juniper防火墙配置手册

合集下载

JuniperSSG防火墙配置手册

Juniper SSG-5（NS-5GT）防火墙配置手册一样策略设置1．第一能够指定IP地址，依照IP地址作策略，选择Policy – Policy Elements – Addresses – List，然后在中间页面选择Trust，然后点击New，如以下图：2．在Address Name为指定IP地址设置识别名称，然后在下面输入具体IP，如以下图：3．设置以后如以下图：4．再设置一个指定IP地址，如以下图：5．设置以后两个都能够显示出来，如以下图：6．设置多个指定IP组，选择Policy – Policy Elements – Addresses – Groups，如以下图：中间页面的Zone选择Trust，点击右边的New。

7．为此IP组起识别名称，下面将需要加入组的IP添加到组里，点OK，如以下图：8．依照需求能够自概念效劳，选择Policy – Policy Elements – Services – Customs，如以下图：点击右边New9．输入此自概念效劳的识别名称，然后下面能够选择效劳类型和效劳端口，如以下图：10．设置完以后如以下图：11．定制多个效劳组，选择Policy – Policy Elements – Services – Groups，点击页面中间右边的New，如以下图：12．为此定制效劳组设置识别名称，将需要的效劳添加进入，点击OK。

13．设置完成以后如以下图：14．策略设置，此处能够直接利用之前设置的指定IP地址（组），自概念效劳（组）。

选择Policy – Polices，如以下图：选择From Untrust to Trust（可依照需要修改），点击右边New，15．如也能够设置From Trust to Untrust，如以下图：16．策略设置页面如以下图，设置名称，选择源地址和目的地址，效劳类型等，最后选择许诺仍是拒绝。

17．设置以后如以下图：18．也能够设置一个全拒绝的策略，如以下图：19．设置以后如以下图：20．能够点击ID为1的策略右边的双箭头符号，显现脚本提示点确信，21．如此能够把ID为1的策略放到下面，如以下图策略含义为从Trust口到Untrust口的流量中，来自IT 组的IP地址到任意目的地，效劳类型属于CTG-APP中的流量许诺通过，其他所有流量都拒绝。

Juniper_SRX防火墙Web配置手册

Juniper SRX防火墙配置手册1系统配置 (1)1.1配置ROOT帐号密码 (1)1.2配置用户名和密码 (2)2接口配置 (8)2.1IPV4地址配置 (9)2.2接口T RUNK模式配置 (13)2.3接口A CCESS模式配置 (14)3VLAN配置 (15)3.1创建VLAN配置 (15)4路由配置 (19)4.1静态路由配置 (21)5自定义应用配置 (22)5.1自定义服务配置 (22)5.2应用组配置 (23)6地址组配置 (24)6.1地址簿配置 (24)6.2地址组配置 (25)7日程表配置 (27)8NAT配置 (30)8.1S TATIC NAT配置 (30)1 系统配置1.1 配置root帐号密码首次登陆设备时，需要采用console方式，登陆用户名为：root，密码为空，登陆到cli下以后，执行如下命令，设置root帐号的密码。

root# set system root-authentication plain-text-passwordroot# new password : root123root# retype new password: root123密码将以密文方式显示。

注意：必须要首先配置root帐号密码，否则后续所有配置的修改都无法提交。

SRX系列低端设备在开机后，系统会加载一个默认配置，设备的第一个接口被划分在trust区域，配置一个ip地址192.168.1.1，允许ping、telnet、web等管理方式，可以通过该地址登陆设备。

登陆后显示页面如下：在该页面上，可以看到设备的基本情况，在左边的chassis view中可以看到端口up/down情况，在system identification中可以看到设备序列号、设备名称、软件版本等信息，在resource utilization 中可以看到cpu、menory、session、存储空间等信息，在security resources中可以看到当前的会话统计、策略数量统计等信息。

