Juniper防火墙策略路由配置.doc

Juniper 防火墙策略路由配置一、网络拓扑图要求：1、默认路由走电信；2、源地址为192.168.1.10 的pc 访问电信1.0.0.0/8 的地址，走电信，访问互联网走网通；二、建立extended acl1、选择 network-routing-pbr-extended acl list,点击new 添加：Extended acl id:acl 编号Sequence No.：条目编号源地址：192.168.1.10/32目的地址：1.0.0.0/8Protocol：选择为any端口号选择为：1-65535点击ok：2、点击add seg No.再建立一条同样的acl，但protocol 为icmp，否则在traceroute 的时候仍然后走默认路由:3、建立目的地址为0.0.0.0 的acl：切记添加一条协议为icmp 的acl；命令行：set access-list extended 10 src-ip 192.168.1.10/32 dst-ip 1.0.0.0/8 src-port1-65535 dst-port 1-65535 protocol any entry 10set access-list extended 10 src-ip 192.168.1.10/32 dst-ip 1.0.0.0/8 protocolicmp entry 20set access-list extended 20 src-ip 192.168.1.10/32 dst-ip 0.0.0.0/0 src-port1-65535 dst-port 1-65535 protocol any entry 10set access-list extended 20 src-ip 192.168.1.10/32 dst-ip 0.0.0.0/0 protocolicmp entry 20三、配置match group：1、network-routing-pbr-match group，点击add：Match group 的作用就是关联acl按照同样的方法将两个acl 进行关联：命令行：set match-group name group_10set match-group group_10 ext-acl 10 match-entry 10set match-group name group_20set match-group group_20 ext-acl 20 match-entry 10四、配置action group：1、network-routing-pbr-action group，点击add：在这里指定下一跳接口和地址。配置访问电信1.0.0.0/8 的下一跳地址；在这里指定下一跳接口和地址。配置访问电信1.0.0.0/8 的下一跳地址；继续配置访问网通的下一跳路由地址：五、配置policy1、network-routing-pbr-policy，点击add：将刚建立的访问电信1.0.0.0/8 的match group 和action group 绑定点击 Add Seg No.，添加访问网通的策略：命令行：set pbr policy name pbr_trustset pbr policy pbr_trust match-group group_10 action-group action_10 10set pbr policy pbr_trust match-group group_20 action-group action_20 20六、配置policy binding：1、network-routing-pbr-policybinding，点