Juniper防火墙培训课件
Juniper SRX 防火墙学习一本通(4)
Juniper SRX 防火墙学习一本通（4）一、SRX防火墙基本配置操作1.实验拓扑2.SRX 主要配置内容部署SRX防火墙主要有以下几个方面需要进行配置：◼System：主要是系统级内容配置，如主机名、管理员账号口令及权限、时钟时区、Syslog、SNMP、系统级开放的远程管理服务（如telnet）等内容。
◼Interface:接口相关配置内容。
◼Security: 是SRX防火墙的主要配置内容，安全相关部分内容全部在Security层级下完成配置，如NAT、Zone、Policy、Address-book、Ipsec、Screen、Idp、UTM等，可简单理解为ScreenOS防火墙安全相关内容都迁移至此配置层次下，除了Application自定义服务。
◼Application：自定义服务单独在此进行配置，配置内容与ScreenOS基本一致。
◼routing-options：配置静态路由或router-id等系统全局路由属性配置。
3.定义远程管理用户[edit]root@R2# set system login user admin class super-user[edit]root@R2# set system login user admin authentication plain-text-passwordNew p assword:Retype new password:[edit]root@R2# commitcommit complete[edit]root@R2#root@R2# show system login user admin | display setset system login user admin uid 2000set system login user admin class super-userset system login user admin authentication encrypted-password "$1$zIX4p$urL1B7d5geQIllG6X3Cr0"4.日志功能Set system syslog file messages any anySet system syslog file messages authorization infoSet system syslog file interactive-commands interactive-commands anySet system syslog file author.log authorization infoSet system syslog file daemon.log daemon warningSet system syslog file firewall.log firewall warningSet system syslog file change.log change-log infoSet system syslog user * any emergencySet system syslog host 192.168.1.8 any anySet system syslog host 192.168.1.8 authorization any5.网管SNMP功能set snmp community "china88" authorization read-onlyset snmp community "china88" clients 192.168.1.8/32set snmp community "china88" clients 0.0.0.0/0 restrictset snmp trap-options source-address 192.168.1.1set snmp trap-group "china88" version v2set snmp trap-group "china88" categories authenticationset snmp trap-group "china88" categories linkset snmp trap-group "china88" categories remote-operationsset snmp trap-group "china88" categories routingset snmp trap-group "china88" categories startupset snmp trap-group "china88" categories configurationset snmp trap-group "china88" targets 192.168.1.86.基本配置端口设置IP：set interfaces ge-0/0/0.0 family inet address 192.168.1.1/24或set interfaces ge-0/0/0 unit 0 family inet address 192.168.1.1/24set interfaces ge-0/0/1 unit 0 family inet address 100.100.100.1/24SRX接口要求IP地址必须配置在逻辑接口下（类似ScreenOS的子接口），通常使用逻辑接口0即可***/路由配置：set routing-options static route 0.0.0.0/0 next-hop 100.100.100.27.区域与接口set security zones security-zone trust interfaces ge-0/0/0.0/***将ge-0/0/0.0接口放到安全区域中，类似ScreenOS***/set security zones security-zone trust host-inbound-traffic system-services pingset security zones security-zone trust host-inbound-traffic system-services httpset security zones security-zone trust host-inbound-traffic system-services telnet/***在untrust zone打开允许远程登陆管理服务，ScreenOS要求基于接口开放服务，SRX要求基于Zone开放，从SRX主动访问出去流量开启服务，类似ScreenOS***/8.