SRX-WebUI-配置手册.docx

目 录WebUI配置前准备工作3一、设备系统配置41.接口配置（静态ip）4（1）创建安全Zone5（2）绑定相应接口62.接口配置（pppoe）8（1）封装端口为ppp-over-ether8（2）ppp-options配置10（3）pppoe-options配置13（4）Family属性配置15二、交换机vlan模式配置171.创建VLAN（RVI）182.创建安全Zone并绑定相应RVI21三、NAT及其策略配置221.源地址NAT22（1）基于接口的源地址NAT221)创建NAT规则232)创建策略24（2）基于Pool的源地址NAT251)创建NAT规则262)Proxy arp283)创建策略292.目的地址NAT29（1）创建NAT规则29（2）创建策略321)创建地址列表322)创建服务列表333)创建策略并调用相关地址及服务343.Static NAT35（1）创建NAT规则35（2）创建策略361)创建地址列表362)创建服务列表373)创建策略并调用相关地址及服务38四、IPSec VPN配置391.Site-to-Site VPN39（1）基于策略的IPSec VPN（main模式）391)基本配置402)Phase 1配置40A.创建phase 1 proposal41B.创建IKE Policy41C.创建Gateway433)Phase 2配置44A.创建phase 2 proposal44B.创建IPSec Policy45C.创建Autokey454)策略46（2）基于策略的IPSec VPN（aggressive模式）471)基本配置482)Phase 1配置48A.创建phase 1 proposal48B.创建IKE Policy49C.创建Gateway513)Phase 2配置52A.创建phase 2 proposal52B.创建IPSec Policy53C.创建Autokey544)策略55（3）基于路由的IPSec VPN（VPN Wizards配置方式）561)基本配置572)使用J-Web的VPN Wizards配置572.Dynamic VPN65（1）基本配置65（2）Dynamic vpn配置步骤651)典型配置方式65A.定义VPN拨号用户及地址池65B.定义IPSec VPN67C.将拨号用户与VPN相关联72D.策略732)VPN Wizards配置方式74（3）登录78WebUI配置前准备工作SRX系列设备默认是没有开启WEB服务的，因此我们需要通过console进入CLI，给设备配置一个管理IP，并开启http服务，以便于PC可以通过web界面登录至SRX进行配置管理。命令行配置参考如下：set system services web-management httpset interfaces ge-0/0/15 unit 0 family inet address /24set security zones functional-zone management interfaces ge-0/0/15.0set security zones functional-zone management host-inbound-traffic system-services all连接PC至SRX的ge-0/0/15口，配置PC网卡为/24网段，打开IE浏览器，输入，出现如下登录界面输入用户名、密码，点击“Log In”即可。点击“Dashboard”，可观察当前设备的系统状态、告警信息、资源利用率等，如下图。一、 设备系统配置1. 接口配置（静态ip）拓扑如下（1） 创建安全Zone根据拓扑，我们需要把Ge-0/0/4绑定至Untrust Zone，Ge-0/0/3绑定至Trust Zone，那么我们就需要创建2个安全Zone，分别为Untrust Zone和Trust Zone，并绑定相应端口。点击“Security”“Zones/Screens”，然后点击“Add”，在当前弹出窗口的“Zone name”文本框中，填入“untrust”，并保持“Zone type”默认的“security”类型不变，如下图所示为便于测试，我们还需要将ping服务打开，点击“Host inbound traffic - Zone”，在“Services”栏中选择“Ping”，然后点击“OK”即可。同样，我们按照相同步骤再添加一个trust zone，并开启相关services。命令行配置参考如下：set security zones security-zone untrustset security zones security-zone untrust host-inbound-traffic system-services pingset security zones security-zone trustset security zones security-zone trust host-inbound-traffic system-services all（2） 绑定相应接口点击“Interfaces”，在端口列表中选中“Ge-0/0/3”，然后点击“Add”“Logical Interface”在弹出的端口配置窗口中，配置如下信息：然后，我们再按照相同步骤，配置“Ge-0/0/4”端口的相应信息。命令行配置参考如下：set interfaces ge-0/0/3 unit 0 family inet address /24set interfaces ge-0/0/4 unit 0 family inet address /24set security zones security-zone untrust interfaces ge-0/0/3.0set security zones security-zone trust interfaces ge-0/0/4.0注：在Juniper的ScreenOS系列防火墙中，必须先创建Zone，然后才能配置端口，而在SRX系列中，并不是必须遵循这一顺序的，我们可以先创建Zone再配置端口，也可以先配置端口再创建Zone。1、 交换机vlan模式配置拓扑如下如下图所示，我们需要创建2个Vlan，将Ge-0/0/1和Ge-0/0/2绑定至Vlan 100，将Ge-0/0/3和Ge-0/0/4绑定至Vlan 10，并将这2个Vlan分别绑定至Untrust zone和Trust zone。