juniper技术培训.ppt

* 创建策略 - WebUI Components Source Destination Zone Source Destination Address Use pull-down menu to display address book entries Service Use pull-down menu to display service entries Action Permit, deny, reject, or tunnel * 查看策略条目 – WebUI Policies * 步骤4: 策略排序 新策略添加后自动到最下面 默认条件是拒绝所有策略 顺序非常重要! * 策略重新排序 - WebUI 根据号码来排序 根据位置来排序 Move Button Move Arrow * 策略重新排序 使用按钮 使用箭头 * * * * * * * * * * Transparent Mode * Transparent Mode * * * * * * * * * * * * 1. 透明模式 * 什么是透明模式? 防火墙接口工作在2层模式下，类似于交换机，桥接模式 Learning, Flooding, Forwarding, Filtering 透明模式允许在2层安全域之间通过策略控制流量 /16 E1 E3 zone V1-Trust zone V1-DMZ zone V1-Untrust E2 * V1-Untrust 透明模式的作用 可以简单快速的部署防火墙到现有网络中 不需要改变现有网络拓扑结构 “Drop it in” 和IP地址设计为隐藏 策略没有限制到直连的子网 增强的安全 VPNs 能够终结到netscreen设备 在基于路由的ACLs上安全域提供流量控制 V1-Trust /16 V1-DMZ B B D A B C /16 /16 E * 第二层安全域 Pre-defined - “V1” zones V1-Trust V1-Untrust V1-DMZ User-defined Layer-2 (L2) zones When creating a L2 zone, it’s name must begin with “L2-” Int. Zone * VLAN1 接口 逻辑的3层接口存在于VLAN安全域中 允许一个ip地址分配到netscreen设备 透明模式必须和其他设备在同一个子网 支持Manage-IP 所有的物理接口不能响应ARP V1-Trust 0 1 2 V1-DMZ V1-Untrust VLAN1 is a logical interface which is accessible fromany transparent zone VLAN1 interface: 10/24 E1 E3 E2 A B C * 配置透明模式 创建2层安全域 (如果不创建可以使用默认的2层域) 分配接口到2层安全域 为管理防火墙配置VLAN1 地址 3a. 配置IP 地址 3b. 选择广播方法 3c. 配置管理服务 (可选) 给每个安全域配置管理服务 在透明安全域之间配置安全策略 2. 路由/地址翻译 模式 * 3层模式 External Zone Private Zone 50 /24 /24 B /24 Public Zone .254 A B C D /24 /24 .1 .254 .1 .254 /24 /24 .254 .1 Interface Address E1 E2 E7 E8 * 需要路由 External Zone Private Zone 50 /24 /24 B /24 Public Zone .254 A B C D /24 /24 .1 .254 .1 .254 /24 /24 .254 .1 How do I get to host ? Network Interface Next Hop /24 E1 - /24 E2 - /24 E7 - /24 E8 - * 静态路由 External Zone Private Zone 50 /24 /24 B /24 Public Zone .254 A B C D /24 /24 .1 .254 .1 .254 /24 /24 .254 .1 Network Interface Next Hop /24 E1 - /24 E2 - /24 E7 - /24 E8 - /24 E1 54 * 默认路由 External Zone Private Zone 50 /24 /24 B /24 Public Zone .254 A B C D /24 /24 .1 .