juniper技术培训ppt课件

1、防火墙技术与实际操作培训王志金Mobilenet.wzjgmail2防火墙运转方式透明方式路由/地址翻译 方式混合方式3防火墙所能实现的普通功能平安功能访问控制NAT会话认证带宽管理VPNAnti-DoS组网功能任务方式路由协议(OSPF, RIP)组播PPPoE DHCP Client/Server, RelayNetScreen 平安架构 5NetScreen DeviceVSYSVirtual System平安体系的构成Virtual Router 1Virtual Router 2Virtual RouterR.T.R.T.Forwarding TableZo

2、ne AZone BZone CZone DZonesE1E2E3E4E5E6E7E8InterfacesFlow1.2.3.4SRC-IP5.6.7.8DST-IP1234SRC-Port80DST-Port6ProtocolSession5.6.7.8SRC-IP1.2.3.4DST-IP80SRC-Port1234DST-Port6ProtocolPolicy CheckA - CPolicy系统管理 7根本原理-接口8根本原理-子接口9根本原理-物理接口10建立Console 口的衔接经过Console口可以直接衔接和管理NetScreen 设备经过Console口衔接的几点益处平安公

3、用的物理端口衔接完成配置不需求衔接网络电缆不需求IP地址可以查看系统引导信息可以实时查看DEBUG或SNOOP的输出信息NetScreenDeviceConsolePort11命令行接口CLI的功能翻开一个终端会话; 运用默许账号登陆login: netscreen password: netscreen登陆后默许就是命令行接口CLI方式运用上、下箭头可调用以前运用过的命令运用 CTL-A 可将光标挪动到当前命令的前端运用CTL-E可将光标挪动到当前命令的末端运用左右箭头可自在挪动命令行中的光标运用 TAB 可快速自动完成命令输入简单易用协助功能运用 ? 可显示一切命令在命令中运用可显示命令格

4、式在命令中运用还可以显示详细命令参数12协助 CLIns208- ?clear clear dynamic system infoexec exec system commandsexit exit command consoleget get system informationping ping other hostreset reset systemsave save commandset configure system parameterstrace-route trace routeunset unconfigure system parameters输入 ?以后, 将显示两列信息

5、:左列显示命令的称号右列显示命令的解释13ns208- get systemProduct Name: NS208Serial Number: 0043042002000034, Control Number: 00000000Hardware Version: 0110(0)-(11), FPGA checksum: 00000000,VLAN1 IP (0.0.0.0)Software Version: 5.0.0.0, Type: Firewall+VPNBase Mac: 0010.db1d.1c30File Name: n200-LAS0z0ad, Checksum: 0000000

6、0Date 04/15/2003 22:06:53, Daylight Saving Time enabledThe Network Time Protocol is DisabledUp 2 hours 31 minutes 14 seconds Since 15 Apr 2003 19:35:39Total Device Resets: 0System in NAT/route mode.Use interface IP, Config Port: 80User Name: netscreenInterface ethernet1: number 0, if_info 0, if_inde

7、x 0, mode nat link up, phy-link up/full-duplex vsys Root, zone Trust, vr trust-vr dhcp disabled *ip 1.1.1.1/24 mac 0010.db1d.1c30 *manage ip 1.1.1.1, mac 0010.db1d.1c30- more -显示防火墙形状信息 - CLI在 CLI中, get system命令可以提供一些关于防火墙系统有价值的信息:System serial numberSoftware versionOperating modeInterface statusInt

8、erface addressManagement addresses14图形界面 - WebUINetScreen 可以提供web图形界面的管理接口给系统管理员所需的最小配置 (ie阅读器. 和一个 IP 地址)PC 可以配置一个和防火墙一样子网的IP地址来访问防火墙的WEBUI经过用户名密码访问15主页 - WebUI主页显示的信息与 get system 输出的信息类似16管理访问 配置概述为IP衔接配置接口分配地址选择管理效力管理IP地址 (可选)更改根管理员密码创建系统管理员管理选项超时管理IP地址17配置平安域/接口 - WebUINetwork Interfaces (edit)1

9、8选择管理效力 WebUI默许形状下防火墙平安域的管理效力配置Trust平安域: 一切效力翻开其他平安域: 一切效力都封锁NetworkInterfacesEdit19管理IP地址管理IP可以单独定义，默许采用接口IP地址set interface manage-ip set interface e1 manage-ip 1.1.1.250NetworkInterfacesEdit20校验接口配置 - WebUINetworkInterfacesEdit21设备管理员NetScreen 设备管理员可具有不同的管理权限根管理员是 ScreenOS预定义的根管理员可以创建不同权限的其他本地管理员点

10、击 new 创建新的本地管理员Click to view settings for Root accountConfigurationAdminAdministrators22更改根管理员用户名/密码ConfigurationAdminAdministratorsset admin name set admin password 23创建系统管理员ConfigurationAdminAdministratorsset admin user name password privilege all | read-only24超时设置- Console经过CONSOLE口来设置系统超时默许值是10分

