防⽕墙三种部署模式及基本配置
防⽕墙三种部署模式及基本配置
Juniper防⽕墙在实际的部署过程中主要有三种模式可供选择，这三种模式分别是：
①基于TCP/IP协议三层的NAT模式；
②基于TCP/IP协议三层的路由模式；
③基于⼆层协议的透明模式。
2.1、NAT模式
当Juniper防⽕墙⼊⼝接⼝（“内⽹端⼝”）处于NAT模式时，防⽕墙将通往Untrust 区（外⽹或者公⽹）的IP 数据包包头中的两个组件进⾏转换：源 IP 地址和源端⼝号。
防⽕墙使⽤ Untrust 区（外⽹或者公⽹）接⼝的 IP 地址替换始发端主机的源IP 地址；同时使⽤由防⽕墙⽣成的任意端⼝号替换源端⼝号。
支付宝年度账单哪里看2020NAT模式应⽤的环境特征：
①注册IP地址（公⽹IP地址）的数量不⾜；
②内部⽹络使⽤⼤量的⾮注册IP地址（私⽹IP地址）需要合法访问Internet；
③内部⽹络中有需要外显并对外提供服务的服务器。
2.2、Route-路由模式
当Juniper防⽕墙接⼝配置为路由模式时，防⽕墙在不同安全区间（例如：Trust/Utrust/DMZ）转发信息流时IP 数据包包头中的源地址和端⼝号保持不变。那一刻 我长大了
①与NAT模式下不同，防⽕墙接⼝都处于路由模式时，不需要为了允许⼊站数据流到达某个主机⽽建⽴映射 IP (MIP) 和虚拟IP (VIP) 地址；
②与透明模式下不同，当防⽕墙接⼝都处于路由模式时，其所有接⼝都处于不同的⼦⽹中。
路由模式应⽤的环境特征：
①注册IP（公⽹IP地址）的数量较多；
②⾮注册IP地址（私⽹IP地址）的数量与注册IP地址（公⽹IP地址）的数量相当；
祝福词语 四字词语③防⽕墙完全在内⽹中部署应⽤。
2.3、透明模式
当Juniper防⽕墙接⼝处于“透明”模式时，防⽕墙将过滤通过的IP数据包，但不会修改 IP数据包包头中的任何信息。防⽕墙的作⽤更像是处于同⼀VLAN 的2 层交换机或者桥接器，防⽕墙对于⽤户来说是透明的。
透明模式是⼀种保护内部⽹络从不可信源接收信息流的⽅便⼿段。使⽤透明模式有以下优点：
①不需要修改现有⽹络规划及配置；
②不需要为到达受保护服务器创建映射或虚拟 IP 地址；
③在防⽕墙的部署过程中，对防⽕墙的系统资源消耗最低。
2.4、基于向导⽅式的NAT/Route模式下的基本配置
Juniper防⽕墙NAT和路由模式的配置可以在防⽕墙保持出⼚配置启动后通过Web浏览器配置向导完成。
注：要启动配置向导，则必须保证防⽕墙设备处于出⼚状态。例如：新的从未被调试过的设备，或者经过命令⾏恢复为出⼚状态的防⽕墙设备。
通过Web浏览器登录处于出⼚状态的防⽕墙时，防⽕墙的缺省管理参数如下：
①缺省IP：192.168.1.1/255.255.255.0；
②缺省⽤户名/密码：netscreen/ netscreen；
注：缺省管理IP地址所在端⼝参见在前⾔部份讲述的“Juniper防⽕墙缺省管理端⼝和IP地址”中查！！
在配置向导实现防⽕墙应⽤的同时，我们先虚拟⼀个防⽕墙设备的部署环境，之后，根据这个环境对防⽕墙设备进⾏配置。
防⽕墙配置规划：
①防⽕墙部署在⽹络的Internet出⼝位置，内部⽹络使⽤的IP地址为
192.168.1.0/255.255.255.0所在的⽹段，内部⽹络计算机的⽹关地址为防⽕墙内⽹端⼝的IP地址：192.168.1.1；
②防⽕墙外⽹接⼝IP地址（通常情况下为公⽹IP地址，在这⾥我们使⽤私⽹IP地址模拟公⽹IP地址）为：
10.10.10.1/255.255.255.0，⽹关地址为：
10.10.10.251
要求：
实现内部访问Internet的应⽤。
注：在进⾏防⽕墙设备配置前，要求正确连接防⽕墙的物理链路；调试⽤的计算机连接到防⽕墙的内⽹端⼝上。
1. 通过IE或与IE兼容的浏览器（推荐应⽤微软IE浏览器）使⽤防⽕墙缺省
IP地址登录防⽕墙（建议：保持登录防⽕墙的计算机与防⽕墙对应接⼝处于相
同⽹段，直接相连）。
2. 使⽤缺省IP登录之后，出现安装向导：
注：对于熟悉Juniper防⽕墙配置的⼯程师，可以跳过该配置向导，直接点选：No，skip the wizard and go straight to the WebUI management session instead，之后选择Next，直接登录防⽕墙设备的管理界⾯。
3. 使⽤向导配置防⽕墙，请直接选择：Next，弹出下⾯的界⾯：
4. “欢迎使⽤配置向导”，再选择Next。
注：进⼊登录⽤户名和密码的修改页⾯，Juniper防⽕墙的登录⽤户名和密码是可以更改的，这个⽤户名和密码的界⾯修改的是防⽕墙设备上的根⽤户，这个⽤户对于防⽕墙设备来说具有最⾼的权限，需要认真考虑和仔细配置，保存好修改后的⽤户名和密码。
