Juniper_FW_模拟实例配置.pptVIP

Policy-Based VPNs Juniper SSG FW模拟实例配置 网络总体拓扑 总部A的基本配置 系统基本参数设定 接口设置以及安全区的划分 内网交换机连接防火墙eth0/2接口，eth0/2接口绑定到bgp3接口；bgp3接口设定为trust区接口。 内网网段为/24，接口地址为。 公网路由器连接防火墙eth0/0接口，eth0/0接口绑定到Untrust区。 公网路由器的地址为4/28，Untrust接口为/28。 设置默认路由 将默认路由指向公网路由器的地址，将出口指向Untrust接口。 设置内网（Trust）到外网（Untrust）的访问策略 系统升级 系统升级 系统升级 系统时间设置 进入SSG系统后首先同步防火墙时间 系统时间设置 点击Sync Clock With Client Yes DNS基本设置 外网接口（Untrust Interface）的设置 默认路由的设置 内网（Trust）到外网（Untrust）的访问策略 总部A的地址映射/服务器访问设置 WEB服务器（真实地址80；公网映射地址2） 在Untrust接口上设置MIP，做1vs1的地址映射。 通过设置策略允许外网访问MIP上的WEB服务（80端口）。 ERP服务器 设置ERP服务器的真实地址 90。 设置ERP服务器的应用服务（TCP8888端口）。 设置B公司的内网地址段：/24。 设置C公司的内网地址段：/24。 通过设置策略允许B、C公司可以通过VPN隧道访问ERP服务器。 在Untrust接口设置MIP 设置策略允许外网访问WEB服务器 设置ERP服务器的应用服务（TCP 8888） 设置ERP服务器的真实地址 90 设置B公司的内网地址段 /24 设置C公司的内网地址段 /24 设置策略允许B公司访问ERP服务器 设置策略允许C公司访问ERP服务器 总部A的总体安全策略 对于分公司B的访问 总部A可以无限制访问分公司B的内网； 对于公网的访问 仅允许许http/https/dns/icmp/smtp/pop3/ftp/msn这八种服务。 分公司B对于总部A的访问 分公司B可以无限制访问总部A的内网； 取消前面设定的默认策略 撤销原先的内网对公网的默认策略 设置策略允许总部A访问分公司B 设置策略允许总部A访问公网的几种特定服务 设置策略允许分公司B访问总部A 取消默认策略/重复的策略 添加默认路由 添加默认路由 分公司B的基本配置 设置方法参考A 接口设置以及安全区的划分 内网交换机连接防火墙Trust接口，Trust接口绑定到Trust Zone。 内网网段为/24，Trust接口地址为。 公网路由器连接防火墙Untrust接口，Untrust接口绑定到Untrust Zone。 公网路由器的地址为4/28，Untrust接口为/28。 设置默认路由 将默认路由指向公网路由器的地址，将出口指向Untrust接口。 设置内网（Trust）到外网（Untrust）的访问策略 公司C的基本配置 设置方法参考A 接口设置以及安全区的划分 内网交换机连接防火墙Trust接口，Trust接口绑定到Trust Zone。 内网网段为/24，Trust接口地址为。 公网路由器连接防火墙Untrust接口，Untrust接口绑定到Untrust Zone。 公网路由器的地址为4/28，Untrust接口为/28。 设置默认路由 将默认路由指向公网路由器的地址，将出口指向Untrust接口。 设置内网（Trust）到外网（Untrust）的访问策略 总部A与分公司B之间的Site to Site VPN 总部A部分的Site to Site VPN设置 VPN Gateway的设置 VPN 的设置 路由的设置 分公司B部分的Site to Site VPN设置 VPN Gateway的设置 VPN的设置 路由的设置 总部A Gateway的设置 总部A Gateway的设置 总部A Gateway的设置 高级选项 总部A Tunnel Interface的设置 总部A IKE VPN配置 总部A IKE VPN配置 高级选项 总部A 路由的设置 分公司B Gateway的设置 分公司B Gateway的设置 分公司B Gateway的设置 高级选项 分公司B Tunnel Inter