SRX基本配置

合集下载

Juniper SRX路由器命令配置手册

Juniper SRX配置手册目录一、JUNOS操作系统介绍 (3)1.1 层次化配置结构 (3)1.2 JunOS配置管理 (3)1.3 SRX主要配置内容 (4)二、SRX防火墙配置对照说明 (5)2.1 初始安装 (5)2.1.1 登陆 (5)2.1.2 设置root用户口令 (5)2.1.3 设置远程登陆管理用户 (5)2.1.4 远程管理SRX相关配置 (6)2.2 Policy (6)2.3 NAT (7)2.3.1 Interface based NAT (7)2.3.2 Pool based Source NAT (8)2.3.3 Pool base destination NAT (9)2.3.4 Pool base Static NAT (10)2.4 IPSEC VPN (10)2.5 Application and ALG (12)2.6 JSRP (12)三、SRX防火墙常规操作与维护 (14)3.1 设备关机 (14)3.2 设备重启 (15)3.3 操作系统升级 (15)3.4 密码恢复 (15)3.5 常用监控维护命令 (16)Juniper SRX防火墙简明配置手册SRX系列防火墙是Juniper公司基于JUNOS操作系统的安全系列产品，JUNOS集成了路由、交换、安全性和一系列丰富的网络服务。

目前Juniper公司的全系列路由器产品、交换机产品和SRX安全产品均采用统一源代码的JUNOS操作系统，JUNOS是全球首款将转发与控制功能相隔离，并采用模块化软件架构的网络操作系统。

JUNOS作为电信级产品的精髓是Juniper真正成功的基石，它让企业级产品同样具有电信级的不间断运营特性，更好的安全性和管理特性，JUNOS软件创新的分布式架构为高性能、高可用、高可扩展的网络奠定了基础。

基于NP架构的SRX系列产品产品同时提供性能优异的防火墙、NAT、IPSEC、IPS、SSL VPN和UTM等全系列安全功能，其安全功能主要来源于已被广泛证明的ScreenOS操作系统。

凯迪拉克全新一代SRX技术参数及产品配置表110516

项目All New SRX Performance全新SRX豪华版All New SRX Luxury全新SRX旗舰版动力总成发动机描述发动机描述变速箱最大功率[kw（hp）/rpm]最大扭距(Nm/rpm)加速0-100km/h(s)最高时速(km/h)尺寸总长(mm)总宽(mm)总高(mm)1663 mm (18"轮胎)1667(20"轮胎)轴距(mm)整车质量（kg)离地间隙200 mm(18"轮胎)203 mm (20"轮胎)接近角11.56 (18"轮胎)11.29 (20"轮胎)离去角20.51°(18"轮胎 & 不带拖钩)20.26° (20"轮胎 & 不带拖钩)行李箱容积(litres)油箱容积(litres)底盘与悬挂驱动类型转向系统刹车悬挂系统FE2舒适运动悬挂系统FE3豪华运动悬挂系统前悬后悬轮胎及轮辋轮胎尺寸P235/65R18P235/55R20轮辋尺寸/类型18英寸铝合金镜面抛光20英寸铝合金镀铬备胎安全4轮独立防抱死制动系统（ABS）S S TCS防滑平衡控制系统S S StabiliTrak动态车身稳定系统S S 前后泊车辅助系统S S 胎压监测系统(TPM)S S e-LSD电子后差数器S S 电子实时阻尼悬挂(RTD)-S 防侧翻系统S S 两段式前排安全气囊，胸部保护侧气囊和前后安全气帘S S 前排乘客乘坐侦测系统 (PODS)-S 中控台儿童锁止装置S S 倒车影像系统S S 安吉星Onstar汽车守护系统（车载信息通信服务系统）S S 外饰双层电动全景天窗/带电动遮阳帘S S HID氙气主动转向大灯 (AFL)-S 电动外后视镜（带电加热，电动折叠功能,驾驶座防炫目）S S 雨量感应式雨刮器S S 镀铬行李架S S 电动高度可调举升门S S LED中置高位刹车灯S S 内饰豪华三幅真皮木饰方向盘S S 后座影音系统&后座空调调节面板S S 全自动空气循环及监测系统S S 电子防炫目内后视镜-S 后排座椅60/40可折叠功能S S 驾驶员座椅大腿支撑可调S S 便捷&豪华配备发动机一键式启动和远程启动（RES）S S 无钥匙进入系统S S 方向管柱四向调节和脚踏板电动调节-S 全液晶真彩色驾驶员信息中心S S 豪华环境氛围灯光S S 双区独立控制自动空调S S 三区独立控制自动空调S S 定速巡航系统S -前排座椅8向电动调节，带2向电动腰撑调节-S 前排座椅电加热S S 前排座椅电动通风和后排座椅电加热S S 驾驶员环境记忆系统(2种设置)S S 中文语音控制系统-S "U-RAIL"储物空间设计-S 信息娱乐系统蓝牙系统,AUX插座,USB,iPod接口,S S AM/FM收音机，高级内置单碟CD播放系统S -40G车载硬盘信息娱乐系统-S 8英寸可升降液晶触摸显示屏-S Bose数字环绕音响系统S -Bose® 5.1座舱数字环绕音响系统-S 无线耳机和遥控器-S GPS中文智能语音导航系统-S 后座双DVD信息娱乐系统-S"S"--- 标准装备 "-" --- 无凯迪拉克全新SRX 技术参数及配置表48511910速度感应式液压助力转向系统25208.7s e-AWD智能全驱系统11L 198 (269) / 69502807827(第二排座椅后方空间）79.5紧凑型3.0升 V6 SIDI 全铝智能直喷发动机6T70 Hydra-Matic 全电子6速自动变速箱(手自一体)302/5100210 km/hH型摆臂，中空横向稳定杆;实时控制减震系统四轮带ABS及ESC的盘式助力制动系统;前后通风式制动盘;前后铝质制动钳独立悬架，特殊调教的螺旋弹簧，中空直接作用式横向稳定杆;液压乘坐舒适衬套。

