juniper防火墙初始配置及管理1
Juniper网络安全防火墙配置手册
Juniper网络安全防火墙设备快速安装手册V1.02009-7目录第一章前言 (4)1.1、J UNIPER防火墙配置概述 (4)1.2、J UNIPER防火墙管理配置的基本信息 (4)1.3、J UNIPER防火墙的常用功能 (5)第二章软件操作 (5)2.1、防火墙配置文件的导出和导入 (5)2.1.1、配置文件的导出 (5)2.1.2、配置文件的导入 (6)2.2、防火墙软件（S CREEN OS）更新 (7)2.3、防火墙恢复密码及出厂配置的方法 (8)2.4、防火墙重启 (8)第三章 NS-5000系列（NS5200/NS5400） (9)3.1、NS-5000结构 (9)3.2、硬件组件故障检查 (10)3.3、设备组件更换 (11)第四章 JUNIPER防火墙部署模式及基本配置 (11)4.1、NAT模式 (11)4.2、R OUTE路由模式 (12)4.3、透明模式 (13)4.4、NAT/R OUTE模式下的基本配置 (14)4.4.1、NS-5200/5400 NAT/Route模式下的基本配置 (14)4.5、透明模式下的基本配置 (16)第五章 JUNIPER防火墙常用功能的配置 (17)5.1、MIP的配置 (17)5.1.1、使用Web浏览器方式配置MIP (18)5.1.2、使用命令行方式配置MIP (19)5.2、VIP的配置 (20)5.2.1、使用Web浏览器方式配置VIP (20)5.2.2、使用命令行方式配置VIP (21)5.3、DIP的配置 (21)5.3.1、使用Web浏览器方式配置DIP (22)5.3.2、使用命令行方式配置DIP (23)5.4、聚合接口（AGGREGATE）的配置 (24)第六章 JUNIPER防火墙双机的配置 (25)6.1、使用W EB浏览器方式配置 (25)6.2、使用命令行方式配置 (27)第七章 JUNIPER防火墙的维护命令 (28)7.1登录J UNIPER防火墙的方式 (28)7.2查看设备相关日志和工作状态 (29)7.3检查设备CPU的占有率 (37)7.3.1 原因分析 (37)7.3.2采取的措施 (37)7.4检查内存占有率 (38)7.4.1 原因分析 (38)7.4.2 采取的措施 (38)7.5双机异常 (38)7.5.1原因分析 (38)7.5.2采取的措施 (39)7.6故障处理工具 (39)7.6.1 Debug (40)7.6.2 Snoop (40)第八章JUNIPER防火墙的配置优化 (41)8.1ALG优化 (41)8.2防火墙数据包处理性能优化 (41)8.3日志优化 (41)8.4关闭双机会话同步 (42)第九章移动W AP网关配置案例 (42)附录、JUNIPER防火墙的一些概念 (51)第一章前言我们制作本安装手册的目的是使维护Juniper网络安全防火墙设备（在本安装手册中简称为“Juniper防火墙”）的NSN公司相关技术人员，可以通过此安装手册完成对Juniper防火墙基本功能的实现、应用和排错。
Juniper常用配置
Juniper常用配置一、基本操作1、登录设备系统初始化用户名是root，密码是空。
在用户模式下输入configure 或者是edit可以进入配置模式。
2、设置用户名：ethot-nameE某4200。
3、配置模式下运行用户模式命令，则需要在命令前面加一个run，如：runhowinterface4、在how后面使用管道符号加上diplayet将其转换成et格式命令howprotocolopf|diplayet6、交换机重启：requetytemreboot7、交换机关机：requetytemhalt二、交换机基本操作2.1设置root密码实例：2.2设置删除主机名实例：2.3开启Telnet登陆服务实例：2.4开启远程h登陆E某交换机默认是没有开启SSH服务，当你打开了SSH服务而没有制定SSH的版本，系统自动支持V1和V2版本。
如果你指定了SSH的版本，则系统只允许你指定版本的SSH登陆。
实例：[editytemervice]#\设置SSH支持V1版本\2.5打开/关闭端口E某交换的端口可以通过diable来关闭(类似于Cico的hutdown命令)，恢复就是删除diable参数(相当于Cico的nohutdown)。
#\恢复端口，相当于nohutdown一个端口\[edit][edit]三、VLAN操作3.1添加VLAN实例：如果创建一个名字为chai_vlan的VLAN10，并且网关设置为192.168.1.1/24,ge-0/0/1属于该VLAN。
