Juniper-SSG--5防火墙中文版配置手册

Juniper SSG-5 防火墙配置手册中文版初始化设置.2Internet 网络设置 6一般策略设置.17VPN 连接设置29初始化设置1.将防火墙设备通电，连接网线从防火墙 e02 口连接到电脑网卡。2.电脑本地连接设置静态 IP 地址，IP 地址 192.168.1.2（在 192.168.1.0/24 都可以） ，子网掩码 255.255.255.0，默认网关 192.168.1.1，如下图：3.设置好 IP 地址后，测试连通，在命令行 ping 192.168.1.1，如下图：4.从 IE 浏览器登陆防火墙 web 页面，在地址栏输入 192.168.1.1，如下图向导选择最下面 No, skip，然后点击下面的 Next：5.在登录页面输入用户名，密码，初始均为 netscreen，如下图：6.登陆到 web 管理页面，选择 Configuration Date/Time，然后点击中间右上角 Sync Clock With Client 选项，如下图：7.选择 Interfaces List，在页面中间点击 bgroup0 最右侧的 Edit，如下图：8.此端口为 Trust 类型端口，建议 IP 设置选择 Static IP，IP Address 输入规划好的本地内网 IP 地址，如 192.168.22.1/24，Manage IP 192.168.22.1。之后勾选 Web UI，Telnet ，SSH ，SNMP，SSL，Ping。如下图：Internet 网络设置1.修改本地 IP 地址为本地内网 IP 地址，如下图：2.从 IE 浏览器打开防火墙 web 页面，输入用户名密码登陆，如下图：3.选择 Interfaces List，点击页面中 ethernet0/0 最右侧的 Edit 选项，如下图：4.此端口为 Untrust 类型端口，设置 IP 地址有以下三种方法：（根据 ISP 提供的网络服务类型选择）A第一种设置 IP 地址是通过 DHCP 端获取 IP 地址，如下图：B第二种设置 IP 地址的方法是通过 PPPoE 拨号连接获取 IP，如下图，然后选择Create new pppoe setting，在如下图输入本地 ADSL pppoe 拨号账号，PPPoE Instance 输入名称，Bound to Interface 选择 ethernet0/0，Username 和 Password 输入 ADSL 账号密码，之后 OK，如下图：PPPoE 拨号设置完毕之后，点击 Connect，如下图：回到 Interface List，可以看到此拨号连接的连接状态，如下图：ethernet0/0 右侧PPPoE 一栏有一个红叉，表示此连接已经设置但未连接成功，如连接成功会显示绿勾。C第三种设置 IP 地址方法是设置固定 IP 地址，如下图：选择 Static IP，输入 IP地址和 Manage IP：10.10.10.1/30，勾选 Web UI，Telnet，SSH，然后点 OK。设置之后显示如下图：设置静态 IP 地址之后，需要设置一个路由下一跳才能正常使用，选择 Routing Destination，点击右上角 New，如下图：IP Address/Newmask 设置 0.0.0.0/0，Next Hop 选择 Gateway，Interface 选择ethernet0/0，Gateway IP Address 输入 ISP 网关地址，此处例如为： 10.10.10.2，如下图：设置完路由如下图：5.设置 DNS 服务器（如果是 DHCP 或 PPPoE 可能无需设置此项） ，选择 Network DNS Host，在如下图可以输入主机名称和 DNS 服务器地址。6.设置本地内网 DHCP 功能，选择 Network DHCP，如下图：点击 bgroup0 右侧的Edit7选择 DHCP Server，其他默认即可，如下图：8设置之后显示如下图，还未分配地址池，9再选择 Network DHCP，点击 Address，出现如下图，输入分配地址池：10设置完成之后如下图：一般策略设置1首先可以指定 IP 地址，根据 IP 地址作策略，选择 Policy Policy Elements Addresses List，然后在中间页面选择 Trust，然后点击 New，如下图：2在 Address Name 为指定 IP 地址设置识别名称，然后在下面输入具体 IP，如下图：3设置之后如下图：4再设置一个指定 IP 地址，如下图：5设置之后两个都可以显示出来，如下图：6设置多个指定 IP 组，选择 Policy Policy Elements Addresses Groups，如下图：中间页面的 Zone 选择 Trust，点击右侧的 New。7为此 IP 组起识别名称，下面将需要加入组的 IP 添加到组里，点 OK，如下图：8根据需求可以自定义服务，选择 Policy Policy Elements Services Customs，如下图：点击右侧 New9输入此自定义服务的识别名称，然后下面可以选择服务类型和服务端口，如下图：10设置完之后如下图：11定制多个服务组，选择 Policy Policy Elements Services Groups，点击页面中间右侧的 New，如下图：12为此定制服务组设置识别名称，将需要的服务添加进入，点击 OK。13设置完成之后如下图：14策略设置，此处可以直接使用之前设置的指定 IP 地址（组） ，自定义服务（组） 。选择 Policy Polices，如下图：选择 From Untrust to Trust（可根据需要修改） ，点击右侧New，15如也可以设置 From Trust to Untrust，如下图：16策略设置页面如下图，设置名称，选择源地址和目的地址，服务类型等，最后选择允许还是拒绝。17设置之后如下图：18也可以设置一个全拒绝的策略，如下图：19设置之后如下图：20可以点击 ID 为 1 的策略右侧的双箭头符号，出现脚本提示点确定，21这样可以把 ID 为 1 的策略放到下面，如下图策略含义为从 Trust 口到 Untrust 口的流量中，来自 IT 组的 IP 地址到任意目的地，服务类型属于 CTG-APP 中的流量允许通过，其他所有流量都拒绝。22可以为策略设置时间表，选择 Policy Schedules，如下图：点击 New23输入时间表名称 worktime，设置周期时间。24设置之后如下图：VPN 连接设置设置 VPN 网络连接，根据具体情况有多种方法可选：A方法一，通讯双方端口均为静态 IP 地址，配置如下：1设置对端网关信息，和本地 Local ID（可选） ，如下图：IP 地址为对端公网 IP，之后点击 Advanced2Preshared Key 输入