11、钟假设要封锁次功能，那么将其设置为0set console timeout ns208 set console timeout 525超时设置 - WebUIset admin auth timeout ConfigurationAdminManagement26管理IP地址为了提供更高的平安保证，NETSCREEN设备可以经过设置Manage-ip来允许某些特定的地址来管理防火墙经过 Permitted IP 来定义可信的管理地址Permitted IP 地址内容包括一个有点和十位数值的掩码可以是一台主机, 一个子网, 一组子网, 一段网络, etc.每个设备做多配置6条先前提到如 限制管理

12、IP27配置允许管理防火墙的IP地址范围set admin manager-ip ns208- set admin manager-ip 1.1.7.250 255.255.255.255ns208- set admin manager-ip 1.1.1.0 255.255.255.0ConfigurationAdminPermitted IPs28配置文件管理 WebUIConfigurationUpdateConfig File29ConfigurationUpdateScreenOS/Keys晋级防火墙操作系统 - WebUI运转方式1. 透明方式32什么是透明方式?防火墙接口任务在2层

13、方式下，类似于交换机，桥接方式Learning, Flooding, Forwarding, Filtering透明方式允许在2层平安域之间经过战略控制流量10.1.0.0/16E1E3zoneV1-TrustzoneV1-DMZzoneV1-UntrustE233V1-Untrust透明方式的作用可以简单快速的部署防火墙到现有网络中不需求改动现有网络拓扑构造“Drop it in 和IP地址设计为隐藏战略没有限制到直连的子网加强的平安VPNs 可以终结到netscreen设备在基于路由的ACLs上平安域提供流量控制V1-Trust10.1.0.0/16V1-DMZBBDABC10.100.1

14、.0/1610.200.1.0/16E34第二层平安域Pre-defined - “V1 zonesV1-TrustV1-UntrustV1-DMZUser-defined Layer-2 (L2) zonesWhen creating a L2 zone, its name must begin with “L2-Int.Zone35VLAN1 接口逻辑的3层接口存在于VLAN平安域中允许一个ip地址分配到netscreen设备 透明方式必需和其他设备在同一个子网支持Manage-IP 一切的物理接口不能呼应ARPV1-Trust1.1.1.101.1.1.111.1.1.12V1-DMZV

15、1-UntrustVLAN1 is a logical interface which is accessible fromany transparent zoneVLAN1 interface: 1.1.1.210/24E1E3E2ABC36配置透明方式创建2层平安域 (假设不创建可以运用默许的2层域)分配接口到2层平安域为管理防火墙配置VLAN1 地址3a. 配置IP 地址3b. 选择广播方法3c. 配置管理效力(可选) 给每个平安域配置管理效力在透明平安域之间配置平安战略2. 路由/地址翻译 方式 383层方式ExternalZonePrivateZone1.1.70.2501.1.70

16、.0/2410.1.10.510.1.20.0/24B10.1.10.0/24PublicZone10.1.20.5.254200.5.5.5ABCD10.1.1.0/2410.1.2.0/24.1.254.1.2541.1.7.0/241.1.8.0/24.254.1InterfaceAddressE110.1.1.1E210.1.2.1E71.1.7.1E81.1.8.139需求路由ExternalZonePrivateZone1.1.70.2501.1.70.0/2410.1.10.510.1.20.0/24B10.1.10.0/24PublicZone10.1.20.5.254200.

17、5.5.5ABCD10.1.1.0/2410.1.2.0/24.1.254.1.2541.1.7.0/241.1.8.0/24.254.1How do I get to host 10.1.10.5?NetworkInterfaceNext Hop10.1.1.0/24E1-10.1.2.0/24E2- 1.1.7.0/24E7-1.1.8.0/24E8-40静态路由ExternalZonePrivateZone1.1.70.2501.1.70.0/2410.1.10.510.1.20.0/24B10.1.10.0/24PublicZone10.1.20.5.254200.5.5.5ABCD1

18、0.1.1.0/2410.1.2.0/24.1.254.1.2541.1.7.0/241.1.8.0/24.254.1NetworkInterfaceNext Hop10.1.1.0/24E1-10.1.2.0/24E2- 1.1.7.0/24E7-1.1.8.0/24E8-10.1.10.0/24E110.1.1.25441默许路由ExternalZonePrivateZone1.1.70.2501.1.70.0/2410.1.10.510.1.20.0/24B10.1.10.0/24PublicZone10.1.20.5.254200.5.5.5ABCD10.1.1.0/2410.1.2.

