Juniper_SRX配置手册

精品文档 1欢迎下载 JuniperJuniper SRXSRX 防火墙配置手册防火墙配置手册 一 一 JUNOSJUNOS 操作系统介绍操作系统介绍 1 11 1 层次化配置结构层次化配置结构 JUNOS 采用基于 FreeBSD 内核的软件模块化操作系统 支持 CLI 命令行和 WEBUI 两种接 口配置方式 本文主要对 CLI 命令行方式进行配置说明 JUNOS CLI 使用层次化配置结构 分 为操作 operational 和配置 configure 两类模式 在操作模式下可对当前配置 设备运 行状态 路由及会话表等状态进行查看及设备运维操作 并通过执行 config 或 edit 命令进入 配置模式 在配置模式下可对各相关模块进行配置并能够执行操作模式下的所有命令 run 在配置模式下 JUNOS 采用分层分级模块下配置结构 如下图所示 edit 命令进入下一级配置 类似 unix cd 命令 exit 命令退回上一级 top 命令回到根级 精品文档 2欢迎下载 1 21 2 JunOSJunOS 配置管理配置管理 JUNOS 通过 set 语句进行配置 配置输入后并不会立即生效 而是作为候选配置 Candidate Config 等待管理员提交确认 管理员通过输入 commit 命令来提交配置 配置内容在通过 SRX 语法检查后才会生效 一旦 commit 通过后当前配置即成为有效配置 Active config 另外 JUNOS 允许执行 commit 命令时要求管理员对提交的配置进行两次确认 如执行 commit confirmed 2 命令要求管理员必须在输入此命令后 2 分钟内再次输入 commit 以确认提交 否则 2 分钟后配置将自动回退 这样可以避免远程配置变更时管理员失去对 SRX 的远程连接风险 在执行 commit 命令前可通过配置模式下 show 命令查看当前候选配置 Candidate Config 在执行 commit 后配置模式下可通过 run show config 命令查看当前有效配置 Active config 此外可通过执行 show compare 比对候选配置和有效配置的差异 SRX 上由于配备大容量硬盘存储器 缺省按先后 commit 顺序自动保存 50 份有效配置 并可通 过执行 rolback 和 commit 命令返回到以前配置 如 rollback 0 commit 可返回到前一 commit 配置 也可以直接通过执行 save configname conf 手动保存当前配置 并执行 load override configname conf commit 调用前期手动保存的配置 执行 load factory default commit 命令可恢复到出厂缺省配置 精品文档 3欢迎下载 SRX 可对模块化配置进行功能关闭与激活 如执行 deactivate security nat comit 命令可使 NAT 相关配置不生效 并可通过执行 activate security nat commit 使 NAT 配置再次生效 SRX 通过 set 语句来配置防火墙 通过 delete 语句来删除配置 如 delete security nat 和 edit security nat delete 一样 均可删除 security 防火墙层级下所有 NAT 相关配置 删除配置和 ScreenOS 不同 配置过程中需加以留意 1 31 3 SRXSRX 主要配置内容主要配置内容 部署 SRX 防火墙主要有以下几个方面需要进行配置 System 主要是系统级内容配置 如主机名 管理员账号口令及权限 时钟时区 Syslog SNMP 系统级开放的远程管理服务 如 telnet 等内容 Interface 接口相关配置内容 Security 是 SRX 防火墙的主要配置内容 安全相关部分内容全部在 Security 层级下完成配 置 如 NAT Zone Policy Address book Ipsec Screen Idp 等 可简单理解为 ScreenOS 防 火墙安全相关内容都迁移至此配置层次下 除了 Application 自定义服务 Application 自定义服务单独在此进行配置 配置内容与 ScreenOS 基本一致 routing options 配置静态路由或 router id 等系统全局路由属性配置 精品文档 4欢迎下载 二 二 SRXSRX 防火墙配置对照说明防火墙配置对照说明 策略处理流程图 2 12 1 初始安装初始安装 2 1 12 1 1 登陆登陆 Console 口 通用超级终端缺省配置 连接 SRX root 用户登陆 密码为空 login root Password JUNOS 9 5R1 8 built 2009 07 16 15 04 30 UTC root clicli 进入操作模式进入操作模式 root root configureconfigure 进入配置模式进入配置模式 edit Root 精品文档 5欢迎下载 2 1 22 1 2 设置设置 rootroot 用户口令用户口令 设置 root 用户口令 root setset systemsystem root authenticationroot authentication plain text passwordplain text password root new password root123root123 root retype new password root123root123 edit root set system login class super user idle timeout 3 设置当前用户超时时间 密码将以密文方式显示 root showshow systemsystem root authenticationroot authentication encrypted password 1 xavDeUe6 fNM6olGU 8 M7B62u05D6 SECRET DATA 注意 强烈建议不要使用其它加密选项来加密 root 和其它 user 口令 如 encrypted password 加密方式 此配置参数要求输入的口令应是经加密算法加密后的字符串 采用这种加密方式 手工输入时存在密码无法通过验证风险 2 1 32 1 3 设置远程登陆管理用户设置远程登陆管理用户 root setset systemsystem loginlogin useruser lab classclass super usersuper user authenticationauthentication plain text plain text passwordpassword 创建用户创建用户 lablab root new password lab123lab123 配置用户配置用户 lablab 密码密码 root retype new password lab123lab123 