JuniperSRX高端防火墙简明配置手册

Juniper SRX防火墙简明配置手册目录一、 JUNOS 操作系统介绍 (3)1.1层次化配置结构 (3)1.2 JunOS 配置管理 (4)1.3 SRX 主要配置内容 (4)二、 SRX 防火墙配置说明 (5)2.1初始安装 (5)2.1.1登陆 (5)2.1.2设置 root 用户口令 (9)2.1.3JSRP 初始化配置 (9)2.1.4设置远程登陆管理用户 (14)2.1.5远程管理 SRX相关配置 (15)2.1.6ZONE 及相关接口的配置 (15)2.2 Policy (16)2.3 NAT (17)2.3.1Interface based NAT (18)2.3.2Pool based Source NAT (18)2.3.3Pool base destination NAT (19)2.3.4Pool base Static NAT (20)2.4 IPSEC VPN (21)2.5 Application and ALG (22)三、 SRX 防火墙常规操作与维护 (22)3.1单机设备关机 (22)3.2单机设备重启 (23)3.3单机操作系统升级 (23)3.4双机模式下主备 SRX 关机 (23)3.5双机模式下主备设备重启 (24)3.6双机模式下操作系统升级 (24)3.7双机转发平面主备切换及切换后恢复 (25)3.8双机控制平面主备切换及切换后恢复 (25)3.9双机模式下更换备SRX (25)3.10双机模式下更换主SRX (26)3.11双机模式更换电源 (27)3.12双机模式更换故障板卡 (27)3.13配置备份及还原方法 (27)3.14密码修改方法 (28)3.15磁盘文件清理方法 (28)3.16密码恢复 (28)3.17常用监控维护命令 (29)四、 SRX 防火墙介绍 (31)Juniper SRX防火墙简明配置手册SRX系列防火墙是 Juniper 公司基于 JUNOS操作系统的安全系列产品，JUNOS集成了路由、交换、安全性和一系列丰富的网络服务。

Juniper_SSG防火墙配置手册

Juniper SSG防火墙配置手册初始化设置................................................... 错误!未定义书签。

Internet网络设置............................................ 错误!未定义书签。

一样策略设置................................................. 错误!未定义书签。

VPN连接设置................................................. 错误!未定义书签。

初始化设置1.将防火墙设备通电，连接网线从防火墙e0\2口连接到电脑网卡。

2.电脑本地连接设置静态IP地址，IP地址（在都能够），子网掩码，默许网关，如以下图：3.设置好IP地址后，测试连通，在命令行ping ，如以下图：4.从IE阅读器登岸防火墙web页面，在地址栏输入，如以下图向导选择最下面No, skip ——，然后点击下面的Next：5.在登录页面输入用户名，密码，初始均为netscreen，如以下图：6.登岸到web治理页面，选择Configuration –Date/Time，然后点击中间右上角Sync Clock With Client选项，如以下图：7.选择Interfaces – List，在页面中间点击bgroup0最右边的Edit，如以下图：8.此端口为Trust类型端口，建议IP设置选择Static IP，IP Address输入计划好的本地内网IP地址，如，Manage IP 。

以后勾选Web UI，Telnet，SSH，SNMP，SSL，Ping。

如以下图：Internet网络设置1.修改本地IP地址为本地内网IP地址，如以下图：2.从IE阅读器打开防火墙web页面，输入用户名密码登岸，如以下图：3.选择Interfaces –List，点击页面中ethernet0/0最右边的Edit选项，如以下图：4.此端口为Untrust类型端口，设置IP地址有以下三种方式：（依照ISP提供的网络效劳类型选择）A．第一种设置IP地址是通过DHCP端获取IP地址，如以下图：B．第二种设置IP地址的方式是通过PPPoE拨号连接获取IP，如以下图，然后选择Create new pppoe setting，在如以下图输入本地ADSL pppoe拨号账号，PPPoE Instance输入名称，Bound to Interface选择ethernet0/0，Username和Password输入ADSL账号密码，以后OK，如以下图：PPPoE拨号设置完毕以后，点击Connect，如以下图：回到Interface –List，能够看到此拨号连接的连接状态，如以下图：ethernet0/0右边PPPoE一栏有一个红叉，表示此连接已经设置但未连接成功，如连接成功会显示绿勾。

