Juniper安全相关设置及MIPVIPppt课件

1、Juniper FWV根底售后培训 IIEDU-JUNIP-FWV-BEG 2目的Policy根本概念Policy根本设置MIP根本设置VIP根本设置3目的Policy根本概念Policy根本设置MIP根本设置VIP根本设置4Policy根本概念-战略的作用Juniper防火墙对流量的检测、控制包括NAT都是经过战略来实现的。战略可以经过源/目的地址，源/目的端口，协议来控制流量。5Policy根本概念-平安区与战略的关系默许情况下，数据流在本区内通讯，不受战略限制Untrust Zone除外。当数据流跨区时，可以经过战略进展控制。战略可以经过源/目的地址，源/目的端口，协议来影响流量。Unt

2、rustZoneTrustZone/24/24B/24DMZZone.254ABCD/24/.254/24/24.254.16Policy根本概念-Policy的组成Source:经过防火墙的数据的源IP地址。Destination：经过防火墙的数据的目的IP地址。Service：指经过防火墙的数据流的协议类型，比如HTTP、FTP、ICMP等流量。经过对Source、Destination、Service的设定，限定需求做控制的数据流。Action：指防火墙对该数据采取的行动，比如permit，deny、tunnel等。Options：指系统针对该数据流的做得一些附加设置

3、，比如Logging日志功能。7目的Policy根本概念Policy根本设置MIP根本设置VIP根本设置8Policy根本设置- 创建步骤为战略创建特定的地址对象源/目的地址对象。为特定的效力/运用类型创建特定的效力类型。根据数据的走向，创建战略工程，并设置相应的Action。调整战略的顺序，以满足运用的需求。经过Options来加强或改善对该战略的控制。9Policy根本设置- 地址对象的创建IPolicy Policy Elements Addresses List 地址对象是基于Zone的，要查询某个地址对象，必需选择给地址从属的Zone。假设他知道该地址对象的首字母，还可以经过Filt

4、er进展过滤显示。点击“New按钮可以创建新的地址对象。10Policy根本设置- 地址对象的创建IIAddress Name栏填写地址对象的称号。Comment栏填写对地址对象的备注。IP Address栏填写I地址对象所对应的IP地址以及匹配符。要表现主机地址的时候，写法应该是X.X.X.X/32。最后，在Zone旁边的下拉菜单项选择择相应的Zone。11Policy根本设置- 地址与地址组II在Available Members选择适宜的地址对象，经过“按钮，将不需求的地址对象移出该地址组。Policy Policy Elements Addresses Groups Configura

5、tion12Policy根本设置- 地址与地址组IV可以经过Address Summary来查看系统每个Zone可配置的地址数量及已配置的地址数量。Policy Policy Elements Addresses Summary 13Policy根本设置- 效力对象的创建I系统曾经预置了许多常用的运用/效力。假照实践需求一些特定的效力，可以自行创建。Policy Policy Elements Services Custom 14Policy根本设置- 效力对象的创建IIService Name栏填入效力对象的称号。Transport protocol栏选择效力对象的协议类型，普通为TCP或U

6、DP。在Source Port和Destination Port栏填入端口号；普通的效力对象仅限制Destination Port。15Policy根本设置- 效力与效力组I当一条战略需求同时用到多个效力对象时，可以经过设定效力组来一致代表相关的效力对象。同效力对象一样，系统也预置了一些效力组：这些效力组主要针对某些特定的运用而设置。Policy Policy Elements Services Groups 16Policy根本设置- 效力与效力组II在Available Members选择适宜的效力对象，经过“按钮，将不需求的效力对象移出该地址组。17Policy根本设置- 创建战略项I像

7、前面所提到的一样，在创建战略项之前，必需选择数据的走向：从 什么Zone 去 什么Zone。再选择好“From与“To的下拉菜单后，点击“New进入战略项创建菜单。查找战略项，也同样在该页面。假设战略条目众多，可以经过“List下拉菜单项选择择适宜的页面显示条目数；比如“List 20表示在这个页面中最大的同时显示战略条目为20条。Policy Policies18Policy根本设置- 创建战略项II在Source Address和Destination Address的Address Book Entry选择前面创建好的地址对像。在Service的下拉菜单项选择取前面设定好的效力对象。在A