1、创建VLAN(VLAN下直接将端口加入到VLAN)#\设置chai_vlan的vlanid\#\设置vlan描述\#\以下所有操作都是对chai_vlan进行\#\回到最外层菜单\#\将绑定三层逻辑子端口\——起三层#\将端口加入到VLAN中\#\将端口加入到VLAN中\#配三层接口地址#\回到最外层菜单\3.2删除VLAN由于一个VLAN创建之后，会被端口引用，可能还创建了三层端口，因此在删除vlan的时候需要把端口引用关系解除同时删除三层vlan子端口，删除步骤如下：3.3Trunk配置#\删除端口信息\#回到最外层菜单。
井场服务器组网配置-Juniper防火墙配置手册
编号：005版本：1.0井场服务器组网配置—Juniper防火墙配置手册目录1.1 juniper SRX240防火墙配置说明 (1)1.1.1 初始安装 (1)1.1.2 Policy (2)1.1.3 NAT (6)1.1.4 IPSEC VPN (10)1.1juniper SRX240防火墙配置说明1.1.1初始安装1.1.1.1登陆Console口(通用超级终端缺省配置)连接SRX，root用户登陆，密码为root123login: rootPassword:--- JUNOS 9.5R1.8 built 2009-07-16 15:04:30 UTCroot% cli /***进入操作模式***/root>root> configureEntering configuration mode /***进入配置模式***/[edit]Root#1.1.1.2设置root用户口令设置root用户口令set system root-authentication encrypted-password密码将以密文方式显示"$1$rA9jkLwN$jMkZts1WXVc.Sx6NtZTLQ0"注意：强烈建议不要使用其它加密选项来加密root和其它user口令(如encrypted-password加密方式)，此配置参数要求输入的口令应是经加密算法加密后的字符串，采用这种加密方式手工输入时存在密码无法通过验证风险。
注：root用户仅用于console连接本地管理SRX，不能通过远程登陆管理SRX，必须成功设置root口令后，才能执行commit提交后续配置命令。
1.1.1.3设置远程登陆管理用户root#set system login user lab uid 2000set system login user lab class super-userset system login user lab authentication encrypted-passwordroot# new password : lab123root# retype new password: lab123注：此lab用户拥有超级管理员权限，可用于console和远程管理访问，另也可自行灵活定义其它不同管理权限用户。
Juniper日常操作手册
Juniper防火墙日常工作手册深圳市奥怡轩实业有限公司SZ Net Security Co., Ltd2010年01月目录1、ISG1000操作指南 (3)2、IC4000操作指南 (13)3、总结 (23)ISG1000操作指南一、ISG1000概述JUNIPER公司的ISG1000是全面集成的防火墙/VPN系统的高端网络设备，它是面向大型企业、数据中心和运营商网络的理想解决方案。
最多并发会话数：500000每秒新建会话数：20000最多安全策略数：1000如图（1）：二、ISG1000操作1、登陆方式一般有三种登陆方式：CONSOLE、HTTP、MGT，用得较多也比较方便的方式是HTTP方式，下面我们具体介绍HTTP登陆方式。
2、HTTP登陆方式设备出厂默认设置是192.168.1.1/24，用HTTP登陆如下图（2）：4、操作界面输入用户名和密码后我们经进入图（3）操作界面左边是主配置菜单。
右边最上方是系统启动以及时间信息，右上角显示主机名。
Device information：设备信息，显示设备硬软件版本、序列号以及主机名。
Interface link status：接口链路状态，显示接口所属区和链路UP/DOWN信息。
Resources Status：资源状况，显示系统CPU和内存使用率以及目前的会话和策略是系统满负荷的比例。
（其中注意内存使用率是不真实的，在系统空负荷的情况下内存占用率也会很高，是系统本身设计的问题）。
The most recent alarms：系统最近的报警信息The most recent events：系统最近的通告信息从这个界面我们可以看出防火墙的运行情况，并通过Resources Status：资源状况，可以计算出我们所需要的CPU使用率、内存使用率、对话连接数使用率。
5、主菜单配置在图3的左边是主菜单，分别由如下选项homeConfiguration：Date/Time；Update；Admin；Auth；Report SettingsNetwork：Zones；Interfaces；Routing；NSRPSecurityPolicy: PoliciesVPNSObjects：Addresses；ServicesReports： Systems LogWizardsHelp其实只要掌握Configuration、Network 、Policey、Reports这几个就能够应付我们日常的维护和管理了。
