SSG快速安装手册.doc

1、JUNIPER防火墙快速安装手册餐券Juniper网络安全防火墙设备快速安装手册V1.0 目 录 1、前言41.1、Juniper防火墙配置概述41.2、Juniper防火墙管理配置的基本信息51.3、Juniper防火墙的常用功能62、JUNIPER防火墙三种部署模式及基本配置62.1、NAT模式62.2、Route-路由模式72.3、透明模式82.4、基于向导方式的NAT/Route模式下的基本配置92.5、基于非向导方式的NAT/Route模式下的基本配置182.5.1、NS-5GT NAT/Route模式下的基本配置192.5.2、NS-25-208 NAT/Route模式下的基本配置

2、202.6、基于非向导方式的透明模式下的基本配置213、JUNIPER防火墙几种常用功能的配置223.1、MIP的配置223.1.1、使用Web浏览器方式配置MIP233.1.2、使用命令行方式配置MIP253.2、VIP的配置253.2.1、使用Web浏览器方式配置VIP263.2.2、使用命令行方式配置VIP273.3、DIP的配置283.3.1、使用Web浏览器方式配置DIP283.3.2、使用命令行方式配置DIP304、JUNIPER防火墙IPSEC VPN的配置304.1、站点间IPSec VPN配置：staic ip-to-staic ip304.1.1、使用Web浏览器方式配置3

3、14.1.2、使用命令行方式配置354.2、站点间IPSec VPN配置：staic ip-to-dynamic ip374.2.1、使用Web浏览器方式配置384.2.1、使用命令行方式配置415、JUNIPER中低端防火墙的UTM功能配置435.1、防病毒功能的设置445.1.1、Scan Manager的设置445.1.2、Profile的设置455.1.3、防病毒profile在安全策略中的引用475.2、防垃圾邮件功能的设置495.2.1、Action 设置505.2.2、White List与Black List的设置505.2.3、防垃圾邮件功能的引用525.3、WEB/URL过

4、滤功能的设置525.3.1、转发URL过滤请求到外置URL过滤服务器525.3.2、使用内置的URL过滤引擎进行URL过滤545.3.3、手动添加过滤项555.4、深层检测功能的设置595.4.1、设置DI攻击特征库自动更新595.4.2、深层检测（DI）的引用606、JUNIPER防火墙的HA（高可用性）配置626.1、使用Web浏览器方式配置636.2、使用命令行方式配置657、JUNIPER防火墙一些实用工具667.1、防火墙配置文件的导出和导入667.1.1、配置文件的导出677.1.2、配置文件的导入677.2、防火墙软件（ScreenOS）更新687.3、防火墙恢复密码及出厂配置的

5、方法698、JUNIPER防火墙的一些概念691、前言我们制作本安装手册的目的是使初次接触Juniper网络安全防火墙设备（在本安装手册中简称为“Juniper防火墙”）的工程技术人员，可以通过此安装手册完成对Juniper防火墙基本功能的实现和应用。1.1、Juniper防火墙配置概述Juniper防火墙作为专业的网络安全设备，可以支持各种复杂网络环境中的网络安全应用需求；但是由于部署模式及功能的多样性使得Juniper防火墙在实际部署时具有一定的复杂性。在配置Juniper防火墙之前我们通常需要先了解用户现有网络的规划情况和用户对防火墙配置及实现功能的诸多要求，建议参照以下思路和步骤对Ju

6、niper防火墙进行配置和管理。基本配置：1. 确认防火墙的部署模式：NAT模式、路由模式、或者透明模式；2. 为防火墙的端口配置IP地址（包括防火墙的管理IP地址），配置路由信息；3. 配置访问控制策略，完成基本配置。其它配置：1. 配置基于端口和基于地址的映射；2. 配置基于策略的VPN；3. 修改防火墙默认的用户名、密码以及管理端口。1.2、Juniper防火墙管理配置的基本信息Juniper防火墙常用管理方式： 通过Web浏览器方式管理。推荐使用IE浏览器进行登录管理，需要知道防火墙对应端口的管理IP地址； 命令行方式。支持通过Console端口超级终端连接和Telnet防火墙管理IP

7、地址连接两种命令行登录管理模式。Juniper防火墙缺省管理端口和IP地址： Juniper防火墙出厂时可通过缺省设置的IP地址使用Telnet或者Web方式管理。缺省IP地址为：192.168.1.1/255.255.255.0； 缺省IP地址通常设置在防火墙的Trust端口上（NS-5GT）、最小端口编号的物理端口上（NS-25/50/204/208/SSG系列）、或者专用的管理端口上（ISG-1000/2000,NS-5200/5400）。Juniper防火墙缺省登录管理账号： 用户名：netscreen； 密 码：netscreen。1.3、Juniper防火墙的常用功能在一般情况下，

8、防火墙设备的常用功能包括：透明模式的部署、NAT/路由模式的部署、NAT的应用、MIP的应用、DIP的应用、VIP的应用、基于策略VPN的应用。本安装手册将分别对以上防火墙的配置及功能的实现加以说明。注：在对MIP/DIP/VIP等Juniper防火墙的一些基本概念不甚了解的情况下，请先到本手册最后一章节内容查看了解！2、Juniper防火墙三种部署模式及基本配置Juniper防火墙在实际的部署过程中主要有三种模式可供选择，这三种模式分别是： 基于TCP/IP协议三层的NAT模式； 基于TCP/IP协议三层的路由模式； 基于二层协议的透明模式。2.1、NAT模式当Juniper防火墙入口接口（

