Juniper防火墙培训材料

福田集团营销公司
Juniper 防火墙培训
2011年5月
1
1、引言
网络环境的复杂性、多变性以及信息系统的脆弱性，决定了
网络安全威胁的客观存在。当前，随着计算机技术的飞速发展，
利用因特网高科技手段进行经济商业犯罪的现象已经屡见不鲜了， 因此，如何采用更加安全的数据保护及加密技术，成为当前计算
机工作者的研究热点与重点。网络安全技术，尤其是网络信息的
Configuration/admin/Management管理页面配置
Network/Interface管理页面配置
Network/DNS/Host管理界面
★Network/Routing/Destination管理界面
第一步：选择区域
★ Policy/Policies管理界面
★ Policies创建
安全区域概念的出现，使防火墙的配置能更灵活同现有的网络结构相 结合。以下图为例，通过实施安全区域的配置，内网的不同部门之间的通 讯也必须通过策略的检查，进一步提高的系统的安全。
接口（Interface）：
信息流可通过物理接口和子接口进出安全区 （Security Zone）。
为了使网络信息流能流入和流出安全区，必须将一个接口绑定到一个安 全区，如果属于第3 层安全区，则需要给接口分配一个IP地址。 虚拟路由器（Virtual Router）： Juniper 防火墙支持虚拟路由器技术，在一个防火墙设备里，将原 来单一路由方式下的单一路由表，进化为多个虚拟路由器以及相应的多 张独立的路由表，提高了防火墙系统的安全性以及IP 地址配置的灵活性。
Juniper ASA
NS
NS-5200
CISCO PIX
ISG1000&2000
NetScreen SSG520&550 SSG320&350
安全区（Security Zone）：
Juniper 防火墙增加了全新的安全区域（Security Zone）的概念，安 全区域是一个逻辑的结构，是多个处于相同属性区域的物理接口的集合。 当不同安全区域之间相互通讯时，必须通过事先定义的策略检查才能通过； 当在同一个安全区域进行通讯时，默认状态下允许不通过策略检查，经过 配置后也可以强制进行策略检查以提高安全性。
③ 基于二层协议的透明模式。 1.1、NAT 模式 当Juniper防火墙入口接口（内网端口）处于NAT模式时，防火墙将通往 Untrust区（外网或者公网）的IP数据包包头中的两个组件进行转换：源IP地址 和源端口号。
防火墙使用Untrust区（外网或者公网）接口的IP地址替换始发端主机的源
IP地址；同时使用由防火墙生成的任意端口号替换源端口号。
元素和附加元素的控制，可以让系统管理员对进出防火墙的数据流量进行
严格的访问控制，达到保护内网系统资源安全的目的。
映射IP（MIP）： MIP是从一个IP地址到另一个IP地址双向的一对一映射。当防火墙收 到一个目标地址为MIP 的内向数据流时，通过策略控制防火墙将数据转 发至MIP指向地址的主机；当MIP映射的主机发起出站数据流时，通过策略 控制防火墙将该主机的源IP地址转换成MIP地址。
安全，关系到网民、企业甚至是国家的信息安全。因此，发展更 加安全的网络安全技术，是关系到社会经济稳定繁荣发展的关键， 成为当前计算机安全工作的重点。
2、网络信息安全的风险来源
影响计算机网络安全的因索很多，既有自然因素，也有人为因素，其中人为 因素危害较大，归结起来丰要以下几个方面： (1)病毒感染 从“蠕虫”病毒开始到CIH、爱虫病毒，病毒一直是计算机系统安全最直接 的威胁。病毒依靠网络迅速传播，它很容易地通过代理服务器以软件下载、邮件 接收等方式进入网络，窃取网络信息，造成很人的损失。 (2)来自网络外部的攻击 这是指来自局域网外部的恶意攻击，例如：有选择地破坏网络信息的有效性 和完整性；伪装为合法用户进入网络并占用大量资源；修改网络数据、窃取、破 译机密信息、破坏软件执行；在中间站点拦截和读取绝密信息等。 （3)来自网络内部的攻击 在局域网内部，一些非法用户冒用合法用户的口令以合法身份登陆网站后。 窃取机密信息，破坏信息内容，造成应用系统无法运行。 （4)系统的漏洞及“后门” 操作系统及网络软件不可能是百分之百的无缺陷、无漏洞的。编程人员有时 会在软件中留有漏洞。一旦这个疏漏被不法分子所知，就会借这个薄弱环节对整 个网络系统进行攻击，大部分的黑客入侵网络事件就是由系统的“漏洞” 和 “后门”所造成的。
★ Policy/Policy Elements/Services/Custom对象创建
Reports/Event界面
3、Juniper 防火墙几种常用功能的配置
这里讲述的Juniper 防火墙的几种常用功能主要是指基于策略的NAT 的实现， 包括：MIP、VIP 和 DIP，这三种常用功能主要应用于防火墙所保护服务器提供对外 服务。 3.1、MIP 的配置
