Juniper防火墻維護(hù)手冊防火墻維護(hù)手冊防火墻維護(hù)手冊/23目錄TOC\o"1-5"\h\z\o"CurrentDocument"日常維護(hù)內(nèi)容 3\o"CurrentDocument"配置主機(jī)名 3\o"CurrentDocument"接口配置 4\o"CurrentDocument"路由配置 5\o"CurrentDocument"高可用性配置（雙機(jī)配置） 6\o"CurrentDocument"配置MIP（通過圖形界面配置） 9\o"CurrentDocument"配置訪問策略（通過圖形界面配置） 11\o"CurrentDocument"NetScreen的管理 15\o"CurrentDocument"訪問方式 1.5\o"CurrentDocument"用戶 17\o"CurrentDocument"日志 18\o"CurrentDocument"性能 20\o"CurrentDocument"其他常用維護(hù)命令 21\o"CurrentDocument"其他的配置 21.日常維護(hù)內(nèi)容配置主機(jī)名NetScreen防火墻出廠配置的機(jī)器名為netscree"為了便于區(qū)分設(shè)備和維護(hù),在對防火墻進(jìn)行配置前先對防火墻進(jìn)行命名：Netscreen->sethostnamdFW-1-MFW-1-M>接口配置配置接口的工作包括配置接口屬于什么區(qū)域、接口的IP地址、管理IP地址、接口的工作模式、接口的一些管理特性。接口的管理IP與接口IP在同一網(wǎng)段，用于專門對接口進(jìn)行管理時用。在雙機(jī)的工作狀態(tài)下，因?yàn)榻涌诘牡刂分淮嬖谟谥鞣阑饓ι希绻慌渲霉芾鞩P,則不能對備用防火墻進(jìn)行登錄了。一般在單機(jī)時，不需要配置接口的管理IP,但在雙機(jī)時，建議對trust區(qū)域的接口配置管理IP。接口的一些管理特性包括是否允許對本接口的 IP進(jìn)行ping、telnet、WebU等操作。注意：接口的工作模式可以工作在路由模式，NAT奠式和透明模式。在產(chǎn)品線應(yīng)用中，透明模式很少用，而NAT奠式只有在trust到untrust的數(shù)據(jù)流才起作用，建議把防火墻的所有接口都配置成route的工作模式，用命令setinterface接口名route配置即可，缺省情況下需要在trust區(qū)段中的接口使用此命令。本例子中，配置接口ethernet2屬于Untrust區(qū)，IP地址為3/28,如設(shè)置管理方式是Http,命令如下：Ns204->setinterfaceethernet1zoneTrustNs204->setinterfaceethernet1ip94/29Ns204->setinterfaceethernet1natNs204->setinterfaceethernet1zoneUntrustNs204->setinterfaceethernet2ip3/28Ns204->setinterfaceethernet1natZHfevnrk卞MerfaH!：(tillji1|曲3口vIM山㈤ "lEwr+nr7mjMew]ZHfevnrk卞MerfaH!：(tillji1|曲3口vIM山㈤ "lEwr+nr7mjMew]hum?)IFH^bihB，E用AiE.嚴(yán)田:de?*ZjdhTWWUn*MMM；,CnnhqpLirr朝FwiefOFso*TiVS-t?rr3Dcwn-flthrtriffB3/1m1a1田UnerysELd”船夕etteiriefcQrsddGQgUntrwt。￥4點(diǎn)Dp?h*3kethe?rriefiQ/3O-D.oi-q/u心Uye曰DownEMdlanlo.a.cLcvniVLAMUyar3Ddwh■EdiL'DHCPLodix[噂:;!]*1■■EduiLAhitaffdLfaL￡的由比iM好3.聞M￡RP