1. 创建VLAN（RVI）点击“Switching”“VLAN”，然后点击“Add”创建一个Vlan，在弹出窗口中，填入VLAN Name及VLAN ID，如下图所示：然后在“Ports”选项栏，点击“Add”，将Ge-0/0/1和Ge-0/0/2绑定至该Vlan，如下图所示：在“IP address”选项栏中，填写IP如下：完成以上配置后，点击“OK”，SRX将自动给我们创建的VALN 100分配一个unit值（从0开始分配），该值在web界面上不可修改，如下图所示：完成以上配置后，我们再按照相同步骤创建一个Vlan 10。（略）注：在Web界面的端口列表中，不会显示Vlan端口及相关信息，所以无法对vlan端口的unit值进行修改，如果需要修改，只能通过CLI进行操作。2. 创建安全Zone并绑定相应RVI点击“Security”“Zones/Screens”，然后点击“Add”，在弹出窗口中，创建一个Untrust Zone，并将vlan.0绑定至该zone，如下图所示，为便于测试，建议在Host inbound traffic选项栏中，将ping打开。按照相同步骤，再创建一个Trust zone，并将vlan.1绑定至trust zone，如下图2、 NAT及其策略配置1. 源地址NAT（1） 基于接口的源地址NAT拓扑如下1) 创建NAT规则点击“NAT”“Source NAT”，在“Source Rule Set”当前界面下，点击“Add”创建一条Rule Set，如下图在“Add Rule Set”弹出窗口中，定义“Rule Set Name”名为nat-src-int，并选择From Zone为trust，To Zone为untrust，然后点击“Add”创建一条“Rule”，在“Add Rule”弹出窗口中，给该rule命名为“1”，然后定义“Soure Address”为/0，“Destination Address”为/0，并在“Action”选项栏中选择“Do Source NAT With Egress Interface Address”，其余保持默认，点击“OK”，即可。2) 创建策略点击“Security”“Policy”“FW Policies”，然后点击“Add”创建一条策略，在策略弹出窗口中，设置如下参数：Policy Name：1From Zone：trustTo Zone：untrustSource Address：any-ipv4Destina Address：any-ipv4Application：anyPolicy Action：permit如下图所示，设置完成后，点击“OK”即可。（2） 基于Pool的源地址NAT拓扑如下1) 创建NAT规则配置基于Pool的源地址转换，需要创建一个地址池（Pool）。点击“NAT”“Source NAT”，在“Source NAT Pool”界面下，点击“Add”创建一个NAT地址池，如下图定义“Pool Name”名为nat-pool，“Pool Addresses”为0-0，其余保持默认，点击“OK”即可。然后再回到“Source Rule Set”界面，点击“Add”创建一条Rule Set，如下图在“Add Rule Set”弹出窗口中，定义“Rule Set Name”名为nat-src-pool，并选择From Zone为trust，To Zone为untrust，然后点击“Add”创建一条“Rule”，在“Add Rule”弹出窗口中，给该rule命名为“1”，然后定义“Soure Address”为/0，“Destination Address”为/0，并在“Action”选项栏中选择“Do Source NAT With Pool”，并在下拉菜单中选择之前我们创建的“nat-pool”，其余保持默认，点击“OK”，即可。注：在CLI中，需要首先创建一个Pool，然后再创建NAT规则并调用该Pool；而在WebUI中，我们即可以先创建Pool，再创建NAT规则，也可以先创建NAT规则，然后在“Add Rule”弹出窗口中的“Action”选项栏中，通过点击“Add New Pool”来创建Pool。可见，SRX的WebUI更加灵活。这一特性同样适用于目的地址NAT。2) Proxy arpSRX多了一个proxy-arp的概念，如果定义的IP Pool（可用于源或目的地址转换）与接口IP在同一子网时，则需配置SRX对这个Pool内的地址提供ARP代理功能，这样对端设备能够解析到IP Pool地址的MAC地址（使用接口MAC地址响应对方），以便于返回报文能够送达SRX。点击“NAT”“Proxy ARP”，然后点击“Add”添加ARP代理，在弹出窗口中，选择Interface为ge-0/0/4.0，Addresses为0 To 0，完成后点击“OK”即可。如下图所示：创建策略该策略配置与基于接口的源地址NAT策略配置一样，此处WebUI配置略。命令行配置参考如下：set security policies from-zone trust to-zone untrust policy 1 match source-address anyset security policies from-zone trust to-zone untrust policy 1 match destination-address anyset security policies from-zone trust to-zone untrust policy 1 match application anyset security policies from-zone trust to-zone untrust policy 1 then permit2. 目的地址NAT拓扑如下：（1） 创建NAT规则点击“NAT”“Destination NAT”，在“Destination Rule Set”当前界面下，点击“Add”创建一条Rule Set，如下图在“Add Rule Set”弹出窗口中，定义“Rule Set Name”名为nat-dst，并选择From Zone为untrust，然后点击“Add”创建一条“Rule”，在“Add Rule”弹出窗口中，给该rule命名为“1”，然后定义“Soure Address”为/0，“Destination Address”为，“Port”为8080，并在“Action”选项栏中选择“Do Destination NAT With Pool”，点击“Add New Pool”，如下图注：在SRX系列设备上做目的地址NAT时，“Destination Address”处填写的是真实IP，即host address，而ScreenOS系列防火墙在做MIP时，填写的是映射地址，请注意区分开来。