安全設備管理蘇州電信安全網(wǎng)關業(yè)務培訓教程Junipernetscreen初始配置及管理第1頁目標安全網(wǎng)關組成登錄/管理安全網(wǎng)關方法系統(tǒng)管理配置管理licensekeys配置文件導入導出系統(tǒng)文件（ScreenOS）管理2Junipernetscreen初始配置及管理第2頁系統(tǒng)組成全部關鍵功能都是在內(nèi)存中執(zhí)行?？梢越?jīng)過WEB或者命令行兩種方式系統(tǒng)緩存運行中配置運行中

ScreenOSScreenOS文件開啟配置其它東西內(nèi)存Flash接口.接口.接口.SOC@開啟/重啟外部系統(tǒng)/應用Web網(wǎng)管安全網(wǎng)關DNS/SyslogCLI網(wǎng)管“Get”“Set”3Junipernetscreen初始配置及管理第3頁登錄安全網(wǎng)關經(jīng)過Console線纜來連接安全網(wǎng)關使用Windows系統(tǒng)自帶超級終端（還原默認值）即可最為安全登錄方式無須網(wǎng)絡支持就能夠登錄無須IP地址就能夠登錄能夠看到開啟信息能夠看到實時debug信息安全網(wǎng)關ConsolePort安全網(wǎng)關默認管理員用戶名/密碼都是netscreen4Junipernetscreen初始配置及管理第4頁圖形化（WEBUI）模式安全網(wǎng)關能夠經(jīng)過圖形化模式進行管理只需要極少配置(在安全網(wǎng)關接口上配置管理地址，并打開web訪問權限即可)客戶端地址設置到與管理地址同一網(wǎng)段。默認可網(wǎng)管接口是安全設備最小號碼端口（比如eth0/0）默認可網(wǎng)管接口管理地址是/24默認管理員用戶名/密碼是netscreen5Junipernetscreen初始配置及管理第5頁圖形化界面主菜單6Junipernetscreen初始配置及管理第6頁配置向導假如首次配置安全網(wǎng)關（或者網(wǎng)關進行了恢復出廠值操作），當經(jīng)過WEBUI登錄安全網(wǎng)關時，配置向導就會出現(xiàn)。配置向導能夠幫助不熟悉安全網(wǎng)關用戶對系統(tǒng)進行基本配置。高級用戶不提議使用該向導進行系統(tǒng)配置。1237Junipernetscreen初始配置及管理第7頁命令行（CLI）模式ns208->?clearcleardynamicsysteminfoexecexecsystemcommandsexitexitcommandconsolegetgetsysteminformationpingpingotherhostresetresetsystemsavesavecommandsetconfiguresystemparameterstrace-routetracerouteunsetunconfiguresystemparameters輸入“?”,會輸出該目錄下可執(zhí)行全部命令。命令行命令輸入后，需要經(jīng)過save命令來存盤。左半部分列出命令或者命令參數(shù)右半部分列出對命令解釋命令行管理員默認用戶名/密碼是netscreen。Console/WEBUI/CLI三種模式管理員帳號是通用。8Junipernetscreen初始配置及管理第8頁配置安全網(wǎng)關管理項1.配置接口地址將接口綁定到安全區(qū)（zone）給接口地址配置地址配置可管理服務（如ping，web訪問，telnet訪問等）管理地址（可選）2.修改rootadministrator密碼3.創(chuàng)建新管理員帳號9Junipernetscreen初始配置及管理第9頁安全區(qū)與接口安全網(wǎng)關有嚴格邏輯上層次結構安全區(qū)隸屬于虛擬路由器安全區(qū)默認都隸屬于trust-vr接口隸屬于安全區(qū)一個接口只能隸屬于一個安全區(qū)IP地址隸屬于接口Int.ZoneZoneVirtualRouterVRZoneInt.IP10Junipernetscreen初始配置及管理第10頁安全區(qū)種類安全區(qū)預定義:Trust:普通放置內(nèi)網(wǎng)接口