Juniper_SRX中文配置手册簿及现用图解

前言、版本说明 (3)一、界面菜单管理 (5)2、WEB管理界面 (6)（1）Web管理界面需要浏览器支持Flash控件。

(6)（2）输入用户名密码登陆： (7)（3）仪表盘首页 (7)3、菜单目录 (10)二、接口配置 (16)1、接口静态IP (16)2、PPPoE (17)3、DHCP (18)三、路由配置 (20)1、静态路由 (20)2、动态路由 (21)四、区域设置Zone (23)五、策略配置 (25)1、策略元素定义 (25)2、防火墙策略配置 (29)3、安全防护策略 (31)六、地址转换 (32)1、源地址转换-建立地址池 (33)2、源地址转换规则设置 (35)七、VPN配置 (37)1、建立第一阶段加密建议IKE Proposal (Phase 1) (或者用默认提议) (38)2、建立第一阶段IKE策略 (39)3、建立第一阶段IKE Gateway (40)4、建立第二阶段加密提议IKE Proposal (Phase 2) (或者用默认提议) (41)5、建立第一阶段IKE策略 (42)6、建立VPN策略 (43)八、Screen防攻击 (46)九、双机 (48)十、故障诊断 (49)前言、版本说明产品：Juniper SRX240 SH版本：JUNOS Software Release [9.6R1.13]注：测试推荐使用此版本。

此版本对浏览速度、保存速度提高了一些，并且CPU占用率明显下降很多。

9.5R2.7版本（CPU持续保持在60%以上，甚至90%）9.6R1.13版本（对菜单操作或者保存配置时，仍会提升一部分CPU）一、界面菜单管理1、管理方式JuniperSRX系列防火墙出厂默认状态下，登陆用户名为root密码为空，所有接口都已开启Web管理，但无接口地址。

终端连接防火墙后，输入用户名(root)、密码(空)，显示如下：rootsrx240-1%输入cli命令进入JUNOS访问模式：rootsrx240-1% clirootsrx240-1>输入configure进入JUNOS配置模式：rootsrx240-1% clirootsrx240-1> configureEntering configuration mode[edit]rootsrx240-1#防火墙至少要进行以下配置才可以正常使用：(1)设置root密码（否则无法保存配置）(2)开启ssh/telnet/http服务(3)添加用户（root权限不能作为远程telnet，可以使用SHH方式）(4)分配新的用户权限2、WEB管理界面（1）Web管理界面需要浏览器支持Flash控件。