在“Add Destination Pool”弹出窗口中，定义“Pool Name”名为nat-pool，填写Pool IP为，Port为8080，其余保持默认，点击“OK”即可。回到“Add Rule”窗口，在下拉菜单中选中刚才我们建立的“nat-pool”，然后依次点击“OK”。命令行配置参考如下：set security nat destination pool nat-pool address /32set security nat destination pool nat-pool address port 8080set security nat destination rule-set nat-dst from zone untrustset security nat destination rule-set nat-dst rule 1 match source-address /0set security nat destination rule-set nat-dst rule 1 match destination-address /32set security nat destination rule-set nat-dst rule 1 match destination-port 8080set security nat destination rule-set nat-dst rule 1 then destination-nat pool nat-pool（2） 创建策略1) 创建地址列表首先，我们需要创建一条address，用于策略所需的目的地址。点击“Security”“Policy Elements”“Address Book”，然后点击“Add”，在弹出的“Add Address”窗口中，完成如下配置，然后点击“OK”即可。命令行配置参考如下：set security zones security-zone trust address-book address pc-2 /322) 创建服务列表然后，我们还需要创建一条application，用于策略所需的目的端口。点击“Security”“Policy Elements”“Applications”，然后点击“Add”，在弹出的“Add an Application”窗口中，完成如下配置，然后点击“OK”即可。命令行配置参考如下：set applications application tcp-8080 protocol tcpset applications application tcp-8080 source-port 0-65535set applications application tcp-8080 destination-port 8080-8080set applications application tcp-8080 inactivity-timeout 18003) 创建策略并调用相关地址及服务点击“Security”“Policy”“FW Policies”，然后点击“Add”创建一条从untrust到trust的策略，在策略弹出窗口中，设置如下参数：Policy Name：1From Zone：untrustTo Zone：trustSource Address：anyDestina Address：pc-2Application：tcp-8080Policy Action：permit如下图所示，设置完成后，点击“OK”即可命令行配置参考如下：set security policies from-zone untrust to-zone trust policy 1 match source-address anyset security policies from-zone untrust to-zone trust policy 1 match destination-address pc-2set security policies from-zone untrust to-zone trust policy 1 match application tcp-8080set security policies from-zone untrust to-zone trust policy 1 then permit3. Static NAT拓扑如下（1） 创建NAT规则点击“NAT”“Static NAT”，点击“Add”创建一条Rule Set。在“Add Rule Set”弹出窗口中定义“Rule Set Name”为nat-static，“From Zone”选择untrust，完成后再点击“Add”添加一条Rule，如下图在“Add Rule”弹出窗口中，完成如下参数的配置，然后依次点击“OK”即可。Rule Name：1Destination Address：Static Prefix：命令行配置参考如下：set security nat static rule-set nat-static from zone untrustset security nat static rule-set nat-static rule 1 match destination-address /32set security nat static rule-set nat-static rule 1 then static-nat prefix /32注：在SRX系列设备上做Static NAT时，在“destinationaddress”中，我们填写的是映射地址，在staticprefix中，我们填写的是真实地址，即host address。此处与ScreenOS系列防火墙配置类似。（2） 创建策略1) 创建地址列表首先，我们需要创建一条address，用于策略所需的目的地址。点击“Security”“Policy Elements”“Address Book”，然后点击“Add”，在弹出的“Add Address”窗口中，完成如下配置，然后点击“OK”即可。