1、 通过 Web 浏览器方式管理.推荐使用 IE 浏览器进行登录管理,需要知道防火墙对应端口的管理 IP 地址; 命令行方式.支持通过 Console 端口超级终端连接和 Telnet 防火墙管理 IP 地址连接两种命令行登录管理模式. Juniper 防火墙默认端口绑定说明: 型号 端口命名方式(从左往右计数) 配置界面端口形式 NS-5GT 1 口为 Untrust 接口;2-4 口为 Trust 接口; Interface:untrust,trust NS25 1 口为 Trust 接口;2 口为 DMZ 接口;3 口为 Untrust接口;4 口为 Null Interface:1 口为
2、 ethernet1,2 口为 ethernet2,其他接口顺序后推 NS50-204 1 口为 Trust 接口;2 口为 DMZ 接口;3 口为 Untrust接口;4 口为 HA 接口 Interface:1 口为 ethernet1,2 口为 ethernet2,其他接口顺序后推 NS208 1 口为 Trust 接口;2 口为 DMZ 接口;3 口为 Untrust接口;4-7 口为 Null 接口;8 口为 HA 接口; Interface:1 口为 ethernet1,2 口为 ethernet2,其他接口顺序后推 SSG5 1 口为 Untrust 接口;2 口为 DMZ 接口
3、;3-7 口为 Trust接口; Interface:1 口为 ethernet0/0,2 口为 ethernet0/1,其他接口顺序后推 SSG20 1 口为 Untrust 接口 ;2 口为 DMZ 接口;3-5 口为 Trust接口; Interface:1 口为 ethernet0/0,2 口为 ethernet0/1,其他接口顺序后推 SSG140 1 口为 Trust 接口;2 口为 DMZ 接口;3 口为 Untrust接口;4-10 口为 Null 接口; Interface:1 口为 ethernet0/0,2 口为 ethernet0/1,其他接口顺序后推 SSG520-5
4、50 1 口为 Trust 接口 ;2 口为 DMZ 接口;3 口为 Untrust接口;4 口为 Null 接口; Interface:1 口为 ethernet0/0,2 口为 ethernet0/1,其他接口顺序后推 Juniper 防火墙缺省管理端口和 IP 地址: Juniper 防火墙出厂时可通过缺省设置的 IP 地址使用 Telnet 或者 Web 方式管理.缺省IP 地址为:192.168.1.1/255.255.255.0; 缺省 IP 地址通常设置在防火墙的 Trust 端口上(NS-5GT),最小端口编号的物理端口上(NS-25/50/204/208/SSG 系列),或者
5、专用的管理端口上(ISG-1000/2000,NS-5200/5400). Juniper 防火墙缺省登录管理账号: 用户名:netscreen; 密 码:netscreen. 1.3,Juniper 防火墙的常用功能 在一般情况下,防火墙设备的常用功能包括:透明模式的部署,NAT/路由模式的部署,NAT 的应用 ,MIP 的应用,DIP 的应用,VIP 的应用,基于策略 VPN 的应用. 本安装手册将分别对以上防火墙的配置及功能的实现加以说明. 注:在对 MIP/DIP/VIP 等 Juniper 防火墙的一些基本概念不甚了解的情况下,请先到本手册最后一章节内容查看了解! 2,Juniper
6、 防火墙三种部署模式及基本配置 Juniper 防火墙在实际的部署过程中主要有三种模式可供选择,这三种模式分别是: 基于 TCP/IP 协议三层的 NAT 模式; 基于 TCP/IP 协议三层的路由模式; 基于二层协议的透明模式. 2.1,NAT 模式 当 Juniper 防火墙入口接口(“内网端口“) 处于 NAT 模式时,防火墙将通往 Untrust 区(外网或者公网)的 IP 数据包包头中的两个组件进行转换: 源 IP 地址和源端口号. 防火墙使用 Untrust 区( 外网或者公网)接口的 IP 地址替换始发端主机的源 IP 地址;同时使用由防火墙生成的任意端口号替换源端口号. NAT
7、 模式应用的环境特征: 注册 IP 地址(公网 IP 地址)的数量不足; 内部网络使用大量的非注册 IP 地址( 私网 IP 地址)需要合法访问 Internet; 内部网络中有需要外显并对外提供服务的服务器. 2.2,Route 模式 当 Juniper 防火墙接口配置为路由模式时,防火墙在不同安全区间(例如:Trust/Utrust/DMZ)转发信息流时 IP 数据包包头中的源地址和端口号保持不变 (除非明确采用了地址翻译策略). 与 NAT 模式下不同,防火墙接口都处于路由模式时,防火墙不会自动实施地址翻译; 与透明模式下不同,当防火墙接口都处于路由模式时,其所有接口都处于不同的子网中.