常用SRX配置和维护命令

常用SRX配置命令目录1.1 配置管理用户 (2)1.2 配置系统管理服务 (2)1.3 配置接口地址 (2)1.4 配置冗余接口 (2)1.5 配置zone或接口是否可以管理防火墙设备 (2)1.6 增加路由 (3)1.7 删除路由 (3)1.8 修改路由 (3)1.9 增加策略 (4)1.10 删除策略 (5)1.11 修改策略 (5)1.12 静态NAT (5)1.13 源NAT (6)1.14 目的NAT (6)1.15 查看HA状态 (7)1.16 主备切换 (7)1.17 常用维护命令 (9)1.18 3、debug (18)1.19 故障需收集的基本信息 (18)注意：配置命令都在“#”模式下进行，通过用户名和密码登陆设备时在“>”模式下，需要配置“config 回车”，进入“#”模式注意：红色部分是可以修改的，其他部分都是使用？可以看到，使用tab键可以补全的基础配置1.1 配置管理用户配置比如配置lab用户set system login user lab class super-userset system login user lab authentication plain-text-password###回车后需要两次输入密码1.2 配置系统管理服务配置ssh、telnet、http、https登陆设备set system services sshset system services telnetset system services web-management http interface ge-0/0/0.0（可以进行的管理接口）set system services web-management http interface allset system services web-management https system-generated-certificateset system services web-management https interface all1.3 配置接口地址reth接口是防火墙HA后的冗余接口，这个接口包含配置在主设备和备设备的两条链路set interfaces ge-0/0/0 unit 0 family inet address 10.1.10.1/24set interfaces reth5 unit 0 family inet address 1.1.70.5/241.4 配置冗余接口把主设备的g-0/0/6接口，备设备的ge-9/0/6接口（物理接口位置与主设备相同）捆绑到冗余接口reth5中set interface ge-0/0/6 gigether-options redundant-parent reth5set interface ge-9/0/6 gigether-options redundant-parent reth5set interface reth5 redundant-ether-options redundancy-group 11.5 配置zone或接口是否可以管理防火墙设备A、配置zone trust，并且可以管理防火墙，分配接口ge-0/0/0.0接口到trust区域set security zones security-zone trust host-inbound-traffic system-services allset security zones security-zone trust interfaces ge-0/0/0.0B、配置zone untrust可以管理防火墙，但其中的ge-0/0/8.0只能用telnet和http管理，其他的不允许：set security zones security-zone untrust interfaces ge-0/0/8.0 host-inbound-trafficsystem-services httpsset security zones security-zone untrust interfaces ge-0/0/8.0 host-inbound-trafficsystem-services ssh路由配置1.6 增加路由A、配置静态路由，目标地址段是61.189.2.0/24 下一跳地址2.1.1.1set routing-options static route 61.189.2.0/24 next-hop 2.1.1.1B、缺省路由下一跳地址是2.1.1.1set routing-options static route 0.0.0.0/0 next-hop 2.1.1.1C、OSPF路由，ge-0/0/3.0接口在area 0中set protocols ospf area 0 interface ge-0/0/3.01.7 删除路由A、删除静态路由delete routing-options static route 61.189.2.0/24 next-hop 2.1.1.1B、删除缺省路由delete routing-options static route 0.0.0.0/0 next-hop 2.1.1.1C、删除OSPF路由delete protocols ospf area 0 interface ge-0/0/3.01.8 修改路由修改61.189.2.0/24的下一跳为3.1.1.1delete routing-options static route 61.189.2.0/24 next-hop 2.1.1.1set routing-options static route 61.189.2.0/24 next-hop 3.1.1.1策略配置A、从trust区域到untrust区域全部允许set security policies from-zone trust to-zone untrust policy trust2un match source-address anyset security policies from-zone trust to-zone untrust policy trust2un matchdestination-address anyset security policies from-zone trust to-zone untrust policy trust2un match application any set security policies from-zone trust to-zone untrust policy trust2un then permitB、从trust访问untrust的部分网段192.168.1.0/24的http，ftp服务定义untrust区域地址池，地址池名字192.168.1.0/24，地址192.168.1.0/24set security zones security-zone untrust address-book address 192.168.1.0/24192.168.1.0/24set security policies from-zone trust to-zone untrust policy trust2un match source-address anyset security policies from-zone trust to-zone untrust policy trust2un matchdestination-address 192.168.1.0/24set security policies from-zone trust to-zone untrust policy trust2un match application junos-httpset security policies from-zone trust to-zone untrust policy trust2un match application junos-ftpset security policies from-zone trust to-zone untrust policy trust2un then permitC、从trust访问untrust的部分网段192.168.1.0/24的自定义服务TCP 3389端口定义untrust区域地址池，地址池名字192.168.1.0/24，地址192.168.1.0/24set security zones security-zone untrust address-book address 192.168.1.0/24192.168.1.0/24定义tcp 3389服务，定义服务名称TCP3389set applications application TCP3389 protocol tcp destination-port 3389set security policies from-zone trust to-zone untrust policy trust2un match source-address anyset security policies from-zone trust to-zone untrust policy trust2un matchdestination-address 192.168.1.0/24set security policies from-zone trust to-zone untrust policy trust2un match application TCP3389set security policies from-zone trust to-zone untrust policy trust2un then permitdelete security policies from-zone trust to-zone untrust policy trust2un1.11 修改策略A、增加目的地址set security zones security-zone untrust address-book address 192.168.2.0/24192.168.2.0/24set security policies from-zone trust to-zone untrust policy trust2un match destination-address 192.168.2.0/24B、增加443端口应用set applications application TCP443 protocol tcp destination-port 443set security policies from-zone trust to-zone untrust policy trust2un match application TCP443C、去掉443端口应用delete security policies from-zone trust to-zone untrust policy trust2un match application TCP443NAT部分1.12 静态NAT外网untrust区域2.1.1.11与内网的trust区域192.168.20.1做静态NAT。