8、ction栏选择相应的处置行为，如permit等。19Policy根本设置- 战略的顺序战略的执行按照先后顺序，即从上而下的寻觅，直到遇到匹配的战略项为止。正常情况下，新的战略永远加在整个战略序列的尾端。在战略序列的尾端，有一条隐含的“deny all的战略项。战略序列的根本陈列原那么：将影响范围越小的战略项放在越前面。战略的调整经过Move的两个按钮来实现。建议运用“。合理安排战略的顺序 详细战略在上，非详细战略在下 回绝战略在上，允许战略在下 默许最后都是Deny20Policy根本设置21Policy根本设置- 战略的Logging ILogging选项将提供匹配该战略条目的流量的日志信

9、息。Logging选项被选择后，该战略条目的Options栏会有相应的条目产生。点击该条目可以看到相关的日志内容。22Policy根本设置- 战略的Logging II23Policy根本设置- 战略的Counting ICounting选项将提供匹配该战略条目的流量的实时统计图表。Counting选项被选择后，该战略条目的Options栏会有相应的条目产生。点击该条目可以看到相关的日志内容。24Policy根本设置- 战略的Counting II25Policy根本设置- 战略的Schedule IPolicy Policy Elements Schedules 26目的Policy根本概念

10、Policy根本设置MIP根本设置VIP根本设置27NAT根本概念-NAT的种类MIPSADASADAVIP:2100:21:80SADASADA00:80Juniper Firewall引进了两种额外的NAT方式:MIP和VIP。MIP是Mapped IP的意思，其特点是提供了双向的NAT功能，相当于NAT-src与NAT-dst的组合；尤其适宜于用户需求把内部的效力器映射到一个公网地址，供Internet访问的需求。VIP是Virtual IP的意思，其特点是可以将同个目的地址的不同端口翻译到不同的地址上去；尤其适宜于用户地址资源有限，许多不同的效力器需求共用同一个公网地址不同的端口的情况

11、。28NAT根本配置-配置MIP I首先，要创建一个MIP，定义好Mapped IP与Host IP。然后，我们要经过一条Policy条目来完成这个NAT。MIPSADASADA29NAT根本配置-配置MIP II在创建MIP时，请选择正确的Interface，普通情况下是带有公网地址的那个Interface。Mapped IP填写该接口处于同Zone的虚拟地址。Host IP填写真实的主机的地址。30NAT根本配置-配置MIP III在Destination Address栏选择预先设置的MIP条目。配置了MIP的战略条目的颜色与其它战略没有不同。31NAT根本配置-配置VIP I首先，要创

12、建一个VIP，定义好Virtual IP Address以及Port。然后，我们要经过一条Policy条目来完成这个NAT。VIP:2100:21:80SADASADA00:8032NAT根本配置-配置VIP II在创建VIP时，请选择正确的Interface，普通情况下是带有公网地址的那个Interface。点击“Add按钮，添加新的Virtual IP Address。点击“New VIP Service按钮，进入VIP Service设置页面；该项可反复运用。Virtual Port填入提供的虚拟端口，Map to Service选项选择真实提供的效力。Map to IP项填写真实的主机

13、地址。33NAT根本配置-配置VIP III在创建VIP时，请选择正确的Interface，普通情况下是带有公网地址的那个Interface。点击“Add按钮，添加新的Virtual IP Address。点击“New VIP Service按钮，进入VIP Service设置页面；该项可反复运用。Virtual Port填入提供的虚拟端口，Map to Service选项选择真实提供的效力。Map to IP项填写真实的主机地址。34NAT根本配置-配置VIP IV在创建MIP时，请选择正确的Interface，普通情况下是带有公网地址的那个Interface。点击“Add按钮，添加新的Virtual IP Address。点击“New VIP Service按钮，进入VIP Service设置页面；该项可反复运用。Virtual Port填入提供的虚拟端口，Map to Service选项选择真实提供的效力。Map to IP项填写真实的主机地址。35NAT根本配置-配置VIP V在创建VIP时，请选择正确的Interface，普通情况下是带有公网地址的那个Interface。点击“Add按