juniper netscreen模擬實例配置

1、Juniper Netscreen 模擬實例配置,,2,,,分公司B,總部A,,,192.168.1.180,1.1.1.1,1.1.1.14,,192.168.1.1,ERP,,,WEB,192.168.1.190,,,,,,,,,2.2.2.14,2.2.2.1,192.168.2.1,,,,3.3.3.14,3.3.3.1,192.168.3.1,合作伙伴C,,,,,L2TP,,,IPsec,,WEB Server的公網映射地址為

2、1.1.1.12. 2.2.2.0的子網掩碼是255.255.255.240.1.1.1.0的子網掩碼是255.255.255.240. 3.3.3.0的子網掩碼是255.255.255.240.,3,總部A的基本配置,接口設置以及安全區(qū)的劃分內網交換機連接防火墻Trust接口，Trust接口綁定到Trust Zone。內網網段為192.168.1.0/2

3、4，Trust接口地址為192.168.1.1。公網路由器連接防火墻Untrust接口，Untrust接口綁定到Untrust Zone。公網路由器的地址為1.1.1.14/28，Untrust接口為1.1.1.1/28。設置默認路由將默認路由指向公網路由器的地址，將出口指向Untrust接口。設置內網（Trust）到外網（Untrust）的訪問策略,4,內網接口（Trust Interface）的設置,將Trust口綁定到T

4、rust Zone,設置接口IP地址,5,外網接口（Untrust Interface）的設置,,如果允許在外網進行網管請打開相關選項,6,默認路由的設置,0.0.0.0/0代表默認路由,指定出口以及網關地址,7,內網（Trust）到外網（Untrust）的訪問策略,Any代表任意地址,允許內網訪問外網,8,總部A的地址映射/服務器訪問設置,WEB服務器（真實地址192.168.1.180；公網映射地址1.1.1.12）在Untrus

5、t接口上設置MIP，做1vs1的地址映射。通過設置策略允許外網訪問MIP上的WEB服務（80端口）。ERP服務器設置ERP服務器的真實地址 192.168.1.190。設置ERP服務器的應用服務（TCP8888端口）。設置B公司的內網地址段：192.168.2.0/24。設置C公司的內網地址段：192.168.3.0/24。通過設置策略允許B、C公司可以通過VPN隧道訪問ERP服務器。,9,在Untrust接口設置MIP,

6、在這里輸入公網地址,在這里輸入真實服務器地址,10,設置策略允許外網訪問WEB服務器,在目的地址里選擇MIP地址。,在服務里選擇HTTP。,11,設置ERP服務器的應用服務（TCP 8888）,在這里選擇端口號,12,設置ERP服務器的真實地址 192.168.1.190,單臺主機的掩碼使用/32。,13,設置ERP服務器的應用服務（TCP 8888）,在這里選擇端口號,14,設置B公司的內網地址段 192.168.2.0/24,該地址

7、對于A來說是從屬于Untrust Zone的。,15,設置C公司的內網地址段 192.168.3.0/24,該地址對于A來說是從屬于Untrust Zone的。,16,設置策略允許B公司訪問ERP服務器,17,設置策略允許C公司訪問ERP服務器,18,總部A的總體安全策略,對于分公司B的訪問總部A可以無限制訪問分公司B的內網；對于公網的訪問僅允許許http/https/dns/icmp/smtp/pop3/ftp/msn這八種服務

8、。分公司B對于總部A的訪問分公司B可以無限制訪問總部A的內網；取消前面設定的默認策略撤銷原先的內網對公網的默認策略,19,設置策略允許總部A訪問分公司B,20,設置策略允許總部A訪問公網的幾種特定服務,點擊它，則彈出選擇服務的菜單。,21,設置策略允許分公司B訪問總部A,22,取消默認策略/重復的策略,23,分公司B的基本配置 設置方法參考A,接口設置以及安全區(qū)的劃分內網交換

9、機連接防火墻Trust接口，Trust接口綁定到Trust Zone。內網網段為192.168.2.0/24，Trust接口地址為192.168.2.1。公網路由器連接防火墻Untrust接口，Untrust接口綁定到Untrust Zone。公網路由器的地址為2.2.2.14/28，Untrust接口為2.2.2.1/28。設置默認路由將默認路由指向公網路由器的地址，將出口指向Untrust接口。設置內網（Trust）到外

10、網（Untrust）的訪問策略,24,公司C的基本配置 設置方法參考A,接口設置以及安全區(qū)的劃分內網交換機連接防火墻Trust接口，Trust接口綁定到Trust Zone。內網網段為192.168.3.0/24，Trust接口地址為192.168.3.1。公網路由器連接防火墻Untrust接口，Untrust接口綁定到Untrust Zone。公網路由器的地址為3.3.

11、3.14/28，Untrust接口為3.3.3.1/28。設置默認路由將默認路由指向公網路由器的地址，將出口指向Untrust接口。設置內網（Trust）到外網（Untrust）的訪問策略,25,總部A與分公司B之間的Site to Site VPN,總部A部分的Site to Site VPN設置VPN Gateway的設置VPN 的設置路由的設置分公司B部分的Site to Site VPN設置VPN Gateway

12、的設置VPN的設置路由的設置,26,總部A Gateway的設置,對方VPN設備的網關,選擇VPN通道的出口,27,總部A Gateway的設置 高級選項,VPN雙方的模式必須一致,28,總部A Tunnel Interface的設置,Tunnel Interface的地址借用Untrust接口的地址,29,總部A IKE VPN配置,在下拉菜單選取前面定義的IKE Gateway,30,總部A IKE VP