JuniperSRX中文配置手册及图解

前言、版本说明 (1)一、界面菜单管理 (3)2、WEB管理界面 (4)（1）Web管理界面需要浏览器支持Flash控件。

(4)（2）输入用户名密码登陆： (4)（3）仪表盘首页 (5)3、菜单目录 (7)二、接口配置 (12)1、接口静态IP (12)2、PPPoE (13)3、DHCP (14)三、路由配置 (16)1、静态路由 (16)2、动态路由 (16)四、区域设置Zone (18)五、策略配置 (20)1、策略元素定义 (20)2、防火墙策略配置 (22)3、安全防护策略 (25)六、地址转换 (26)1、源地址转换-建立地址池 (26)2、源地址转换规则设置 (27)七、VPN配置 (30)1、建立第一阶段加密建议IKE Proposal (Phase 1) (或者用默认提议) (30)2、建立第一阶段IKE策略 (31)3、建立第一阶段IKE Gateway (32)4、建立第二阶段加密提议IKE Proposal (Phase 2) (或者用默认提议) (33)5、建立第一阶段IKE策略 (34)6、建立VPN策略 (35)八、Screen防攻击 (38)九、双机 (39)十、故障诊断 (39)前言、版本说明产品：Juniper SRX240 SH版本：JUNOS Software Release [9.6R1.13]注：测试推荐使用此版本。

此版本对浏览速度、保存速度提高了一些，并且CPU占用率明显下降很多。

终端连接防火墙后，输入用户名(root)、密码(空)，显示如下：root@srx240-1%输入cli命令进入JUNOS访问模式：root@srx240-1% cliroot@srx240-1>输入configure进入JUNOS配置模式：root@srx240-1% cliroot@srx240-1> configureEntering configuration mode[edit]root@srx240-1#防火墙至少要进行以下配置才可以正常使用：(1)设置root密码（否则无法保存配置）(2)开启ssh/telnet/http服务(3)添加用户（root权限不能作为远程telnet帐户，可以使用SHH方式）(4)分配新的用户权限2、WEB管理界面（1）Web管理界面需要浏览器支持Flash控件。