命令行配置参考如下：set security zones security-zone trust address-book address pc-3 /322) 创建服务列表然后，我们还需要创建一条application，用于策略所需的目的端口。点击“Security”“Policy Elements”“Applications”，然后点击“Add”，在弹出的“Add an Application”窗口中，完成如下配置，然后点击“OK”即可。命令行配置参考如下：set applications application tcp-8080 protocol tcpset applications application tcp-8080 source-port 0-65535set applications application tcp-8080 destination-port 8080-8080set applications application tcp-8080 inactivity-timeout 18003) 创建策略并调用相关地址及服务点击“Security”“Policy”“FW Policies”，然后点击“Add”创建一条从untrust到trust的策略，在策略弹出窗口中，设置如下参数：Policy Name：1From Zone：untrustTo Zone：trustSource Address：any-ipv4Destina Address：pc-3Application：tcp-8080Policy Action：permit如下图所示，设置完成后，点击“OK”即可然后，我们再添加一条从trust到untrust的策略，如下图所示，设置完成后点击“OK”即可。命令行配置参考如下：set security policies from-zone untrust to-zone trust policy 1 match source-address anyset security policies from-zone untrust to-zone trust policy 1 match destination-address pc-3set security policies from-zone untrust to-zone trust policy 1 match application tcp-8080set security policies from-zone untrust to-zone trust policy 1 then permitset security policies from-zone trust to-zone untrust policy 2 match source-address pc-3set security policies from-zone trust to-zone untrust policy 2 match destination-address anyset security policies from-zone trust to-zone untrust policy 2 match application anyset security policies from-zone trust to-zone untrust policy 2 then permit3、 IPSec VPN配置1. Site-to-Site VPN（1） 基于策略的IPSec VPN（main模式）拓扑如下1) 基本配置首先按照拓扑给2台SRX设备配置zone、interfaces及路由等相关信息。Web UI配置步骤请参考本文其他相关章节。命令行配置参考如下：SRX-1：set interfaces ge-0/0/0 unit 0 family inet address /24set security zones security-zone untrust interfaces ge-0/0/0.0set security zones security-zone untrust host-inbound-traffic system-services allset interfaces ge-0/0/3 unit 0 family inet address /24set security zones security-zone trust interfaces ge-0/0/3.0set security zones security-zone trust host-inbound-traffic system-services allset routing-options static route /0 next-hop SRX-2：set interfaces ge-0/0/0 unit 0 family inet address /24set security zones security-zone untrust interfaces ge-0/0/0.0set security zones security-zone untrust host-inbound-traffic system-services allset interfaces ge-0/0/3 unit 0 family inet address /24set security zones security-zone trust interfaces ge-0/0/3.0set security zones security-zone trust host-inbound-traffic system-services allset routing-options static route /0 next-hop 2) Phase 1配置使用IKE配置IPSec隧道的Phase 1，应该先创建proposal（如果使用预定义的proposal，则此步骤可略过），然后是ike policy，最后是gateway。A. 