Untrust:普通放置外網(wǎng)接口

DMZ:普通放置服務器接口用戶自定義：隧道安全區(qū)（TunnelZone）功效安全區(qū)NullMGTHASelfVLANns5gt->getzoneTotal10zonescreatedinvsysRoot-5arepolicyconfigurable.------------------------------------------------------------------------IDNameTypeAttrVRDefault-IFVSYS0NullNullShareduntrust-vrhiddenRoot1UntrustSec(L3)Sharedtrust-vruntrustRoot2TrustSec(L3)trust-vrtrustRoot4SelfFunctrust-vrselfRoot5MGTFunctrust-vrnullRoot11V1-UntrustSec(L2)trust-vrv1-untrustRoot14VLANFunctrust-vrvlan1Root------------------------------------------------------------------------11Junipernetscreen初始配置及管理第11頁設置接口/安全區(qū)WebUI模式Network>Interfaces(edit)12Junipernetscreen初始配置及管理第12頁設置接口/安全區(qū)命令行模式Aninterfacemustbeamemberofasecurityzonepriortohavinganaddressassignedsetinterface<int-name>zone<zone-name>setinterface<int-name>ip<x.x.x.x>/<mask>ns208->setinterfacee1zonetrustns208->setinterfacee1ip/2413Junipernetscreen初始配置及管理第13頁可網(wǎng)管選項WebUI模式默認可網(wǎng)管選項因安全區(qū)不一樣而不一樣Trustzone:全部可網(wǎng)管選項都是允許其它zone:全部可網(wǎng)管選項都是不被允許Network>Interfaces>Edit

14Junipernetscreen初始配置及管理第14頁可網(wǎng)管選項CLI模式setinterface<name>manage[<service>]ns208->setinterfacee1managepingns208->setinterfacee1managewebEnableallservices:ns208->setinterfacee1manage假如在命令末尾沒有寫出特定選項，則代表全部選項15Junipernetscreen初始配置及管理第15頁管理地址設置能夠設定特定非接口地址來進行網(wǎng)管setinterface<name>manage-ip<address)ns208>setinterfacee1manage-ip50Network>Interfaces>Edit

16Junipernetscreen初始配置及管理第16頁管理員帳號不一樣級別管理員帳號有不一樣權限Root管理員由系統(tǒng)定義，不能刪除當?shù)毓芾韱T由Root管理員創(chuàng)建，能夠由Root管理員刪除經(jīng)過New按鈕來創(chuàng)建當?shù)毓芾韱T帳號ClicktoviewsettingsforRootaccountConfiguration>Admin>Administrators

17Junipernetscreen初始配置及管理第17頁創(chuàng)建系統(tǒng)管理員Configuration>Admin>Administrators

setadminusername<name>password<password>privilege[all|read-only]18Junipernetscreen初始配置及管理第18頁修改Root管理員用戶名/密碼Configuration>Admin>Administrators