■…卜匕cie野aiilqPMM”Mb護(hù)加田I；MP.選擇接口后按Edit鍵后進(jìn)入以下頁面進(jìn)行配置接口特性:透明模式只需要將防火墻的接口配置為V1-Untrust或V1-Trust等二層的區(qū)段,不需要配置接口的IP,設(shè)置的命令如下:FW-1-M->setinterfaceethernet1/1zoneV1-UnrustFW-1-M->setinterfaceethernet1/2zoneV1-TrustNetScreenNetScreen防火墻有路由功能,路由配置缺省情況下，內(nèi)部有Untrust-vr和Trust-vr兩個路由器，為了能與外部通訊,需要在這兩個虛擬路由器上配置路由。如果untrust-vr沒有使用的話，不需要在untrust-vr上配置路由。一般應(yīng)用中,配置靜態(tài)路由即可滿足要求。配置靜態(tài)路由時，需要配置目的網(wǎng)絡(luò)、下一跳及出去的接口。透明模式的防火墻不需要設(shè)置路由信息。本例中，在trust-vr 上配置默認(rèn)的路由下一跳通過Untrust接口指向網(wǎng)關(guān)7Ns204->setroute/0interfaceethernet2gateway用WebUI的方式配置接口，菜單：Network->routing->routingentriesEE-wir忖小giUQ-rvIrwniY川噴界11小>sRMttfetj 日而隨手11tfxCw^niraliwHr癡中kpnrpage

iwjiLv "勵帆『EE-wir忖小giUQ-rvIrwniY川噴界11小>sRMttfetj 日而隨手11tfxCw^niraliwHr癡中kpnrpage

iwjiLv "勵帆『I"曰以國MCad^oulnq即VrlwiRoMtort*fiEtayi?-rnLileCCmnecred1由出步QQ5"EJOSPFejitErfidtypeJHtoyie■1,打井"臥「正卜7曲陽芹Ph.iiii^n^wi S31tlyt酌口口”島的工口M F9?9RF口對E二p??,'MR此■上口■"ngMiahP按New按鈕可以配置一個新的路由:VirtualRouterNamem式3rMfit^urkAllllrPK、/\AtrHdSk| /|2S5.2EE.25E□bMe楂tHopVirtualRouterName卜-H.tTu^fr可OK|Sri聞OK|Sri聞]高可用性配置(雙機(jī)配置)NetScreen雙機(jī)的基本配置步驟：1、檢查雙機(jī)的版本是否一致，原則上兩臺防火墻的版本要求相同。如果版本不同，建議升級到相同的版本。防火墻版本的檢查命令：FW-1-M->getsystemProductName:NetScreen-ISG1000SerialNumber:0133102006000136,ControlNumber:00000000HardwareVersion:3010(0)-(04),FPGAchecksum:00000000,VLAN1IP()SoftwareVersion:5.3.0r7.0,Type:Firewall+VPN2、連接HA線，把接口劃分到HA區(qū)段中。HA線是防火墻白^心跳線，ISG1000沒有專門的HAg口，必須設(shè)置接口來并劃分到HA區(qū)段中。如果心跳線采用光纖則只需要設(shè)置一個 HA口和一根心跳線,如果采用雙絞線作為心跳線，則需要設(shè)置兩個 HAD和兩條雙膠線，HAS口之間采用交叉線相連接。本例將Eth1/3及eth1/4設(shè)置為HA接口：FW-1-M->setinterface"ethernet1/3"zone"HA"FW-1-M->setinterface"ethernet1/4"zone"HA"3、配置clusterID號防火墻雙機(jī)也叫cluster,同一個雙機(jī)的cluster號應(yīng)相同。在兩臺防火墻上都用命令配置成同一個cluster:GM-Web(M)->etnsrpclusterid1則兩臺防火墻一臺會變成FW-1-M(M),另一臺會變成FW-1-B(B),(M)表示主用，(B)表示備用，(I)表示初始化。注意：在(I)狀態(tài)下，防火墻是不能正常工作的，出現(xiàn)此狀態(tài)時一定要注意。用WebU方式配置雙機(jī)的clusterID,菜單：Network〉NSR->Cluster

