Juniper-SSG5(NS5GT)防火墙配置手册

可编辑 精品文档 JuniperSSG-5(NS-5GT)防火墙配置手册 VPN 27可编辑精品文档初始化设置1.将防火墙设备通电，连接网线从防火墙e0\2口连接到电脑网卡。2.电脑本地连接设置静态IP地址，IP地址192.168.1.2(在192.168.1.0/24都可以)，子网3.设置好IP地址后，测试连通，在命令行ping192.168.1.1，如下图：精品文档No,skip——，然后点击下面的Next：5.在登录页面输入用户名，密码，初始均为netscreen，如下图：精品文档WithClient选项，如下图：7.选择Interfaces–List，在页面中间点击bgroup0最右侧的Edit，如下图：精品文档精品文档Internet网络设置1.修改本地IP地址为本地内网IP地址，如下图：2.从IE浏览器打开防火墙web页面，输入用户名密码登陆，如下图：精品文档3.选择Interfaces–List，点击页面中ethernet0/0最右侧的Edit选项，如下图：类型选择)A．第一种设置IP地址是通过DHCP端获取IP地址，如下图：精品文档B．第二种设置IP地址的方法是通过PPPoE拨号连接获取IP，如下图，然后选择Createnewpppoesetting，InstanceBoundtoInterface选择ethernet0/0，Username和Password输入ADSL账号密码，之后OK，如下图：精品文档PPPoE拨号设置完毕之后，点击Connect，如下图：PPPoE一栏有一个红叉，表示此连接已经设置但未连接成功，如连接成功会显示绿勾。精品文档C．第三种设置IP地址方法是设置固定IP地址，如下图：选择StaticIP，输入IP地址和ManageIP：10.10.10.1/30，勾选WebUI，Telnet，SSH，然后点OK。精品文档设置静态IP地址之后，需要设置一个路由下一跳才能正常使用，选择Routing–Destination，点击右上角New，如下图：IPAddress/Newmask设置0.0.0.0/0，NextHop选择Gateway，Interface选择精品文档5.设置DNS服务器(如果是DHCP或PPPoE可能无需设置此项)，选择Network–DNSHost，在如下图可以输入主机名称和DNS服务器地址。精品文档t精品文档9．再选择Network–DHCP，点击Address，出现如下图，输入分配地址池：精品文档精品文档一般策略设置List页面选择Trust，然后点击New，如下图：AddressNameIP置识别名称，然后在下面输入具体IP，如下图：精品文档4．再设置一个指定IP地址，如下图：精品文档中间页面的Zone选择Trust，点击右侧的New。精品文档7．为此IP组起识别名称，下面将需要加入组的IP添加到组里，点OK，如下图：cyElementsServicesCustoms下图：点击右侧New精品文档9．输入此自定义服务的识别名称，然后下面可以选择服务类型和服务端口，如下图：精品文档Groups12．为此定制服务组设置识别名称，将需要的服务添加进入，点击OK。精品文档14．策略设置，此处可以直接使用之前设置的指定IP地址(组)，自定义服务(组)。精品文档15．如也可以设置FromTrusttoUntrust，如下图：16．策略设置页面如下图，设置名称，选择源地址和目的地址，服务类型等，最后选择精品文档精品文档20．可以点击ID为1的策略右侧的双箭头符号，出现脚本提示点确定，精品文档21．这样可以把ID为1的策略放到下面，如下图策略含义为从Trust口到Untrust口的流量中，来自IT组的IP地址到任意目的地，服务类型属于CTG-APP中的流量允许通过，所有流量都拒绝。22．可以为策略设置时间表，选择Policy–Schedules，如下图：点击New精品文档23．输入时间表名称worktime，设置周期时间。精品文档VPN连接设置设置VPN网络连接，根据具体情况有多种方法可选：A．方法一，通讯双方端口均为静态IP地址，配置如下：1．设置对端网关信息，和本地LocalID(可选)，如下图：IP地址为对端公网IP，之后点击Advanced精品文档2．PresharedKey输入一串共享密钥，对端需要设置同样密钥才可成功连接，其他默认即可，点击下面OK3．设置双端IKEVPN端口认证，选择VPNs–AutoKeyIKE，输入VPN名称，之后Predefined选择已经设置好的Gateway，之后点Advanced，里面设置logging即可，之后点OK。精品文档之后在如下页面输入源地址，目的地址，服务类型，Action选择Tunnel，TunnelVPN选择设置好的VPNIKE，下面勾选ModifymatchingbidirectionalVPNpolicy，勾选Logging，勾选PositionatTop，之后点Advanced精品文档6．在下面勾选Counting，其他默认，点击OK，精品文档B．方法二，通讯双方有一个端口为静态IP地址，另一个端口IP地址为动态。1．如果本地IP为ADSL，IP地址会发生变化，则需要使用LocalID设置Gateway，选择VPNs–AutoKeyAdvanced–Gateway，输入对端公网IP地址，选择ACVPN-Dynamic，LocalID输入本地名称(如bj)2．则对端设置Gateway时，需要如下图设置，不输入对端IP地址，选择DynamicIPAddress，PeerID输入对端LocalID(如bj)。之后步骤同方法一中的2-7步骤。精品文档C．通过向导设置VPN连接1．选择Wizards–Router-based，出现如下图向导页面，选择源端口和目的端口类型2．选择Makenewtunnelinterface，选择ethernet0/0(trust-vr)，选择Next精品文档3．选择LAN-to-LAN，如下图：ticIPRemoteStaticIP精品文档5．输入对端公网IP地址，如192.168.