8、 路由模式应用的环境特征: 防火墙完全在内网中部署应用; NAT 模式下的所有环境; 需要复杂的地址翻译. 2.3,透明模式 当 Juniper 防火墙接口处于“透明“模式时,防火墙将过滤通过的 IP 数据包,但不会修改 IP 数据包包头中的任何信息.防火墙的作用更像是处于同一 VLAN 的 2 层交换机或者桥接器,防火墙对于用户来说是透明的. 透明模式是一种保护内部网络从不可信源接收信息流的方便手段.使用透明模式有以下优点: 不需要修改现有网络规划及配置; 不需要实施 地址翻译; 可以允许动态路由协议,Vlan trunking 的数据包通过. 2.4,基于向导方式的 NAT/Route 模
9、式下的基本配置 Juniper 防火墙 NAT 和路由模式的配置可以在防火墙保持出厂配置启动后通过 Web浏览器配置向导完成. 注:要启动配置向导,则必须保证防火墙设备处于出厂状态.例如:新的从未被调试过的设备,或者经过命令行恢复为出厂状态的防火墙设备. 通过 Web 浏览器登录处于出厂状态的防火墙时 ,防火墙的缺省管理参数如下: 缺省 IP:192.168.1.1/255.255.255.0; 缺省用户名/密码:netscreen/ netscreen; 注:缺省管理 IP 地址所在端口参见在前言部份讲述的 “Juniper 防火墙缺省管理端口和 IP 地址“中查找! 在配置向导实现防火墙应
10、用的同时,我们先虚拟一个防火墙设备的部署环境,之后,根据这个环境对防火墙设备进行配置. 防火墙配置规划: 防火墙部署在网络的 Internet 出口位置,内部网络使用的 IP 地址为192.168.1.0/255.255.255.0 所在的网段,内部网络计算机的网关地址为防火墙内网端口的 IP 地址:192.168.1.1; 防火墙外网接口 IP 地址( 通常情况下为公网 IP 地址,在这里我们使用私网 IP 地址模拟公网 IP 地址)为:10.10.10.1/255.255.255.0,网关地址为:10.10.10.251 要求: 实现内部访问 Internet 的应用. 注:在进行防火墙设
11、备配置前,要求正确连接防火墙的物理链路;调试用的计算机连接到防火墙的内网端口上. 1. 通过 IE 或与 IE 兼容的浏览器(推荐应用微软 IE 浏览器)使用防火墙缺省 IP 地址登录防火墙(建议:保持登录防火墙的计算机与防火墙对应接口处于相同网段,直接相连). 2. 使用缺省 IP 登录之后,出现安装向导: 注:对于熟悉 Juniper 防火墙配置的工程师 ,可以跳过该配置向导,直接点选:No,skip the wizard and go straight to the WebUI management session instead,之后选择 Next,直接登录防火墙设备的管理界面. 3.