9、“内网端口”）处于NAT模式时，防火墙将通往 Untrust 区（外网或者公网）的IP 数据包包头中的两个组件进行转换：源 IP 地址和源端口号。防火墙使用 Untrust 区（外网或者公网）接口的 IP 地址替换始发端主机的源 IP 地址；同时使用由防火墙生成的任意端口号替换源端口号。NAT模式应用的环境特征： 注册IP地址（公网IP地址）的数量不足； 内部网络使用大量的非注册IP地址（私网IP地址）需要合法访问Internet； 内部网络中有需要外显并对外提供服务的服务器。2.2、Route-路由模式当Juniper防火墙接口配置为路由模式时，防火墙在不同安全区间（例如：Trust/Utr

10、ust/DMZ）转发信息流时IP 数据包包头中的源地址和端口号保持不变（除非明确采用了地址翻译策略）。 与NAT模式下不同，防火墙接口都处于路由模式时，防火墙不会自动实施地址翻译； 与透明模式下不同，当防火墙接口都处于路由模式时，其所有接口都处于不同的子网中。路由模式应用的环境特征： 防火墙完全在内网中部署应用； NAT模式下的所有环境； 需要复杂的地址翻译。2.3、透明模式当Juniper防火墙接口处于“透明”模式时，防火墙将过滤通过的IP数据包，但不会修改 IP数据包包头中的任何信息。防火墙的作用更像是处于同一VLAN的2 层交换机或者桥接器，防火墙对于用户来说是透明的。透明模式是一种保护

11、内部网络从不可信源接收信息流的方便手段。使用透明模式有以下优点： 不需要修改现有网络规划及配置； 不需要实施 地址翻译； 可以允许动态路由协议、Vlan trunking的数据包通过。2.4、基于向导方式的NAT/Route模式下的基本配置Juniper防火墙NAT和路由模式的配置可以在防火墙保持出厂配置启动后通过Web浏览器配置向导完成。注：要启动配置向导，则必须保证防火墙设备处于出厂状态。例如：新的从未被调试过的设备，或者经过命令行恢复为出厂状态的防火墙设备。通过Web浏览器登录处于出厂状态的防火墙时，防火墙的缺省管理参数如下： 缺省IP：192.168.1.1/255.255.255.0

12、； 缺省用户名/密码：netscreen/ netscreen；注：缺省管理IP地址所在端口参见在前言部份讲述的“Juniper防火墙缺省管理端口和IP地址”中查找！在配置向导实现防火墙应用的同时，我们先虚拟一个防火墙设备的部署环境，之后，根据这个环境对防火墙设备进行配置。防火墙配置规划： 防火墙部署在网络的Internet出口位置，内部网络使用的IP地址为192.168.1.0/255.255.255.0所在的网段，内部网络计算机的网关地址为防火墙内网端口的IP地址：192.168.1.1； 防火墙外网接口IP地址（通常情况下为公网IP地址，在这里我们使用私网IP地址模拟公网IP地址）为：1

13、0.10.10.1/255.255.255.0，网关地址为：10.10.10.251要求：实现内部访问Internet的应用。注：在进行防火墙设备配置前，要求正确连接防火墙的物理链路；调试用的计算机连接到防火墙的内网端口上。1. 通过IE或与IE兼容的浏览器（推荐应用微软IE浏览器）使用防火墙缺省IP地址登录防火墙（建议：保持登录防火墙的计算机与防火墙对应接口处于相同网段，直接相连）。2. 使用缺省IP登录之后，出现安装向导：注：对于熟悉Juniper防火墙配置的工程师，可以跳过该配置向导，直接点选：No，skip the wizard and go straight to the WebUI

14、 management session instead，之后选择Next，直接登录防火墙设备的管理界面。3. 使用向导配置防火墙，请直接选择：Next，弹出下面的界面：4. “欢迎使用配置向导”，再选择Next。注：进入登录用户名和密码的修改页面，Juniper防火墙的登录用户名和密码是可以更改的，这个用户名和密码的界面修改的是防火墙设备上的根用户，这个用户对于防火墙设备来说具有最高的权限，需要认真考虑和仔细配置，保存好修改后的用户名和密码。5. 在完成防火墙的登录用户名和密码的设置之后，出现了一个比较关键的选择，这个选择决定了防火墙设备是工作在路由模式还是工作在NAT模式：u 选择Enabl

15、e NAT，则防火墙工作在NAT模式；u 不选择Enable NAT，则防火墙工作在路由模式。6. 防火墙设备工作模式选择，选择：Trust-Untrust Mode模式。这种模式是应用最多的模式，防火墙可以被看作是只有一进一出的部署模式。注：NS-5GT防火墙作为低端设备，为了能够增加低端产品应用的多样性，Juniper在NS-5GT的OS中独立开发了几种不同的模式应用于不同的环境。目前，除NS-5GT以外，Juniper其他系列防火墙不存在另外两种模式的选择。7. 完成了模式选择，点击“Next”进行防火墙外网端口IP配置。外网端口IP配置有三个选项分别是：DHCP自动获取IP地址；通过PPPoE拨号获得IP地址；手