注 此 lab 用户拥有超级管理员权限 可用于 console 和远程管理访问 另也可自行灵活定义 其它不同管理权限用户 精品文档 6欢迎下载 2 1 42 1 4 管理管理 SRXSRX 相关配置相关配置 root showshow systemsystem uptimeuptime 查看时间查看时间 root runrun setset datedate YYYYMMDDhhmm ss 设置系统时钟设置系统时钟 root setset systemsystem time zonetime zone Asia beijing 设置时区为北京设置时区为北京 root setset systemsystem host namehost name SRX3400 A 设置主机名设置主机名 root setset systemsystem name servername server 1 1 1 1 设置设置 DNSDNS 服务器服务器 root setset systemsystem ntpntp serverserver 202 120 2 101 设置设置 NTPNTP 服务器服务器 root show ntp associations root showroot show ntpntp statusstatus 查看查看 NTPNTP root showroot show securitysecurity algalg statusstatus 查看查看 ALGALG 状态状态 ALG Status DNS Enabled FTP Enabled H323 Enabled MGCP Enabled MSRPC Enabled PPTP Enabled RSH Enabled RTSP Enabled SCCP Enabled SIP Enabled SQL Enabled SUNRPC Enabled 精品文档 7欢迎下载 TALK Enabled TFTP Enabled IKE ESP Disabled root setroot set systemsystem servicesservices ftpftp root setroot set systemsystem servicesservices telnettelnet root setroot set systemsystem servicesservices web managementweb management httphttp 在系统级开启在系统级开启 ftp telnet httpftp telnet http 远程接入管理服务远程接入管理服务 root requestroot request systemsystem rebootreboot 重启系统重启系统 root requestroot request systemsystem power offpower off 关闭系统关闭系统 root showroot show versionversion 查看版本信息查看版本信息 Model srx210b JUNOS Software Release 10 4R5 5 root showroot show systemsystem uptimeuptime 查看系统启动时间查看系统启动时间 Current time 2011 08 11 05 09 15 UTC System booted 2011 08 11 01 12 48 UTC 03 56 27 ago Protocols started 2011 08 11 01 15 28 UTC 03 53 47 ago Last configured 2011 08 11 03 11 08 UTC 01 58 07 ago by root 5 09AM up 3 56 1 user load averages 0 01 0 02 0 00 root Showroot Show chassischassis haredwareharedware 查看硬件板卡及序列号查看硬件板卡及序列号 Hardware inventory 精品文档 8欢迎下载 Item Version Part number Serial number Description Chassis AC5210AA0079 SRX210b Routing Engine REV 40 750 021778 AACN5249 RE SRX210B FPC 0 FPC PIC 0 2x GE 6x FE 1x 3G Power Supply 0 root root showshow chassischassis environmentenvironment 查看硬件板卡当前状态查看硬件板卡当前状态 Class Item Status Measurement Temp Routing Engine OK 52 degrees C 125 degrees F Routing Engine CPU Absent Fans SRX210 Chassis fan OK Spinning at normal speed Power Power Supply 0 OK root showroot show chassischassis routing enginerouting engine 查看主控板 查看主控板 RERE 资源使用及状态 资源使用及状态 Routing Engine status Temperature 52 degrees C 125 degrees F Total memory 512 MB Max 415 MB used 81 percent Control plane memory 336 MB Max 306 MB used 91 percent Data plane memory 176 MB Max 107 MB used 61 percent CPU utilization User 4 percent Background 0 percent Kernel 5 percent Interrupt 0 percent 精品文档 9欢迎下载 Idle 91 percent Model RE SRX210B Serial ID AACN5249 Start time 2011 08 11 01 12 47 UTC Uptime 4 hours 17 minutes 57 seconds Last reboot reason 0 x200 chassis control reset Load averages 1 minute 5 minute 15 minute 0 09 0 05 0 01 root showroot show systemsystem licenselicense 查看授权查看授权 License usage Licenses Licenses Licenses Expiry Feature name used installed needed ax411 wlan