12、 使用向导配置防火墙,请直接选择:Next,弹出下面的界面: 4. “欢迎使用配置向导“,再选择 Next. 注:进入登录用户名和密码的修改页面,Juniper 防火墙的登录用户名和密码是可以更改的,这个用户名和密码的界面修改的是防火墙设备上的根用户,这个用户对于防火墙设备来说具有最高的权限,需要认真考虑和仔细配置,保存好修改后的用户名和密码. 5. 在完成防火墙的登录用户名和密码的设置之后,出现了一个比较关键的选择,这个选择决定了防火墙设备是工作在路由模式还是工作在 NAT 模式: 选择 Enable NAT,则防火墙工作在 NAT 模式; 不选择 Enable NAT,则防火墙工作在路由模
13、式. 6. 防火墙设备工作模式选择,选择:Trust-Untrust Mode 模式.这种模式是应用最多的模式,防火墙可以被看作是只有一进一出的部署模式. 注:NS-5GT 防火墙作为低端设备,为了能够增加低端产品应用的多样性,Juniper 在NS-5GT 的 OS 中独立开发了几种不同的模式应用于不同的环境.目前,除 NS-5GT 以外,Juniper 其他系列防火墙不存在另外两种模式的选择. 7. 完成了模式选择,点击“Next“进行防火墙外网端口 IP 配置.外网端口 IP 配置有三个选项分别是:DHCP 自动获取 IP 地址;通过 PPPoE 拨号获得 IP 地址;手工设置静态 IP
14、地址,并配置子网掩码和网关 IP 地址. 在这里,我们选择的是使用静态 IP 地址的方式,配置外网端口 IP 地址为:10.10.10.1/255.255.255.0,网关地址为:10.10.10.251. 8. 完成外网端口的 IP 地址配置之后,点击“Next“进行防火墙内网端口 IP 配置: 9. 在完成了上述的配置之后,防火墙的基本配置就完成了,点击“Next“进行 DHCP 服务器配置. 注:DHCP 服务器配置在需要防火墙在网络中充当 DHCP 服务器的时候才需要配置.否则请选择“NO“跳过. 注:上面的页面信息显示的是在防火墙设备上配置实现一个 DHCP 服务器功能,由防火墙设备
15、给内部计算机用户自动分配 IP 地址,分配的地址段为:192.168.1.100-192.168.1.150 一共 51 个 IP 地址,在分配 IP 地址的同时,防火墙设备也给计算机用户分配了 DNS 服务器地址,DNS 用于对域名进行解析,如:将 WWW.SINA.COM.CN 解析为 IP 地址:202.108.33.32.如果计算机不能获得或设置 DNS 服务器地址,无法访问互联网. 10. 完成 DHCP 服务器选项设置,点击“Next“ 会弹出之前设置的汇总信息: 11. 确认配置没有问题,点击“Next“会弹出提示“Finish“配置对话框: 在该界面中,点选:Finish 之后
16、,该 Web 页面会被关闭,配置完成. 此时防火墙对来自内网到外网的访问启用基于端口地址的 NAT,同时防火墙设备会自动在策略列表部分生成一条由内网到外网的访问策略: 策略:策略方向由 Trust 到 Untrust,源地址:ANY,目标地址 :ANY,网络服务内容:ANY; 策略作用:允许来自内网的任意 IP 地址穿过防火墙访问外网的任意地址 . 重新开启一个 IE 页面,并在地址栏中输入防火墙的内网端口地址,确定后,出现下图中的登录界面.输入正确的用户名和密码,登录到防火墙之后,可以对防火墙的现有配置进行修改. 总结: 上述就是使用 Web 浏览器通过配置向导完成的防火墙 NAT 或路由模
17、式的应用.通过配置向导,可以在不熟悉防火墙设备的情况下,配置简单环境的防火墙应用. 2.5,基于非向导方式的 NAT/Route 模式下的基本配置 基于非向导方式的 NAT 和 Route 模式的配置建议首先使用命令行开始 ,最好通过控制台的方式连接防火墙,这个管理方式不受接口 IP 地址的影响. 注:在设备缺省的情况下,防火墙的信任区(Trust Zone)所在的端口是工作在 NAT 模式的,其它安全区所在的端口是工作在路由模式的. 基于命令行方式的防火墙设备部署的配置如下(网络环境同上一章节所讲述的环境): 2.5.1,NS-5GT NAT/Route 模式下的基本配置 注:NS-5GT
18、设备的物理接口名称叫做 trust 和 untrust;缺省 Zone 包括:trust 和 untrust,请注意和接口区分开. Unset interface trust ip (清除防火墙内网端口的 IP 地址); Set interface trust zone trust(将内网端口分配到 trust zone); Set interface trust ip 192.168.1.1/24(设置内网端口的 IP 地址,必须先定义 zone,之后再定义 IP 地址); Set interface untrust zone untrust(将外网口分配到 untrust zone); S
19、et interface untrust ip 10.10.10.1/24(设置外网口的 IP 地址); Set route 0.0.0.0/0 interface untrust gateway 10.10.10.251(设置防火墙对外的缺省路由网关地址); Set policy from trust to untrust any any any permit log(定义一条由内网到外网的访问策略.策略的方向是:由 zone trust 到 zone untrust, 源地址为:any, 目标地址为:any,网络服务为 :any,策略动作为:permit 允许,log:开启日志记录 );