4、配置VSD&及優(yōu)先級虛擬安全設(shè)備VSDS用于防火墻工作在active/active方式下，缺省情況下兩臺NetScreen防火墻都屬于VSDfi0,可以設(shè)置VSDfi的優(yōu)先級，優(yōu)先級數(shù)值越小，則越優(yōu)先。FW-1-M(M)->setnsrpvsd-groupid0priority50用WebUI的方式配置VSD組的優(yōu)先級，菜單：Network->NSR->VSD Group,選擇New^EEdit菜單則可。nsPriedlypraomnitHalklDciMiik*nsPriedlypraomnitHalklDciMiik*磯河GFDiMICOIMlbQIM0gQ HQ3i*iaS-1errflvselfnan?Mt-EllYWt M產(chǎn)5、配置雙機(jī)同步配置成雙機(jī)后，把在防火墻上新增加的配置會自動同步到另一臺防火墻上:注意：在配置成雙機(jī)前的防火墻上的配置不會主動同步到另一臺機(jī)器上；如果在防火墻1上做配置時，防火墻2是down的，則此時在防火墻1上做的配置,是不會主動同步到另一臺防火墻上的。如果要同步這些異常情況下的配置，則需要在備機(jī)上運(yùn)行相應(yīng)的命令。配置RTORTOffi當(dāng)于防火墻上的連接信息，在兩臺防火墻上分別配置：FW-1-M(M)->setnsrprto-mirrorsycFW-1-B(B)->setnsrprto-mirrorsyc用WebUI的方式配置同步，菜單：Network->NSR->Synchronization配置MIP(通過圖形界面配置)1、命令行Ns204(M)->setinterfaceeth0/2mip9host95netmask55WebU方式選擇菜單：Network->interfaces,選擇eth0/2,按Edit按鈕:Ult|fJgnAf||Tana[jff■diHaiZjQUiliTrFttLlibkrw<i￡-￡?jiI'uaEieths-nelh]i,DO.D.D.Q/DNdlLni!jednaEtnfFEdi-pthprrtfjFO/l0O.D?A)N^llEMfdmcWr-IstaAtharnAtfl/^】電l&J.l總4T『HEt臼皿削EFfTI?ODO.'D⑶g*n*Edi2s3nti.m.aagawfsUntMlriacu^aE口t Bfiffiwe■■lanj.00.GB/dVLMJEcW?.U￡UH圮-「再選擇MIP進(jìn)入:-^pul4rilI SOS聞12.2Q/MJ,白1t史1但ULfab!；?舊巾髀口曲舊FmpsrtMK-Hiiil?HF011rlV|RISS!MOTsturMamedEPHMtIPNetHVH-ukVNJEtJlEFCantiqurc2UG.3B.L2.1B255.3E5.255.255IfleTwrEfjf RfiftiEluaj.l-DffS腕WI3E學(xué)口竹小■azcix,HnjtrqT!MRP.］口叩PiJklMMCHM日nFWifeD同小|常r1141MlD愣rr.“KgH腳lng*nl選才NNew^項(xiàng)，配置一個新的MIP:配置訪問策略（通過圖形界面配置）通過配置訪問策略來控制通過防火墻的訪問，1、配置地址配置地址的對象，可以是單個IP或一個網(wǎng)段。選擇Objects>Addresses>Con巾guration ,再選擇你配置源IP的安全區(qū)（或目的地址的安全區(qū)），

設(shè)置單個IP:口tjecb CiM『Hjur<rUua!I'N5■肝」FFF設(shè)置單個IP:口tjecb CiM『Hjur<rUua!I'N5■肝」FFF望“看■，』，』PUkiiHM-EdiP4lkle?pVPHsIP并⑶3c即鐘」I耐;設(shè)置IP段:2、配置訪問ServiceNetscreen防火墻中內(nèi)置了許多的Service,如HTTPFTP等，你可以在策略中直接選擇需要訪問的Service,如果你需要設(shè)置自定義的Service,可按如下步驟：進(jìn)入Objects>Services>Custom>Edit,本例設(shè)置的是7001端口（用于HTTP當(dāng)然，你也可以配置地址的組，將你需要的地址放入組中，并在策略中引用組gjetju>Scrvk?￡--Group!：.-￡aniaiiHr?tiiNissagacMtRPiM：電?可叫FMldM€mIPodkiiMWPM1(1-iGirgjetju>Scrvk?￡--Group!：.-￡aniaiiHr?tiiNissagacMtRPiM：電?可叫FMldM€mIPodkiiMWPM1(1-iGirH?aib，Mupjaat匕疝■TH'1「uSlNM■即匚

