2023年11月28日发(作者：)
防⽕墙三种部署模式及基本配置
防⽕墙三种部署模式及基本配置
Juniper防⽕墙在实际的部署过程中主要有三种模式可供选择，这三种模式分别是：
① 基于TCP/IP协议三层的NAT模式；
② 基于TCP/IP协议三层的路由模式；
③ 基于⼆层协议的透明模式。
2.1、NAT模式
当Juniper防⽕墙⼊⼝接⼝（“内⽹端⼝”）处于NAT模式时，防⽕墙将通往Untrust 区（外⽹或者公⽹）的IP 数据包包头中的两
个组件进⾏转换：源 IP 地址和源端⼝号。
防⽕墙使⽤ Untrust 区（外⽹或者公⽹）接⼝的 IP 地址替换始发端主机的源IP 地址；同时使⽤由防⽕墙⽣成的任意端⼝号替
换源端⼝号。
NAT模式应⽤的环境特征：
① 注册IP地址（公⽹IP地址）的数量不⾜；
② 内部⽹络使⽤⼤量的⾮注册IP地址（私⽹IP地址）需要合法访问Internet；
③ 内部⽹络中有需要外显并对外提供服务的服务器。
2.2、Route-路由模式
当Juniper防⽕墙接⼝配置为路由模式时，防⽕墙在不同安全区间（例如：Trust/Utrust/DMZ）转发信息流时IP 数据包包头中
的源地址和端⼝号保持不变。
① 与NAT模式下不同，防⽕墙接⼝都处于路由模式时，不需要为了允许⼊站数据流到达某个主机⽽建⽴映射 IP (MIP) 和虚拟
IP (VIP) 地址；
② 与透明模式下不同，当防⽕墙接⼝都处于路由模式时，其所有接⼝都处于不同的⼦⽹中。
路由模式应⽤的环境特征：
① 注册IP（公⽹IP地址）的数量较多；
② ⾮注册IP地址（私⽹IP地址）的数量与注册IP地址（公⽹IP地址）的数量相当；
③ 防⽕墙完全在内⽹中部署应⽤。
2.3、透明模式
当Juniper防⽕墙接⼝处于“透明”模式时，防⽕墙将过滤通过的IP数据包，但不会修改 IP数据包包头中的任何信息。防⽕墙的
作⽤更像是处于同⼀VLAN 的2 层交换机或者桥接器，防⽕墙对于⽤户来说是透明的。
透明模式是⼀种保护内部⽹络从不可信源接收信息流的⽅便⼿段。使⽤透明模式有以下优点：
① 不需要修改现有⽹络规划及配置；
② 不需要为到达受保护服务器创建映射或虚拟 IP 地址；
③ 在防⽕墙的部署过程中，对防⽕墙的系统资源消耗最低。
2.4、基于向导⽅式的NAT/Route模式下的基本配置
Juniper防⽕墙NAT和路由模式的配置可以在防⽕墙保持出⼚配置启动后通过Web浏览器配置向导完成。
注：要启动配置向导，则必须保证防⽕墙设备处于出⼚状态。例如：新的从未被调试过的设备，或者经过命令⾏恢复为出⼚状
态的防⽕墙设备。
通过Web浏览器登录处于出⼚状态的防⽕墙时，防⽕墙的缺省管理参数如下：
① 缺省IP：192.168.1.1/255.255.255.0；
② 缺省⽤户名/密码：netscreen/ netscreen；
注：缺省管理IP地址所在端⼝参见在前⾔部份讲述的“Juniper防⽕墙缺省管理端⼝和IP地址”中查找！！
在配置向导实现防⽕墙应⽤的同时，我们先虚拟⼀个防⽕墙设备的部署环境，之后，根据这个环境对防⽕墙设备进⾏配置。
防⽕墙配置规划：
① 防⽕墙部署在⽹络的Internet出⼝位置，内部⽹络使⽤的IP地址为
192.168.1.0/255.255.255.0所在的⽹段，内部⽹络计算机的⽹关地址为防⽕墙内⽹端⼝的IP地址：192.168.1.1；
② 防⽕墙外⽹接⼝IP地址（通常情况下为公⽹IP地址，在这⾥我们使⽤私⽹IP地址模拟公⽹IP地址）为：
10.10.10.1/255.255.255.0，⽹关地址为：
10.10.10.251
要求：
实现内部访问Internet的应⽤。
注：在进⾏防⽕墙设备配置前，要求正确连接防⽕墙的物理链路；调试⽤的计算机连接到防⽕墙的内⽹端⼝上。
1. 通过IE或与IE兼容的浏览器（推荐应⽤微软IE浏览器）使⽤防⽕墙缺省
IP地址登录防⽕墙（建议：保持登录防⽕墙的计算机与防⽕墙对应接⼝处于相
同⽹段，直接相连）。
2. 使⽤缺省IP登录之后，出现安装向导：
注：对于熟悉Juniper防⽕墙配置的⼯程师，可以跳过该配置向导，直接点选：No，skip the wizard and go straight to the
WebUI management session instead，之后选择Next，直接登录防⽕墙设备的管理界⾯。
3. 使⽤向导配置防⽕墙，请直接选择：Next，弹出下⾯的界⾯：
4. “欢迎使⽤配置向导”，再选择Next。
注：进⼊登录⽤户名和密码的修改页⾯，Juniper防⽕墙的登录⽤户名和密码是可以更改的，这个⽤户名和密码的界⾯修改的
