juniper netscreen模擬實(shí)例配置

1、Juniper Netscreen 模擬實(shí)例配置,,2,,,分公司B,總部A,,,192.168.1.180,1.1.1.1,1.1.1.14,,192.168.1.1,ERP,,,WEB,192.168.1.190,,,,,,,,,2.2.2.14,2.2.2.1,192.168.2.1,,,,3.3.3.14,3.3.3.1,192.168.3.1,合作伙伴C,,,,,L2TP,,,IPsec,,WEB Server的公網(wǎng)映射地址為

2、1.1.1.12. 2.2.2.0的子網(wǎng)掩碼是255.255.255.240.1.1.1.0的子網(wǎng)掩碼是255.255.255.240. 3.3.3.0的子網(wǎng)掩碼是255.255.255.240.,3,總部A的基本配置,接口設(shè)置以及安全區(qū)的劃分內(nèi)網(wǎng)交換機(jī)連接防火墻Trust接口，Trust接口綁定到Trust Zone。內(nèi)網(wǎng)網(wǎng)段為192.168.1.0/2

3、4，Trust接口地址為192.168.1.1。公網(wǎng)路由器連接防火墻Untrust接口，Untrust接口綁定到Untrust Zone。公網(wǎng)路由器的地址為1.1.1.14/28，Untrust接口為1.1.1.1/28。設(shè)置默認(rèn)路由將默認(rèn)路由指向公網(wǎng)路由器的地址，將出口指向Untrust接口。設(shè)置內(nèi)網(wǎng)（Trust）到外網(wǎng)（Untrust）的訪問策略,4,內(nèi)網(wǎng)接口（Trust Interface）的設(shè)置,將Trust口綁定到T

4、rust Zone,設(shè)置接口IP地址,5,外網(wǎng)接口（Untrust Interface）的設(shè)置,,如果允許在外網(wǎng)進(jìn)行網(wǎng)管請(qǐng)打開相關(guān)選項(xiàng),6,默認(rèn)路由的設(shè)置,0.0.0.0/0代表默認(rèn)路由,指定出口以及網(wǎng)關(guān)地址,7,內(nèi)網(wǎng)（Trust）到外網(wǎng)（Untrust）的訪問策略,Any代表任意地址,允許內(nèi)網(wǎng)訪問外網(wǎng),8,總部A的地址映射/服務(wù)器訪問設(shè)置,WEB服務(wù)器（真實(shí)地址192.168.1.180；公網(wǎng)映射地址1.1.1.12）在Untrus

5、t接口上設(shè)置MIP，做1vs1的地址映射。通過設(shè)置策略允許外網(wǎng)訪問MIP上的WEB服務(wù)（80端口）。ERP服務(wù)器設(shè)置ERP服務(wù)器的真實(shí)地址 192.168.1.190。設(shè)置ERP服務(wù)器的應(yīng)用服務(wù)（TCP8888端口）。設(shè)置B公司的內(nèi)網(wǎng)地址段：192.168.2.0/24。設(shè)置C公司的內(nèi)網(wǎng)地址段：192.168.3.0/24。通過設(shè)置策略允許B、C公司可以通過VPN隧道訪問ERP服務(wù)器。,9,在Untrust接口設(shè)置MIP,

6、在這里輸入公網(wǎng)地址,在這里輸入真實(shí)服務(wù)器地址,10,設(shè)置策略允許外網(wǎng)訪問WEB服務(wù)器,在目的地址里選擇MIP地址。,在服務(wù)里選擇HTTP。,11,設(shè)置ERP服務(wù)器的應(yīng)用服務(wù)（TCP 8888）,在這里選擇端口號(hào),12,設(shè)置ERP服務(wù)器的真實(shí)地址 192.168.1.190,單臺(tái)主機(jī)的掩碼使用/32。,13,設(shè)置ERP服務(wù)器的應(yīng)用服務(wù)（TCP 8888）,在這里選擇端口號(hào),14,設(shè)置B公司的內(nèi)網(wǎng)地址段 192.168.2.0/24,該地址

7、對(duì)于A來說是從屬于Untrust Zone的。,15,設(shè)置C公司的內(nèi)網(wǎng)地址段 192.168.3.0/24,該地址對(duì)于A來說是從屬于Untrust Zone的。,16,設(shè)置策略允許B公司訪問ERP服務(wù)器,17,設(shè)置策略允許C公司訪問ERP服務(wù)器,18,總部A的總體安全策略,對(duì)于分公司B的訪問總部A可以無(wú)限制訪問分公司B的內(nèi)網(wǎng)；對(duì)于公網(wǎng)的訪問僅允許許http/https/dns/icmp/smtp/pop3/ftp/msn這八種服務(wù)