创建phase 1 proposal点击“IPSec VPN”“Auto Tunnel”“Phase I”，在当前窗口下，点击“Proposal”，然后点击“Add”添加一条proposal，根据不同的需求，选择相应的算法及其他相关参数，如下图所示命令行配置参考如下：SRX-1：set security ike proposal ike-pro-1 authentication-method pre-shared-keysset security ike proposal ike-pro-1 dh-group group2set security ike proposal ike-pro-1 authentication-algorithm md5set security ike proposal ike-pro-1 encryption-algorithm aes-128-cbcset security ike proposal ike-pro-1 lifetime-seconds 900SRX-2：set security ike proposal ike-pro-1 authentication-method pre-shared-keysset security ike proposal ike-pro-1 dh-group group2set security ike proposal ike-pro-1 authentication-algorithm md5set security ike proposal ike-pro-1 encryption-algorithm aes-128-cbcset security ike proposal ike-pro-1 lifetime-seconds 900B. 创建IKE Policy点击“IKE Policy”，添加一条IKE Policy。在“Add Policy”弹出窗口中，首先定义策略“Name”为ike-policy-1；然后选择Mode为main；如果VPN两端的IP地址都是静态IP，则可以选择main mode或者aggressive mode，如果VPN两端有任意一端是动态IP（如ADSL方式），则必须选择aggressive mode。最后选择Proposal中，可以选择预定义的proposal，如standard、basic或者compatible等，也可以选择自定义的proposal，如之前我们定义的“ike-pro-1”。在本例中，我们选择的proposal为standard。如下图所示：然后，在“IKE Policy Options”中，创建Pre Shared Key，完成后点击“OK”。命令行配置参考如下：SRX-1：set security ike policy ike-policy-1 mode mainset security ike policy ike-policy-1 proposal-set standardset security ike policy ike-policy-1 pre-shared-key ascii-text juniperSRX-2：set security ike policy ike-policy-1 mode mainset security ike policy ike-policy-1 proposal-set standardset security ike policy ike-policy-1 pre-shared-key ascii-text juniperC. 创建Gateway点击“Gateway”，添加一条Gateway。在“Add Gateway”弹出窗口中，完成如下参数：Name：GwToSRX2Policy：在下拉菜单中选择之前创建的“ike-policy-1”External Interface：在下拉菜单中选择出向端口，本例中为“ge-0/0/0”Site to Site Tunnel：勾选Address/FQDN：填写对端VPN网关IP，本例为“”命令行配置参考如下：SRX-1：set security ike gateway GwToSRX2 ike-policy ike-policy-1set security ike gateway GwToSRX2 address set security ike gateway GwToSRX2 external-interface ge-0/0/0.0SRX-2：set security ike gateway GwToSRX1 ike-policy ike-policy-1set security ike gateway GwToSRX1 address set security ike gateway GwToSRX1 external-interface ge-0/0/0.03) Phase 2配置配置IPSec隧道的Phase 2，应该先配置phase 2 proposal（如果使用预定义的proposal，则此步骤可略过），然后配置IPSec policy，最后是Autokey IKE。A. 创建phase 2 proposal点击“IPSec VPN”“Auto Tunnel”“Phase II”，在当前窗口下点击“Proposal”添加一条proposal，在“Add Proposal”弹出窗口下，完成如下参数的设置，然后点击“OK”即可。Name：ipsec-pro-1Authentication algorithm：hmac-md5-96Encryption algorithm：3des-cbcLifetime seconds：3600Protocol：esp命令行配置参考如下：SRX-1：set security ipsec proposal ipsec-pro-1 protocol espset security ipsec proposal ipsec-pro-1 authentication-algorithm hmac-md5-96set security ipsec proposal ipsec-pro-1 encryption-algorithm 3des-cbcset security ipsec proposal ipsec-pro-1 lifetime-seconds 3600SRX-2：set security ipsec proposal ipsec-pro-1 protocol espset security ipsec proposal ipsec-pro-1 authentication-algorithm hmac-md5-96set security ipsec proposal ipsec-pro-1 encryption-algorithm 3des-cbcset security ipsec proposal ipsec-pro-1 lifetime-seconds 3600B. 