是防⽕墙设备上的根⽤户，这个⽤户对于防⽕墙设备来说具有最⾼的权限，需要认真考虑和仔细配置，保存好修改后的⽤户名
和密码。
5. 在完成防⽕墙的登录⽤户名和密码的设置之后，出现了⼀个⽐较关键的选择，这个选择决定了防⽕墙设备是⼯作在路由模
式还是⼯作在NAT模式：
选择Enable NAT，则防⽕墙⼯作在NAT模式；
不选择Enable NAT，则防⽕墙⼯作在路由模式。
6. 防⽕墙设备⼯作模式选择，选择：Trust-Untrust Mode模式。这种模式是应⽤最多的模式，防⽕墙可以被看作是只有⼀进⼀
出的部署模式。
注：NS-5GT防⽕墙作为低端设备，为了能够增加低端产品应⽤的多样性，Juniper 在NS-5GT的OS中独⽴开发了⼏种不同的
模式应⽤于不同的环境。⽬前，除
NS-5GT以外，Juniper其他系列防⽕墙不存在另外两种模式的选择。
7. 完成了模式选择，点击“Next”进⾏防⽕墙外⽹端⼝IP配置。外⽹端⼝IP 配置有三个选项分别是：DHCP⾃动获取IP地址；通
过PPPoE拨号获得 IP地址；⼿⼯设置静态IP地址，并配置⼦⽹掩码和⽹关IP地址。
在这⾥，我们选择的是使⽤静态IP地址的⽅式，配置外⽹端⼝IP地址为：10.10.10.1/255.255.255.0，⽹关地址为：
10.10.10.251。
8.完成外⽹端⼝的IP地址配置之后，点击“Next”进⾏防⽕墙内⽹端⼝IP配置：
9. 在完成了上述的配置之后，防⽕墙的基本配置就完成了，点击“Next”进⾏DHCP服务器配置。
注：DHCP服务器配置在需要防⽕墙在⽹络中充当DHCP服务器的时候才需要配置。否则请选择“NO”跳过。
注：上⾯的页⾯信息显⽰的是在防⽕墙设备上配置实现⼀个DHCP服务器功能，由防⽕墙设备给内部计算机⽤户⾃动分配IP地
址，分配的地址段为：
192.168.1.100-192.168.1.150⼀共51个IP地址，在分配IP地址的同时，防⽕墙设备也给计算机⽤户分配了DNS服务器地
址，DNS⽤于对域名进⾏解析，如：将错误！超链接引⽤⽆效。地址：202.108.33.32。如果计算机不能获得或设置DNS服务
器地址，⽆法访问互联⽹。
10. 完成DHCP服务器选项设置，点击“Next”会弹出之前设置的汇总信息：
11. 确认配置没有问题，点击“Next”会弹出提⽰“Finish”配置对话框：
在该界⾯中，点选：Finish之后，该Web页⾯会被关闭，配置完成。
此时防⽕墙对来⾃内⽹到外⽹的访问启⽤基于端⼝地址的NAT，同时防⽕墙设备会⾃动在策略列表部分⽣成⼀条由内⽹到外
⽹的访问策略：
策略：策略⽅向由Trust到Untrust，源地址：ANY，⽬标地址：ANY，⽹络服务内容：ANY；
策略作⽤：允许来⾃内⽹的任意IP地址穿过防⽕墙访问外⽹的任意地址。
重新开启⼀个IE页⾯，并在地址栏中输⼊防⽕墙的内⽹端⼝地址，确定后，出现下图中的登录界⾯。输⼊正确的⽤户名和密
码，登录到防⽕墙之后，可以对防⽕墙的现有配置进⾏修改。
总结：
上述就是使⽤Web浏览器通过配置向导完成的防⽕墙NAT或路由模式的应⽤。通过配置向导，可以在不熟悉防⽕墙设备的情
况下，配置简单环境的防⽕墙应⽤。
2.5、基于⾮向导⽅式的NAT/Route模式下的基本配置
基于⾮向导⽅式的NAT和Route模式的配置建议⾸先使⽤命令⾏开始，最好通过控制台的⽅式连接防⽕墙，这个管理⽅式不受
接⼝IP地址的影响。
注：在设备缺省的情况下，防⽕墙的信任区（Trust Zone）所在的端⼝是⼯作在NAT模式的，其它安全区所在的端⼝是⼯作在
路由模式的。
基于命令⾏⽅式的防⽕墙设备部署的配置如下（⽹络环境同上⼀章节所讲述的环境）：
2.5.1、NS-5GT NAT/Route模式下的基本配置
注：NS-5GT设备的物理接⼝名称叫做trust和untrust；缺省Zone包括：trust 和untrust，请注意和接⼝区分开。
① Unset interface trust ip （清除防⽕墙内⽹端⼝的IP地址）；
② Set interface trust zone trust（将内⽹端⼝分配到trust zone）；
③ Set interface trust ip 192.168.1.1/24（设置内⽹端⼝的IP地址，必须先定义zone，之后再定义IP地址）；
④ Set interface untrust zone untrust（将外⽹⼝分配到untrust zone）；
⑤ Set interface untrust ip 10.10.10.1/24（设置外⽹⼝的IP地址）；
