Juniper SRX3000防火墙配置手册.doc

《Juniper SRX3000防火墙配置手册.doc》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、技术文件技术文件名称：JuniperSRX3000系列防火墙工程开通指导书技术文件编号：版本：拟制_审核_会签____标准化_批准_修改记录文件编号版本号拟制人/修改人拟制/修改日期更改理由主要更改内容注：文件第一次拟制时，“更改理由”、“主要更改内容”栏写“无”。本文档以Junos10.2版本为主编写目录一、防火墙介绍4二、防火墙基础配置132.1.1第一次连接防火墙142.1.2添加/删除用户162.1.3设置SNMP162.1.4日期/时间/NTP配置方法172.1.5其它基本参数配置18三、防火墙特

2、性功能193.1.1配置安全区域193.1.2Policy策略配置193.1.3会话连接限制243.1.4ALG253.1.5.JSRP的配置253.1.4端口参数配置293.1.7路由配置313.1.8配置NAT（SrcDstStatic）333.1.8.1InterfacebasedNAT333.1.8.2PoolbasedSourceNAT343.1.8.3PoolbasedestinationNAT353.1.8.4PoolbaseStaticNAT363.1.8.5定义NAT的proxy-ar

3、p373.1.9VPN配置373.1.10GRE配置38二、维护和故障定位382.1防火墙版本升级382.2防火墙密码恢复402.3防火墙抓包和debug方法412.4故障信息收集命令412.5常用命令43三、完整配置示例433.1HA组网+OSPF433.1.1网络规划及拓扑图433.1.2IP地址规划（本案例使用设备自带电口，SFB模块自带8个电口4个光口）443.1.3具体配置453.2HA组网+静态路由483.2.1网络规划及拓扑图483.2.2IP地址规划483.2.3具体配置具体配置493.3分

4、布式组网+OSPF523.3.1网络规划及拓扑图523.3.2IP地址规划533.3.3具体配置具体配置533.4分布式组网+静态路由563.4.1网络规划及拓扑图563.4.2IP地址规划563.4.3具体配置57四、防火墙配置规范指导手册59一、防火墙介绍SRX系列防火墙是Juniper公司基于JUNOS操作系统的安全系列产品，JUNOS集成了路由、交换、安全性和一系列丰富的网络服务。目前Juniper公司的全系列路由器产品、交换机产品和SRX安全产品均采用统一源代码的JUNOS操作系统，JUNOS是全

5、球首款将转发与控制功能相隔离，并采用模块化软件架构的网络操作系统。JUNOS作为电信级产品的精髓是Juniper真正成功的基石，它让企业级产品同样具有电信级的不间断运营特性，更好的安全性和管理特性，JUNOS软件创新的分布式架构为高性能、高可用、高可扩展的网络奠定了基础。基于NP架构的SRX系列产品产品同时提供性能优异的防火墙、NAT、IPSEC、IPS、SSLVPN和UTM等全系列安全功能，其安全功能主要来源于已被广泛证明的ScreenOS操作系统。SRX3600SRX3400（图片仅供参考，以实物为准）

6、二、防火墙基础配置JUNOS采用基于FreeBSD内核的软件模块化操作系统，支持CLI命令行和WEBUI两种接口配置方式，本文主要对CLI命令行方式进行配置说明。JUNOSCLI使用层次化配置结构，分为操作（operational）和配置（configure）两类模式，在操作模式下可对当前配置、设备运行状态、路由及会话表等状态进行查看及设备运维操作，并通过执行config或edit命令进入配置模式，在配置模式下可对各相关模块进行配置并能够执行操作模式下的所有命令（run）。在配置模式下JUNOS采用分层分级

7、模块下配置结构，如下图所示，edit命令进入下一级配置（类似unixcd命令）,exit命令退回上一级，top命令回到根级。JUNOS通过set语句进行配置，配置输入后并不会立即生效，而是作为候选配置（CandidateConfig）等待管理员提交确认，管理员通过输入commit命令来提交配置，配置内容在通过SRX语法检查后才会生效，一旦commit通过后当前配置即成为有效配置（Activeconfig）。另外，JUNOS允许执行commit命令时要求管理员对提交的配置进行两次确认，如执行commitcon

8、firmed2命令要求管理员必须在输入此命令后2分钟内再次输入commit以确认提交，否则2分钟后配置将自动回退，这样可以避免远程配置变更时管理员失去对SRX的远程连接风险。在执行commit命令前可通过配置模式下show命令查看当前候选配置（CandidateConfig），在执行commit后配置模式下可通过runshowconfig命令查看当前有效配置（Activeconfig）。此外可通过执行show

9、c