JuniperSRX高端防火墙简明配置手册

Juniper SRX防火墙简明配置手册目录一、 JUNOS 操作系统介绍 (3)1.1层次化配置结构 (3)1.2 JunOS 配置管理 (4)1.3 SRX 主要配置内容 (4)二、 SRX 防火墙配置说明 (5)2.1初始安装 (5)2.1.1登陆 (5)2.1.2设置 root 用户口令 (9)2.1.3JSRP 初始化配置 (9)2.1.4设置远程登陆管理用户 (14)2.1.5远程管理 SRX相关配置 (15)2.1.6ZONE 及相关接口的配置 (15)2.2 Policy (16)2.3 NAT (17)2.3.1Interface based NAT (18)2.3.2Pool based Source NAT (18)2.3.3Pool base destination NAT (19)2.3.4Pool base Static NAT (20)2.4 IPSEC VPN (21)2.5 Application and ALG (22)三、 SRX 防火墙常规操作与维护 (22)3.1单机设备关机 (22)3.2单机设备重启 (23)3.3单机操作系统升级 (23)3.4双机模式下主备 SRX 关机 (23)3.5双机模式下主备设备重启 (24)3.6双机模式下操作系统升级 (24)3.7双机转发平面主备切换及切换后恢复 (25)3.8双机控制平面主备切换及切换后恢复 (25)3.9双机模式下更换备SRX (25)3.10双机模式下更换主SRX (26)3.11双机模式更换电源 (27)3.12双机模式更换故障板卡 (27)3.13配置备份及还原方法 (27)3.14密码修改方法 (28)3.15磁盘文件清理方法 (28)3.16密码恢复 (28)3.17常用监控维护命令 (29)四、 SRX 防火墙介绍 (31)Juniper SRX防火墙简明配置手册SRX系列防火墙是 Juniper 公司基于 JUNOS操作系统的安全系列产品，JUNOS集成了路由、交换、安全性和一系列丰富的网络服务。

Juniper SRX配置手册

Juniper SRX防火墙配置手册一、JUNOS操作系统介绍1.1 层次化配置结构JUNOS采用基于FreeBSD内核的软件模块化操作系统，支持CLI命令行和WEBUI两种接口配置方式，本文主要对CLI命令行方式进行配置说明。

JUNOS CLI使用层次化配置结构，分为操作（operational）和配置（configure）两类模式，在操作模式下可对当前配置、设备运行状态、路由及会话表等状态进行查看及设备运维操作，并通过执行config或edit命令进入配置模式，在配置模式下可对各相关模块进行配置并能够执行操作模式下的所有命令（run）。

在配置模式下JUNOS采用分层分级模块下配置结构，如下图所示，edit命令进入下一级配置（类似unix cd 命令）,exit命令退回上一级，top命令回到根级。

1.2 JunOS配置管理JUNOS通过set语句进行配置，配置输入后并不会立即生效，而是作为候选配置（Candidate Config）等待管理员提交确认，管理员通过输入commit命令来提交配置，配置内容在通过SRX 语法检查后才会生效，一旦commit通过后当前配置即成为有效配置（Active config）。

另外，JUNOS 允许执行commit命令时要求管理员对提交的配置进行两次确认，如执行commit confirmed 2命令要求管理员必须在输入此命令后2分钟内再次输入commit以确认提交，否则2分钟后配置将自动回退，这样可以避免远程配置变更时管理员失去对SRX的远程连接风险。

在执行commit命令前可通过配置模式下show命令查看当前候选配置（Candidate Config），在执行commit后配置模式下可通过run show config命令查看当前有效配置（Active config）。

此外可通过执行show | compare比对候选配置和有效配置的差异。

SRX上由于配备大容量硬盘存储器，缺省按先后commit顺序自动保存50份有效配置，并可通过执行rolback和commit命令返回到以前配置（如rollback 0/commit可返回到前一commit配置）；也可以直接通过执行save configname.conf手动保存当前配置，并执行load override configname.conf / commit调用前期手动保存的配置。

SRX配置

第一节系统配置1.1、设备初始化1.1.1登陆首次登录需要使用Console口连接SRX，root用户登陆，密码为空login: root Password: --- JUNOS 9.5R1.8 built 2009-07-16 15:04:30 UTC root% cli /***进入操作模式***/ root>root> configureEntering configuration mode /***进入配置模式***/ [edit] Root#1.1.2设置root用户口令（必须配置root帐号密码，否则后续所有配置及修改都无法提交）root# set system root-authentication plain-text-password root# new password : root123root# retype new password: root123 密码将以密文方式显示root# show system root-authenticationencrypted-password "$1$xavDeUe6$fNM6olGU.8.M7B62u05D6."; # SECRET-DATA注意：强烈建议不要使用其它加密选项来加密root和其它user口令(如encrypted-password 加密方式)，此配置参数要求输入的口令应是经加密算法加密后的字符串，采用这种加密方式手工输入时存在密码无法通过验证风险。