setadminname<name>setadminpassword<password>19Junipernetscreen初始配置及管理第19頁Manager-IP地址設定為了增加安全性，能夠設定Manager-IP地址來限定能夠網(wǎng)管安全網(wǎng)關客戶端一旦是指定了Manager-IP地址，那么只有設定了Manager-IP客戶端才能夠對安全設備進行網(wǎng)關。Manager-IP地址能夠一個主機地址，也能夠是一個網(wǎng)段。20Junipernetscreen初始配置及管理第20頁配置Manager-IP地址setadminmanager-ip<address><mask>ns208->setadminmanager-ip5055ns208->setadminmanager-ipConfiguration>Admin>PermittedIPs21Junipernetscreen初始配置及管理第21頁ExternalManagementDevicesThereareseveralcommonapplicationsthatoperateinconjunctionwiththeNetScreendeviceDNSSyslogSNMP22Junipernetscreen初始配置及管理第22頁DNSConfigurationNetwork>DNSsetdnshostdns1<ip_address>setdnshostdns2<ip_address>setdnshostschedule<hh:mm>23Junipernetscreen初始配置及管理第23頁SyslogConfigurationConfiguration>ReportSettings>Syslogsetsyslogconfig<ip_address>facility<facility>setsyslogconfig<ipaddress>log[all|traffic|event]setsyslogsrc-interface<name>setsyslogenable24Junipernetscreen初始配置及管理第24頁SNMPConfiguration-WebUIConfiguration>ReportSettings>SNMP25Junipernetscreen初始配置及管理第25頁SNMPConfiguration–WebUI(cont.)Configuration>ReportSettings>SNMP>Community26Junipernetscreen初始配置及管理第26頁SNMPConfiguration-CLIsetsnmpcontact<name>setsnmplocation<name>setsnmpport[listen|trap]<port>setsnmpcommunity<name>[trap-on|trap-off]setsnmpcommunity<name>version[v1|v2c]setsnmphost<community-name><ip_address>src-interface<name>setsnmphost<community-name><ip_address>trap<version>27Junipernetscreen初始配置及管理第27頁LicenseKeys管理LicenseKeys提供功效:Capacityexpansion(extended/advancedreleases)防病毒（Anti-virus）網(wǎng)頁過濾（URLfiltering）防垃圾郵件（Anti-Spam）深層檢測（DeepInspection/IPS）兩種方式導入LicenseKeys手動–從Juniper網(wǎng)站下載lickey文件導入安全網(wǎng)關自動–將安全網(wǎng)關在Juniper網(wǎng)站注冊，然后讓安全網(wǎng)關自動下載licexeclicense-key[capacity]<key>execlicense-keyupdate28Junipernetscreen初始配置及管理第28頁配置文件管理CLI模式只有root管理員才能夠進行配置文件管理備份配置文件恢復配置文件1:將文件拷貝到Flash–配置將在重啟后生效2:將文件與現(xiàn)有配置組合在一起生成新配置文件（請慎重處理）saveconfigfromflashto[tftp<address>|pcmcia|slot1]<filename>ns208->saveconfigfromflashtotftp5015Jun03.cfgsaveconfigfrom[tftp<address>|pcmcia|slot1]<filename>toflashns208->saveconfigfromtftp5015June03.cfgtoflashsaveconfigfrom[tftp<address>|pcmcia|slot1]<filename>mergens208->saveconfigfromtftp5015June03.cfgmerge29Junipernetscreen初始配置及管理第29頁配置文件管理–WebUI模式Configuration>Update>ConfigFile

30Junipernetscreen初始配置及管理第30頁系統(tǒng)文件升級CLI模式需要設置TFTP服務器5XT->savesoftwarefromtftp50newimage.bintoflash!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!tftpreceivedoctets=3304662tftpsuccess!TFTPSucceededSavetoflash.Itmaytakeafewminutes...updatenewflashimage(02c86db0,3304662)platform=17,cpu=10,version=16offset=20,address=900000,size=3304584date=0,time=0,cksum=28e9f31cProgramflash(0,3304662)...++++++++++++++++++++++++++++++++++++++++++++++++++doneDone5XT->reset31Junipernetscreen初始配置及管理第31頁Configuration>Update>ScreenOS/Keys系統(tǒng)文件升級WebUI模式直接從客戶端文件夾獲取32Junipernetscreen初始配置及管理第32頁災難恢復當系統(tǒng)文件/配置文件被破壞時，需要做災難恢復系統(tǒng)文件被破壞Root管理員密碼丟失33Junipernetscreen初始配置及管理第33頁恢復系統(tǒng)文件在開啟模式（BootLoader）下NetScreenNS-200BootLoaderVersion3.0.0(Checksum:35E1A866)Copyright(c)1997-NetScreenTechnologies,Inc.Totalphysicalmemory:128MBTest-PassInitialization-DoneModelNumber:NS-208HitanykeytorunloaderHitanykeytorunloaderHitanykeytoruSerialNumber[004304000034]:READONLYHWVersionNumber[0110]:READONLYSelfMACAddress[0010-db1d-1c30]:READONLYBootFileName[n200-LAS0z0ad]:n200-LAS0z0adSelfIPAddress[]:TFTPIPAddress[31]:Saveloaderconfig(112bytes)...DoneTFTP服務器必須與安全網(wǎng)關SelfIP在同一子網(wǎng)TFTP服務器必須接在:安全網(wǎng)關Trust接口安全網(wǎng)關eth1接口安全網(wǎng)關管理接口