目录介绍... 1 范围... 1 设计考虑因素... 1 硬件要求... 1 软件要求... 1 说明和部署场景... 1 默认防火墙配置... 1 配置... 2 面向使用 IRB 的出站接入的防火墙配置... 4 配置... 4 IPsec VPN 配置... 5 配置... 6 UTM

Size: px

Start display at page:

Download "目录介绍... 1 范围... 1 设计考虑因素... 1 硬件要求... 1 软件要求... 1 说明和部署场景... 1 默认防火墙配置... 1 配置... 2 面向使用 IRB 的出站接入的防火墙配置... 4 配置... 4 IPsec VPN 配置... 5 配置... 6 UTM"

阿墩田
5 years ago
Views:

1 应用说明分支办事处 SRX 系列业务网关快速部署指南在分支办事处 SRX 系列业务网关上配置基本安全性与连接性

2 目录介绍... 1 范围... 1 设计考虑因素... 1 硬件要求... 1 软件要求... 1 说明和部署场景... 1 默认防火墙配置... 1 配置... 2 面向使用 IRB 的出站接入的防火墙配置... 4 配置... 4 IPsec VPN 配置... 5 配置... 6 UTM 配置... 7 防病毒配置... 7 Web 过滤配置... 8 IDP 配置... 8 总结... 9 关于瞻博网络... 9 图表目录图 1: 企业和分支办事处网络基础架构... 2 图 2: 企业和分支办事处网络基础架构... 5 ii

3 介绍本应用说明旨在向读者介绍在购买瞻博网络 SRX 系列业务网关后必要的配置步骤, 以便为互联网和远程站点提供安全连接支持文章中提供的范例配置可用于构建更复杂的配置, 来满足现代分支办事处和远程办事处的安全要求阅读本文后, 您应能够配置分支办事处 SRX 系列业务网关来传输流量和提供几项通用安全服务范围设计考虑因素本文介绍了瞻博网络 JUNOS 软件 CLI, 将可以帮助读者在首次接触 SRX 系列业务网关时完成相关配置, 同时为进行更高级的配置提供一个构建模块文章内容未提供高级安全配置范例或网络设计指南方面的内容如欲查看更多瞻博网络文档, 请访问 html#srx 硬件要求瞻博网络 SRX 系列业务网关 ( 本文中描述的某些特性并非在所有 SRX 系列产品线上都可用读者应参阅瞻博网络产品特定文献, 以了解更多信息 ) 软件要求说明和部署场景默认防火墙配置面向所有分支办事 SRX 系列业务网关的 JUNOS 软件 9.5 版或更高版本本文所含范例并非瞻博网络推荐配置它们仅用来满足诸如小型家庭办公室等最简单部署的安全要求然而, 通过进行一些修改, 这些范例可用于将远程和分支办事处安全地连接到更大型的中央站点本文所采用的方法为从出厂配置的 SRX 系列开始, 逐步执行一些必要的步骤, 来建立一个可用的基本配置第一个配置通常与默认防火墙行为有关所有来自专有网络的出站流量均被允许, 并使用源地址转换, 而来自互联网的不满足已有会话要求的入站流量, 则被阻止分支办事处 SRX 系列业务网关首次加电时, 将使用出厂默认配置启动, 具体如下 : 创建一个可信和不向接口 ge-0/0/0 指派 IP 地址 , 并将其捆绑到在接口 ge-0/0/0 上启用一个 DHCP 服务器例程创建三个安全策略, 一个分区内策略和两个分区间策略 : - 到 ( 分区内部 ) 默认允许策略 - 到不 ( 分区间 ) 默认允许策略 - 不到 ( 分区间 ) 默认拒绝策略为了展示通用默认防火墙配置, 我们在这里使用瞻博网络 SRX210 业务网关, 并做出以下设计假设 : 受保护网络连接到的接口 ge-0/0/0 互联网连接通过不的接口 fe-0/0/7 提供接口 fe-0/0/7 的 IP 地址可以静态进行配置或者通过 DHCP 分配 1