juniper防火墙常用配置
juniper netscreen FW的常用配置1.Juniper防火墙管理配置的基本信息Juniper防火墙常用管理方式：①通过Web浏览器方式管理。
推荐使用IE浏览器进行登录管理，需要知道防火墙对应端口的管理IP地址；②命令行方式。
支持通过Console端口超级终端连接和Telnet防火墙管理IP地址连接两种命令行登录管理模式。
Juniper防火墙缺省管理端口和IP地址：① Juniper防火墙出厂时可通过缺省设置的IP地址使用Telnet或者Web方式管理。
缺省IP地址为：192.168.1.1/255.255.255.0；②缺省IP地址通常设置在防火墙的Trust端口上（NS-5GT）、最小端口编号的物理端口上（NS-25/50/204/208/SSG系列）、或者专用的管理端口上（ISG-1000/2000,NS-5200/5400）。
Juniper防火墙缺省登录管理账号：①用户名：netscreen；②密码：netscreen。
2. 配置ns达到内网能访问internet的要求，我们经常使用的方式是nat/route的方式，主要的配置过程为：NS-5GT NAT/Route模式下的基本配置注：NS-5GT设备的物理接口名称叫做trust和untrust；缺省Zone包括：trust和untrust，请注意和接口区分开。
① Unset interface trust ip （清除防火墙内网端口的IP地址）；② Set interface trust zone trust（将内网端口trust分配到trust zone）；③ Set interface trust ip 192.168.1.1/24（设置内网端口trust的IP地址，必须先定义zone，之后再定义IP地址）；④ Set interface untrust zone untrust（将外网口untrust分配到untrust zone）；⑤ Set interface untrust ip 10.10.10.1/24（设置外网口untrust的IP地址）；⑥ Set route 0.0.0.0/0 interface untrust gateway 10.10.10.251（设置防火墙对外的缺省路由网关地址）；⑦ Set policy from trust to untrust any any any permit log（定义一条由内网到外网的访问策略。
【设置】juniper防火墙详细配置手册
【关键字】设置Juniper防火墙简明实用手册（版本号：V1.0）目录1juniper中文参考手册重点章节导读版本：Juniper防火墙5.0中文参考手册，内容非常庞大和繁杂，其中很多介绍和功能实际应用的可能性不大，为了让大家尽快用最短的时间内掌握Juniper 防火墙的实际操作，下面简单对参考手册中的重点章节进行一个总结和概括，掌握了这些内容大家就可以基本能够完成安全部署和维护的工作。
1.1 第二卷：基本原理1.1.1第一章：ScreenOS 体系结构●安全区●安全区接口●策略1.1.2第二章：路由表和静态路由●配置静态路由1.1.3第三章：区段●安全区●配置安全区●功能区段：HA区段1.1.4第四章：接口●接口类型：安全区接口：物理●接口类型：安全区接口：功能区段接口●察看接口●配置安全区接口：将接口绑定到安全区、从安全区解除接口绑定、修改接口、跟踪IP地址●二级IP地址1.1.5第五章：接口模式●透明模式●NAT模式●路由模式1.1.6第六章：为策略构建块●地址：地址条目、地址组●服务：预定义的服务、定制服务●DIP池：端口地址转换、范例：创建带有PAT的DIP池、范例：修改DIP池、扩展接口和DIP●时间表1.1.7第七章：策略●三种类型的策略●策略定义●策略应用1.1.8第八章：地址转换●地址转换简介●源网络地址转换●目的网络地址转换●映射IP 地址●虚拟IP地址1.1.9第十一章：系统参数●下载/上传设置和固件●系统时钟1.2 第三卷：管理1.2.1第一章：管理●通过WEB 用户界面进行管理●通过命令行界面进行管理●管理的级别：根管理员、可读/ 写管理员、只读管理员、定义Admin用户●保证管理信息流的安全：更改端口号、更改Admin 登录名和密码、重置设备到出厂缺省设置、限制管理访问1.2.2监控NetScreen 设备●储存日志信息●事件日志●信息流日志●系统日志1.3 第八卷：高可用性1.3.1NSRP●NSRP 概述●NSRP 和NETSCREEN 的操作模式●NSRP集群●VSD组●同步1.3.2故障切换●设备故障切换(NSRP)●VSD 组故障切换(NSRP)●为设备或VSD 组故障切换配置对象监控2Juniper防火墙初始化配置和操纵对一台空配置的Juniper防火墙我们可以用两种方法去进行操纵：Console 控制台和WEB。