⑥ Set route 0.0.0.0/0 interface untrust gateway 10.10.10.251（设置防⽕墙对外的缺省路由⽹关地址）；
⑦ Set policy from trust to untrust any any any permit log（定义⼀条由内⽹到外⽹的访问策略。策略的⽅向是：由zone trust 到
zone untrust，源地址为：any，⽬标地址为：any，⽹络服务为：any，策略动作为：permit允许，log：开启⽇志记录）；
⑧ Save （保存上述的配置⽂件）。
2.5.2、NS-25-208 NAT/Route模式下的基本配置
① Unset interface ethernet1 ip（清除防⽕墙内⽹⼝缺省IP地址）；
② Set interface ethernet1 zone trust（将ethernet1端⼝分配到trust zone）；
③ Set interface ethernet1 ip 192.168.1.1/24（定义ethernet1端⼝的IP 地址）；
④ Set interface ethernet3 zone untrust（将ethernet3端⼝分配到untrust zone）；
⑤ Set inter face ethernet3 ip 10.10.10.1/24（定义ethernet3端⼝的IP
地址）；
⑥ Set route 0.0.0.0/0 interface ethernet3 gateway 10.10.10.251（定义防⽕墙对外的缺省路由⽹关）；
⑦ Set policy from trust to untrust any any any permit log（定义由内⽹到外⽹的访问控制策略）；
⑧ Save （保存上述的配置⽂件）
注：上述是在命令⾏的⽅式上实现的NAT模式的配置，因为防⽕墙出⼚时在内⽹端⼝（trust zone所属的端⼝）上启⽤了
NAT，所以⼀般不⽤特别设置，但是其它的端⼝则⼯作在路由模式下，例如：untrust和DMZ区的端⼝。
如果需要将端⼝从路由模式修改为NAT模式，则可以按照如下的命令⾏进⾏修改：
① Set interface ethernet2 NAT （设置端⼝2为NAT模式）
② Save
总结：
① NAT/Route模式做防⽕墙部署的主要模式，通常是在⼀台防⽕墙上两种模式
混合进⾏（除⾮防⽕墙完全是在内⽹应⽤部署，不需要做NAT-地址转换，这种情况下防⽕墙所有端⼝都处于Route模式，防
⽕墙⾸先作为⼀台路由器进⾏部署）；
② 关于配置举例，NS-5GT由于设备设计上的特殊性，因此专门列举加以说明；Juniper在2006年全新推出的SSG系列防⽕
墙，除了端⼝命名不⼀样，和NS-25等设备管理配置⽅式⼀样。
2.6、基于⾮向导⽅式的透明模式下的基本配置
实现透明模式配置建议采⽤命令⾏的⽅式，因为采⽤Web的⽅式实现时相对命令⾏的⽅式⿇烦。通过控制台连接防⽕墙的控
制⼝，登录命令⾏管理界⾯，通过如下命令及步骤进⾏⼆层透明模式的配置：
① Unset int erface ethernet1 ip（将以太⽹1端⼝上的默认IP地址删除）；
② Set interface ethernet1 zone v1-trust（将以太⽹1端⼝分配到v1-trust zone：基于⼆层的安全区，端⼝设置为该安全区后，
则端⼝⼯作在⼆层模式，并且不能在该端⼝上配置IP地址）；
③ Set interface ethernet2 zone v1-dmz（将以太⽹2端⼝分配到v1-dmz zone）；
④ Set interface ethernet3 zone v1-untrust（将以太⽹3端⼝分配到
v1-untrust zone）；
⑤ Set interface vlan1 ip 192.168.1.1/24（设置VLAN1的IP地址为：192.168.1.1/255.255.255.0，该地址作为防⽕墙管理IP地
址使⽤）；
⑥ Set policy from v1-trust to v1-untrust any any any permit log（设置⼀条由内⽹到外⽹的访问策略）；
⑦ Save（保存当前的配置）；
总结：
① 带有V1-字样的zone为基于透明模式的安全区，在进⾏透明模式的应⽤时，⾄少要保证两个端⼝的安全区⼯作在⼆层模式；
② 虽然Juniper防⽕墙可以⼯作在混合模式下（⼆层模式和三层模式的混合应⽤），但是通常情况下，建议尽量使防⽕墙⼯作
在⼀种模式下（三层模式可以混⽤：NAT和路由）。
(责任编辑：admin)
发布评论