8、。分公司B對(duì)于總部A的訪問分公司B可以無(wú)限制訪問總部A的內(nèi)網(wǎng)；取消前面設(shè)定的默認(rèn)策略撤銷原先的內(nèi)網(wǎng)對(duì)公網(wǎng)的默認(rèn)策略,19,設(shè)置策略允許總部A訪問分公司B,20,設(shè)置策略允許總部A訪問公網(wǎng)的幾種特定服務(wù),點(diǎn)擊它，則彈出選擇服務(wù)的菜單。,21,設(shè)置策略允許分公司B訪問總部A,22,取消默認(rèn)策略/重復(fù)的策略,23,分公司B的基本配置 設(shè)置方法參考A,接口設(shè)置以及安全區(qū)的劃分內(nèi)網(wǎng)交換

9、機(jī)連接防火墻Trust接口，Trust接口綁定到Trust Zone。內(nèi)網(wǎng)網(wǎng)段為192.168.2.0/24，Trust接口地址為192.168.2.1。公網(wǎng)路由器連接防火墻Untrust接口，Untrust接口綁定到Untrust Zone。公網(wǎng)路由器的地址為2.2.2.14/28，Untrust接口為2.2.2.1/28。設(shè)置默認(rèn)路由將默認(rèn)路由指向公網(wǎng)路由器的地址，將出口指向Untrust接口。設(shè)置內(nèi)網(wǎng)（Trust）到外

10、網(wǎng)（Untrust）的訪問策略,24,公司C的基本配置 設(shè)置方法參考A,接口設(shè)置以及安全區(qū)的劃分內(nèi)網(wǎng)交換機(jī)連接防火墻Trust接口，Trust接口綁定到Trust Zone。內(nèi)網(wǎng)網(wǎng)段為192.168.3.0/24，Trust接口地址為192.168.3.1。公網(wǎng)路由器連接防火墻Untrust接口，Untrust接口綁定到Untrust Zone。公網(wǎng)路由器的地址為3.3.

11、3.14/28，Untrust接口為3.3.3.1/28。設(shè)置默認(rèn)路由將默認(rèn)路由指向公網(wǎng)路由器的地址，將出口指向Untrust接口。設(shè)置內(nèi)網(wǎng)（Trust）到外網(wǎng)（Untrust）的訪問策略,25,總部A與分公司B之間的Site to Site VPN,總部A部分的Site to Site VPN設(shè)置VPN Gateway的設(shè)置VPN 的設(shè)置路由的設(shè)置分公司B部分的Site to Site VPN設(shè)置VPN Gateway

12、的設(shè)置VPN的設(shè)置路由的設(shè)置,26,總部A Gateway的設(shè)置,對(duì)方VPN設(shè)備的網(wǎng)關(guān),選擇VPN通道的出口,27,總部A Gateway的設(shè)置 高級(jí)選項(xiàng),VPN雙方的模式必須一致,28,總部A Tunnel Interface的設(shè)置,Tunnel Interface的地址借用Untrust接口的地址,29,總部A IKE VPN配置,在下拉菜單選取前面定義的IKE Gateway,30,總部A IKE VP

13、N配置 高級(jí)選項(xiàng),綁定tunnel.1接口,填入本地/遠(yuǎn)端地址段,31,總部A 路由的設(shè)置,寫入分公司B內(nèi)網(wǎng)的地址,選擇tunnel.1作為出口,32,分公司B Gateway的設(shè)置,對(duì)方VPN設(shè)備的網(wǎng)關(guān),選擇VPN通道的出口,33,分公司B Gateway的設(shè)置 高級(jí)選項(xiàng),VPN雙方的模式必須一致,34,分公司B Tunnel Interface的設(shè)置,

14、Tunnel Interface的地址借用Untrust接口的地址,35,分公司B IKE VPN配置,在下拉菜單選取前面定義的IKE Gateway,36,分公司B IKE VPN配置 高級(jí)選項(xiàng),綁定tunnel.1接口,填入本地/遠(yuǎn)端地址段,37,分公司B 路由的設(shè)置,選擇tunnel.1作為出口,B公司所有的對(duì)外訪問都要通過到總部A的VPN隧道；故選擇0.0.0.0/

15、0的默認(rèn)路由,38,總部A與公司C之間的Site to Site VPN,總部A部分的Site to Site VPN設(shè)置VPN Gateway的設(shè)置VPN 的設(shè)置VPN策略設(shè)置公司C部分的Site to Site VPN設(shè)置VPN Gateway的設(shè)置VPN的設(shè)置VPN策略設(shè)置,39,總部A Gateway的設(shè)置,對(duì)方VPN設(shè)備的網(wǎng)關(guān),選擇VPN通道的出口,40,總部A Gateway的設(shè)置 高級(jí)選項(xiàng),

16、VPN雙方的模式必須一致,41,總部A IKE VPN配置,在下拉菜單選取前面定義的IKE Gateway,42,總部A IKE VPN配置 高級(jí)選項(xiàng),43,總部A VPN策略的設(shè)置,Action選擇Tunnel,選擇A到C的VPN,44,總部C Gateway的設(shè)置,對(duì)方VPN設(shè)備的網(wǎng)關(guān),選擇VPN通道的出口,45,總部C Gateway的設(shè)置 高級(jí)選