4 不 fe-0/0/ /30 ge-0/0/ /24 互联网不配置图 1: 企业和分支办事处网络基础架构 SRX 系列业务网关可通过命令行接口 (CLI) 或通过瞻博网络 J-Web 软件 GUI 一起进行配置要使用 J-Web, 需要将管理 PC 连接到接口 ge-0/0/0 PC 的 IP 地址可以静态配置, 或者通过 ge-0/0/0 上启用的出厂默认的 DHCP 服务器分配在本例中,SRX210 使用 CLI 进行配置, 管理 PC 被分配给一个静态 IP 地址 /24, 默认网关 IP 地址为要使用 JUNOS CLI 访问 SRX 系列设备 : 连接控制台线缆的一端到串行接口卡, 将接口卡插入到 PC 或笔记本电脑上的串行端口, 将线缆的另一端插入到 SRX 系列设备的控制台端口在 PC 或笔记本电脑上启动终端仿真程序, 选择 COM 端口, 配置以下端口设置 :9600 ( 每秒比特 ),8 ( 数据位 ), none ( 奇偶校验 ),1 ( 结束位 ), 和 none ( 流控制 ) 按下路由器上的电源按钮, 确认电源 LED 指示灯显示绿色以 root 用户身份登录, 在 Password 提示符处按回车键 ( 当启动出厂默认配置时, 无需输入密码 ) 通过 CLI 的验证后进入 UNIX shell: Amnesiac (ttyu0) login: root Password: JUNOS 9.4B3 built :28:15 UTC root@% Type cli at the % prompt to start the CLI and press Enter. The prompt changes to an angle bracket (>) when you 在 % 提示符处输入 cli 来启动 CLI, 并按回车键进入 CLI 运行模式后提示符变更为一个尖括号 (>) root@% cli root> 在 (>) 提示符处输入 configure, 按回车键进入配置模式后提示符从 > 变更为 # 2

5 root> configure Entering configuration mode [edit] root# Next, the SRX Series device will be configured to allow secure management access and NAT will be applied to all 然后,SRX 系列设备将被配置为允许所有安全管理接入, 并为所有出站流量应用 NAT 1. 创建一个管理员用户来管理 SRX 系列设备 set system login user johndoe class super-user set system login user johndoe authentication plain-text-password (will prompt for password) 2. 在不启用 SSH 服务, 以支持远程管理 set system services ssh set security zones security-zone untrust host-inbound-traffic system-services ssh 3. 设置系统主机名 set system host-name mysrx 4. 设置 DNS 服务器 4. Set the DNS servers. set system name-server 将接口 fe-0/0/7 分配给不 ( 分区名称区分大小写 ) set security zones security-zone untrust interfaces fe-0/0/7 6. Set 设置 fe-0/0/7 IP IP address 地址和默认路由配置 and default route configuration. a) 要静态分配 IP 地址和网关 : set interfaces fe-0/0/7 unit 0 family inet address /30 set routing-options static route /0 next-hop < ip address of the upstream router> b) To configure interfaces fe-0/0/7 to obtain an IP address and default gateway from a DHCP server: b) 要配置接口 fe-0/0/7 以通过 DHCP 服务器获得 IP 地址和默认网关 : set interfaces fe-0/0/7 unit 0 family inet dhcp set security zones security-zone untrust interfaces fe-0/0/7.0 host-inbound-traffic system-services dhcp 7. 为所有互联网流量的源地址转换创建 NAT 规则 set security nat source rule-set interface-nat from zone trust set security nat source rule-set interface-nat to zone untrust set security nat source rule-set interface-nat rule rule1 match source-address /0 destination-address /0 set security nat source rule-set interface-nat rule rule1 then source-nat interface 8. 在 CLI 提示符处使用 commit 命令激活配置 commit 3

6 面向使用 IRB 的出站接入的防火墙配置为了消除使用外部交换机的需要 ( 假定 SRX 系列设备具有足够多的接口 ),SRX 系列业务网关可被配置为同时提供交换和路由功能 SRX 系列设备使用虚拟 L3 接口来支持集成路由和桥接 (IRB), 或者支持在交换与路由接口集之间的路由当前, 这一设计在企业交换机中被广泛采用由于安全策略被同时应用于分区内部和分区之间的流量, 因此在安全设备上实施路由桥接要比在交换机中更具挑战性 JUNOS 软件通过使用接口捆绑的 VLAN 来实施 IRB VLAN 是一个可被组合起来形成一个广播域的接口集合 JUNOS 软件在 VLAN 中交换以太网帧, 而不是路由 IP 数据包称作 VLAN 的虚拟接口被用于在交换接口和路由接口之间路由流量这一架构方法与将独立交换机连接到防火墙上的端口的方法非常类似不 vlan i/f /24 fe-0/0/ /30 互联网不注 : 由于后续的范例均构建在第一个范例之上, 读者可能希望跳过这一配置, 在最后再尝试为了展示这一防火墙配置, 本文做出以下设计假设 : 接口 fe-0/0/7 提供到互联网的连接以下接口被组合起来创建一个 VLAN - ge-0/0/0 - ge-0/0/1 - fe-0/0/2 - fe-/0/0/3 创建一个 IP 地址为 /24 的 VLAN 接口, 以在交换机接口和路由接口 fe-0/0/7 之间路由流量配置 1. 删除接口 ge-0/0/0 的出厂默认 IP 地址 delete interfaces ge-0/0/0 unit 0 family inet 2. 在构成 VLAN 的接口上配置以太网交换 set interfaces ge-0/0/0 unit 0 family ethernet-switching set interfaces ge-0/0/1 unit 0 family ethernet-switching set interfaces fe-0/0/2 unit 0 family ethernet-switching set interfaces fe-0/0/3 unit 0 family ethernet-switching 3. 配置 VLAN 接口以在交换接口和路由接口之间路由流量 set interfaces vlan unit 0 family inet address /24 4