注：root用户仅用于console连接本地管理SRX，不能通过远程登陆管理SRX，必须成功设置root口令后，才能执行commit提交后续配置命令。

1.1.3设置远程登陆管理用户root# set system login user lab class super-user authentication plain-text-password root# new password : juniperroot# retype new password: srx123注：此juniper用户拥有超级管理员权限，可用于console和远程管理访问，另也可自行灵活定义其它不同管理权限用户。

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

SRX 300配置上网（WLAN与VLAN都为内部IP）环境介绍设备ge-0/0/0口为外网口,即第一个口，地址172.16.65.203/24，下一跳地址172.16.65.1设备ge-0/0/2口为内网口即第三个口，地址192.168.2.1/24，内网口作为PC网关来用，设置DHCP，DHCP设置参数如下：地址段 192.168.2.29-192.168.2.39网关 192.168.1.1DNS 202.103.24.68；8.8.8.8设置源NAT，用172.16.65.250、172.16.65.251两个地址做转换NAT地址设置策略允许内网上网创建超级用户root 密码TS…….具体步骤用串口线连接设备console口，设置参数如下：这台设备是有配置的，所以要先清空设备配置，清空完设备配置，需要直接设备初始超级用户的密码，然后保存，才可以完成恢复出厂设置登入设备出现以下root@root>root@root>configure 进入配置模式Entering configuration mode[edit]root@root# load factory-default 恢复出厂设备warning: activating factory configuration[edit]root@root# set system root-authentication plain-text-password 设置超级用户密码New password:Retype new password:[edit]root@root# commitcommit complete[edit] 此时回复出厂设置完成，下一步开始配置login: root 输入默认用户名rootPassword: 输入重置设备前输入的密码root@root% cli 敲入cli进入执行模式root@root> configure 敲入configure进入配置模式，执行模式代表符号“>”Entering configuration mode[edit]root@root# 配置模式“#”root@root# set system login user lvlin class super-user authentication plain-text-password 建立用户名为“wangjian”的超级用户New password: 为用户“root”设置密码Retype new password: 重复输入密码[edit]root@root# delete interfaces ge-0/0/0.0 删除接口相关配置，接口默认处于交换[edit] 模式Ethernet-switching模式下，要想设置成三层必须先把这个属root@root# delete interfaces fe-0/0/2 unit 0 性删除，“.0”和unit0在意义上一样[edit]wangjian# set interfaces ge-0/0/0.0 family inet address 192.168.201.239/24[edit] 设置ge-0/0/0.0为三层接口地址192.168.201.239set interfaces ge-0/0/0.0 family inet address 172.16.65.203/24wangjian# set interfaces fe-0/0/2.0 family inet address 192.168.1.1/24[edit] 设置Ge-0/0/2.0为三层接口地址192.168.2.1wangjian# set routing-options static route 0.0.0.0/0 next-hop 192.168.201.250set routing-options static route 0.0.0.0/0 next-hop 172.16.65.1[edit] 设置默认路由wangjian# set security zones security-zone untrust interfaces ge-0/0/0.0[edit] 设置ge-0/0/0.0口为untrust安全域接口wangjian# set security zones security-zone trust interfaces ge-0/0/2.0[edit] 设置fe-0/0/2.0口为trust安全域接口wangjian# delete security nat source rule-set trust-to-untrust[edit] 删除系统自带的源nat规则wangjian# set security nat source pool wangjian address 192.168.201.59 to 192.168.201.60 设置源nat地址池set security nat source pool wangjian address 172.16.65.250 to 172.16.65.251[edit]wangjian# set security nat source rule-set wangjiannat from zone trust[edit] 设置nat源安全域wangjian# set security nat source rule-set wangjiannat to zone untrust[edit] 设置nat目的安全域wangjian# set security nat source rule-set wangjiannat rule wangjiannat1 match source-address 0.0.0.0/0 设置nat源地址[edit]wangjian# set security nat source rule-set wangjiannat rule wangjiannat1 then source-nat pool wangjian 设置nat关联地址池[edit]wangjian# set security zones security-zone untrust interface ge-0/0/0.0 host-inbound-traffic system-services http[edit] 打开接口http管理wangjian# set system services web-management http[edit] 打开http全局开关wangjian# delete security policies from-zone trust to-zone untrust policy trust-to untrust 删除系统自带策略delete security