juniper防火墙详细配置手册
juniper防火墙详细配置手册Juniper防火墙简明实用手册（版本号：V1.0）目录1juniper中文参考手册重点章节导读 (4)1.1第二卷：基本原理41.1.1第一章：ScreenOS 体系结构41.1.2第二章：路由表和静态路由41.1.3第三章：区段41.1.4第四章：接口41.1.5第五章：接口模式51.1.6第六章：为策略构建块51.1.7第七章：策略51.1.8第八章：地址转换51.1.9第十一章：系统参数61.2第三卷：管理61.2.1第一章：管理61.2.2监控NetScreen 设备61.3第八卷：高可用性61.3.1...................................................... NSRP61.3.2故障切换72Juniper防火墙初始化配置和操纵 (8)3查看系统概要信息 (9)4主菜单常用配置选项导航 (10)5Configration配置菜单 (11)5.1Date/Time:日期和时间115.2Update更新系统镜像和配置文件125.2.1更新ScreenOS系统镜像125.2.2更新config file配置文件135.3Admin管理155.3.1Administrators管理员账户管理155.3.2Permitted IPs：允许哪些主机可以对防火墙进行管理166Networks配置菜单 (17)6.1Zone安全区176.2Interfaces接口配置196.2.1查看接口状态的概要信息196.2.2设置interface接口的基本信息196.2.3设置地址转换216.2.4设置接口Secondary IP地址256.3Routing路由设置266.3.1查看防火墙路由表设置266.3.2创建新的路由条目277Policy策略设置 (28)7.1查看目前策略设置287.2创建策略298对象Object设置 (31)9策略Policy报告Report (33)1juniper中文参考手册重点章节导读版本：Juniper防火墙5.0中文参考手册，内容非常庞大和繁杂，其中很多介绍和功能实际应用的可能性不大，为了让大家尽快用最短的时间内掌握Juniper防火墙的实际操作，下面简单对参考手册中的重点章节进行一个总结和概括，掌握了这些内容大家就可以基本能够完成安全部署和维护的工作。
Juniper防火墙配置图解
Juniper 防火墙v6.0以上版本 L2tpvpn (for XP Win7)配置图解防火墙端配置1、新建地址池Objects – IP Pools – NewIP Pool Name ：用户自定义名称Start IP ：用户自定义一段地址的起始地址End IP ：用户自定义一段地址的结束地址2、修改L2TP 默认设置VPNs – L2TP – Default Settings3、建立用户和组3.1 新建用户Objects – Users – Local -- New重复这个过程，建立多个用户3.2 新建用户组Objects – Users – Local Group -- New4、建立Vpn Tunnel建立tunnel前，先确定好用于拨入VPN的接口编号。
VPNs – L2TP – Tunnel -- New5、建立策略Policy – Policies – NewSource Address : 选择 Dial-UP VPNDestination Address : 选择 New Address ，填入你要访问的目的地址或目的地址段Service ：选择要访问的服务Action : 选择 tunnelL2TP ：选择新建的L2TP vpn tunnelLogging ：可选记录访问日志客户端配置1.1XP端配置1.1.1建立拨号网上邻居右键属性-点击新建连接向导图标点击完成，vpn拨号配置建立完，后面进行配置调整在新建的vpn连接上右键属性提示保留配置时选择Y1.1.2修改注册表点击开始—运行 --- 键入 regedit命令点击确定，进入注册表配置。
进入HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RasMan\Paramete rs ，在右侧新建值命名为“ProhibitIpSec”注意大小写，数值为1修改完毕后重启计算机，进行vpn拨号测试用户名和密码栏中填入防火墙端配置的用户名和密码。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
@ PwrUp/ Serial. Reset
RAM
Tables Buffers
Running Config
ScreenOS (active)
Flash
ScreenOS Image
Saved Config
Certs, etc.