7 4. 分配 VLAN 接口到默认的 VLAN set vlans default l3-interface vlan.0 Note: SRX Series Services Gateways are preconfigured with a system-defined VLAN with name default and 注 :SRX 系列业务网关预配置有一个系统定义的 VLAN, 名称为 default,vlan-id 为 1 5. 分配 VLAN 接口给可信安全分区 set security zones security-zone trust interfaces vlan.0 IPsec VPN 配置为了展示站点到站点 IPsec 隧道的配置, 在以下设计假设条件下,VPN 配置信息将添加到第一个范例中 : 在站点之间指定一个基于路由且带有预共享密钥的 IPsec VPN 受保护网络连接到的接口 ge-0/0/0 互联网连接通过不的 fe-0/0/7 提供远程 IPsec 端点 IP 地址为 , 远程站点的受保护子网地址为 /24 所有到达子网 /24 的流量都被加密不 fe-0/0/ / /30 ge-0/0/ / /24 不图 2: 企业和分支办事处网络基础架构 5

8 配置为了展示设置 IPsec 隧道的简单性, 命令顺序被划分为四个可重复的步骤读者应参阅标准瞻博网络文档来进一步了解各种 IKE/IPsec 配置选项 1. 创建一个安全隧道接口 set interfaces st0 unit 0 family inet set security zones security-zone trust interfaces st 配置路由 set routing-options static route /24 next-hop st 配置 IKE Phase 1 参数 set security ike proposal P1-AES authentication-method pre-shared-keys set security ike proposal P1-AES dh-group group2 set security ike proposal P1-AES authentication-algorithm sha1 set security ike proposal P1-AES encryption-algorithm aes-128-cbc set security ike policy ike-policy-1 mode main set security ike policy ike-policy-1 proposals P1-AES set security ike policy ike-policy-1 pre-shared-key ascii-text juniper set security ike gateway gw1 address set security ike gateway gw1 external-interface fe-0/0/7.0 set security ike gateway gw1 ike-policy ike-policy-1 4. 配置 IPsec Phase 2 参数 set security ipsec proposal P2-AES protocol esp set security ipsec proposal P2-AES authentication-algorithm hmac-sha1-96 set security ipsec proposal P2-AES encryption-algorithm aes-128-cbc set security ipsec policy ipsec-policy-1 proposals P2-AES set security ipsec policy ipsec-policy-1 perfect-forward-secrecy keys group2 set security ipsec vpn vpn1 ike gateway gw1 set security ipsec vpn vpn1 ike ipsec-policy ipsec-policy-1 set security ipsec vpn vpn1 establish-tunnels immediately set security ipsec vpn vpn1 bind-interface st 在配置模式中 CLI 提示符处使用 commit 命令激活配置 commit 6

9 UTM 配置接下来范例为配置添加几个常见的统一威胁管理 (UTM) 特性在配置任意 UTM 特性前, 必须在设备上安装 UTM 特性许可许可密钥可使用以下任一方法进行安装这些命令为运行模式命令 1. 从 LMS 服务器直接下载 ( 这一方法为推荐方法, 但要求具备互联网接入能力 ) request system license update 2. 手动安装 ( 当许可密钥以文本文件形式存在时, 使用这一流程 ) request system license add terminal 现在您可以使用运行模式命令 show system license 确认许可被安装防病毒配置设置 SRX 系列业务网关使用防病毒引擎来扫描 HTTP 流量的过程同样非常简单 1. 配置 SRX 系列设备使用特别防病毒引擎 set security utm feature-profile anti-virus type juniper-express-engine 2. 配置一条 UTM 策略来使用预定义的防病毒简档 http-profile junos-eav-defaults set security utm utm-policy custom-utm-policy anti-virus http-profile junos-eav-defaults 3. 将 UTM 策略应用于现有到不安全策略 set security policies from-zone trust to-zone untrust policy default-permit then permit application-services utm-policy custom-utm-policy 4. 在配置模式中 CLI 提示符处使用 commit 命令激活配置 commit 注 : 预定义的简档 junos-eav-defaults 预配置有防病毒引擎回退选项扫描选项和通知消息默认配置可使用运行模式命令查看 : show configuration groups junos-defaults security utm feature-profile anti-virus juniper-expressengine profile junos-eav-defaults 7