19、0/24.1.254.1.2541.1.7.0/241.1.8.0/24.254.1NetworkInterfaceNext Hop10.1.1.0/24E1-10.1.2.0/24E2- 1.1.7.0/24E7-1.1.8.0/24E8-10.1.10.0/24E110.1.1.2540.0.0.0/0E81.1.8.25442平安域和接口严厉的等级关系在分配接口ip地址之前必需分配接口到平安域Int.ZoneZoneIPInt.43配置3层方式创建平安域 (假设没有可以运用默许)分配接口到平安域分配ip地址到接口配置静态路由44步骤1: 创建平安域set zone name Exampl

20、e:ns208- set zone name PrivateNetwork Zones45步骤2: 分配接口到平安域Network Interfaces (Edit)set interface zone ns208- set interface e8 zone untrust46步骤4: 配置静态路由set route / interface gateway Example:ns208- set route 10.1.10.0/24 interface e1 gateway 10.1.1.254Network Routing Destination Edit47校验接口配置Network In

21、terfacesns208- get interfaceA - Active, I - Inactive, U - Up, D - Down, R - ReadyInterfaces in vsys Root:Name IP Address Zone MAC VLAN State VSDeth1 10.1.1.1/24 Private 0010.db1d.1be0 - U -eth2 0.0.0.0/0 V1-DMZ 0010.db1d.1be4 - D -eth3 0.0.0.0/0 V1-Untrust 0010.db1d.1be5 - D -eth4 0.0.0.0/0 Private

22、0010.db1d.1be6 - D -eth5 0.0.0.0/0 Untrust 0010.db1d.1be7 - D -eth6 0.0.0.0/0 Null 0010.db1d.1be8 - D -eth7 1.1.7.1/24 Public 0010.db1d.1be9 - U -eth8 1.1.8.1/24 External 0010.db1d.1bea - U -vlan1 0.0.0.0/0 VLAN 0010.db1d.1bef 1 D -48校验静态路由 WebUINetwork Routing Destination49校验静态路由 - CLIns208- get ro

23、uteuntrust-vr (0 entries)-C - Connected, S - Static, A - Auto-Exported, I - Imported, R - RIPiB - IBGP, eB - EBGP, O - OSPF, E1 - OSPF external type 1E2 - OSPF external type 2trust-vr (9 entries)- ID IP-Prefix Interface Gateway P Pref Mtr Vsys-* 7 0.0.0.0/0 eth8 1.1.8.254 S 20 1 Root* 8 10.1.1.0/24

24、eth1 1.1.1.10 S 20 1 Root 9 10.2.1.0/24 eth2 1.1.2.10 S 20 1 Root* 6 1.1.8.0/24 eth8 0.0.0.0 C 0 0 Root 11 10.3.1.0/24 eth3 1.1.3.10 S 20 1 Root* 5 1.1.7.0/24 eth7 0.0.0.0 C 0 0 Root 4 1.1.3.0/24 eth3 0.0.0.0 C 0 0 Root 3 1.1.2.0/24 eth2 0.0.0.0 C 0 0 Root* 2 1.1.1.0/24 eth1 0.0.0.0 C 0 0 Root50网络地址

25、翻译(NAT)ExternalZonePrivateZone10.1.10.510.1.10.0/24.254200.5.5.5AD10.1.1.0/24.1.2541.1.8.0/24SrcIPDstIPProtocolSrc PortDstPort10.1.10.5200.5.5.56200080SrcIPDstIPProtocolSrc PortDstPort1.1.8.1200.5.5.56102480内部私有地址翻译到一个注册有效的外部地址方法参考网络地址端口翻译 (NAPT)51基于战略的 NATe8: 1.1.8.1NAT-src10.1.1.5200.100.8.51.1.8.

26、1200.100.8.5SADASADA10.1.20.5:21200.100.8.51.1.8.100:21200.100.8.5NAT-dstSADASADAMIP10.1.1.5200.100.8.51.1.8.2200.100.8.5200.100.8.510.1.1.5200.100.8.51.1.8.2SADASADAVIP10.1.20.5:21200.100.8.5200.100.8.51.1.8.100:2110.1.30.5:80200.100.8.5SADASADA200.100.8.51.1.8.100:80根本战略配置 53平安域和战略平安域之间的流量必需经过战略检查

27、内部平安域的流量可以经过战略检查，不是必需的ExternalZonePrivateZone1.1.70.2501.1.70.0/2410.1.10.510.1.20.0/24B10.1.10.0/24PublicZone10.1.20.5.254200.5.5.5ABCD10.1.1.0/2410.1.2.0/24.1.254.1.2541.1.7.0/241.1.8.0/24.254.154 Src IP Dest IP Protocol Src Port Dst Port Data 10.1.10.5 1.1.70.250 06 36033 80 #$%&战略的构成Source & DestinationAddress BookAddress GroupServicePre-defined ServiceCustom ServiceCustom Service GroupActionPermitDenyTunnelOptionsCovered in next chapter55战略配置过程在每个平安域中创建地址本条目为他的网络需求配置一些定制的效力创建战略条目适当设置战略的排序56步骤1: 地址本条目ExternalZonePrivateZone1.1.70.2501.