juniper_netscreen__防火墻培訓基礎篇_

1、Juniper netscreen 防火墻培訓　　　　 王慶生　　 juniper 認證工程師,課程目標,NS防火墻部署方式介紹，部署方式主要有以下幾種1、路由模式2、透明模式3、混合模式（1、2兩種模式的結合）,內網各種應用服務器（WEB、ERP、EMAIL）的發(fā)布1、MIP、VIP、DIP2、訪問應用服務器的安全策略,路由模式防火墻最常用的一種部署方式，主要是取代原有網絡中的網關路由器。如圖：,防火墻部署方式

2、一、路由模式,原網絡環(huán)境,架墻之后的拓撲,,路由模式的配置步驟,第一步、配置防火墻的接口地址第二步、配置防火墻的缺省路由第三步、配置防火墻安全策略下面以截圖具體說明,網絡拓撲,,,E 0/0,E 0/2,,192.168.1.1/24,接口地址一覽表(初始),,,編輯缺省外網接口,配置缺省外網接口IP及管理項,配置靜態(tài)公網IP,公網遠程管理開關,,選擇管理項,,外網口為ROUTE內網口為NAT,內外網接口配置完成后一覽表,,

3、路由一覽表,,添加路由條目按鍵,添加缺省路由,,缺省路由配置格式,防火墻互聯(lián)網網關地址,,選擇外網接口,添加缺省路由后路由表,,創(chuàng)建Trust-?Untrust區(qū)域策略,,,,源區(qū)域 目的區(qū)域 創(chuàng)建,創(chuàng)建Trust?Untrust區(qū)域策略,自定義策略名稱,內網的所有地址可以訪問外網的所有地址,,開啟LOG;并把該策

4、略置頂執(zhí)行,創(chuàng)建Trust-?Untrust區(qū)域策略,,完成策略配置,點擊此處可以查看策略日志,路由模式配置完成,配置完成后:Ping測試,使用內網PC用Ping192.168.1.1地址進行連通測試.Ping測試,使用內網PC用Ping外網地址進行互聯(lián)網測試.,透明模式的部署環(huán)境分兩種1、標準包下的透明模式2、TRUNK模式下的透明模式下面結合具體環(huán)境說明一下,防火墻部署方式二、透明模式,架墻之后的拓撲,原網絡環(huán)境,標準包下

5、的透明模式,標準包下的透明模式配置步驟,第一步、配置防火墻的接口為二層模式第二步、配置防火墻的VLAN1的地址第三步、配置防火墻安全策略下面以截圖具體說明,網絡拓撲,,,VLAN1IP 192.168.2.1/24,,192.168.1.1/24,Router,透明模式步驟外網接口配置,初始未配置頁面,,,透明模式步驟外網接口配置,改變Untrust->V1-Untrust,透明模式--外網接口配置,,,設置VLAN1

6、管理地址,配置用于管理的VLAN 1 IP地址,配置與缺省地址的不同私有地址用于管理,,,透明模式--內網接口配置,,刪除原有IP,透明模式--內網接口配置,更改Trust?V1-Trust,透明配置完成后再次登陸,,使用配置的VALN 1 IP 地址登錄WEB界面,創(chuàng)建V1-Trust-?V1-Untrust區(qū)域策略,,,源區(qū)域 目的區(qū)域

7、 創(chuàng)建,,透明模式配置完成,配置完成后:Ping測試,使用內網PC用Ping “路由器內網接口地址”進行連通測試.Ping測試,使用內網PC用Ping外網地址進行互聯(lián)網測試.,TRUNK模式下的透明模式下面結合具體環(huán)境說明一下,防火墻部署方式二、透明模式,架墻之后的拓撲,,ROUTE,,,內網PC,FW,原網絡環(huán)境,TRUNK模式下的透明模式,SW,TRUNK,,ROUTE,,,內網PC,SW,TRUN

8、K,,TRUNK,TRUNK模式下的典型應用--TRUNK透傳,透明模式支持VLAN透傳,VLAN需終結于FW,TRUNK模式下的典型應用--內網訪問控制,VLAN3用戶,vlan2用戶,,Firewall,192.168.2.2/24,,,VLAN 2,,Cisco 3550,,應用1,,聚合端口+中繼端口,Trust zone:Vlan2.gw192.168.2.1/24,Untrust zone:Vlan3.gw192.168

9、.3.1/24,VLAN 3,Vlan4.gw192.168.4.1/24,192.168.3.2/24,192.168.4.2/24,,Vlan5.gw192.168.5.1/24,VLAN5,192.168.5.2/24,VLAN4,應用2,互連VLAN:Vlan10192.168.10.0/30,,TRUNK下的透明模式配置步驟,第一步、配置防火墻的接口為二層模式第二步、配置防火墻的VLAN1的地址第三步、配置防火墻的V

10、LAN1接口支持TRUNK第三步、配置防火墻安全策略,混合模式是前兩種模式的結合，是針對兩條外網線路環(huán)境下而設計的,防火墻部署方式三、混合模式,架墻之后的拓撲,,ROUTE1,,,內網PC,FW,原網絡環(huán)境,SW,,ROUTE1,,,內網PC,SW,,,,ROUTE2,,透明模式,路由模式,混合模式配置步驟,第一步、配置防火墻的兩個接口為二層模式第二步、配置防火墻的另外兩個接口為路由模式第三步、配置防火墻的VLAN1接口地址第三

11、步、配置防火墻安全策略,企業(yè)內部有各種應用服務器，需要對外發(fā)布或外部辦公人員訪問，在此種情況下，就需設置NS墻的MIP、VIP、DIP（防火墻部署方式需路由）,內網各種應用服務器（WEB、ERP、EMAIL）的發(fā)布,,,內網PC,FW,SW,,WEB,MIP、VIP、DIP之間的區(qū)別,1、MIP是一對一的地址映射，即一個公網地址只對應一臺內網服務器，公網所有端口都映射到內部服務器。2、VIP是一對多地址轉換，即一個公網地址的不同端口，

12、可以轉換到對應多臺內部服務器，如外網80可轉換到服務器1上，而外網的21(或其它端口)同時可轉換到服務器2上；而MIP要么映射到服務器1，要么映射到服務器2上，兩者不能同時存在。3、DIP是一組公網地址，讓內網機器隨機地轉換成組內任意一個公網地址。,MIP、VIP配置步驟,第一步、選擇做MIP、VIP對應的外網口第二步、確定是用MIP還是VIP發(fā)布服務器第三步、設置MIP或VIP與內網服務器對應關系第三步、配置與MIP、VIP對

13、應的安全策略下面以最常用的VIP發(fā)布WEB服務為例具體說明，MIP的設置方法與之基本相同。,,VIP 配置,網絡拓撲,,,,,192.168.1.1/24,WEB Server:192.168.1.254/24,安全網關VIP 配置,當網絡只有一個公網IP時選擇,,,,添加VIP的公網服務器IP,當網絡有多個公網IP時選擇并輸入公網IP,選擇外網口,,,安全網關VIP 配置,內網服務器地址,此時和外網WEBUI管理的端口(80)