ap 0 2 0 permanent root showroot show systemsystem processesprocesses extensiveextensive 查看系统利用率查看系统利用率 last pid 1968 load averages 0 01 0 03 0 00 up 0 04 20 28 05 32 46 111 processes 17 running 83 sleeping 11 waiting Mem 120M Active 87M Inact 231M Wired 30M Cache 61M Buf 1356K Free Swap PID USERNAME THR PRI NICE SIZE RES STATE C TIME WCPU COMMAND 1097 root 4 76 0 194M 34836K select 0 298 05 98 44 flowd octeon 22 root 1 171 52 0K 16K RUN 0 203 47 84 96 idle cpu0 24 root 1 20 139 0K 16K RUN 0 5 42 0 00 swi7 clock 21 root 1 171 52 0K 16K RUN 1 2 21 0 00 idle cpu1 精品文档 10欢迎下载 5 root 1 84 0 0K 16K rtfifo 0 1 02 0 00 rtfifo kern recv 1109 root 1 76 0 9724K 3796K select 0 0 46 0 00 rtlogd 868 root 1 76 0 7004K 2588K select 0 0 37 0 00 eventd 52 root 1 8 0 0K 16K mdwait 0 0 34 0 00 md0 1085 root 1 76 0 16984K 10676K select 0 0 29 0 00 snmpd 1088 root 1 76 0 14288K 4788K select 0 0 23 0 00 l2ald 1090 root 2 76 0 20124K 6476K select 0 0 22 0 00 pfed 1115 root 1 76 0 4180K 1104K select 0 0 19 0 00 license check 1087 root 1 4 0 39620K 20172K kqread 0 0 15 0 00 rpd 23 root 1 40 159 0K 16K WAIT 0 0 15 0 00 swi2 net more 39 root monitorroot monitor interfaceinterface ge 0 0 0ge 0 0 0 动态统计接口数据包转发信息动态统计接口数据包转发信息 Interface ge 0 0 0 0 Enabled Link is Up Flags SNMP Traps Encapsulation ENET2 Local statistics Current delta Input bytes 2986416 4121 Output bytes 47303 90 Input packets 47631 64 Output packets 969 1 Remote statistics Input bytes 94404820 1896 bps 6685 Output bytes 9553700 952 bps 2078 Input packets 111689 4 pps 50 精品文档 11欢迎下载 Output packets 59369 2 pps 29 Traffic statistics Input bytes 97391236 Output bytes 10806 Next n Quit q or ESC Freeze f Thaw t Clear c Interface i root monitorroot monitor traffictraffic interfaceinterface ge 0 0 0ge 0 0 0 动态报文抓取动态报文抓取 verbose output suppressed use or for full protocol decode Address resolution is ON Use to avoid any reverse lookup delay Address resolution timeout is 4s Listening on ge 0 0 0 0 capture size 96 bytes Reverse lookup for 172 56 1 23 failed check DNS reachability Other reverse lookup failures will not be reported Use to avoid reverse lookups on IP addresses 05 41 02 773631 In arp who has 172 56 1 23 tell 172 56 1 24 05 41 02 783007 In arp who has 172 56 1 21 tell 172 56 1 24 05 41 02 787524 In arp who has 172 56 6 135 tell 172 56 7 3 05 41 02 884849 In IPX 00000000 00 13 8f 74 bc 19 0455 00000000 ff ff ff ff ff ff 0455 ipx netbios 50 05 41 03 437039 In arp who has 172 56 7 41 tell 172 56 1 24 05 41 03 509837 Out IP truncated ip 10 bytes missing 172 56 3 34 55730 domain 51866 domain 05 41 03 568547 In STP 802 1d Config Flags none bridge id 8000 00 06 53 48 8a 80 8010 length 43 精品文档 12欢迎下载 05 41 03 678096 In IPX 00000000 00 13 8f 74 bc 19 0455 00000000 ff ff ff ff ff ff 0455 ipx netbios 50 2 1 52 1 5 接口的初始化接口的初始化 接口说明 root clicli 进入操作模式进入操作模式 root root showshow interfacesinterfaces 查看接口状态查看接口状态 调整输出详细程度调整输出详细程度 root show intefaces terse root show interfaces brief root show interfaces detail root show interfaces