地址本策略地址对象定义：SRX服务网关地址对象需要自定义后才可以在策略中进行引用,默认只有any对象自定义单个地址对象如下：root# set security zones security-zone trust address-book address pc-1 192.168.1.8/32root# set security zones security-zone trust address-book address pc-2 192.168.1.9/32自定义单个地址组对象如下：set security zones security-zone trust address-book address-set pc-group address pc-1set security zones security-zone trust address-book address-set pc-group address pc-2set security zones security-zone untrust address-book address serv-1 100.100.100.8/329.定义应用服务set applications application tcp-3389 protocol tcp 定义服务对象协议<TCP\UDP\ICMP\OTHER>set applications application tcp-3389 source-port 1-65535定义服务对象源端口set applications application tcp-3389 destination-port 3389-3389定义服务对象目标地址set applications application tcp-3389 inactivity-timeout never可选定义服务对象timeout时长set applications application tcp-8080 protocol tcpset applications application tcp-8080 source-port 1-65535set applications application tcp-8080 destination-port 8080-8080set applications application tcp-8080 inactivity-timeout 360010.添加策略set security policies from-zone trust to-zone untrust policy p1 match source-address pc-1 set security policies from-zone trust to-zone untrust policy p1 match destination-address any set security policies from-zone trust to-zone untrust policy p1 match application anyset security policies from-zone trust to-zone untrust policy p1 then permitset security policies from-zone trust to-zone untrust policy p1 then log session-initset security policies from-zone trust to-zone untrust policy p1 then log session-closeset security policies from-zone trust to-zone untrust policy p2 match source-address pc-2 set security policies from-zone trust to-zone untrust policy p2 match destination-address any set security policies from-zone trust to-zone untrust policy p2 match application junos-http set security policies from-zone trust to-zone untrust policy p2 match application junos-icmp-allset security policies from-zone trust to-zone untrust policy p2 then permitset security policies from-zone trust to-zone untrust policy p2 then log session-initset security policies from-zone trust to-zone untrust policy p2 then log session-close11.基于时间的策略SRX服务网关时间调度对象需要自定义后才可以在策略中进行引用,默认没有预定义时间调度对象，自定义单个时间调度对象如下：set schedulers scheduler work-time daily s tart-time 09:00:00 stop-time 18:00:00set schedulers scheduler happy-time sunday start-time 00:00:00 stop-time 23:59:59set schedulers scheduler happy-time Saturday start-time 00:00:00 stop-time 23:59:59注意：时间调度服务生效参考设备系统时间,所以需要关注设备系统时间是否正常。
防火墙安装培训PPT资料(正式版)
为了方便用户对防火墙的配置，我们为大家设置如下帐户：
用户名：admin
密码：12345678
内网（intranet）：eth0接口，IP地址，该区域可ping到防火墙
外网（internet）：eth1接口，该区域可ping到防火墙
SSN：eth2接口，该区域可ping到防火墙
防火墙提供的通讯模式
• 透明模式(提供桥接功能)
此时防火墙提供桥接功能，在通讯上相当于SWITCH/HUB,网络拓
扑不需要做任何改动。
• 路由模式(静态路由功能)
此时防火墙提供静态路由功能，需要在防火墙和与其直接相连
的三层设备上进行合理的路由设置。
• 综合模式(透明+路由功能)
同时提供路由和桥接功能，应用非常少，只在某些特殊的场合
4、要达到的安全目的(即要做什么样的访问控制)
SSN：eth2接口，该区域可ping到防火墙
对于内网的数据报文通过adsl访问外网，自动作nat转化，不需要策略上配
SSN：eth2接口，该区域可ping到防火墙
下使用。
说明：
防火墙采用何种通讯方式是由用户的网络环境决定的，用户需要
根据自己的网络情况，合理的确定防火墙的通讯模式；并且防火
墙采用何种通讯方式都不会影响防火墙的访问控制功能。
透明模式的典型应用
Internet
ETH0：
播域，防火
墙做透明设置。此时防火墙为透明模式。
3、数据应用(包括各种应用的数据流向及其需要开放的端口号或者协议类型)
6.