Console
3
登录防火墙-----Log in from Console I
选中“License Key Update”，点击“浏览”按钮，在客户端文件目录中选择license文件；再点击 “Apply”按钮。系统将弹出告警提示；确认后，license被导入。 License所支持的功能在重启后才真正生效。
24
License Key管理 -----UTM Subscription Key管理 Configuration > Update > ScreenOS/Keys
• 默认的用户名/密码都是netscreen。
• 如果初次配置防火墙（或者对其进行了恢复出厂值操作），当通过WebUI登录防火 墙时，配置向导就会出现。
• 配置向导可以帮助不熟悉防火墙的用户对系统进行基本配置。高级用户不建议使 用该向导进行系统配置。
10
登录防火墙-----Log in from WebUI IV
• 严格的逻辑层次结构
– 安全区从属于虚拟路由器
• 安全区默认都从属于trust-vr
– 接口从属于安全区
• 一个接口只能从属于一个安全区
– IP地址从属于接口
• 虚拟路由器的路由表各自独立 • 安全区之间的访问受策略控制 • 接口是一个逻辑概念，它可以包含若
干个物理端口，也可以不包括任何物 理端口
•a.为要访问的接口配置IP地址x.x.x.x/x，并打开该接口的WebUI管理权限。
出厂状态下，Trust Zone的Interface的IP地址是192.168.1.1/24，开放了WebUI管理权限。
•b.通过直通网线连接PC与防火墙的特定端口
出厂状态下，连接防火墙Trust Zone的端口。
TFTP服务器必须与系统的Self IP在同一子网 TFTP服务器必须连接在: 系统的Trust区端口 或系统的eth0/0、eth0/1、eth1端口 或系统的管理端口
27
灾难恢复-----恢复系统文件 I
• 启动设备，当出现“Hit any key to run loader”时，按任意键进入boot模式。 • 在“Boot File Name”栏填入系统OS的文件名。 • 在“Self IP Address”栏填入一个临时地址供TFTP通信使用。 • 在“TFTP IP Address”栏填入TFTP服务器的地址，也就是PC的地址。 • 输入完毕后，按回车键开始通过TFTP传送系统OS到设备。
• 两种办法恢复出厂默认配置
– 在Console模式下，用设备的序列号作为用户名/密码进行登录。
• 成功后系统出现警告提示，将擦去现有配置，确认后系统开始恢复默认配 置，随后重启。整个过程约3分钟。
– 使用设备面板上的针孔（pinhole）
• 按下按钮直到系统指示灯变成红色 • 等待指示灯恢复到绿色 • 再按前述步骤来一次 • 系统进入初始化状态
点击“Retrieve Subscriptions Now”按钮，主机将自动到Juniper数据中心下载相关许可。 下载成功与否的关键，是保证系统时间及DNS的正确设置。
25
基本系统配置-----恢复出厂值/默认密码
• 密码丢失是无法恢复的 • 只有通过恢复出厂默认配置的方法来重新获得管理权限
– 原来配置的参数、证书等都将被删除
Network > Routing > Virtual Routers
34
基础概念－－－Security Zone
• 安全区
– 预定义: • Trust:一般放置内网接口 • Untrust:一般放置外网接口 • DMZ:一般放置服务器接口 用户自定义：
• 功能安全区 – Null：放置未配置的接口 – MGT：放置网管用接口 – HA： – Self – VLAN
28
灾难恢复-----恢复系统文件 II
29
灾难恢复-----恢复系统文件 III
• 当出现“Save to on-board flash disk？”提示时，按“Y”键将OS存入FLASH。 • 当出现“Run download system image？”提示时，按“Y”键运行新的OS。
30
Juniper FWV基础售后培训 I
EDU-JUNIP-FWV-BEG
目标
• 登录防火墙 • 基本系统配置 • 基础概念 • 基本网络设置
2
目标
• 登录防火墙 • 基本系统配置 • 基础概念 • 基本网络设置
TFTP
DNS/ Syslog
Webui
Telnet
NetScreen
Interf.