Juniper_SSG5(NS5GT)防火墙配置手册

Juniper SSG-5（NS-5GT）防火墙配置手册初始化设置 (2)Internet网络设置 (6)一般策略设置 (15)VPN连接设置 (27)初始化设置1.将防火墙设备通电，连接网线从防火墙e0\2口连接到电脑网卡。

2.电脑本地连接设置静态IP地址，IP地址192.168.1.2（在192.168.1.0/24都可以），子网掩码255.255.255.0，默认网关192.168.1.1，如下图：3.设置好IP地址后，测试连通，在命令行ping 192.168.1.1，如下图：4.从IE浏览器登陆防火墙web页面，在地址栏输入192.168.1.1，如下图向导选择最下面No, skip——，然后点击下面的Next：5.在登录页面输入用户名，密码，初始均为netscreen，如下图：6.登陆到web管理页面，选择Configuration –Date/Time，然后点击中间右上角Sync Clock With Client选项，如下图：7.选择Interfaces – List，在页面中间点击bgroup0最右侧的Edit，如下图：8.此端口为Trust类型端口，建议IP设置选择Static IP，IP Address输入规划好的本地内网IP地址，如192.168.22.1/24，Manage IP 192.168.22.1。

之后勾选Web UI，Telnet，SSH，SNMP，SSL，Ping。

如下图：Internet网络设置1.修改本地IP地址为本地内网IP地址，如下图：2.从IE浏览器打开防火墙web页面，输入用户名密码登陆，如下图：3.选择Interfaces – List，点击页面中ethernet0/0最右侧的Edit选项，如下图：4.此端口为Untrust类型端口，设置IP地址有以下三种方法：（根据ISP提供的网络服务类型选择）A．第一种设置IP地址是通过DHCP端获取IP地址，如下图：B．第二种设置IP地址的方法是通过PPPoE拨号连接获取IP，如下图，然后选择Create new pppoe setting，在如下图输入本地ADSL pppoe拨号账号，PPPoE Instance输入名称，Bound to Interface选择ethernet0/0，Username和Password输入ADSL账号密码，之后OK，如下图：PPPoE拨号设置完毕之后，点击Connect，如下图：回到Interface –List，可以看到此拨号连接的连接状态，如下图：ethernet0/0右侧PPPoE一栏有一个红叉，表示此连接已经设置但未连接成功，如连接成功会显示绿勾。

Juniper SRX 高端防火墙简明配置手册

Juniper SRX防火墙简明配置手册目录一、JUNOS操作系统介绍 (3)1.1 层次化配置结构 (3)1.2 JunOS配置管理 (4)1.3 SRX主要配置内容 (4)二、SRX防火墙配置说明 (5)2.1 初始安装 (5)2.1.1 登陆 (5)2.1.2 设置root用户口令 (9)2.1.3 JSRP初始化配置 (9)2.1.4 设置远程登陆管理用户 (14)2.1.5 远程管理SRX相关配置 (15)2.1.6 ZONE及相关接口的配置 (15)2.2 Policy (16)2.3 NAT (17)2.3.1 Interface based NAT (18)2.3.2 Pool based Source NAT (18)2.3.3 Pool base destination NAT (19)2.3.4 Pool base Static NAT (20)2.4 IPSEC VPN (21)2.5 Application and ALG (22)三、SRX防火墙常规操作与维护 (22)3.1 单机设备关机 (22)3.2单机设备重启 (23)3.3单机操作系统升级 (23)3.4双机模式下主备SRX关机 (23)3.5双机模式下主备设备重启 (24)3.6双机模式下操作系统升级 (24)3.7双机转发平面主备切换及切换后恢复 (25)3.8双机控制平面主备切换及切换后恢复 (25)3.9双机模式下更换备SRX (25)3.10双机模式下更换主SRX (26)3.11双机模式更换电源 (27)3.12双机模式更换故障板卡 (27)3.13配置备份及还原方法 (27)3.14密码修改方法 (28)3.15磁盘文件清理方法 (28)3.16密码恢复 (28)3.17常用监控维护命令 (29)四、SRX防火墙介绍 (31)Juniper SRX防火墙简明配置手册SRX系列防火墙是Juniper公司基于JUNOS操作系统的安全系列产品，JUNOS集成了路由、交换、安全性和一系列丰富的网络服务。

