Juniper Netscreen防火墙共享IKE ID IKE+XAuth VPN配置案例.docx

1、Juniper Netscreen防火墙共享IKE ID IKE+XAuth VPN配置案例按公司要求在外面mail必须要拨入VPN才能收取，同时要连到公司服务器也必须VPN。但收取mail的人，不一定有权限能连接到citrix服务器。所以就建立了3个组，一个只收取mail，一个只能登录citrix，一个可以2个同时登录。同时为了便于帐号管理。不能使用具有预共享密钥的“组IKE ID”的方式来建立VPN。1.这样建立帐号麻烦需要在cli下 用：exec ike preshare-gen vpn_gw lisa2.这样建立过后别人可以比较容易导出配置文件后，就有了VPN权限。3.比如user1离

2、职后，user1的帐号没有办法删除，只能更改预共享种子密钥，这样显得比较麻烦，改了过后整个组都要改动。4.无法查看现在已经存在的用户。所以就使用共享IKE ID方式来建立VPN，可以比上面方法“预共享密钥的组IKE ID”多一步用户名密码验证。一 防火墙上配置1. 建立组IKE ID用户，并按要求分组。1.1 建立center_vpn_g IKE组，可以拨2个vpn。mail和citrixUser Name: centerObjectsUsersLocal ,new:Status: EnableIKE User: ( 选择)Number of Multiple Logins with same

3、 ID: 25 (我们的防火墙最大只支持25user，就算写成50也会自己变成25的)Simple Identity: ( 选择)IKE Identity: centercent.szObjects User Groups Local New: 在 Group Name 字段中键入center_vpn_g，执行以下操作，然后单击 OK:选择 center，并使用 UsersLocal ,new:User Name: mailerStatus: EnableIKE User: ( 选择)Number of Multiple Logins with same ID: 25Simple Identi

4、ty: ( 选择)IKE Identity: mailercent.sz （这个不一定也要同上一个组的cent.sz这里只是方便记忆）Objects User Groups Local New: 在 Group Name 字段中键入mailer_vpn_g，执行以下操作，然后单击 OK:选择 mailer，并使用 UsersLocal ,new:User Name: citrixerStatus: EnableIKE User: ( 选择)Number of Multiple Logins with same ID: 25Simple Identity: ( 选择)IKE Identity:

5、citrixercent.szObjects User Groups Local New: 在 Group Name 字段中键入citrixer_vpn_g，执行以下操作，然后单击 OK:选择 mailer，并使用 UsersLocal ,new:User Name: evanStatus: EnableXAuth User ( 选择),在后面输入密码 xxxxxx建立IKE ID组Objects User Groups Local New: 在 Group Name 字段中键入mail_citrix_gp，执行以下操作，然后单击 OK:选择 evan，并使用 UsersLocal ,new:

6、User Name: andyStatus: EnableXAuth User ( 选择),在后面输入密码 xxxxxxObjects User Groups Local New: 在 Group Name 字段中键入mail _gp，执行以下操作，然后单击 OK:选择 andy，并使用 UsersLocal ,new:User Name: jackStatus: EnableXAuth User ( 选择),在后面输入密码 xxxxxxObjects User Groups Local New: 在 Group Name 字段中键入citrix_gp，执行以下操作，然后单击 OK:选择 ja

7、ck，并使用 AutoKey Advanced-Xauth-Allowed Authentication Type：改为Generic,但os5.0 5.4都没有该设置。在5GT5.4的XAuth（位置：返回基本 Gateway 配置页，点XAuth）里的确要选为Generic。在25B5.0里没有的选，而且默认还是chap打勾的。平时查看配置后，也尽量别点return，而点cancel。3.1建立能同时拨mail、citrix的VPN的GWVPNs AutoKey Advanced Gateway New: 输入以下内容，然后单击 OK:Gateway Name: center_gwSecu

8、rity Level: Compatible ( 选择)Remote Gateway Type: Dialup Group ( 选择), center_vpn_gPreshared Key: abcd1234 (必须要8位及以上，因为netscreen remote client 要求必须8位以上。)Outgoing Interface: ethernet3 （这个选择你网络的外网接口） Advanced: 输入以下内容，然后单击 Return，返回基本 Gateway 配置页: Enable NAT-Traversal （选择）UDP Checksum (选择)Enable XAuth: (

9、 选择) /有的版本是 XAuth Server （5GT的位置不在这里，而是先返回基本 Gateway 配置页，点XAuth）Local Authentication: ( 选择)User Group: ( 选择) mail_citrix_gp3.2建立拨mail的VPN的GWVPNs AutoKey Advanced Gateway New: 输入以下内容，然后单击 OK:Gateway Name: mailer_gwSecurity Level: Compatible ( 选择)Remote Gateway Type: Dialup Group ( 选择), mailer_vpn_gPr

10、eshared Key: abcd1234 (这里可以设置和上面的一样，主要是方便自己维护，为了安全最好设置成不一样的)Outgoing Interface: ethernet3 （这个选择你网络的外网接口） Advanced: 输入以下内容，然后单击 Return，返回基本 Gateway 配置页:Enable NAT-Traversal （选择）UDP Checksum (选择)Enable XAuth: ( 选择) /有的版本是 XAuth ServerLocal Authentication: ( 选择)User Group: ( 选择) mail_ gp3.3建立拨citrix的VP