20、Save (保存上述的配置文件 ). 2.5.2,非 NS-5GT NAT/Route 模式下的基本配置 Unset interface ethernet1 ip(清除防火墙内网口缺省 IP 地址); Set interface ethernet1 zone trust(将 ethernet1 端口分配到 trust zone); Set interface ethernet1 ip 192.168.1.1/24(定义 ethernet1 端口的 IP 地址); Set interface ethernet3 zone untrust(将 ethernet3 端口分配到 untrust zon
21、e); Set interface ethernet3 ip 10.10.10.1/24(定义 ethernet3 端口的 IP 地址); Set route 0.0.0.0/0 interface ethernet3 gateway 10.10.10.251(定义防火墙对外的缺省路由网关); Set policy from trust to untrust any any any permit log(定义由内网到外网的访问控制策略); Save (保存上述的配置文件 ) 注:上述是在命令行的方式上实现的 NAT 模式的配置 ,因为防火墙出厂时在内网端口(trust zone 所属的端口 )
22、上启用了 NAT,所以一般不用特别设置,但是其它的端口则工作在路由模式下,例如:untrust 和 DMZ 区的端口. 如果需要将端口从路由模式修改为NAT 模式 ,则可以按照如下的命令行进行修改: Set interface ethernet2 NAT (设置端口 2 为 NAT 模式) Save 总结: NAT/Route 模式做防火墙部署的主要模式,通常是在一台防火墙上两种模式混合进行(除非防火墙完全是在内网应用部署,不需要做 NAT-地址转换,这种情况下防火墙所有端口都处于 Route 模式,防火墙首先作为一台路由器进行部署); 关于配置举例,NS-5GT 由于设备设计上的特殊性,因此
23、专门列举加以说明;Juniper在 2006 年全新推出的 SSG 系列防火墙,除了端口命名不一样,和 NS 系列设备管理配置方式一样. 2.6,基于非向导方式的透明模式下的基本配置 实现透明模式配置建议采用命令行的方式,因为采用 Web 的方式实现时相对命令行的方式麻烦.通过控制台连接防火墙的控制口,登录命令行管理界面,通过如下命令及步骤进行二层透明模式的配置: Unset interface ethernet1 ip(将以太网 1 端口上的默认 IP 地址删除); Set interface ethernet1 zone v1-trust(将以太网 1 端口分配到 v1-trust zon
24、e:基于二层的安全区,端口设置为该安全区后,则端口工作在二层模式,并且不能在该端口上配置 IP 地址); Set interface ethernet2 zone v1-dmz(将以太网 2 端口分配到 v1-dmz zone); Set interface ethernet3 zone v1-untrust(将以太网 3 端口分配到 v1-untrust zone); Set interface vlan1 ip 192.168.1.1/24(设置 VLAN1 的 IP 地址为:192.168.1.1/255.255.255.0,该地址作为防火墙管理 IP 地址使用); Set policy
25、 from v1-trust to v1-untrust any any any permit log(设置一条由内网到外网的访问策略); Save(保存当前的配置); 总结: 带有 V1-字样的 zone 为基于透明模式的安全区,在进行透明模式的应用时,至少要保证两个端口的安全区工作在二层模式; 虽然 Juniper 防火墙可以在某些特殊版本工作在混合模式下( 二层模式和三层模式的混合应用),但是通常情况下,建议尽量使防火墙工作在一种模式下 (三层模式可以混用:NAT 和路由). 3,Juniper 防火墙几种常用功能的配置 这里讲述的 Juniper 防火墙的几种常用功能主要是指基于策略的
26、 NAT 的实现,包括:MIP,VIP 和 DIP,这三种常用功能主要应用于防火墙所保护服务器提供对外服务. 3.1,MIP 的配置 MIP 是“一对一 “的双向地址翻译 (转换) 过程.通常的情况是:当你有若干个公网 IP 地址,又存在若干的对外提供网络服务的服务器(服务器使用私有 IP 地址), 为了实现互联网用户访问这些服务器,可在 Internet 出口的防火墙上建立公网 IP 地址与服务器私有 IP 地址之间的一对一映射(MIP),并通过策略实现对服务器所提供服务进行访问控制. MIP 应用的网络拓扑图 : 注:MIP 配置在防火墙的外网端口(连接 Internet 的端口). 3.
