《Juniper 防火墙上线标准模板@2016》.docVIP

CCB一级分行服务器区防火墙 上线标准模板 一、大规模分行（ISG2000） 1. 产品外观及接口标识： 2. ISG2000实物连接拓扑结构 3. 配置模板 以下配置如无标注，都为系统默认设置。红色的为特别需要注意的，必须所有分行统一化的设置。 主防火墙配置： set clock dst-off /*设置timezone 为8，实际上用你的电脑的时间同步以下防火墙，就可以了,在Web界面里有个时间同步的页面*/ set clock timezone 8 set clock dst recurring start-weekday 2 0 3 02:00 end-weekday 1 0 11 02:00 set vrouter trust-vr sharable set vrouter untrust-vr exit set vrouter trust-vr unset auto-route-export exit /*设置协议对象，各分行自行定义。建议不要定义长的超时时间，对于长连接应用，如果找不全，就通过设置不检测TCP标志位来全局解决*/ set service XXX protocol tcp XXXXXX /*全局关闭一些ALG，初上线时必须按照如下设置*/ unset alg sip enable unset alg mgcp enable unset alg sccp enable unset alg sunrpc enable unset alg msrpc enable unset alg sql enable unset alg rtsp enable unset alg h323 enable /*认证和管理员属性的一些默认设置*/ set auth-server Local id 0 set auth-server Local server-name Local set auth default auth server Local set auth radius accounting port 1646 set admin name netscreen set admin password nKVUM2rwMUzPcrkG5sWIHdCtqkAibn set admin auth timeout 10 set admin auth server Local set admin format dos /*设置安全区所属的虚拟路由器，实际上我们用到的只有Trust和Untrust两个zone,把这两个zone都放进Untrust-VR*/ set zone Trust vrouter untrust-vr set zone Untrust vrouter untrust-vr set zone DMZ vrouter trust-vr set zone VLAN vrouter trust-vr set zone Untrust-Tun vrouter trust-vr /*Zone内的一些安全设置，关闭一些可能带来连通性问题的安全设置。*/ unset zone Trust tcp-rst unset zone Untrust block unset zone Untrust tcp-rst set zone DMZ tcp-rst set zone VLAN block unset zone VLAN tcp-rst /*为保证连通性，牺牲一些安全性，关闭一些抗网络层攻击功能*/ unset zone Untrust screen tear-drop unset zone Untrust screen syn-flood unset zone Untrust screen ping-death unset zone Untrust screen ip-filter-src unset zone Untrust screen land set zone V1-Untrust screen tear-drop set zone V1-Untrust screen syn-flood set zone V1-Untrust screen ping-death set zone V1-Untrust screen ip-filter-src set zone V1-Untrust screen land /*把e3/1和e3/2两个口放到HA zone里，做HA口使用，用反绞线直接连接，不要通过交换机连接*/ set interface ethernet3/1 zone HA set interface ethernet3/2 zone HA /*把e