11、N的GWVPNs AutoKey Advanced Gateway New: 输入以下内容，然后单击 OK:Gateway Name: citrixer_gwSecurity Level: Compatible ( 选择)Remote Gateway Type: Dialup Group ( 选择), citrixer_vpn_gPreshared Key: abcd1234Outgoing Interface: ethernet3 （这个选择你网络的外网接口） Advanced: 输入以下内容，然后单击 Return，返回基本 Gateway 配置页:Enable NAT-Traversal

12、 （选择）UDP Checksum (选择)Enable XAuth: ( 选择) /有的版本是 XAuth ServerLocal Authentication: ( 选择)User Group: ( 选择) citrix_ gpGateway 列表：Name Type Address/ID/User Group Local ID Security Level Configure center_gw Dialup center_vpn_g - Compatible Edit - citrix_gw Dialup citrixer_vpn_g - Compatible Edit - mail_

13、gw Dialup mailer_vpn_g - Compatible Edit - 4. 建立VPN连接 4.1建立可以mail、citrix的VPNVPNs AutoKey IKE New: 输入以下内容，然后单击 OK:VPN Name: center_vpnSecurity Level: CompatibleRemote Gateway: Predefined: ( 选择) center_gw Advanced: 输入以下高级设置，然后单击 Return，返回基本 AutoKey IKE 配置页:Bind to: Tunnel Zone, Untrust-Tun4.2建立可以到mail

14、的VPNVPNs AutoKey IKE New: 输入以下内容，然后单击 OK:VPN Name: mailer_vpnSecurity Level: CompatibleRemote Gateway: Predefined: ( 选择) mail_gw Advanced: 输入以下高级设置，然后单击 Return，返回基本 AutoKey IKE 配置页:Bind to: Tunnel Zone, Untrust-Tun4.3建立可以到citrix的VPNVPNs AutoKey IKE New: 输入以下内容，然后单击 OK:VPN Name: citrixer_vpnSecurity

15、Level: CompatibleRemote Gateway: Predefined: ( 选择) citrix_gw Advanced: 输入以下高级设置，然后单击 Return，返回基本 AutoKey IKE 配置页:Bind to: Tunnel Zone, Untrust-TunVPN列表：Name Gateway Security Monitor Configure center_vpn center_gw Compatible Off Edit - citrixer_vpn citrix_gw Compatible Off Edit - mailer_vpn mail_gw C

16、ompatible Off Edit 5. 建立相关Policies5.1建立center_vpn的policies （2条，一条到mail，一条到citrix。就算mail和citrix都在同一个zone也不能选择Multiple而加入2个地址）5.1.1建立到mail的Policies (From: Untrust, To: DMZ) New: 输入以下内容，然后单击 OK:Source Address:Address Book Entry: ( 选择), Dial-Up VPNDestination Address:Address Book Entry: ( 选择), 192.168.2

17、5.7/32Service: Multiple （MAIL,POP3,PING）Action: TunnelTunnel VPN: center_vpnModify matching bidirectional VPN policy: ( 清除)Position at Top: ( 选择)5.1.2建立到citrix的Policies (From: Untrust, To: Trust) New: 输入以下内容，然后单击 OK:Source Address:Address Book Entry: ( 选择), Dial-Up VPNDestination Address:Address Boo

18、k Entry: ( 选择), 10.10.25.2/32Service: Multiple （CITRIX,HTTP,PING）Action: TunnelTunnel VPN: center_vpnModify matching bidirectional VPN policy: ( 清除)Position at Top: ( 选择)5.2建立mailer_vpn的policy （只让到mail）Policies (From: Untrust, To: DMZ) New: 输入以下内容，然后单击 OK:Source Address:Address Book Entry: ( 选择), Di

19、al-Up VPNDestination Address:Address Book Entry: ( 选择), 192.168.25.7/32Service: Multiple （MAIL,POP3,PING）Action: TunnelTunnel VPN: mailer_vpnModify matching bidirectional VPN policy: ( 清除)Position at Top: ( 选择)5.3建立citrixer_vpn的policy （只让到citrix）Policies (From: Untrust, To: Trust) New: 输入以下内容，然后单击 O

20、K:Source Address:Address Book Entry: ( 选择), Dial-Up VPNDestination Address:Address Book Entry: ( 选择), 10.10.25.2/32Service: Multiple （CITRIX,HTTP,PING）Action: TunnelTunnel VPN: citrixer_vpnModify matching bidirectional VPN policy: ( 清除)Position at Top: ( 选择)至此防火墙上配置全部完成。Vpn,gw ,ikeid等的对应关系Name Gatew

21、ay IKE ID group IKE ID XAuth group center_vpn center_gw center_vpn_g centercent.sz mail_citrix_gp citrixer_vpn citrix_gw citrixer_vpn_g citrixercent.sz Citrix_gp mailer_vpn mail_gw mailer_vpn_g mailercent.sz mail_gp 二 NetScreen Remote VPN client 配置1. 单击 Options Secure Specified Connections。2. 单击 Add

22、 a new connection，在出现的新连接图标旁键入 to mailserver。3. 配置连接选项:Connection Security: SecureRemote Party ID Type: IP AddressIP Address: 192.168.25.7Connect using Secure Gateway Tunnel: ( 选择)ID Type: IP Address; 218.xxx.xxx.xxx可以看情况是否勾选 only connect manually，这个的主要作用是当回到公司如果忘了禁用本软件，它也不会改变路由表。但如果连接超时后，就必须手动在输入用户名密码重新连接。4. 单击位于 web1 图标左边的加号，展开连接策略。5. 单击 Se