10 Web 过滤配置使用 SRX 系列业务网关来过滤 Web 流量非常简单 1. 配置 SRX 系列设备以使用集成的 Web 过滤引擎 set security utm feature-profile web-filtering type surf-control-integrated 2. Configure 配置预定义的 the predefined Web 过滤简档 Web junos-wf-cpa-default, filtering profile junos-wf-cpa-default 以使用早先配置的 to use the UTM utm-policy 策略 configured earlier. set security utm utm-policy custom-utm-policy web-filtering http-profile junos-wf-cpa-default 3. 在配置模式中 CLI 提示符处使用 commit 命令激活配置 commit 注 : 预定义的简档 junos-wf-cpa-default 被配置使用 Websense 托管的 SurfControl CPA URL 类别数据库该数据库中含有超过 2,600 万个网站, 划分为 40 个简单易用的类别 IDP 配置 SRX 系列业务网关提供了与瞻博网络 IDP 系列入侵检测和防御设备相同的 IDP 签名集合, 以保障网络免受攻击在本范例配置中,SRX 系列设备被配置使用预定义的 IDP 策略来保护网络 1. 下载并安装最新的安全包 request security idp security-package download request security idp security-package install 2. 下载并安装 IDP 安全策略模板 request security idp security-package download policy-templates request security idp security-package install policy-templates 3. 启用 templates.xsl 脚本文件在执行时,JUNOS 软件管理进程 (mgd) 在 /var/db/scripts/commit 目录搜索脚本, 针对候选配置数据库运行脚本, 来确保配置符合脚本指定的规则 set system scripts commit file templates.xsl 4. 执行配置 commit 5. 配置活动 IDP 策略 set security idp active-policy Recommended 注 Note: : 推荐使用预定义的 A predefined IDP IDP policy 策略要查看 is recommended. IDP 策略列表 To view, the 使用 list set of IDP security policies, idp use active-policy set security? idp active-policy? 6. 在现有安全分区到非安全分区的防火墙安全策略上启用 IDP 检测 set security policies from-zone trust to-zone untrust policy default-permit then permit application-services idp 8

11 总结关于瞻博网络瞻博网络 SRX 系列业务网关以一体化解决方案, 提供了安全连接现代远程与分支办事处所需的全部特性 JUNOS 软件为用户提供了无与伦比的灵活性, 旨在满足最为严格的网络要求阅读本文档后, 您将能够配置一个分支办事处 SRX 系列设备来安全传输流量通过进行一些实践, 您还将可以创建出更复杂部署所需的高级配置瞻博网络是高性能网络领域中的领导者瞻博网络提供高性能的网络基础架构, 能够在单一网络中创建一个具有响应性的和受信赖的环境, 从而加速服务和应用的部署, 并推动高性能的业务进行欲知详情, 请访问 www. juniper.net 北京代表处北京市东城区东长安街 1 号东方经贸城西三办公楼 15 层 1508 室邮政编码 : 电话 : 传真 : 上海代表处上海市淮海中路 333 号瑞安广场室邮政编码 : 电话 : 传真 : 广州代表处广州市天河区天河路 228 号广晟大厦 28 楼单元邮政编码 : 电话 : 传真 : Copyright 2009,Juniper Networks, Inc. 版权所有, 保留所有权利 Juniper Networks, Juniper Networks 标识, NetScreen 和 ScreenOS 是瞻博网络在美国和其他国家的注册商标 JUNOS 和 JUNOSe 是瞻博网络所属商标所有其他的商标服务标记注册商标或注册的服务标记均为其各自公司的财产瞻博网络不承担由本资料中的任何不准确性而引起的任何责任, 瞻博网络保留不做另行通知的情况下对本资料进行变更修改转换或以其他方式修订的权利文档编号 : SC 04/2009 不管出于任何目的, 未经瞻博网络的书面许可, 任何人不得以任何形式或方式复制或转载本文的任何部分

一．NETGEAR VPN防火墙产品介绍

一．NETGEAR VPN防火墙产品介绍 NETGEAR VPN NETGEAR 6 http://www.netgear.com.cn - 1 - NETGEAR VPN... 4 1.1 VPN...4 1.2 Dynamic Domain Name Service...4 1.3 Netgear VPN...4 Netgear VPN... 6 2.1 FVS318 to FVS318 IKE Main...7 2.1.1 A VPN

目 录 介绍... 1 范围... 1 设计考虑因素... 1 硬件要求... 1 软件要求... 1 说明和部署场景... 1 默认防火墙配置... 1 配置... 2 面向使用 IRB 的出站接入的防火墙配置... 4 配置... 4 IPsec VPN 配置... 5 配置... 6 UTM

目录介绍... 1 范围... 1 设计考虑因素... 1 硬件要求... 1 软件要求... 1 说明和部署场景... 1 默认防火墙配置... 1 配置... 2 面向使用 IRB 的出站接入的防火墙配置... 4 配置... 4 IPsec VPN 配置... 5 配置... 6 UTM