5. 在完成防⽕墙的登录⽤户名和密码的设置之后，出现了⼀个⽐较关键的选择，这个选择决定了防⽕墙设备是⼯作在路由模式还是⼯作在NAT模式：
选择Enable NAT，则防⽕墙⼯作在NAT模式；
不选择Enable NAT，则防⽕墙⼯作在路由模式。
6. 防⽕墙设备⼯作模式选择，选择：Trust-Untrust Mode模式。这种模式是应⽤最多的模式，防⽕墙可以被看作是只有⼀进⼀出的部署模式。
注：NS-5GT防⽕墙作为低端设备，为了能够增加低端产品应⽤的多样性，Juniper 在NS-5GT的OS中独⽴开发了⼏种不同的模式应⽤于不同的环境。⽬前，除
NS-5GT以外，Juniper其他系列防⽕墙不存在另外两种模式的选择。
7. 完成了模式选择，点击“Next”进⾏防⽕墙外⽹端⼝IP配置。外⽹端⼝IP 配置有三个选项分别是：DHCP⾃动获取IP地址；通过PPPoE拨号获得 IP地址；⼿⼯设置静态IP地址，并配置⼦⽹掩码和⽹关IP地址。
在这⾥，我们选择的是使⽤静态IP地址的⽅式，配置外⽹端⼝IP地址为：10.10.10.1/255.255.255.0，⽹关地址为：
10.10.10.251。
8.完成外⽹端⼝的IP地址配置之后，点击“Next”进⾏防⽕墙内⽹端⼝IP配置：
9. 在完成了上述的配置之后，防⽕墙的基本配置就完成了，点击“Next”进⾏DHCP服务器配置。
注：DHCP服务器配置在需要防⽕墙在⽹络中充当DHCP服务器的时候才需要配置。否则请选择“NO”跳过。
注：上⾯的页⾯信息显⽰的是在防⽕墙设备上配置实现⼀个DHCP服务器功能，由防⽕墙设备给内部计算机⽤户⾃动分配IP地址，分配的地址段为：
192.168.1.100-192.168.1.150⼀共51个IP地址，在分配IP地址的同时，防⽕墙设备也给计算机⽤户分配了DNS服务器地
址，DNS⽤于对域名进⾏解析，如：将错误！超链接引⽤⽆效。地址：202.108.33.32。如果计算机不能获得或设置DNS服务器地址，⽆法访问互联⽹。
10. 完成DHCP服务器选项设置，点击“Next”会弹出之前设置的汇总信息：
11. 确认配置没有问题，点击“Next”会弹出提⽰“Finish”配置对话框：
在该界⾯中，点选：Finish之后，该Web页⾯会被关闭，配置完成。
此时防⽕墙对来⾃内⽹到外⽹的访问启⽤基于端⼝地址的NAT，同时防⽕墙设备会⾃动在策略列表部分⽣成⼀条由内⽹到外⽹的访问策略：
策略：策略⽅向由Trust到Untrust，源地址：ANY，⽬标地址：ANY，⽹络服务内容：ANY；
策略作⽤：允许来⾃内⽹的任意IP地址穿过防⽕墙访问外⽹的任意地址。
重新开启⼀个IE页⾯，并在地址栏中输⼊防⽕墙的内⽹端⼝地址，确定后，出现下图中的登录界⾯。输⼊正确的⽤户名和密码，登录到防⽕墙之后，可以对防⽕墙的现有配置进⾏修改。
总结：
上述就是使⽤Web浏览器通过配置向导完成的防⽕墙NAT或路由模式的应⽤。通过配置向导，可以在不熟悉防⽕墙设备的情况下，配置简单环境的防⽕墙应⽤。
2.5、基于⾮向导⽅式的NAT/Route模式下的基本配置
教师节家长对老师的祝福语
基于⾮向导⽅式的NAT和Route模式的配置建议⾸先使⽤命令⾏开始，最好通过控制台的⽅式连接防⽕墙，这个管理⽅式不受接⼝IP地址的影响。
注：在设备缺省的情况下，防⽕墙的信任区（Trust Zone）所在的端⼝是⼯作在NAT模式的，其它安全区所在的端⼝是⼯作在路由模式的。
基于命令⾏⽅式的防⽕墙设备部署的配置如下（⽹络环境同上⼀章节所讲述的环境）：
2.5.1、NS-5GT NAT/Route模式下的基本配置
注：NS-5GT设备的物理接⼝名称叫做trust和untrust；缺省Zone包括：trust 和untrust，请注意和接⼝区分开。
① Unset interface trust ip （清除防⽕墙内⽹端⼝的IP地址）；
② Set interface trust zone trust（将内⽹端⼝分配到trust zone）；
③ Set interface trust ip 192.168.1.1/24（设置内⽹端⼝的IP地址，必须先定义zone，之后再定义IP地址）；
④ Set interface untrust zone untrust（将外⽹⼝分配到untrust zone）；
⑤ Set interface untrust ip 10.10.10.1/24（设置外⽹⼝的IP地址）；
