Junipernetscreen初始配置及管理市公開(kāi)課一等獎(jiǎng)省賽課獲獎(jiǎng)?wù)n件

安全設(shè)備管理蘇州電信安全網(wǎng)關(guān)業(yè)務(wù)培訓(xùn)教程Junipernetscreen初始配置及管理第1頁(yè)目標(biāo)安全網(wǎng)關(guān)組成登錄/管理安全網(wǎng)關(guān)方法系統(tǒng)管理配置管理licensekeys配置文件導(dǎo)入導(dǎo)出系統(tǒng)文件（ScreenOS）管理2Junipernetscreen初始配置及管理第2頁(yè)系統(tǒng)組成全部關(guān)鍵功能都是在內(nèi)存中執(zhí)行?？梢越?jīng)過(guò)WEB或者命令行兩種方式系統(tǒng)緩存運(yùn)行中配置運(yùn)行中

ScreenOSScreenOS文件開(kāi)啟配置其它東西內(nèi)存Flash接口.接口.接口.SOC@開(kāi)啟/重啟外部系統(tǒng)/應(yīng)用Web網(wǎng)管安全網(wǎng)關(guān)DNS/SyslogCLI網(wǎng)管“Get”“Set”3Junipernetscreen初始配置及管理第3頁(yè)登錄安全網(wǎng)關(guān)經(jīng)過(guò)Console線(xiàn)纜來(lái)連接安全網(wǎng)關(guān)使用Windows系統(tǒng)自帶超級(jí)終端（還原默認(rèn)值）即可最為安全登錄方式無(wú)須網(wǎng)絡(luò)支持就能夠登錄無(wú)須IP地址就能夠登錄能夠看到開(kāi)啟信息能夠看到實(shí)時(shí)debug信息安全網(wǎng)關(guān)ConsolePort安全網(wǎng)關(guān)默認(rèn)管理員用戶(hù)名/密碼都是netscreen4Junipernetscreen初始配置及管理第4頁(yè)圖形化（WEBUI）模式安全網(wǎng)關(guān)能夠經(jīng)過(guò)圖形化模式進(jìn)行管理只需要極少配置(在安全網(wǎng)關(guān)接口上配置管理地址，并打開(kāi)web訪(fǎng)問(wèn)權(quán)限即可)客戶(hù)端地址設(shè)置到與管理地址同一網(wǎng)段。默認(rèn)可網(wǎng)管接口是安全設(shè)備最小號(hào)碼端口（比如eth0/0）默認(rèn)可網(wǎng)管接口管理地址是/24默認(rèn)管理員用戶(hù)名/密碼是netscreen5Junipernetscreen初始配置及管理第5頁(yè)圖形化界面主菜單6Junipernetscreen初始配置及管理第6頁(yè)配置向?qū)Ъ偃缡状闻渲冒踩W(wǎng)關(guān)（或者網(wǎng)關(guān)進(jìn)行了恢復(fù)出廠(chǎng)值操作），當(dāng)經(jīng)過(guò)WEBUI登錄安全網(wǎng)關(guān)時(shí)，配置向?qū)Ь蜁?huì)出現(xiàn)。配置向?qū)軌驇椭皇煜ぐ踩W(wǎng)關(guān)用戶(hù)對(duì)系統(tǒng)進(jìn)行基本配置。高級(jí)用戶(hù)不提議使用該向?qū)нM(jìn)行系統(tǒng)配置。1237Junipernetscreen初始配置及管理第7頁(yè)命令行（CLI）模式ns208->?clearcleardynamicsysteminfoexecexecsystemcommandsexitexitcommandconsolegetgetsysteminformationpingpingotherhostresetresetsystemsavesavecommandsetconfiguresystemparameterstrace-routetracerouteunsetunconfiguresystemparameters輸入“?”,會(huì)輸出該目錄下可執(zhí)行全部命令。命令行命令輸入后，需要經(jīng)過(guò)save命令來(lái)存盤(pán)。左半部分列出命令或者命令參數(shù)右半部分列出對(duì)命令解釋命令行管理員默認(rèn)用戶(hù)名/密碼是netscreen。Console/WEBUI/CLI三種模式管理員帳號(hào)是通用。8Junipernetscreen初始配置及管理第8頁(yè)配置安全網(wǎng)關(guān)管理項(xiàng)1.配置接口地址將接口綁定到安全區(qū)（zone）給接口地址配置地址配置可管理服務(wù)（如ping，web訪(fǎng)問(wèn)，telnet訪(fǎng)問(wèn)等）管理地址（可選）2.修改rootadministrator密碼3.創(chuàng)建新管理員帳號(hào)9Junipernetscreen初始配置及管理第9頁(yè)安全區(qū)與接口安全網(wǎng)關(guān)有嚴(yán)格邏輯上層次結(jié)構(gòu)安全區(qū)隸屬于虛擬路由器安全區(qū)默認(rèn)都隸屬于trust-vr接口隸屬于安全區(qū)一個(gè)接口只能隸屬于一個(gè)安全區(qū)IP地址隸屬于接口Int.ZoneZoneVirtualRouterVRZoneInt.IP10Junipernetscreen初始配置及管理第10頁(yè)安全區(qū)種類(lèi)安全區(qū)預(yù)定義:Trust:普通放置內(nèi)網(wǎng)接口