電甌Gigt將圖目其岬Schodulvs占niljpdgTTEEE;■同l*/爭自印MW.其由歸府<TP?L亡女同4、配置策略本例配置從Untrust到Trust區(qū)允許Any訪問22服務(wù)器的HTTP_7001艮務(wù)，已定義22地址為Webserver進(jìn)入Policies,選擇源安全區(qū)Untrust到目的安全區(qū)Trust,并點(diǎn)擊有上角New

pr『7J,5巾中仁「lii'er*qi；!5GD|SSG5?S-N51P(M)Fmmumrij患TO pr『7J,5巾中仁「lii'er*qi；!5GD|SSG5?S-N51P(M)Fmmumrij患TO 2IrDUml>c>tinatjanbCTVlCeAdtiun Cpt:iori9iCiDirtigurcLnaNffMcvps是竹川口小耳R15E。HE罐M 辿，kmQLiAtijrhUP(202.9Q.12.La)HTTPh^rripyg尸TjcjdtM：名闕P>?j1fTl13 :JWIIU師6、配置MIP訪問策略步驟與上相同，本例是從Untrust訪問MIP地址7.NetScreen的管理訪問方式NetScreen防火墻支持多種的管理方式：WebUITelnet、console、ssh、NetScreen防火墻管理軟件等。常用的有console、WebUI和Telnet。Console是通過直接的串口線連接防火墻，對防火墻進(jìn)行管理和配置；telnet是通過終端仿真協(xié)議登錄到防火墻上的可管理地址，對防火墻進(jìn)行管理和配置；WebUI是通過IE或NetscapeCommunicator登錄到防火墻的可管理地址，對防火墻進(jìn)行管理和配置。通過串口直接登錄到防火墻時，超級終端的端口配置如下： 串行通訊9600bps——8位 無奇偶校驗(yàn)——1停止位 無信息流控制Telnet或console登錄后的命令行界面如下：應(yīng)patPVTnT?Tia?47ITEiN口一EiN口一p*a3Wm-cit耐"Ha血"fUiKllf0eJUmt1dMl*■-3工E?■■L[PEr，**Lfhcb"rouLainsfit“F&OOIMj-WebU登錄的界面如下:費(fèi)5CEgngfl*"U&ZKanJirdreBigST*Firihiw-artiM*A?nkifi.MEM晤Mmuhm_Grri-kMab，，蛆Elmin(S：tlm!!)圖■*471，1加4h"WYtLOfl&ldIMhiiQ(D)S+.CK'.O|M?jts?西料iMl,-4***f*.[pmIn費(fèi)5CEgngfl*"U&ZKanJirdreBigST*Firihiw-artiM*A?nkifi.MEM晤Mmuhm_Grri-kMab，，蛆Elmin(S：tlm!!)圖■*471，1加4h"WYtLOfl&ldIMhiiQ(D)S+.CK'.O|M?jts?西料iMl,-4***f*.[pmInM9ArE'ftecipxU?Oddr^rtiJbB_44.ftrifMdBIlfiK3M?-<11-*1 CiMTFbulIdmiUiIJijUUijCcLaLlSfIfiMtbriiIIqrlip/Tiling I II*^jrnfilimt1KK7h(ji-4]i Ttieik^I dr-icfr；l+9l+T2mtheW20 wu.tf,,,EUQ7'cnji 片占ewoicher^etvlJO-30-lfi cp MJLL...■HwwnmH;MeMTEl■孤HQ3弊ZMT'flUJltl27SEiXU'fll-Ul：1〉[牛042007-41-01ll-t5-H>+心7?41■電1*BITlnuijfninirmmfiucar”力?c￡￡r?arriogg■口mton做.Ackiiftu<er"n磨Imcr星e**ogg，&n<oiwmgtrnccrtiDira'JBr!-iveStr.T|HtaC*WIV"iMl肝m工1=35ItfbP型d*HTfht4padI0Jfe.li.2ii-1'k.lb.1.^j田b.注意：如果要通過telnet或WebU登錄和管理防火墻，所登錄的防火墻的接口需要打開telnet或WebUI的功能；如果防火墻的接口配置了管理IP,一般只能對接口的管理IP進(jìn)行telnet或WebUI而不能直接對接口 IP地址進(jìn)行telnet或WebUI（fi本不支持）。用命令行的方式檢查接口是否打開telnet或WebUI功能的方式：ns204->getintereth2Interfaceethernet2:descriptionethernet2number5,if_info10280,if_index0,moderoutelinkup,phy-linkup/full-duplex