17、項(xiàng),VPN雙方的模式必須一致,46,總部C IKE VPN配置,在下拉菜單選取前面定義的IKE Gateway,47,總部C IKE VPN配置 高級(jí)選項(xiàng),48,總部C VPN策略的設(shè)置,Action選擇Tunnel,選擇C到A的VPN,49,遠(yuǎn)程用戶1通過IPsec Dialup VPN訪問總部A,Phase 1 部分 IKE Gateway VPN的向外接口IK

18、E Gateway 地址Phase 1 協(xié)議Pre-shared KeyDiffie-Hellman group numberEncryption AlgorithmAuthentication AlgorithmPhase 2 部分 VPN n名稱Phase 2 proposalDiffie-Hellman group number for PFS (optional)IPSec protocol (ESP or

19、 AH)Encryption AlgorithmAuthentication AlgorithmVPN 安全策略Netscreen Remote 客戶端的設(shè)置,,Dial-up User 設(shè)定部分－ 設(shè)定用戶的IKE ID,50,配置Dial-up用戶,設(shè)置IKE ID,設(shè)定其它值會(huì)導(dǎo)致異常,客戶端也須配置兩者須一致,51,配置dialup VPN Gateway,IKE Phase 1,選擇dialup user，并在對(duì)應(yīng)下

20、拉菜單選擇我們剛才設(shè)定的用戶。,設(shè)置共享密鑰，客戶端也須設(shè)置相同的值（最少8位）,52,配置dialup VPN Gateway 高級(jí)選項(xiàng),IKE Phase 1,注意dial-up VPN使用Aggressive模式,如果VPN連接中有NAT存在，請(qǐng)勾選此項(xiàng)，開啟穿透功能；并做UDP Checksum檢查,53,配置 dialup VPN,IKE Phase 2,在下拉菜單選取前面定義的IKE Gateway

21、,54,配置dialup VPN 高級(jí)選項(xiàng),IKE Phase 2,VPNs > AutoKey IKE > Edit (Advanced),55,總部A VPN策略的設(shè)置,Action選擇Tunnel,選擇dialup VPN,源地址選擇Dial-Up VPN（系統(tǒng)自定義）,56,Netscreen Remote遠(yuǎn)程客戶端的配置 01,新建一個(gè)連接，取名后，點(diǎn)中它，出現(xiàn)右方基本配置

22、界面。,在該選項(xiàng)中輸入我們的目標(biāo)地址，即安全網(wǎng)關(guān)后面的內(nèi)部子網(wǎng)/主機(jī)的地址。,選中該選項(xiàng)，并在ID中選取IP Address，輸入安全網(wǎng)關(guān)的外網(wǎng)口地址。,57,Netscreen Remote遠(yuǎn)程客戶端的配置 02,點(diǎn)擊新建連接的加號(hào)鍵，點(diǎn)中My Identity進(jìn)行設(shè)置,在Select中選擇None；在Pre-Shared Key中輸入與前面安全網(wǎng)關(guān)Gateway配置中一致的值。,在ID選項(xiàng)中選擇E-mail Address，然后輸

23、入與前面安全網(wǎng)關(guān)Dial-up 用戶配置中一致的值。,58,Netscreen Remote遠(yuǎn)程客戶端的配置 03,選中Security Policy進(jìn)行設(shè)置。,在Select Phase 1 Negotiation Mode中選擇Aggressive Mode。,根據(jù)前面在安全網(wǎng)關(guān)中IKE VPN中Phase 2 Proposal選擇的不同，選擇是否使用PFS。,59,Netscreen Remote遠(yuǎn)程客戶端的配置 04,選中P

24、roposal 1,進(jìn)行Phase 1的設(shè)置。,根據(jù)前面在安全網(wǎng)關(guān)中IKE Gateway中Phase 1Proposal的選擇，選擇一致的選項(xiàng)。,60,Netscreen Remote遠(yuǎn)程客戶端的配置 05,選中Proposal 2,進(jìn)行Phase 2的設(shè)置。,根據(jù)前面在安全網(wǎng)關(guān)中IKE VPN中Phase 2Proposal的選擇，選擇一致的選項(xiàng)。,61,遠(yuǎn)程用戶2通過L2TP VPN訪問總部A的ERP服務(wù)器,L2TP Tunne

25、l的設(shè)置 VPN 安全策略Windows客戶端的設(shè)置,,L2TP User 設(shè)定部分－ 設(shè)定L2TP用戶名/密碼,62,配置L2TP用戶,設(shè)定用戶名,分配給L2TP用戶的地址,設(shè)定密碼,63,配置L2TP Tunnel,選擇Tunnel的接口,選擇L2TP用戶,64,L2TP Tunnel策略的設(shè)置,Action選擇Tunnel,選擇L2TP Tunnel,源地址選擇Dial-Up VPN（系統(tǒng)自定義）,65,Windows 客