extensive 由上到下查看接口的信息越来越详细由上到下查看接口的信息越来越详细 root show interfaces detail match fe 0 0 0 使用管道符匹配特定关键字使用管道符匹配特定关键字 root help reference security policy security 查看配置参考信息查看配置参考信息 root help apropos security 帮助搜索关键字相关的操作命令帮助搜索关键字相关的操作命令 root configureconfigure 进入配置模式进入配置模式 edit 精品文档 13欢迎下载 root root showshow interfacesinterfaces 查看接口配置状态查看接口配置状态 为接口配置 IP 地址的两种方法 setset 配置 配置 root set interfaces ge 0 0 0 0 family inet address 1 1 1 1 24 为接口配置为接口配置 IPIP 地址地址 root show interfaces ge 0 0 0 0 family inet 查看接口配置查看接口配置 address 1 1 1 1 24 editedit 配置直接指定到某个层级 配置直接指定到某个层级 edit root edit interfaces ge 0 0 0 0 family inet 在该层级下为接口配置在该层级下为接口配置 edit interfaces ge 0 0 0 0 family inet root setset addressaddress 1 1 1 1 24 配置配置 IPIP 地址地址 edit interfaces ge 0 0 0 0 family inet root upup 返回上一级 一层一层的退出 也可以使用返回上一级 一层一层的退出 也可以使用 exitexit 和和 toptop 退出到退出到 edit edit edit interfaces Root show root setset systemsystem syslogsyslog filefile monitor logmonitor log anyany anyany 创建名字为创建名字为 monitor monitor loglog 的日志的日志 root setet systemsystem syslogsyslog filefile monitor logmonitor log matchmatch 172 56 3 34 监控接口监控接口 root runrun monitormonitor startstart monitor logmonitor log 开始监控开始监控 root run monitormonitor stopstop 停止监控停止监控 精品文档 14欢迎下载 删除配置 删除配置 root deletedelete interfacesinterfaces ge 0 0 0 0ge 0 0 0 0 普通删除配置命令普通删除配置命令 root wildcardwildcard deletedelete interfacesinterfaces fe 0 fe 0 通配符匹配删除配置命令通配符匹配删除配置命令 matched fe 0 0 0 matched fe 0 0 1 matched fe 0 0 2 matched fe 0 0 3 matched fe 0 0 4 matched fe 0 0 5 matched fe 0 0 6 matched fe 0 0 7 delete 8 objecgts yes no no yes 配置配置 address bookaddress book address book 就是为地址命名 以便调用 edit root edit security zones security zone outside 配置配置 outsideoutside 区域区域 address bookaddress book edit security zones security zone outside root set address book address out address 172 56 3 0 16 把接口把接口 IPIP 放入地址薄放入地址薄 out addressout address edit security zones security zone outside root up edit security zones root edit security zone inside 配置配置 insideinside 区域区域 address address 精品文档 15欢迎下载 bookbook edit security zones security zone inside root set address book address in address 10 1 1 0 24 把接口把接口 IPIP 放入地址薄放入地址薄 inin address address edit security zones security zone inside root exit edit security zones root exit 配置配置 applicationapplication edit root editedit applicationsapplications applicationapplication tcp 1752tcp 1752 定义服务名字定义服务名字 edit applications application tcp 1752 root setset protocolprotocol tcptcp source portsource port 17521752 destination portdestination port 17521752 定义协议及端口号定义协议及端口号 edit root showshow applicationsapplications application tcp 1752 protocol tcp source port 1752 destination port 1752 配置配置 applicationapplication set set edit root set applications application set web mgtweb mgt application junos ssh 配置应用服配置应用服 务集务集 web mgtweb mgt 精品文档 16欢迎下载 edit root set applications application set web mgtweb mgt application junos ping edit root set applications application set web mgtweb mgt application junos pc anywhere edit root set