13、N配置 高級選項,綁定tunnel.1接口,填入本地/遠端地址段,31,總部A 路由的設置,寫入分公司B內網的地址,選擇tunnel.1作為出口,32,分公司B Gateway的設置,對方VPN設備的網關,選擇VPN通道的出口,33,分公司B Gateway的設置 高級選項,VPN雙方的模式必須一致,34,分公司B Tunnel Interface的設置,

14、Tunnel Interface的地址借用Untrust接口的地址,35,分公司B IKE VPN配置,在下拉菜單選取前面定義的IKE Gateway,36,分公司B IKE VPN配置 高級選項,綁定tunnel.1接口,填入本地/遠端地址段,37,分公司B 路由的設置,選擇tunnel.1作為出口,B公司所有的對外訪問都要通過到總部A的VPN隧道；故選擇0.0.0.0/

15、0的默認路由,38,總部A與公司C之間的Site to Site VPN,總部A部分的Site to Site VPN設置VPN Gateway的設置VPN 的設置VPN策略設置公司C部分的Site to Site VPN設置VPN Gateway的設置VPN的設置VPN策略設置,39,總部A Gateway的設置,對方VPN設備的網關,選擇VPN通道的出口,40,總部A Gateway的設置 高級選項,

16、VPN雙方的模式必須一致,41,總部A IKE VPN配置,在下拉菜單選取前面定義的IKE Gateway,42,總部A IKE VPN配置 高級選項,43,總部A VPN策略的設置,Action選擇Tunnel,選擇A到C的VPN,44,總部C Gateway的設置,對方VPN設備的網關,選擇VPN通道的出口,45,總部C Gateway的設置 高級選

17、項,VPN雙方的模式必須一致,46,總部C IKE VPN配置,在下拉菜單選取前面定義的IKE Gateway,47,總部C IKE VPN配置 高級選項,48,總部C VPN策略的設置,Action選擇Tunnel,選擇C到A的VPN,49,遠程用戶1通過IPsec Dialup VPN訪問總部A,Phase 1 部分 IKE Gateway VPN的向外接口IK

18、E Gateway 地址Phase 1 協(xié)議Pre-shared KeyDiffie-Hellman group numberEncryption AlgorithmAuthentication AlgorithmPhase 2 部分 VPN n名稱Phase 2 proposalDiffie-Hellman group number for PFS (optional)IPSec protocol (ESP or

19、 AH)Encryption AlgorithmAuthentication AlgorithmVPN 安全策略Netscreen Remote 客戶端的設置,,Dial-up User 設定部分－ 設定用戶的IKE ID,50,配置Dial-up用戶,設置IKE ID,設定其它值會導致異常,客戶端也須配置兩者須一致,51,配置dialup VPN Gateway,IKE Phase 1,選擇dialup user，并在對應下

20、拉菜單選擇我們剛才設定的用戶。,設置共享密鑰，客戶端也須設置相同的值（最少8位）,52,配置dialup VPN Gateway 高級選項,IKE Phase 1,注意dial-up VPN使用Aggressive模式,如果VPN連接中有NAT存在，請勾選此項，開啟穿透功能；并做UDP Checksum檢查,53,配置 dialup VPN,IKE Phase 2,在下拉菜單選取前面定義的IKE Gateway

21、,54,配置dialup VPN 高級選項,IKE Phase 2,VPNs > AutoKey IKE > Edit (Advanced),55,總部A VPN策略的設置,Action選擇Tunnel,選擇dialup VPN,源地址選擇Dial-Up VPN（系統(tǒng)自定義）,56,Netscreen Remote遠程客戶端的配置 01,新建一個連接，取名后，點中它，出現(xiàn)右方基本配置

22、界面。,在該選項中輸入我們的目標地址，即安全網關后面的內部子網/主機的地址。,選中該選項，并在ID中選取IP Address，輸入安全網關的外網口地址。,57,Netscreen Remote遠程客戶端的配置 02,點擊新建連接的加號鍵，點中My Identity進行設置,在Select中選擇None；在Pre-Shared Key中輸入與前面安全網關Gateway配置中一致的值。,在ID選項中選擇E-mail Address，然后輸

23、入與前面安全網關Dial-up 用戶配置中一致的值。,58,Netscreen Remote遠程客戶端的配置 03,選中Security Policy進行設置。,在Select Phase 1 Negotiation Mode中選擇Aggressive Mode。,根據(jù)前面在安全網關中IKE VPN中Phase 2 Proposal選擇的不同，選擇是否使用PFS。,59,Netscreen Remote遠程客戶端的配置 04,選中P

24、roposal 1,進行Phase 1的設置。,根據(jù)前面在安全網關中IKE Gateway中Phase 1Proposal的選擇，選擇一致的選項。,60,Netscreen Remote遠程客戶端的配置 05,選中Proposal 2,進行Phase 2的設置。,根據(jù)前面在安全網關中IKE VPN中Phase 2Proposal的選擇，選擇一致的選項。,61,遠程用戶2通過L2TP VPN訪問總部A的ERP服務器,L2TP Tunne

25、l的設置 VPN 安全策略Windows客戶端的設置,,L2TP User 設定部分－ 設定L2TP用戶名/密碼,62,配置L2TP用戶,設定用戶名,分配給L2TP用戶的地址,設定密碼,63,配置L2TP Tunnel,選擇Tunnel的接口,選擇L2TP用戶,64,L2TP Tunnel策略的設置,Action選擇Tunnel,選擇L2TP Tunnel,源地址選擇Dial-Up VPN（系統(tǒng)自定義）,65,Windows 客