juniper_基礎(chǔ)篇

1、,第1頁,2024/3/21,,Juniper網(wǎng)絡(luò)安全防火墻基礎(chǔ)篇,2,培訓(xùn)內(nèi)容,概念部分 1、防火墻的概念 防火墻的應(yīng)用部分 1、部署模式的選擇和實(shí)現(xiàn) 2、訪問控制的實(shí)現(xiàn)（策略的設(shè)置） 3、安全域的自定義 4、一些特殊應(yīng)用的實(shí)現(xiàn)（MIP、DIP、VIP） 5、配置文件的保存,3,基礎(chǔ)部分的培訓(xùn),概念部分

2、 1、防火墻的概念、特點(diǎn),4,防火墻的基本概念,是一個(gè)用以阻止網(wǎng)絡(luò)中的非法用戶或非授權(quán)用戶訪問某個(gè)機(jī)構(gòu)網(wǎng)絡(luò)的屏障，也可稱之為控制進(jìn)/出兩個(gè)方向通信的閘門。 部署在網(wǎng)絡(luò)邊界位置，通過防火墻設(shè)備的檢測、過濾、攔截手段，隔離內(nèi)部信任網(wǎng)絡(luò)和外部非信任網(wǎng)絡(luò)，以阻檔非信任網(wǎng)絡(luò)對可信任網(wǎng)絡(luò)的入侵、竊取和破壞，保護(hù)網(wǎng)絡(luò)的安全。,5,防火墻的作用,是基于TCP/IP七層協(xié)議中的2～4層協(xié)議開發(fā)的。可以防止和緩解基于TCP/IP協(xié)議2

3、～4層的攻擊行為所造成的安全方面的影響。部分防火墻設(shè)備可以提供有限的應(yīng)用層防護(hù)功能。,6,防火墻設(shè)備的特點(diǎn),部署位置： 當(dāng)前的防火墻是邊界類網(wǎng)絡(luò)安全設(shè)備。作用： 隔離信任網(wǎng)絡(luò)（內(nèi)部網(wǎng)絡(luò)）和非信任網(wǎng)絡(luò)（外部網(wǎng)絡(luò)，Internet）。唯一性： 作為進(jìn)出網(wǎng)絡(luò)的唯一節(jié)點(diǎn)，對進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)流進(jìn)行檢測、過濾和控制。,7,無安全設(shè)備的網(wǎng)絡(luò)拓?fù)?8,部署防火墻的網(wǎng)絡(luò)拓?fù)?9,防火墻的分類,防火墻的分類：

4、 軟件防火墻產(chǎn)品（Check point） PC架構(gòu)的防火墻產(chǎn)品（Cisco PIX） 純硬件設(shè)計(jì)的產(chǎn)品（Juniper）,10,基礎(chǔ)應(yīng)用,防火墻的應(yīng)用部分 1、應(yīng)用模式的選擇和實(shí)現(xiàn),11,設(shè)備調(diào)試思路,1、了解網(wǎng)絡(luò)狀況。2、確定防火墻的部署位置。3、選擇防火墻的部署模式，規(guī)劃網(wǎng)絡(luò)路由信息。4、確定策略方向、地址、服務(wù)信息。5、合理設(shè)定訪問策略。,12,防火墻

5、設(shè)備的設(shè)置步驟,確定設(shè)置防火墻的部署模式設(shè)置防火墻設(shè)備的IP地址信息（接口地址或管理地址）設(shè)置防火墻設(shè)備的路由信息確定經(jīng)過防火墻設(shè)備的IP地址信息（基于策略的源、目標(biāo)地址）確定網(wǎng)絡(luò)應(yīng)用配置訪問控制策略,13,應(yīng)用模式的選擇,Juniper NetScreen防火墻有三種的應(yīng)用模式 透明模式 NAT模式 路由模式 特殊模式： 二層模式與三層模式混

6、合部署 (需要一些條件支持),14,1、透明模式,透明模式： 看上去與基于TCP/IP協(xié)議二層的設(shè)備類似，防火墻的端口上沒有IP地址，只有一個(gè)用于管理的全局 IP。適用的環(huán)境： 一般用于處于相同網(wǎng)段的不同網(wǎng)絡(luò)之間的安全隔離。優(yōu)點(diǎn)： 不需要重新配置路由器或受保護(hù)服務(wù)器的 IP 設(shè)置 不需要為到達(dá)受保護(hù)服務(wù)器的內(nèi)向信息流創(chuàng)

7、建地址映射或端口映射,15,基于透明模式的拓?fù)鋱D,16,2、NAT模式,類似于基于TCP/IP第三層協(xié)議的設(shè)備，通過協(xié)議端口或IP頭替換的方式實(shí)現(xiàn)地址轉(zhuǎn)發(fā)和共享訪問互聯(lián)網(wǎng)的應(yīng)用。適用的網(wǎng)絡(luò)環(huán)境： 客戶擁有的公網(wǎng)地址數(shù)量，不能滿足網(wǎng)絡(luò)中的每個(gè)設(shè)備都擁有一個(gè)公共IP地址的情況。優(yōu)點(diǎn)： 針對內(nèi)網(wǎng)對互聯(lián)網(wǎng)的訪問，可以大量節(jié)省公共IP地址，路由結(jié)構(gòu)清晰。,17,3、路由模式,與NAT模式類似，也是基于T