JuniperSRX高端防火墙简明配置手册

Juniper_SSG 140 SB 防火墙配置手册

Juniper SSG-140-SB防火墙配置手册初始化设置 (2)Internet网络设置 (6)一般策略设置 (16)VPN连接设置 (28)命令行接入 (39)恢复初始设置 (39)初始化设置1.将防火墙设备通电，连接网线从防火墙e0\0口连接到电脑网卡。

2.电脑本地连接设置静态IP地址，IP地址192.168.1.2（在192.168.1.0/24都可以），子网掩码255.255.255.0，默认网关192.168.1.1，如下图：3.设置好IP地址后，测试连通，在命令行ping 192.168.1.1，如下图：4.从IE浏览器登陆防火墙web页面，在地址栏输入192.168.1.1，如下图向导选择最下面No, skip——，然后点击下面的Next：5.在登录页面输入用户名，密码，初始均为netscreen，如下图：6.登陆到web管理页面，选择Configuration – Date/Time，然后点击中间右上角Sync Clock With Client选项，如下图：7.选择Interfaces – List，在页面中间点击bgroup0最右侧的Edit，如下图：8.此端口为Trust类型端口，建议IP设置选择Static IP，IP Address输入规划好的本地内网IP地址，如192.168.22.1/24，Manage IP 192.168.22.1。

之后勾选Web UI，Telnet，SSH，SNMP，SSL，Ping。

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

JUNIPER 防火墙快速安装手册目录1、前言 (4)1.1、J UNIPER 防火墙配置概述 (4)1.2、J UNIPER 防火墙管理配置的基本信息 (4)1.3、J UNIPER 防火墙的常用功能 (6)2、JUNIPER 防火墙三种部署模式及基本配置 (6)2.1、NAT 模式 (6)2.2、R OUTE 模式 (7)2.3、透明模式 (8)2.4、基于向导方式的NAT/R OUTE 模式下的基本配置 (9)2.5、基于非向导方式的NAT/R OUTE 模式下的基本配置 (18)2.5.1、NS-5GT NAT/Route 模式下的基本配置 (19)2.5.2、非NS-5GT NAT/Route 模式下的基本配置 (20)2.6、基于非向导方式的透明模式下的基本配置 (21)3、JUNIPER 防火墙几种常用功能的配置 (22)3.1、MIP 的配置 (22)3.1.1、使用Web 浏览器方式配置MIP (23)3.1.2、使用命令行方式配置MIP (25)3.2、VIP 的配置 (25)3.2.1、使用Web 浏览器方式配置VIP (26)3.2.2、使用命令行方式配置VIP (27)3.3、DIP 的配置 (28)3.3.1、使用Web 浏览器方式配置DIP (28)3.3.2、使用命令行方式配置DIP (30)4、JUNIPER 防火墙IPSEC VPN 的配置 (30)4.1、站点间IPS EC VPN 配置：STAIC IP-TO-STAIC IP (30)4.1.1、使用Web 浏览器方式配置 (31)4.1.2、使用命令行方式配置.......................................................................... .. (35)4.2、站点间IPS EC VPN 配置：STAIC IP-TO-DYNAMIC IP (37)4.2.1、使用Web 浏览器方式配置 (38)4.2.1、使用命令行方式配置................................................................................ .. (41)5、JUNIPER 中低端防火墙的UTM 功能配置 (43)5.1、防病毒功能的设置..................................................................................... . (44)5.1.1、Scan Manager 的设置 (44)5.1.2、Profile 的设置...................................................................................... . (45)5.1.3、防病毒profile 在安全策略中的引用 (47)5.2、防垃圾邮件功能的设置................................................................................ .. (49)5.2.1、Action 设置 (50)5.2.2、White List 与Black List 的设置 (50)JUNIPER 防火墙快速安装手册5.2.3、防垃圾邮件功能的引用 (52)5.3、WEB/URL 过滤功能的设置 (52)5.3.1、转发URL 过滤请求到外置URL 过滤服务器 (52)5.3.2、使用内置的URL 过滤引擎进行URL 过滤 (54)5.3.3、手动添加过滤项 (55)5.4、深层检测功能的设置 (59)5.4.1、设置DI 攻击特征库自动更新 (59)5.4.2、深层检测（DI）的引用 (60)6、JUNIPER 防火墙的HA（高可用性）配置 (62)6.1、使用W EB 浏览器方式配置 (63)6.2、使用命令行方式配置 (65)7、JUNIPER 防火墙一些实用工具 (66)7.1、防火墙配置文件的导出和导入 (66)7.1.1、配置文件的导出 (67)7.1.2、配置文件的导入 (67)7.2、防火墙软件（S CREEN OS）更新 (68)7.3、防火墙恢复密码及出厂配置的方法 (69)8、JUNIPER 防火墙的一些概念 (69)1、前言我们制作本安装手册的目的是使初次接触Juniper 网络安全防火墙设备（在本安装手册中简）的工程技术人员，可以通过此安装手册完成对Juniper 防火称为“Juniper 防火墙”本功能的实现和应用。

