8），奇偶校验（8），停止位（1），数据流控制（无）

通过CONSOLE线连接对防火墙的控制是基于命令行，通过网络端口连接的是基于WEB。

防火墙的默认状态：

1）防火墙是有OS的，默认为NAT/路由混合模式的

2）防火墙的默认IP地址为：192.168.1.1/24，该IP地址在防火墙的ethernet1上（注：ethernet1命名是针对NS系列，对于SSG系列的

使用ethernet 0/0等）

3）防火墙默认启用DHCP功能，可以给连接到防火墙的计算机分配与端口地址在相同网段的IP地址。

4）防火墙的默认用户名、密码：netscreen（注：小写）

5）防火墙的三个接口的安全区域是（指NS-25到NS-208防火墙的设置）Ethernet1：trust 内网

Ethernet2：dmz 隔离区域的服务器

Ethernet3：untrust 互联网

Ethernet4：null 空，作为HA的端口

3、实现（采用命令行+WEB结合的方式）

透明模式的实现（命令行）

因为防火墙在默认情况下，不是透明模式的，因此需要进行更改。在命令行下调试需要进行手动保存。

命令：

unset interface ethernet1 ip

set interface ethernet1 zone v1-trust

set interface ethernet2 zone v1-dmz

set interface ethernet3 zone v1-untrust

set interface vlan1 ip 192.168.1.1/24

save

注：1）默认情况下，FW的ethernet1接口本身有IP地址。Juniper的防火墙讲究层次关系，首先是物理层接口，然后在其上设置逻辑

安全区，最后在安全区域内定义具体的IP地址，然后再在IP上

设置MIP/VIP/DIP。当默认是基于三层的防火墙改为基于二层的透

明模式时，必须将二层安全域绑定设置到具体物理接口上。因此，

首先删除ethernet1上的ip地址，然后再修改安全域。

2）在透明模式下，接口上没有IP地址，因此为了支持web访问，

设置vlan1的IP地址，用于web方式的访问。

NAT模式的实现（命令行）

命令：

set interface ethernet1 zone trust

set interface ethernet2 zone dmz

set interface ethernet3 zone untrust

set interface ethernet1 ip 192.168.1.1/24

set interface ethernet2 ip 172.16.1.1/24

set interface ethernet3 ip 10.10.1.1/24

set interface ethernet3 gateway 10.10.0.251

set interface ethernet1 nat

save

注：trust接口一般就是nat模式的

路由模式的实现（命令行）

命令：

set interface ethernet1 zone trust

set interface ethernet2 zone dmz

set interface ethernet3 zone untrust

set interface ethernet1 ip 192.168.1.1/24

set interface ethernet2 ip 172.16.1.1/24

set interface ethernet3 ip 10.10.1.1/24

set interface ethernet3 gateway 10.10.0.251

set interface ethernet1 route

save

WEB方式：

建议使用IE浏览器，使用防火墙的IP地址，登陆防火墙的WEB管理页面，获得管理权限。防火墙拥有一个默认的IP地址：192.168.1.1，在透明模式下，该IP为：VLAN 1的ip地址，在NAT模式下，该地址为trust 的IP地址，默认在eth1接口上。

资源使用：重点关注cpu、会话。

【新建的数据包是由FW的CPU来处理的，当CPU的利用率比较高（正常<10%），考虑被攻击。内存并不用来维护会话等内容，

主要是运行一些维护产品应用的东西，即只要设备启用了，则一

次性调用足够资源】

警告日志：

4、访问控制的实现

防火墙的访问控制是依靠防火墙的访问控制策略实现的，所有的访问控制由防火墙的访问列表中的策略实现。

访问控制策略包含六个最基本的必要信息：

策略的方向

源地址信息

目标地址信息

网络服务信息

策略动作信息

策略的排列位置

其它非必要信息：日志、流量控制、认证、实时流量记录

注：策略是指从哪个安全区去往哪个安全区的。

在juniper的防火墙中，对于某个服务没有策略就拒绝了这个服务。

关于策略设置的建议：

1）合理安排策略顺序

具体策略在上，非具体策略在下；

拒绝策略在上，允许策略在下；

VPN策略在上，非VPN策略在下；

2）优化策略内容

合理利用地址组、服务组功能

4.1自定义服务

在访问策略的定制过程中，隔壁的用户会使用到非标准的自定义服务，对于这些特殊的服务，就需要进行自定义服务的设置。

设置的位置为objects->services->custom

说明：如上图，在cjb（冲击波）服务里可自定义8个条目，可见定义了5个tcp 端口，4个udp端口。为什么8个条目可以定义9个端口？详见第8个条目，它定义的目的端口是137、138，连续端口（从low到high）。然后可以在策略的服务中调用该它。