内置IDS
模块，能够自防御Land、Smurf、TearOfDrop、Ping of Death、
防火墙培训PPT_v3.0解析
接口2 DMZ区域 Untrust区域 Local区域 接口1 接口3
Trust区域
防火墙的内部划分为多个区域，所有的转发接口都唯一的属于某个区域
状态检测防火墙
状态检测防火墙 状态检测是一种高级通信过滤。它检查应用层协议信息并且监控 基于连接的应用层协议状态。对于所有连接，每一个连接状态信 息都将被ASPF维护并用于动态地决定数据包是否被允许通过防 火墙或丢弃。 状态检测技术在网络层实现所有需要的防火墙能力，它既有包过 滤机制的速度和灵活，也有代理型防火墙安全的优点。
域间（InterZone）： 防火墙在引入域概念的同时也引入了域间概念；任何不同的安全域之间 形成域间关系，SecPath 防火墙上大部分规则都是配置在域间上，为了便于 描述同时引入了域间方向的概念： inbound ： 报文从低优先级区域进入高优先级区域为入方向； outbound ： 报文从高优先级区域进入低优先级区域为出方向 ；
。
用户A初始化一个telnet会话 其它telnet报文被阻塞
创建Session表项
用户A的telnet会话返回报文被允许
防火墙基本概念——多通道协 议
多通道协议 是指某个应用在进行通讯或提供服务时需要建立两个以上的会话（通道），其中有一个控 制通道，其他的通道是根据控制通道中双方协商的信息动态创建的，一般我们称之为数 据通道或子通道；多通道协议在防火墙应用以及NAT设备的应用中需要特殊处理，因为 数据通道的端口是不固定的（协商出来的）其报文方向也是不固定的
《防火墙培训》课件
在互联网不断进步的时代，保护企业数据和网络安全变得越来越重要。本课 程将向您介绍防火墙的作用和原理，以及如何优化和管理防火墙以保护您的 网络免受威胁。
防火墙的定义和作用
保护网络安全
防火墙可以防止网络入侵和黑客攻击，保护您 的网络免受恶意软件和病毒侵袭。
控制网络访问
防火墙可以限制网络访问权限，确保只有授权 人员才可以访问敏感数据。
AI技术
使用AI技术改进防火墙的威胁检测和自我学习能 力。
安全团队合作
安全团队会更紧密地与其他团队合作，换取更 交叉的可视性和专业知识。
云化
云部署提供更强大的性能和灵活性。
IoT和移动设备
随着智能手机、智能家居等物联网设备的普及， 防火墙要扩展适应这些新的生态系统。
防火墙的配置和管理
1 规划防火墙策略
定义防火墙规则，设置ACL和NAT等。
3 优化网络性能
定期评估和优化防火墙规则，如避免过度拦 截等。
2 监控流量流向
使用网络流量监控工具监测网络，修复发现的漏洞。
防火墙的优化和安全加固
优化防火墙规则
• 尽量限制允许进入网络的流量。 • 让常用流量直接通过，减少检测流量。 • 限制来源IP地址范围。
监控数据流量
防火墙可以监控数据流量，保护您的数据不被 泄露或篡改。
提高网络性能
优化防火墙的配置和管理可以提高网络性能和 速度。
防火墙的基本原理
硬件防火墙
硬件防火墙是一种物理设备，通 过过滤数据包来保护网络安全。
软件防火墙
软件防火墙是安装在计算机上的 程序，通过过滤IP包和端口来保 护网络安全。
防火墙规则
防火墙规则定义了防火墙如何过 滤传入和传出的数据包。
《防火墙》PPT课件
▪ 4〕防火墙应包含集中化的SMTP访问能力,以简化本 地与远程系统的SMTP连接,实现本地E-mail集中处 理,还应具备集中处理和过滤拔号访问的能力.
▪ 5〕安全操作系统是防火墙设备的一个组成部分,当 使用其他安全工具时,要保证防火墙主机的完整性,而 且安全操作系统应能整体安装.防火墙及操作系统应 该可更新,并能用简易的方法解决系统故障等.
▪ 〔1〕了解防火墙的基本性能
▪ 防火墙设备其基本性能一般应包括如下内容：
▪ 1〕防火墙能严格执行所配置的安全策略,并能 灵活改变所需的安全策略.
▪ 2〕防火墙除具备基本的鉴别功能外,还应支持多种 先进技术,如包过滤技术、加密技术、身份识别与验 证、信息的保密性保护、信息的完整性校验、系统 的访问控制机制和授权管理等技术.