创建IPSec Policy点击“IPSec Policy”，添加一条策略。在“Add Policy”弹出窗口中，首先定义“Name”为ipsec-policy-1，然后选择Proposal，与phase 1的proposal一样，我们可以选择预定义的proposal，也可以选择之前定义好的proposal，即“ipsec-pro-1”，然后点击“OK”即可。命令行配置参考如下：SRX-1：set security ipsec policy ipsec-policy-1 proposal-set standardSRX-2：set security ipsec policy ipsec-policy-1 proposal-set standardC. 创建Autokey点击“Autokey”，在“Add Gateway”弹出窗口中，设置如下参数，然后点击“OK”。VPN Name：vpnToSRX2Remote Gateway：在下拉菜单中选择phase 1创建的GwToSRX2IPSec Policy：在下拉菜单中选择phase 2创建的ipsec-policy-1Establish tunnels：在下拉菜单中选择immediately命令行配置参考如下：SRX-1：set security ipsec vpn vpnToSRX2 ike gateway GwToSRX2set security ipsec vpn vpnToSRX2 ike ipsec-policy ipsec-policy-1set security ipsec vpn vpnToSRX2 establish-tunnels immediatelySRX-2：set security ipsec vpn vpnToSRX1 ike gateway GwToSRX1set security ipsec vpn vpnToSRX1 ike ipsec-policy ipsec-policy-1set security ipsec vpn vpnToSRX1 establish-tunnels immediately4) 策略策略的WebUI配置请参考本文其他部分，此处略。命令行配置参考如下：SRX-1：set security policies from-zone trust to-zone untrust policy policy-vpn match source-address anyset security policies from-zone trust to-zone untrust policy policy-vpn match destination-address anyset security policies from-zone trust to-zone untrust policy policy-vpn match application anyset security policies from-zone trust to-zone untrust policy policy-vpn then permit tunnel ipsec-vpn vpnToSRX2set security policies from-zone untrust to-zone trust policy policy-vpn match source-address anyset security policies from-zone untrust to-zone trust policy policy-vpn match destination-address anyset security policies from-zone untrust to-zone trust policy policy-vpn match application anyset security policies from-zone trust to-zone untrust policy policy-vpn then permit tunnel ipsec-vpn vpnToSRX2SRX-2：set security policies from-zone trust to-zone untrust policy policy-vpn match source-address anyset security policies from-zone trust to-zone untrust policy policy-vpn match destination-address anyset security policies from-zone trust to-zone untrust policy policy-vpn match application anyset security policies from-zone trust to-zone untrust policy policy-vpn then permit tunnel ipsec-vpn vpnToSRX1set security policies from-zone untrust to-zone trust policy policy-vpn match source-address anyset security policies from-zone untrust to-zone trust policy policy-vpn match destination-address anyset security policies from-zone untrust to-zone trust policy policy-vpn match application anyset security policies from-zone trust to-zone untrust policy policy-vpn then permit tunnel ipsec-vpn vpnToSRX1（2） 基于策略的IPSec VPN（aggressive模式）拓扑如下1) 基本配置先按照拓扑给2台SRX设备配置zone、interfaces及路由等相关信息。Web UI配置步骤请参考本文其他相关章节。命令行配置参考如下：SRX-1：set interfaces ge-0/0/0 unit 0 family inet address /2