27、1.1,使用 Web 浏览器方式配置 MIP 登录防火墙,将防火墙部署为三层模式(NAT 或路由模式); 定义 MIP:Network=Interface=ethernet2=MIP,配置实现 MIP 的地址映射.Mapped IP:公网 IP 地址 ,Host IP:内网服务器 IP 地址 定义策略:在 POLICY 中,配置由外到内的访问控制策略,以此允许来自外部网络对内部网络服务器应用的访问. 3.1.2,使用命令行方式配置 MIP 配置接口参数 set interface ethernet1 zone trust set interface ethernet1 ip 10.1.1.1/
28、24 set interface ethernet1 nat set interface ethernet2 zone untrust set interface ethernet2 ip 1.1.1.1/24 定义 MIP set interface ethernet2 mip 1.1.1.5 host 10.1.1.5 netmask 255.255.255.255 vrouter trust-vr 定义策略 set policy from untrust to trust any mip(1.1.1.5) http permit save 3.2,VIP 的配置 MIP 是一个公网 IP
29、 地址对应一个私有 IP 地址,是一对一的映射关系;而 VIP 是一个公网 IP 地址的不同端口(协议端口如:21,25,110 等)与内部多个私有 IP 地址的不同服务端口的映射关系.通常应用在只有很少的公网 IP 地址,却拥有多个私有 IP 地址的服务器,并且,这些服务器是需要对外提供各种服务的. VIP 应用的拓扑图: 注:VIP 配置在防火墙的外网连接端口上( 连接 Internet 的端口). 3.2.1,使用 Web 浏览器方式配置 VIP 登录防火墙,配置防火墙为三层部署模式. 添加 VIP:Network=Interface=ethernet8=VIP 添加与该 VIP 公网地
30、址相关的访问控制策略. 3.2.2,使用命令行方式配置 VIP 配置接口参数 set interface ethernet1 zone trust set interface ethernet1 ip 10.1.1.1/24 set interface ethernet1 nat set interface ethernet3 zone untrust set interface ethernet3 ip 1.1.1.1/24 定义 VIP set interface ethernet3 vip 1.1.1.10 80 http 10.1.1.10 定义策略 set policy from u
31、ntrust to trust any vip(1.1.1.10) http permit save 注:VIP 的地址可以利用防火墙设备的外网端口地址实现(限于低端设备). 3.3,DIP 的配置 DIP 的应用一般是在内网对外网的访问方面.当防火墙内网端口部署在 NAT 模式下,通过防火墙由内网对外网的访问会自动转换为防火墙设备的外网端口 IP 地址,并实现对外网(互联网)的访问,这种应用存在一定的局限性.解决这种局限性的办法就是DIP,在内部网络 IP 地址外出访问时,动态转换为一个连续的公网 IP 地址池中的 IP地址. DIP 应用的网络拓扑图: 3.3.1,使用 Web 浏览器方式
32、配置 DIP 登录防火墙设备,配置防火墙为三层部署模式; 定义 DIP:Network=Interface=ethernet3=DIP,在定义了公网 IP 地址的 untrust端口定义 IP 地址池; 定义策略:定义由内到外的访问策略 ,在策略的高级(ADV)部分 NAT 的相关内容中,启用源地址 NAT,并在下拉菜单中选择刚刚定义好的 DIP 地址池,保存策略,完成配置; 策略配置完成之后拥有内部 IP 地址的网络设备在访问互联网时会自动从该地址池中选择一个公网 IP 地址进行 NAT. 3.3.2,使用命令行方式配置 DIP 配置接口参数 set interface ethernet1
33、zone trust set interface ethernet1 ip 10.1.1.1/24 set interface ethernet1 nat set interface ethernet3 zone untrust set interface ethernet3 ip 1.1.1.1/24 定义 DIP set interface ethernet3 dip 5 1.1.1.30 1.1.1.30 定义策略 set policy from trust to untrust any any http nat src dip-id 5 permit save 4,Juniper 防火
34、墙 IPSec VPN 的配置 Juniper 所有系列防火墙 (除部分早期型号外 )都支持 IPSec VPN,其配置方式有多种,包括:基于策略的 VPN,基于路由的 VPN,集中星形 VPN 和背靠背 VPN 等.在这里,我们主要介绍最常用的 VPN 模式:基于策略的 VPN. 站点间(Site-to-Site)的 VPN 是 IPSec VPN 的典型应用,这里我们介绍两种站点间基于策略 VPN 的实现方式:站点两端都具备静态公网 IP 地址;站点两端其中一端具备静态公网 IP 地址,另一端动态公网 IP地址. 4.1,站点间 IPSec VPN 配置:staic ip-to-staic