动态包过滤则是利用状态表在所有通信层上对当前 数据包进行过滤处理,判断该数据包是否符合安全要 求.
▪ 包过滤的主要优点： 不用改动应用程序； 一个过滤路由器能 协助保护整个网络； 数据包过滤对用户 透明；过滤路由器 速度快、效率高.
▪ 包过滤的主要缺点： 不能彻底防止地址 欺骗；某些应用协 议不适合于数据包 过滤；正常的数据 包过滤路由器无法 执行某些安全策略； 数据包工具存在很 多局限性.
▪ 1〕网络内部和外部之间的所有数据流必须经过防火 墙；
▪ 2〕只有符合安全策略的数据流才能通过防火墙； ▪ 3〕防火墙自身具有高可靠性,应对渗透免疫.
▪ 防火墙是提供信息安全服
务、实现网络和信息安全
的基础设施之一,一般安装 在被保护区域的边界处,如
中国电信安全网关产品 - 00 Juniper防火墙介绍
Juniper 防火墙介绍
Copyright ©2004 Juniper Networks, Inc.
Proprietary and Confidential
1
Juniper Netscreen 防火墙产品线
NS series ISG series SSG series
Proprietary and Confidential
15
Netscreen-5200
10G 吞吐量 5G 3DES VPN 25K个VPN隧道 1M个并发会话数 12K/14K每秒新增会话数 40K条策略 1个I/O模块插槽 1个管理模块插槽
嵌入式防病毒功能 嵌入式防垃圾邮件 深层检测功能 Web过滤 多种WAN/LAN接口选项 扩展许可选项
Copyright © 2004 Juniper Networks, Inc.
Proprietary and Confidential
12
Secure Services Gateway 550
Proprietary and Confidentialwww.juniper.n Nhomakorabeat2
NetScreen-5GT
75M 吞吐量 20M 3DES VPN 10/25个VPN隧道 2K/4K个并发会话数 2K每秒新增会话数 5个10/100以太网接口 100条策略
嵌入式防病毒功能 嵌入式防垃圾邮件
Proprietary and Confidential
3
NetScreen-5GT-Wireless
75M 吞吐量 20M 3DES VPN 10/25个VPN隧道 2K/4K个并发会话数 2K每秒新增会话数 5个10/100以太网接口 1个无线射频装置 100条策略
信息安全培训教程 第4章 防火墙技术PPT课件
第4章 防火墙技术
4.1 防火墙概述
标准1U机箱，节省了宝贵的机柜空间，而且外形美观大方 配置3 个 10/100M 自适应接口，内网、外网、SSN 三个接口固定，不可更改 接口数量、类型不可更改 国内标准220V交流电源输入，不需要额外的电源转换设备 内存=64 M 电源=AC90~260V，47~63Hz，0.15A / 0.25A 主板采用集成化设计，稳定性、可靠性更高
将所有跨越防火墙的网络通信链路分为两段。 防火墙内外计算机系统间应用层的“ 链接”，由 两个终止代理服务器上的“ 链接”来实现.