1.1、Juniper 防火墙配置概述Juniper 防火墙作为专业的网络安全设备，可以支持各种复杂网络环境中的网络安全应用需求；但是由于部署模式及功能的多样性使得Juniper 防火墙在实际部署时具有一定的复杂性。

在配置Juniper 防火墙之前我们通常需要先了解用户现有网络的规划情况和用户对防火墙配置及实现功能的诸多要求，建议参照以下思路和步骤对Juniper 防火墙进行配置和管理。

基本配置：1. 确认防火墙的部署模式：NAT 模式、路由模式、或者透明模式；2. 为防火墙的端口配置IP 地址（包括防火墙的管理IP 地址），配置路由信息；3. 配置访问控制策略，完成基本配置。

其它配置：1. 配置基于端口和基于地址的映射；2. 配置基于策略的VPN；3. 修改防火墙默认的用户名、密码以及管理端口。

1.2、Juniper 防火墙管理配置的基本信息Juniper 防火墙常用管理方式：①通过Web 浏览器方式管理。

推荐使用IE 浏览器进行登录管理，需要知道防火墙对应端口的管理IP地址；②命令行方式。

支持通过Console端口超级终端连接和Telnet防火墙管理IP 地址连两种命令行登录管理模式。

上（NS-25/50/204/208/SSG系列）、或者专用的管理端（ISG-1000/2000,NS-5200/5400）。

Juniper 防火墙缺省登录管理账号：①用户名：netscreen；②密码：netscreen。

1.3、Juniper 防火墙的常用功能在一般情况下，防火墙设备的常用功能包括：透明模式的部署、NAT/路由模式的部署、NAT的应用、MIP 的应用、DIP 的应用、VIP 的应用、基于策略VPN 的应用。

本安装手册将分别对以上防火墙的配置及功能的实现加以说明。

注：在对MIP/DIP/VIP 等Juniper防火墙的一些基本概念不甚了解的情况下，请先到本手册最后一章节内容查看了解！2、Juniper防火墙三种部署模式及基本配置Juniper 防火墙在实际的部署过程中主要有三种模式可供选择，这三种模式分别是：①基于TCP/IP 协议三层的NAT 模②基于TCP/IP 协议三层的路由模式；③基于二层协议的透明模式。