applications application set web mgtweb mgt application junos http edit root set applications application set web mgtweb mgt application junos ftp root showshow applicationsapplications 查看查看 applicationsapplications application set web mgt application junos ssh application junos ping application junos pc anywhere application junos http application junos ftp 替换配置 替换配置 root set interfaces ge 0 0 0 0 family inet address 1 1 1 1 24 root show interfaces ge 0 0 0 ge 0 0 0 unit 0 family inet address 1 1 1 1 24 精品文档 17欢迎下载 root replacereplace patternpattern ge 0 0 0 withwith ge 0 0 1 一个接口取代另一个接口的一个接口取代另一个接口的 配置配置 root show interfaces ge 0 0 1 ge 0 0 1 unit 0 family inet address 1 1 1 1 24 复制配置 复制配置 root set interfaces ge 0 0 0 0 family Ethernet swithing vlan root copycopy interfaces ge 0 0 0 0 toto ge 0 0 1 0 复制接口配置复制接口配置 配置模式下的配置模式下的 showshow root showroot show 查看配置查看配置 root showroot show displaydisplay setset 查看查看 setset 格式的配置格式的配置 set version 10 4R5 5 set system time zone asia beijing set system root authentication encrypted password 1 XyydlG84 f46l82dR8C JHUvzFuq9o set system name server 202 96 134 133 set system login user lab uid 2002 set system login user lab class super user set system login user lab authentication encrypted password 1 Y0X8gbap GZNvirOuGhW 4ZAq4xwHF 精品文档 18欢迎下载 set system services ssh set system services telnet set system services web management http interface vlan 0 set system services web management http interface ge 0 0 1 0 set system services web management http interface vlan 3 set system services web management http interface ge 0 0 0 0 set system services web management http interface fe 0 0 4 0 set system services web management https system generated certificate set system services web management https interface vlan 0 set system services web management https interface ge 0 0 1 0 set system syslog file nat log any any set system syslog file nat log match RT FLOW SESSION set system syslog file monitor log any any set system syslog file monitor log match 172 56 3 34 more 基本提交与恢复配置命令 基本提交与恢复配置命令 root commitroot commit 最基本的提交配置命令最基本的提交配置命令 root showroot show comparecompare 查看待提交的配置与当前运行的配置差别查看待提交的配置与当前运行的配置差别 表示增加的 表示增加的 表示减少表示减少 的的 encrypted password 1 XyydlG84 f46l82dR8C JHUvzFuq9o SECRET DATA encrypted password 1 PRX8HyIJ X0uFTlOJ4yn DQYeDiHl10 SECRET DATA edit system services web management http interface vlan 0 ge 0 0 1 0 vlan 3 ge 0 0 0 0 fe 0 0 3 0 精品文档 19欢迎下载 interface vlan 0 ge 0 0 1 0 vlan 3 ge 0 0 0 0 fe 0 0 4 0 edit interfaces fe 0 0 4 unit 0 family inet family ethernet switching edit security zones security zone inside interfaces vlan 3 fe 0 0 4 0 host inbound traffic system services http fe 0 0 3 0 host inbound traffic system services http root rollbackroot rollback 查看可恢复的配置查看可恢复的配置 注意 使用 注意 使用 loadload facroty defaultfacroty default 命令恢复到命令恢复到 出厂配置 出厂配置 Possible completions 精品文档 20欢迎下载 Execute this command 0 2011 08 11 03 11 08 UTC by lab via cli 1 2011 08 10 09 39 44 UTC by lab via cli 2 2011 08 10 07 48 34 UTC