外部计算机的网络链路只能到达代理服务器， 从而起到了隔离防火墙内外计算机系统的作用。
第4章 防火墙技术
包过滤防火墙
第4章 防火墙技术
应用代理技术介绍： 优点：安全性高、提供应用层的安全 缺点：性能差、伸缩性差、只支持有限应用
第4章 防火墙技术
防火墙概念：
最初含义：当房屋还处于木制结构的时侯，人们将 石块堆砌在房屋周围用来防止火灾的发生。这种墙 被称之为防火墙。
Rich Kosinski(Internet Security公司总裁）： 防火墙是一种访问控制技术，在某个机构的网
络和不安全的网络之间设置障碍，阻止对信息资源 的非法访问。换句话说，防火墙是一道门槛，用来 控制进/出两个方向的通信。
管理机
串口线 内网
直通线
交叉线
外网
交叉线 SSN 区域
第4章 防火墙技术
防火墙特点： 1.防火墙主要用于保护内部安全网络免受外部网不安
全网络的侵害。
2.典型情况：安全网络为企业内部网络，不安全网络 为因特网。
3.但防火墙不只用于因特网，也可用于Intranet各 部门网络之间（内部防火墙）。例：财务部与市场 部之间。
JuniperWX-售前培训-广域网优化解决方案销售培训PPT49页
46、我们若已接受最坏的，就再没有什么损失。——卡耐基 47、书到用时方恨少、事非经过不知难。——陆游 48、书籍把我们引入最美好的社会，使我们认识各个时代的伟大智者。——史美尔斯 49、熟读唐诗三百首，不会作诗也会吟。——孙洙 50、谁和我一样用功，谁就会和我一样成功。——莫扎特
JuniperWXቤተ መጻሕፍቲ ባይዱ售前培训-广域 网优化解决方案销售培训
26、机遇对于有准备的头脑有特别的 亲和力 。 27、自信是人格的核心。
28、目标的坚定是性格中最必要的力 量泉源 之一， 也是成 功的利 器之一 。没有 它，天 才也会 在矛盾 无定的 迷径中 ，徒劳 无功。- -查士 德斐尔 爵士。 29、困难就是机遇。--温斯顿．丘吉 尔。 30、我奋斗，所以我快乐。--格林斯 潘。
Juniper_netscreen 防火墙基本概念
E1
E2
E7
E8
Zone A
Zone B
Zone C
Zone D
Virtual Router Forwarding Table
Virtual Router 1
Virtual Router 2
Virtual System
SRC-IP DST-IP Protocol SRC-Port DST-Port
Flow Session
Dest. reachable?
No
DROP PACKET
Yes
Policy lookup
OK per policy? Yes FORWARD PACKET
No
No
Add to session table
20
Packet Flow Example
10.1.10.0/24
.1 .254
Private Zone
NetScreen 防火墙基本概念
目标
• 防火墙部署的必要性 • 构成防火墙安全特性和功能的组建包括以下的内容： 构成防火墙安全特性和功能的组建包括以下的内容：
– – – – – Virtual Systems (VSYS) Zones Policies Virtual Routers Interfaces
• 了解和分析数据包是如何通过防火墙的 • 如何正确部署防火墙设备，为企业的网络保驾护航。 如何正确部署防火墙设备，为企业的网络保驾护航。
2
安全设备的必备条件
• 数据包的转发： 数据包的转发：
– Bridging (Layer 2) – Routing (Layer 3)
• 防火墙
– 基于 IP, TCP/UDP, 的内容过滤 ，以及针对应用层的内容过滤。
Juniper netscreen 防火墙培训维护篇
Proprietary and Confidential
‹#›
常规维护
1. 日常维护过程中，需要重点检查以下几条关键信息 日常维护过程中，
① Session（会话）：当Session资源正常使用到85%时， 需要考虑设备容量限制并及时升级。 ② CPU：正常在50%以下，如果CPU利用率过高，应高 度重视，应检查Session使用情况和各类告警信息，并 检查网络中是否存在攻击流量。通常情况下CPU利用 率过高往往与攻击有关，可通过正确设置screening对 应选项进行防范。 ③ Memory：采取“预分配”机制,空载时使用率约5060%，流量不端增长，内存基本不变，如果出现使用 率高达90%，检查是否有攻击流量。是否开启DEBUG
Copyright © 2008 Juniper Networks, Inc.
Proprietary and Confidential
‹#›
攻击防护
• Netscreen防火墙利用Screening功能抵御互联网上流行 的DoS/DDoS的攻击，一些流行的攻击手法有Synflood， Udpflood，Smurf，Ping of Death，Land Attack等， 防 火墙在抵御这些攻击时，通过专用ASIC芯片来进行处理， 适当开启这些抗攻击选项对防火墙的性能不会产生太大 影响。
Copyright © 2008 Juniper Networks, Inc.
Proprietary and Confidential
‹#›
应急处理流程
1. 检查设备运行状态
• 网络出现故障时，应快速判断防速查看CPU、Memory、 Session、Interface以及告警信息，初步排除防火墙硬件 故障并判断是否存在攻击行为。