在这样的结构里，一个黑客必须通过三个独立的区域(外部防火墙、内部 防火墙和堡垒主机)才能够到达局域网。攻击难度大大加强，相应内部网络的 安全性也就大大加强，但投资成本也是最高的。
2、WEB管理页面操作说明 登陆界面
Home界面
Configuration/Update/C
3. 修改防火墙默认的用户名、密码以及管理端口。
Juniper 防火墙常用管理方式： ① 通过Web浏览器方式管理。推荐使用 IE 浏览器进行登录管理， 需要知道防火墙对应端口的管理 IP 地址； ② 命令行方式。支持通过 Console 端口超级终端连接和 Telnet 防火墙管理 IP 地址连接两种CLI登录管理模式。 Juniper 防火墙的常用功能： 在一般情况下，防火墙设备的常用功能包括：透明模式的部署、
1.2、Route 模式
当Juniper防火墙接口配置为路由模式时，防火墙在不同安全区间（例如： Trust/Utrust/DMZ）转发信息流时IP数据包包头中的源地址和端口号保持不变 （除非明确采用了地址翻译策略）。 ① 与NAT模式下不同，防火墙接口都处于路由模式时，防火墙不会自动实 施地址翻译； ② 与透明模式下不同，当防火墙接口都处于路由模式时，其所有接口都处 于不同的子网中。 1.3、透明模式 当Juniper防火墙接口处于“透明”模式时，防火墙将过滤通过的IP数据包， 但不会修改IP数据包包头中的任何信息。防火墙的作用更像是处于同一VLAN的2 层交换机或者桥接器，防火墙对于用户来说是透明的。透明模式是一种保护内部 网络从不可信源接收信息流的方便手段。使用透明模式有以下优点： ① 不需要修改现有网络规划及配置； ② 不需要实施地址翻译； ③ 可以允许动态路由协议、Vlan trunking的数据包通过。
数据流向示例
DMZ区
DMZ是英文“demilitarized zone”的缩写，中文名称为“隔离区”，也称 “非军事化区”。它是为了解决安装防火墙后外部网络不能访问内部网络服务器 的问题，而设立的一个非安全系统与安全系统之间的缓冲区。这个缓冲区位于企 业内部网络和外部网络之间的小网络区域内，在这个小网络区域内可以放置一些 必须公开的服务器设施，如企业Web服务器、FTP服务器和论坛等。
目前，福田集团防火墙使用Juniper SSG/ISG系列产品。其中，集团核 心网络（沙河厂区）出口分别使用SS520及ISG1000两台Juniper防火墙，各 个事业部统一使用Juniper SSG320M设备。 福田集团网络结构
目前硬件防火墙市场最大的两个厂家为Cisco和Juniper， 其他生产厂家还有H3C、华为赛门铁克等等。 SRX3400&SRX3600 SRX SRX1400 SRX100&210&240&650 NS-5400
MIP 是“一对一”的双向地址翻译（转换）过程。通常的情况是：当你有若干
个公网 IP 地址，又存在若干的对外提供网络服务的服务器（服务器使用私有 IP 地 址），为了实现互联网用户访问这些服务器，可在 Internet 出口的防火墙上建立公
虚拟路由器逻辑图
安全策略（Policy）：
Juniper防火墙在定义策略时，主要需要设定源IP地址、目的IP地址、
网络服务以及防火墙的动作。在设定网络服务时，Juniper防火墙已经内置 预设了大量常见的网络服务类型，同时，也可以由客户自行定义网络服务。 在客户自行定义通过防火墙的服务时，需要选择网络服务的协议，是 UDP、TCP还是其它，需要定义源端口或端口范围、目的端口或端口范围、 网络服务在无流量情况下的超时定义等。 因此，通过对网络服务的定义，以及IP地址的定义，使Juniper防火墙 的策略细致程度大大加强，安全性也提高了。 除了定义上述这些主要参数以外，在策略中还可以定义用户的认证、 在策略里定义是否要做地址翻译、带宽管理等功能。通过这些主要的安全
入侵检测技术IDS&IPS：
基于IP的防护手段的局限性而使安全行业研发更适合的产品： IDS、IPS。
IPS是英文“Intrusion Detection Systems”的缩写。专业上讲就
是依照一定的安全策略，对网络、系统的运行状况进行监视，尽 可能发现各种攻击企图、攻击行为或者攻击结果，以保证网络系 统资源的机密性、完整性和可用性。根据定义好的规则来过滤从 主机网卡到网线上的流量，提供实时报警。IDS的功能是发现异常 行为，而IPS（英文“Intrusion Protection Systems”的缩写）与之 对应是阻断异常行为。
NAT/路由模式的部署、NAT的应用、MIP 的应用、DIP 的应用、VIP 的
应用、基于策略VPN 的应用。
1、Juniper 防火墙三种部署模式及基本配置
Juniper 防火墙在实际的部署过程中主要有三种模式可供选择，这三种模式 分别是： ① 基于TCP/IP 协议三层的 NAT 模式；