4.2自定义服务组

在通过防火墙的访问中，通常会出现，内部对外的访问不止一种的情况，如：普通的上网应用，除了需要打开HTTP应用之外，还要开放DNS服务，否则，对于网络域名的解析无法实现。鉴于以上问题，我们可以通过两种方法解决：第一，针对每种具体的应用，设置单独的策略；

第二，针对几个应用同时使用的情况，定制一组应用，再针对这一组应用设置一条策略。

设置的位置为objects->services->groups

4.3安全域的设置和自定义

NETSCREEN认为：对于接入防火墙设备的每个网络，它们全部都是非信任的，针对每个安全域，全部可以自定义它的安全检测项目，即：安全级别。

最常用的安全域为：trust、dmz、untrust三层的安全域；vl-trust、vl-damz、vl-untrust二层（透明模式）的安全域。以上的名称都是防火墙的保留字。

注：1）预定义了六个基于数据流转发的安全域。

2）juniper防火墙是纯二层、纯三层的，并不存在代理转发的关系，因此二层和三层不能在防火墙内部直接通讯。对于特殊模式的应用，

即NAT、ROUTE的混合模式，基于二层的内部网络要想访问三层，则

通过外部的循环实现。

安全域的自定义：

引用的原因：防火墙的多端口特性；管理员需要个性化定制安全域。

基于二层协议的安全域的设置：名称：L2-任意；选择协议层：第二层。

基于三层的安全域设置：名称：任意；选择协议层：第三层。

5、一些特殊的应用

5.1 MIP（一对一IP地址的映射）

它是在防火墙三层的工作模式下实现的。这种设置的需求是：防火墙内部有一台或几台服务器（使用私有IP地址）对internet的计算机网络用户提供网络服务。同时，网络内部又拥有大量的一般用户；注册地址（公网IP地址）的数量超过不能满足内部用户的要求。

设置位置：network->interface->ethernet3(一般设置为untrust，为广域网接口，有公网IP)->edit->MIP->NEW

注：MIP是Juniper防火墙接口上的配置，用于一对一的地址映射，工作在第三层。

主要应用在公网ip与内网ip的一一映射，内网对互联网提供服务。有若干个公

网IP地址，又存在若干的对外提供网络服务的服务器（服务器使用私有IP地

址），为了实现互联网用户访问这些服务器，可在Internet出口的防火墙上建立

公网IP地址与服务器私有IP地址之间的一对一映射（MIP），并通过策略实现

对服务器所提供服务进行访问控制。

策略方向：由untrust到trust或DMZ 源地址：ANY

目标地址：MIP，具体IP

5.2 DIP(由内网到互联网的访问)

将内网IP地址转换成防火墙外端口的IP地址，或者转换成一个地址池，这个池就叫做DIP。与cisco的IP POOL类似。适用需求是：拥有大量的注册IP 地址，同时，又拥有大量非注册地址的网络用户。理论上，一个注册IP地址可以代理60000多台主机外出。

在防火墙的外端口定义一个地址池，然后在防火墙的访问策略中调用这个地址池，那么所有经过这个策略访问外出的，都会被转化成这个池中的IP地址。

设置位置：network->interface->edit->DIP

将一段连续的IP地址输入对应的位置中，保存为一段地址池；通过访问控制策略调用IP地址池（policy->advanced->nat里调用），使内部外出的用户可以动态的获得一个注册IP。

5.3 VIP（端口地址映射）

防火墙的一个公网地址的不同端口对防火墙内部多个服务器或计算机提供的基于协议端口方式的的地址映射。适用需求是：防火墙内有多个服务器对internet提供网络服务，每个服务器调用的服务端口都不同；客户拥有的注册IP地址的数量不足以满足每个服务器一个IP地址的需要。

设置位置：network->interface->edit->VIP/VIP Service

首先添加一个注册的IP地址（可以是防火墙的外端口IP地址，或者其他公网IP地址），然后增加一个内部的私有地址与该地址对应，并提供相应的协议端口，最后设置访问控制策略。

注：（1）并不是所有的Juniper防护墙产品都支持使用外端口防火墙进行VIP应用，一般中低端网络安全设备才支持。

（2）MIP/DIP/VIP都需要应用到策略中，没有策略的支持是不能够完成数据包的转发和访问的。

6、配置文件的保存

防火墙的配置文件支持导入、导出功能。通过导入、导出功能对于因调试原因导致的问题，可以实现快恢复。

导出后默认名称是cfg，没有后缀名的文本文件，可以重命名。

导入时有两个选项，即覆盖保存和替换保存。前者是保留配置文件中不同的部分，后者是用新的配置文件完全替换原有的。