2.1、NAT 模式当Juniper防火墙入口接口（“内网端口”）处于NAT模式时，防火墙将通往Untrust 区网或者公网）的IP 数据包包头中的两个组件进行转换：源IP 地址和源端口号②与透明模式下不同，当防火墙接口都处于路由模式时，其所有接口都处于不同的子网中。

路由模式应用的环境特征：① 防火墙完全在内网中部署应用；② NAT 模式下的所有环境；③ 需要复杂的地址翻译。

2.3、透明模式当Juniper 防火墙接口处于“透明”模式时，防火墙将过滤通过的IP 数据包，但不会修IP 数据包包头中的任何信息。

防火墙的作用更像是处于同一VLAN 的2 层交换机或者桥接器，防火墙对于用户来说是透明的。

透明模式是一种保护内部网络从不可信源接收信息流的方便手段。

使用透明模式有以下优点：①不需要修改现有网络规划及配置；②不需要实施地址翻译；③可以允许动态路由协议、Vlan trunking的数据包通过。

2.4、基于向导方式的NAT/Route模式下的基本配置Juniper 防火墙NAT 和路由模式的配置可以在防火墙保持出厂配置启动后通过Web 浏览器配置向导完成。

注：要启动配置向导，则必须保证防火墙设备处于出厂状态。

例如：新的从未被调试过的设备，或者经过命令行恢复为出厂状态的防火墙设备。

通过Web 浏览器登录处于出厂状态的防火墙时，防火墙的缺省管理参数如下：①缺省IP：192.168.1.1/255.255.255.0；②缺省用户名/密码：netscreen/ netscreen；注：缺省管理IP 地址所在端口参见在前言部份讲述的“Juniper防火墙缺省管理端口和地址”中查在配置向导实现防火墙应用的同时，我们先虚拟一个防火墙设备的部署环境，之后，根据这个环境对防火墙设备进行配置。

防火墙配置规划：①防火墙部署在网络的Internet 出口位置，内部网络使用的192.168.1.0/255.255.255.0 所在的网段，内部网络计算机的网关地址为防火墙内网端口的IP 地址：192.168.1.1；②防火墙外网接口IP 地址（通常情况下为公网IP 地址，在这里我们使用私网IP 地址模拟公网IP 地址）为：10.10.10.1/255.255.255.0，网关地址为：10.10.10.251要求：实现内部访问Internet 的应用。

注：在进行防火墙设备配置前，要求正确连接防火墙的物理链路；调试用的计算机连接到防火墙的内网端口上。

1. 通过IE 或与IE 兼容的浏览器（推荐应用微软IE 浏览器）使用防火墙缺省IP 地址登录防火墙（建议：保持登录防火墙的计算机与防火墙对应接口处于相同网段，直接相连）。

2. 使用缺省IP 登录之后，出现安装向导：注：对于熟悉Juniper 防火墙配置的工程师，可以跳过该配置向导，直接点选：No，skip the wizard and go straight to the WebUI management session instead，之后选择Next，直接登录防火墙设备的管理界面。

3. 使用向导配置防火墙，请直接选择：Next，弹出下面的界面：4.，再选择“欢迎使用配置向导”JUNIPER 防火墙快速安装手册注：进入登录用户名和密码的修改页面，Juniper 防火墙的登录用户名和密码是可以更改的，这个用户名和密码的界面修改的是防火墙设备上的根用户，这个用户对于防火墙设备来说具有最高的权限，需要认真考虑和仔细配置，保存好修改后的用户名和密码。

在完成防火墙的登录用户名和密码的设置之后，出现了一个比较关键的选择，这个选择5. 决定了防火墙设备是工作在路由模式还是工作在NAT 模式：m 选择 Enable NAT ，则防火墙工作在NAT 模式；m 不选择 Enable NAT ，则防火墙工作在路由模式。