35、 ip 当创建站点两端都具备静态 IP 的 VPN 应用中,位于两端的防火墙上的 VPN 配置基本相同,不同之处是在 VPN gateway 部分的 VPN 网关指向 IP 不同,其它部分相同. VPN 组网拓扑图:staic ip-to-staic ip 4.1.1,使用 Web 浏览器方式配置 登录防火墙设备,配置防火墙为三层部署模式; 定义 VPN 第一阶段的相关配置:VPNs=Autokey Advanced=Gateway 配置 VPN gateway 部分,定义 VPN 网关名称,定义“对端 VPN 设备的公网 IP 地址“ 为本地 VPN设备的网关地址,定义预共享密钥,选择发起
36、VPN 服务的物理端口 ; 在 VPN gateway 的高级(Advanced) 部分,定义相关的 VPN 隧道协商的加密算法,选择 VPN 的发起模式; 配置 VPN 第一阶段完成显示列表如下图; 定义 VPN 第二阶段的相关配置:VPNs=Autokey IKE 在 Autokey IKE 部分,选择第一阶段的 VPN 配置; 在 VPN 第二阶段高级(Advances)部分,选择 VPN 的加密算法; 配置 VPN 第二阶段完成显示列表如下图; 定义 VPN 策略,选择地址和服务信息 ,策略动作选择为 :隧道模式;VPN 隧道选择为:刚刚定义的隧道,选择自动设置为双向策略; 4.1.2
37、,使用命令行方式配置 CLI ( 东京) 配置接口参数 set interface ethernet1 zone trust set interface ethernet1 ip 10.1.1.1/24 set interface ethernet1 nat set interface ethernet3 zone untrust set interface ethernet3 ip 1.1.1.1/24 定义路由 set vrouter trust-vr route 0.0.0.0/0 interface ethernet3 gateway 1.1.1.250 定义地址 set addres
38、s trust Trust_LAN 10.1.1.0/24 set address untrust paris_office 10.2.2.0/24 定义 IPSec VPN set ike gateway to_paris address 2.2.2.2 main outgoing-interface ethernet3 preshare h1p8A24nG5 proposal pre-g2-3des-sha set vpn tokyo_paris gateway to_paris sec-level compatible 定义策略 set policy top name “To/From
39、Paris“ from trust to untrust Trust_LAN paris_office any tunnel vpn tokyo_paris set policy top name “To/From Paris“ from untrust to trust paris_office Trust_LAN any tunnel vpn tokyo_paris save CLI ( 巴黎) 定义接口参数 set interface ethernet1 zone trust set interface ethernet1 ip 10.2.2.1/24 set interface eth
40、ernet1 nat set interface ethernet3 zone untrust set interface ethernet3 ip 2.2.2.2/24 定义路由 set vrouter trust-vr route 0.0.0.0/0 interface ethernet3 gateway 2.2.2.250 定义地址 set address trust Trust_LAN 10.2.2.0/24 set address untrust tokyo_office 10.1.1.0/24 定义 IPSec VPN set ike gateway to_tokyo addres
41、s 1.1.1.1 main outgoing-interface ethernet3 preshare h1p8A24nG5 proposal pre-g2-3des-sha set vpn paris_tokyo gateway to_tokyo sec-level compatible 定义策略 set policy top name “To/From Tokyo“ from trust to untrust Trust_LAN tokyo_office any tunnel vpn paris_tokyo set policy top name “To/From Tokyo“ from
42、 untrust to trust tokyo_office Trust_LAN any tunnel vpn paris_tokyo save 4.2,站点间 IPSec VPN 配置:staic ip-to-dynamic ip 在站点间 IPSec VPN 应用中,有一种特殊的应用,即在站点两端的设备中,一端拥有静态的公网 IP 地址,而另外一端只有动态的公网 IP 地址,以下讲述的案例是在这种情况下,Juniper 防火墙如何建立 IPSec VPN 隧道. 基本原则: 在这种 IPSec VPN 组网应用中,拥有静态公网 IP 地址的一端作为被访问端出现,拥有动态公网 IP 地址的一
