JuniperSSG防火墙配置手册

Juniper SSG-5（NS-5GT）防火墙配置手册初始化设置 2Internet 网络设置 6一般策略设置 15VPN 连接设置 .27一般策略设置1首先可以指定 IP 地址，根据 IP 地址作策略，选择 Policy Policy Elements Addresses List，然后在中间页面选择 Trust，然后点击 New，如下图：2在 Address Name 为指定 IP 地址设置识别名称，然后在下面输入具体 IP，如下图：3设置之后如下图：4再设置一个指定 IP 地址，如下图：5设置之后两个都可以显示出来，如下图：6设置多个指定 IP 组，选择 Policy Policy Elements Addresses Groups，如下图：中间页面的 Zone 选择 Trust，点击右侧的 New。7为此 IP 组起识别名称，下面将需要加入组的 IP 添加到组里，点 OK，如下图：8根据需求可以自定义服务，选择 Policy Policy Elements Services Customs，如下图：点击右侧 New9输入此自定义服务的识别名称，然后下面可以选择服务类型和服务端口，如下图：10设置完之后如下图：11定制多个服务组，选择 Policy Policy Elements Services Groups，点击页面中间右侧的 New，如下图：12为此定制服务组设置识别名称，将需要的服务添加进入，点击 OK。13设置完成之后如下图：14策略设置，此处可以直接使用之前设置的指定 IP 地址（组） ，自定义服务（组） 。选择 Policy Polices，如下图：选择 From Untrust to Trust（可根据需要修改） ，点击右侧New，15如也可以设置 From Trust to Untrust，如下图：16策略设置页面如下图，设置名称，选择源地址和目的地址，服务类型等，最后选择允许还是拒绝。17设置之后如下图：18也可以设置一个全拒绝的策略，如下图：19设置之后如下图：20可以点击 ID 为 1 的策略右侧的双箭头符号，出现脚本提示点确定，21这样可以把 ID 为 1 的策略放到下面，如下图策略含义为从 Trust 口到 Untrust 口的流量中，来自 IT 组的 IP 地址到任意目的地，服务类型属于 CTG-APP 中的流量允许通过，其他所有流量都拒绝。22可以为策略设置时间表，选择 Policy Schedules，如下图：点击 New23输入时间表名称 worktime，设置周期时间。24设置之后如下图：VPN 连接设置设置 VPN 网络连接，根据具体情况有多种方法可选：A方法一，通讯双方端口均为静态 IP 地址，配置如下：1设置对端网关信息，和本地 Local ID（可选） ，如下图：IP 地址为对端公网 IP，之后点击 Advanced2Preshared Key 输入一串共享密钥，对端需要设置同样密钥才可成功连接，其他默认即可，点击下面 OK3设置双端 IKE VPN 端口认证，选择 VPNs AutoKey IKE，输入 VPN 名称，之后Predefined 选择已经设置好的 Gateway，之后点 Advanced，里面设置 logging 即可，之后点OK。4设置完成之后显示如下图：5设置 VPN 连接策略，选择 Policy Polices，From Trust to Untrust，点击右侧New，之后在如下页面输入源地址，目的地址，服务类型，Action 选择 Tunnel，Tunnel VPN 选择设置好的 VPN IKE，下面勾选 Modify matching bidirectional VPN policy，勾选Logging，勾选 Position at Top，之后点 Advanced6在下面勾选 Counting，其他默认，点击 OK，7设置完策略如下图：B方法二，通讯双方有一个端口为静态 IP 地址，另一个端口 IP 地址为动态。1如果本地 IP 为 ADSL，IP 地址会发生变化，则需要使用 Local ID 设置 Gateway，选择 VPNs AutoKey Advanced Gateway，输入对端公网 IP 地址，选择 ACVPN-Dynamic，Local ID 输入本地名称（如 bj）2则对端设置 Gateway 时，需要如下图设置，不输入对端 IP 地址，选择 Dynamic IPAddress，Peer ID 输入对端 Local ID（如 bj） 。之后步骤同方法一中的 2-7 步骤。C通过向导设置 VPN 连接1选择 Wizards Router-based，出现如下图向导页面，选择源端口和目的端口类型2选择 Make new tunnel interface，选择 ethernet0/0 (trust-vr)，选择 Next3选择 LAN-to-LAN，如下图：4根据通讯双方端口类型，如静态，动态 IP 地址，选择下面类型，如 Local Static IP Remote Static IP5输入对端公网 IP 地址，如 192.168.25.16选择通道加密类型，之后下面输入通讯密钥，双方端口要求一致7选择或者输入源地址和目的地址8选择服务类型和策略双向通讯9根据需要可以设置带宽限制，默认为不做限制10根据需要是否选择定制好的 Schedule 应用到此 VPN 策略11向导设置完毕，明细如下表：12配置