by lab via cli 3 2011 08 10 07 40 08 UTC by lab via cli 4 2011 08 10 07 36 20 UTC by lab via cli 5 2011 08 10 07 31 18 UTC by lab via cli 6 2011 08 10 07 25 45 UTC by lab via cli 7 2011 08 10 07 21 26 UTC by lab via cli 8 2011 08 10 07 20 15 UTC by lab via cli 9 2011 08 10 06 51 14 UTC by lab via cli 10 2011 08 10 06 50 16 UTC by lab via cli 11 2011 08 10 06 31 23 UTC by lab via cli 12 2011 08 10 06 29 02 UTC by lab via cli abort more 42 edit root rollbackroot rollback 4 4 恢复某一配置 注意 需要恢复某一配置 注意 需要 commitcommit 之后恢复配置才能之后恢复配置才能 生效生效 root commitroot commit atat 2012 01 012012 01 01 18 00 0018 00 00 在某一日期或时间提交配置命在某一日期或时间提交配置命 令令 root clearroot clear systemsystem commitcommit 清除未被提交的配置清除未被提交的配置 root commitroot commit commentcomment only configuration interfaces only configuration interfaces 为提交的配置进行说明为提交的配置进行说明 调换策略顺序调换策略顺序 Insert security policies from zone zone name to zone zone name 精品文档 21欢迎下载 policy name before after policy name 配置配置 SNMPSNMP 配置系统信息 可配可不配 配置系统信息 可配可不配 setset snmpsnmp locationlocation lablab 设备位置 设备位置 setset snmpsnmp contactcontact labguy labguy 管理员联系方式 管理员联系方式 配置配置 SNMPSNMP 通讯的通讯的 团体名团体名 可理解为通讯密码 必须配置 可理解为通讯密码 必须配置 setset snmpsnmp communitycommunity publicpublic authorizationauthorization read writeread write 在接口上启用在接口上启用 SNMPSNMP 访问 必须配置 访问 必须配置 setset securitysecurity zoneszones security zonesecurity zone trusttrust interfacesinterfaces ge 0 0 0 0ge 0 0 0 0 host inbound traffichost inbound traffic system servicessystem services snmpsnmp Please Please addadd otherother servicesservices asas needed needed 访问控制 可配可不配 建议配置 访问控制 可配可不配 建议配置 setset snmpsnmp communitycommunity publicpublic clientsclients 172 26 0 0 16172 26 0 0 16 setset snmpsnmp communitycommunity publicpublic clientsclients 0 0 0 0 00 0 0 0 0 restrictrestrict 2 1 62 1 6 配置安全策略配置安全策略 精品文档 22欢迎下载 图解 定义图解 定义 outsideoutside 属于属于 InternetInternet insideinside 属于内部局域网 通过属于内部局域网 通过 juniperjuniper 访问访问 InternetInternet 接口的配置及创建不同的区域接口的配置及创建不同的区域 root setset interfacesinterfaces ge 0 0 0 0ge 0 0 0 0 familyfamily inetinet addressaddress 172 56 3 34 16172 56 3 34 16 root setset interfacesinterfaces ge 0 0 1 0ge 0 0 1 0 familyfamily inetinet addressaddress 10 1 1 10 2410 1 1 10 24 为接口为接口 ge 0 0 0ge 0 0 0 ge 0 0 1ge 0 0 1 配置配置 IPIP 地址地址 root setset securitysecurity zoneszones security zonesecurity zone outsideoutside interfacesinterfaces ge 0 0 0 0ge 0 0 0 0 root setset securitysecurity zoneszones security zonesecurity zone insideinside interfacesinterfaces ge 0 0 1 0ge 0 0 1 0 把接口放在不同的区域把接口放在不同的区域 outside outside inside inside 中中 root commitroot commit 提交配置提交配置 root root showshow interfacesinterfaces 查看接口配置信息查看接口配置信息 ge 0 0 0 unit 0 family inet address 172 56 3 34 16 ge 0 0 1 unit 0 family inet address 10 1 1 1 24 rootroot showshow securitysecurity zoneszones 查看查看 zoneszones 的配置信息的配置信息 精品文档 23欢迎下载 security zone inside interfaces ge 0 0 1 0 security zone outside interfaces ge 0 0 0 0 配置路由配置路由 edit root editedit routing optionsrouting options edit routing options rootroot setset s