vsysRoot,zoneUntrust,vrtrust-vrdhcpclientdisabledPPPoEdisabledadminmtu0,operatingmtu1500,defaultmtu1500*ip0/30mac0014.f642.d475*manageip0,mac0014.f642.d475route-denydisablepmtu-v4disabledpingenabled,telnetenabled,SSHenabled,SNMPdisabledwebenabled,ident-resetdisabled,SSLdisabledDNSProxydisabled,webauthdisabled,webauth-ipOSPFdisabledBGPdisabledRIPdisabledRIPngdisabledmtracedisabledPIM:notconfiguredIGMPnotconfiguredbandwidth:physical100000kbps,configuredegress[gbw0kbpsmbw0kbps]configuredingressmbw0kbps,currentbw0kbpstotalallocatedgbw0kbpsDHCP-RelaydisabledDHCP-serverdisabledNumberofSWsession:128052,hwsesserrcnt0用WebUI的方式檢查接口是否打開telnet或WebUI功能的方式：選擇菜單:Network->interfaceUMHkPiiH打“1聞娉wbji4cllul?UMHkPiiH打“1聞娉wbji4cllul?Nonw>wkPPI^EaEtWThDtC^OidD.O-O/INul■?fr.B1鐘也n.dq/n“wlLriLE；Aiardcuvfr-fedcutm則EVNL72Lfl11/24JfLBtLwerS-回1iidwrn。，83na.oo/aHAL箝eriDqwih--回puduGd.MIUrHru部Mm]a.d.ownVUJNh*tive-1 1內(nèi)J1ylIF選擇對應(yīng)接口的Edit菜單:用戶NetScreen設(shè)備支持多個管理用戶級別。這些級別的可用性取決于 NetScreen設(shè)備的模式。NetScreen根管理員具有完全的管理權(quán)限。每個NetScreen設(shè)備只有一個根管理員。缺省情況下根管理員的用戶名和密碼為netscreen/netscreen。在進(jìn)行防火墻配置時，務(wù)必先修改防火墻根用戶的默認(rèn)用戶名和默認(rèn)口令。用命令行的方式修改根用戶的用戶名和口令的命令：GM-Web(M)->setadminuserxxxpasswordyyy其中xxx為根用戶的用戶名，yyy為根用戶的密碼用WebUI的方式修改根用戶名和密碼的方式選擇菜單：Configuration->Admin->Adminstrators(屯淵*mb**>Adfnfaia-VfaflbljrSHqifiDatfl.iT?nt;■dpiarti*區(qū)加而■EHM問B*PcrmitidPsVfaflbljrSHqifiDatfl.iT?nt;■dpiarti*區(qū)加而■EHM問B*PcrmitidPsN$M|Ww&1Ad/界NdmrtPrtwll?9fl-EAftHPufrwardAuth.CflibligiiJiiaRiMitEfljtaifldEllH Pk.Jilot^ ，加白|^。選才￥Edit按鈕后可出現(xiàn)以下菜單，可以輸入新的根用戶和口令:注意：NetScreen防火墻在啟用后，強(qiáng)烈建議修改缺省密碼。同時在上線后,每次修改NetScreen防火墻的配置，都建議對配置作備份。因?yàn)镹etScreen防火墻密碼丟失后，恢復(fù)密碼的操作會把防火墻所有的配置丟掉日志防火墻有各種日志，常用的有告警日志和事件日志，這些日志信息對于維護(hù)防火墻時是非常有用的。用命令行的方式查看告警日志的命令：SN-NS500-FW1(M)->getalarmeventTotalevententries=44Date Time ModuleLevelTypeDescription2004-12-0715:14:26systemcrit 00015Peerdevice8319360intheVirtualSecurityDevicegroup0changedstatefrombackuptoprimarybackup.2004-12-0715:14:25systemcrit00071Thelocaldevice8318976inthe