policies from-zone trust to-zone untrust policy trust-to untrust[edit]wangjian# set security policies from-zone trust to-zone untrust policy wangjian match source-address any[edit] 配置策略源地址wangjian# set security policies from-zone trust to-zone untrust policy wangjian match destination-address any 配置策略目的地址[edit]wangjian# set security policies from-zone trust to-zone untrust policy wangjian match application any 配置策略应用[edit]wangjian# set security policies from-zone trust to-zone untrust policy wangjian thenpermit 配置策略动作[edit]wangjian# set security policies from-zone trust to-zone untrust policy wangjian then log session-init 开启策略日志—会话开始[edit]wangjian# set security policies from-zone trust to-zone untrust policy wangjian then log session-close 开启策略日志—会话结束[edit]wangjian# delete system services dhcp[edit] 删除系统默认dhcpwangjian# set system services dhcp router 192.168.1.1[edit] DHCP参数默认网关wangjian# set system services dhcp pool 192.168.2.0/24 address-range low 192.168.2.29 DHCP 参数地址池开始地址[edit]wangjian# set system services dhcp pool 192.168.2.0/24 address-range high 192.168.2.39 DHCP 参数地址池结束地址[edit]wangjian# set system services dhcp maximum-lease-time 4294967295[edit] DHCP参数分配地址租约时间wangjian# set system services dhcp name-server 202.106.0.20[edit] DHCP参数DNS服务器wangjian# set system services dhcp name-server 8.8.8.8[edit] DHCP参数DNS服务器wangjian# set system services dhcp propagate-settings ge-0/0/2.0[edit] 设置DHCP信号发散端口wangjian# delete interfaces ge-0/0/2.0[edit] 删除接口fe-0/0/2.0所有属性wangjian# set security zones security-zone trust interfaces ge-0/0/2.0 host-inbound-traffic system-services all[edit] 设置接口ge-0/0/2.0接口为trust安全域wangjian# set security nat proxy-arp interface ge-0/0/0 address 192.168.201.59 to192.168.201.60 nat地址池地址在外网接口上做arp代理set security nat proxy-arp interface ge-0/0/0 address 172.16.65.250 to 172.16.65.251[edit]wangjian# delete interfaces vlan[edit] 删除vlan接口wangjian# delete interfaces ge-0/0/3[edit] 删除物理接口属性wangjian# delete interfaces fe-0/0/4[edit]wangjian# delete interfaces fe-0/0/5[edit]wangjian# delete interfaces fe-0/0/6[edit]wangjian# delete interfaces fe-0/0/7[edit]wangjian# delete interfaces ge-0/0/1[edit]wangjian# delete vlans[edit] 删除vlan这样就可以了，DHCP获取到地址Ping外网附加show命令wangjian# run show interfaces terse 查看物理接口属性Interface Admin Link Proto Local Remotege-0/0/0 up upge-0/0/0.0 up up inet 192.168.201.239/24gr-0/0/0 up upip-0/0/0 up uplsq-0/0/0 up uplt-0/0/0 up upmt-0/0/0 up upsp-0/0/0 up upsp-0/0/0.0 up up inetsp-0/0/0.16383 up up inet 10.0.0.1 --> 10.0.0.16 10.0.0.6 --> 0/0128.0.0.1 --> 128.0.1.16128.0.0.6 --> 0/0ge-0/0/1 up downfe-0/0/2 up upfe-0/0/2.0 up up inet 192.168.1.1/24fe-0/0/3 up downfe-0/0/4 up downfe-0/0/5 up downfe-0/0/6 up downfe-0/0/7 up downfxp2 up upfxp2.0 up up tnp 0x1gre up upipip up upirb up uplo0 up uplo0.16384 up up inet 127.0.0.1 --> 0/0lo0.16385 up up inet 10.0.0.1 --> 0/010.0.0.16 --> 0/0128.0.0.1 --> 0/0128.0.0.4 --> 0/0128.0.1.16 --> 0/0lo0.32768 up uplsi up upmtun up uppimd up uppime up uppp0 up upppd0 up upppe0 up upst0 up uptap up upvlan up up[edit]wangjian# show | compare 跟上次commit前对比敲过的命令[edit security zones security-zone untrust interfaces]ge-0/0/0.0 { ... }+ ge-0/0/1.0;[edit]wangjian# rollback 0 返回上次commit时的配置load complete[edit]。