43、端作为 VPN 隧道协商的发起端 . 和站点两端都具备静态 IP 地址的配置的不同之处在于 VPN 第一阶段的相关配置 ,在主动发起端( 只有动态公网 IP 地址一端)需要指定 VPN 网关地址,需配置一个本地 ID,配置 VPN 发起模式为:主动模式;在站点另外一端(拥有静态公网 IP 地址一端)需要指定 VPN 网关地址为对端设备的 ID 信息 ,不需要配置本地 ID,其它部分相同 . IPSec VPN 组网拓扑图:staic ip-to-dynamic ip 4.2.1,使用 Web 浏览器方式配置 VPN 第一阶段的配置:动态公网 IP 地址端. VPN 的发起必须由本端开始,动态地
44、址端可以确定对端防火墙的 IP 地址,因此在VPN 阶段一的配置中,需指定对端 VPN 设备的静态 IP 地址 .同时,在本端设置一个 Local ID,提供给对端作为识别信息使用. VPN 第一阶段的高级配置:动态公网 IP 地址端. 在 VPN 阶段一的高级配置中动态公网 IP 一端的 VPN 的发起模式应该配置为:主动 模式(Aggressive) VPN 第一阶段的配置:静态公网 IP 地址端. 在拥有静态公网 IP 地址的防火墙一端,在 VPN 阶段一的配置中 ,需要按照如下图所 示的配置:“Remote Gateway Type“应该选择“Dynamic IP Address“,同
45、时设置 Peer ID(和在动态 IP 地址一端设置的 Local ID 相同). VPN 第二阶段配置,和在“static ip-to-static ip“模式下相同. VPN 的访问控制策略,和在“static ip-to-static ip“模式下相同. 4.2.1,使用命令行方式配置 CLI ( 设备-A) 定义接口参数 set interface ethernet1 zone trust set interface ethernet1 ip 10.1.1.1/24 set interface ethernet1 nat set interface ethernet3 zone unt
46、rust set interface ethernet3 dhcp client set interface ethernet3 dhcp client settings server 1.1.1.5 定义路由 set vrouter trust-vr route 0.0.0.0/0 interface ethernet3 定义用户 set user pmason password Nd4syst4 定义地址 set address trust “trusted network“ 10.1.1.0/24 set address untrust “mail server“ 3.3.3.5/32
47、定义服务 set service ident protocol tcp src-port 0-65535 dst-port 113-113 set group service remote_mail set group service remote_mail add http set group service remote_mail add ftp set group service remote_mail add telnet set group service remote_mail add ident set group service remote_mail add mail set
48、 group service remote_mail add pop3 定义 VPN set ike gateway to_mail address 2.2.2.2 aggressive local-id outgoing-interface ethernet3 preshare h1p8A24nG5 proposal pre-g2-3des-sha set vpn branch_corp gateway to_mail sec-level compatible 定义策略 set policy top from trust to untrust “trusted network“ “mail
49、 server“ remote_mail tunnel vpn branch_corp auth server Local user pmason set policy top from untrust to trust “mail server“ “trusted network“ remote_mail tunnel vpn branch_corp save CLI ( 设备-B) 定义接口参数 set interface ethernet2 zone dmz set interface ethernet2 ip 3.3.3.3/24 set interface ethernet3 zone untrust set interface ethernet3 ip 2.2.2.2/24 路由 set vrouter trust-vr route 0.0