⑥ Set route 0.0.0.0/0 interface untrust gateway 10.10.10.251（设置防⽕墙对外的缺省路由⽹关地址）；
⑦ Set policy from trust to untrust any any any permit log（定义⼀条由内⽹到外⽹的访问策略。策略的⽅向是：由zone trust 到zone untrust，源地址为：any，⽬标地址为：any，⽹络服务为：any，策略动作为：permit允许，log：开启⽇志记录）；
⑧ Save （保存上述的配置⽂件）。
2.5.2、NS-25-208 NAT/Route模式下的基本配置
① Unset interface ethernet1 ip（清除防⽕墙内⽹⼝缺省IP地址）；
② Set interface ethernet1 zone trust（将ethernet1端⼝分配到trust zone）；
③ Set interface ethernet1 ip 192.168.1.1/24（定义ethernet1端⼝的IP 地址）；
④ Set interface ethernet3 zone untrust（将ethernet3端⼝分配到untrust zone）；
⑤ Set inter face ethernet3 ip 10.10.10.1/24（定义ethernet3端⼝的IP
地址）；
⑥ Set route 0.0.0.0/0 interface ethernet3 gateway 10.10.10.251（定义防⽕墙对外的缺省路由⽹关）；
⑦ Set policy from trust to untrust any any any permit log（定义由内⽹到外⽹的访问控制策略）；
⑧ Save （保存上述的配置⽂件）
注：上述是在命令⾏的⽅式上实现的NAT模式的配置，因为防⽕墙出⼚时在内⽹端⼝（trust zone所属的端⼝）上启⽤了NAT，所以⼀般不⽤特别设置，但是其它的端⼝则⼯作在路由模式下，例如：untrust和DMZ区的端⼝。商细蕊和多少人睡过
如果需要将端⼝从路由模式修改为NAT模式，则可以按照如下的命令⾏进⾏修改：
① Set interface ethernet2 NAT （设置端⼝2为NAT模式）
② Save
总结：
① NAT/Route模式做防⽕墙部署的主要模式，通常是在⼀台防⽕墙上两种模式
混合进⾏（除⾮防⽕墙完全是在内⽹应⽤部署，不需要做NAT-地址转换，这种情况下防⽕墙所有端⼝都处于Route模式，防⽕墙⾸先作为⼀台路由器进⾏部署）；
②关于配置举例，NS-5GT由于设备设计上的特殊性，因此专门列举加以说明；Juniper在2006年全新推出的SSG系列防⽕墙，除了端⼝命名不⼀样，和NS-25等设备管理配置⽅式⼀样。
2.6、基于⾮向导⽅式的透明模式下的基本配置
实现透明模式配置建议采⽤命令⾏的⽅式，因为采⽤Web的⽅式实现时相对命令⾏的⽅式⿇烦。通过控制台连接防⽕墙的控制⼝，登录命令⾏管理界⾯，通过如下命令及步骤进⾏⼆层透明模式的配置：
① Unset int erface ethernet1 ip（将以太⽹1端⼝上的默认IP地址删除）；
② Set interface ethernet1 zone v1-trust（将以太⽹1端⼝分配到v1-trust zone：基于⼆层的安全区，端⼝设置为该安全区后，则端⼝⼯作在⼆层模式，并且不能在该端⼝上配置IP地址）；
③ Set interface ethernet2 zone v1-dmz（将以太⽹2端⼝分配到v1-dmz zone）；
④ Set interface ethernet3 zone v1-untrust（将以太⽹3端⼝分配到
v1-untrust zone）；
⑤ Set interface vlan1 ip 192.168.1.1/24（设置VLAN1的IP地址为：192.168.1.1/255.255.255.0，该地址作为防⽕墙管理IP地址使⽤）；
⑥ Set policy from v1-trust to v1-untrust any any any permit log（设置⼀条由内⽹到外⽹的访问策略）；
⑦ Save（保存当前的配置）；
总结：
①带有V1-字样的zone为基于透明模式的安全区，在进⾏透明模式的应⽤时，⾄少要保证两个端⼝的安全区⼯作在⼆层模式；
②虽然Juniper防⽕墙可以⼯作在混合模式下（⼆层模式和三层模式的混合应⽤），但是通常情况下，建议尽量使防⽕墙⼯作在⼀种模式下（三层模式可以混⽤：NAT和路由）。
十大虐心现言小说蚀骨危情(责任编辑：admin)