VirtualSecurityDevicegroup(0)changedstatefromprimarybackuptomaster,missingmaster.用命令行的方式查看事件日志的命令：GM-Web(M)->geteventTotalevententries=41DateTimeModuleLevelTypeDescription2007-01-0112:27:44systemnotif00767AlarmlogwasreviewedbyadminTotalevententries=41DateTimeModuleLevelTypeDescription2007-01-0112:27:44systemnotif00767Alarmlogwasreviewedbyadminnetscreen.2007-01-0112:21:13systemwarn00515AdminusernetscreenhasloggedonviaTelnetfrom19:26672007-01-0112:21:13systemwarn00515Loginattempttosystembyadmin2007-01-0112:21:13systemwarn00515AdminusernetscreenhasloggedonviaTelnetfrom19:26672007-01-0112:21:13systemwarn00515LoginattempttosystembyadminnetscreenviaTelnetfrom19:2667hasfailed(Incorrectpassword)netscreenviaTelnetfrom19:2667hasfailed(Incorrectpassword)2007-01-0112:21:08systemwarn00518ADM:Localadminauthenticationfailed2007-01-0112:21:08systemwarn00518ADM:LocaladminauthenticationfailedinvalidD兄事上aii*4』r■、口“Mi.rkA).Irvhit ■■A.磯&lirL52&irsfrstD^Tmst■VPIfcinvalidD兄事上aii*4』r■、口“Mi.rkA).Irvhit ■■A.磯&lirL52&irsfrstD^Tmst■VPIfc:3…FXh/占HiY甘第OZU血孤舞mmLD.3D.ieSA0Q'DoiwfleMwoiKiaiiDi1>ireoFgrwik浦燈m,;More.一Er"Hriecddwccnif*thrVlriTuJ...'版十PHAE/t*■曰impEElchipnge-tq,MULX...口，『11nom加色■■iIfiAihWfilrtCAnia^tOtE!u?bIiOfliSpdlcfi:xGrni坤032112?S?TkITU1.3LE:Mgmiriso1115CH■*rnfiDUf心i力ucarM-cfTuggflian世?做.皿K熱awr"w—hsB更m" ri<oiWaliJriKEtcrfltgtffl-jernwc/frrgg宿HMl就為由由/融/pR|P 的J金工酎1g2中』短mb.forloginname'netscreen':password通過WebUI方式查看告警日志和事彳日志的方法：通過WebU登錄到防火墻上即可:性能維護(hù)時檢查防火墻的性能主要是查看防火墻 CPUf口Session的使用情況通過命令行的方式查看防火墻的CPUS用情況：GM-Web(M)->getperformancecpuAverageSystemUtilization: 1%Last1minute:2%,Last5minutes:2%,Last15minutes:2%GM-Web(M)->getperformancecpudetail

AverageSystemUtilization:1%Last59:602seconds:58: 257:256:255:254:253:252:251:250:249:248:247:246:245:244:243:242:241:240:239:238:237:236:235:234:233:232:231:230:229:228:227:226:225:224:223:222:221:220:219:218:217:216:215:214:213:212:211:210:29:28:27:26:25:24:23:22:21:20:2Last59:602minutes:58:257:256:255:254:253:252:251:250:249:248:247:246:245:244:243:242:241:240:239:238:237:236:235:234:233:232:231:230:2通過命令行方式查看GM-Web(M)->getsessionalloc1/max64064,allocSessionfailed0,的使用情況：mcastalloc0,diallocfailedtotalreserved0,freesessionsinsharedpool640630id64054/s**,vsys0,flag00000040/0080/0021,policy 320002,time180,dip0moduleif6(nspflag800601):19/2667-0module4,vlan0,tun0,vsd0,route5if3(nspflag0010):19/2667<-/23,6,000000000000,sess token8,vlan0,tun0,vsd0,route0Total1sessionsshown上述表明現(xiàn)在防火墻有1個Session通過WebUI的方式查看防火墻的cpu及session的使用情況：登錄到WebU首頁:

Ihfex**.啾W|11?骨典心.曾ma.4%srstwil?i師3**J7-qi-fii?.：iaspgFmthe啞4口Qrtfn-r:nJ口「irtn.Mi町*1■??,1?包㈣*rj1；He*林Ihfex**.啾W|11?骨典心.曾ma.4%srstwil?i師3**J7-qi-fii?.：iaspgFmthe啞4口Qrtfn-r:nJ口「irtn.Mi町*1■??,1?包㈣*rj1；He*林■、口IHfirrlw-jrpVenumnriFimirdihfi[甘I、的"E?口工』（Firi,苫十*IgturfgtjM里國i5mt $叫“色alhiTrt* iniitMwn…卜加S44~ar1afllWfl