Interf.
7
登录防火墙-----Log in from WebUI I
• 安全网关可以通过图形化模式进行管理
– 最为直观的配置界面，所见即所得。 – 绝大多数的配置都可以通过WebUI来完成。 – 真正简捷、高效地图形化配置工具。 – 只需要很少的配置 (打开防火墙接口的web访问权限即可)
8
登录防火墙-----Log in from WebUI II
15• 点击“Save To File”按钮，进行下载。系统将提示你选择文件目录。
基本系统配置-----管理员帐号管理
• Configuration > Admin > Administrators
创建新的管理员帐号
编辑管理员帐号
Root管理员由系统定义，不能删除；但可以修改其名称和密码。 Root管理员可以创建或删除本地管理员帐号。 本地管理员帐号分为Read-Only和Read-Write两种权限。
14
基本系统配置-----配置文件管理
Configuration>Update>Config File
上传配置
• 选中Replace Current Configuration项。 • 点击“浏览”按钮，在客户端文件目录下寻找需要上传的配置文件，然后点击“Apply”进行上传，
系统将弹出警告。
下载配置
•c.将PC的网卡地址设置成与a.中接口的同一网段IP地址。
出厂状态下，将PC网卡地址设置为192.168.1.X/24。
•d.在PC的网页浏览器中输入http://x.x.x.x ,出现登录界面。
出厂状态下，输入http://192.168.1.1。
9
登录防火墙-----Log in from WebUI III
Console线缆随机自带，为直通网线加转接头（DB9转RJ45）。
•b.通过Console线缆来连接防火墙的Console端口
设备正常启动后，Power LED（电源灯）常绿；Status LED（状态灯）闪烁绿色。
•c.使用PC的终端连接工具，访问防火墙的Console进程。
5
登录防火墙-----Log in from Console III
13
基本系统配置-----ScreenOS升级
Configuration > Update > ScreenOS/Keys
• 选中Firmware Update项。 • 点击“浏览”按钮，在客户端文件目录下寻找ScreenOS升级文件。 • 点击“Apply”按钮，进行升级。系统将跳出警告提示。 • 升级文件导入后，系统重启；整个过程大概需要3分钟。
UTM Subscription License Key
防病毒（Anti-Virus） 网页过滤（URL filtering） 防垃圾邮件（Anti-Spam） 深层检测（Deep Inspection/IPS
Configuration > Update > ScreenOS/Keys
23
License Key管理 -----Capacity License Key管理 Configuration > Update > ScreenOS/Keys
Zone
Virtual Router
Int.
Zone
IP Int. Zone VR
33
基础概念－－－Virtual Router
• 虚拟路由器
预定义:
• trust-vr:系统的default VR。
• untrust-vr:
自定义:
在高端型号上，需要license支持方可使用
• 动态路由协议的全局配置在VR菜单下
• 首页可以读到设备的序列号、OS版本、主机名、时间、运行时间等。 • 可以阅读到实时状态下的系统CPU、内存、会话数、策略数。
11
登录防火墙-----Log in from WebUI V
• 可以阅读到系统产生的警报。 • 可以阅读到系统产生的日志。
12
目标
• 登录防火墙 • 基本系统配置 • 基础概念 • 基本网络设置
灾难恢复-----恢复系统文件 IV
• 当出现“The device successfully completed the operation“，整个系统恢复的过程结束。
31
目标
• 登录防火墙 • 基本系统配置 • 基础概念 • 基本网络设置
Int. Zone VR
32
基础概念－－－Virtual Router/Zone/ Interface
• 防火墙可以通过Console访问方式进行管理
– 最为安全的登录方式 – 无须网络支持就可以登录 – 无须IP地址就可以登录 – 可以看到启动的信息 – 可以看到实时的debug信息 from Console II