Untrust:普通放置外網(wǎng)接口

DMZ:普通放置服務(wù)器接口用戶(hù)自定義：隧道安全區(qū)（TunnelZone）功效安全區(qū)NullMGTHASelfVLANns5gt->getzoneTotal10zonescreatedinvsysRoot-5arepolicyconfigurable.------------------------------------------------------------------------IDNameTypeAttrVRDefault-IFVSYS0NullNullShareduntrust-vrhiddenRoot1UntrustSec(L3)Sharedtrust-vruntrustRoot2TrustSec(L3)trust-vrtrustRoot4SelfFunctrust-vrselfRoot5MGTFunctrust-vrnullRoot11V1-UntrustSec(L2)trust-vrv1-untrustRoot14VLANFunctrust-vrvlan1Root------------------------------------------------------------------------11Junipernetscreen初始配置及管理第11頁(yè)設(shè)置接口/安全區(qū)WebUI模式Network>Interfaces(edit)12Junipernetscreen初始配置及管理第12頁(yè)設(shè)置接口/安全區(qū)命令行模式Aninterfacemustbeamemberofasecurityzonepriortohavinganaddressassignedsetinterface<int-name>zone<zone-name>setinterface<int-name>ip<x.x.x.x>/<mask>ns208->setinterfacee1zonetrustns208->setinterfacee1ip/2413Junipernetscreen初始配置及管理第13頁(yè)可網(wǎng)管選項(xiàng)WebUI模式默認(rèn)可網(wǎng)管選項(xiàng)因安全區(qū)不一樣而不一樣Trustzone:全部可網(wǎng)管選項(xiàng)都是允許其它zone:全部可網(wǎng)管選項(xiàng)都是不被允許Network>Interfaces>Edit

14Junipernetscreen初始配置及管理第14頁(yè)可網(wǎng)管選項(xiàng)CLI模式setinterface<name>manage[<service>]ns208->setinterfacee1managepingns208->setinterfacee1managewebEnableallservices:ns208->setinterfacee1manage假如在命令末尾沒(méi)有寫(xiě)出特定選項(xiàng)，則代表全部選項(xiàng)15Junipernetscreen初始配置及管理第15頁(yè)管理地址設(shè)置能夠設(shè)定特定非接口地址來(lái)進(jìn)行網(wǎng)管setinterface<name>manage-ip<address)ns208>setinterfacee1manage-ip50Network>Interfaces>Edit

16Junipernetscreen初始配置及管理第16頁(yè)管理員帳號(hào)不一樣級(jí)別管理員帳號(hào)有不一樣權(quán)限Root管理員由系統(tǒng)定義，不能刪除當(dāng)?shù)毓芾韱T由Root管理員創(chuàng)建，能夠由Root管理員刪除經(jīng)過(guò)New按鈕來(lái)創(chuàng)建當(dāng)?shù)毓芾韱T帳號(hào)ClicktoviewsettingsforRootaccountConfiguration>Admin>Administrators

17Junipernetscreen初始配置及管理第17頁(yè)創(chuàng)建系統(tǒng)管理員Configuration>Admin>Administrators

setadminusername<name>password<password>privilege[all|read-only]18Junipernetscreen初始配置及管理第18頁(yè)修改Root管理員用戶(hù)名/密碼Configuration>Admin>Administrators

setadminname<name>setadminpassword<password>19Junipernetscreen初始配置及管理第19頁(yè)Manager-IP地址設(shè)定為了增加安全性，能夠設(shè)定Manager-IP地址來(lái)限定能夠網(wǎng)管安全網(wǎng)關(guān)客戶(hù)端一旦是指定了Manager-IP地址，那么只有設(shè)定了Manager-IP客戶(hù)端才能夠?qū)Π踩O(shè)備進(jìn)行網(wǎng)關(guān)。Manager-IP地址能夠一個(gè)主機(jī)地址，也能夠是一個(gè)網(wǎng)段。20Junipernetscreen初始配置及管理第20頁(yè)配置Manager-IP地址setadminmanager-ip<address><mask>ns208->setadminmanager-ip5055ns208->setadminmanager-ipConfiguration>Admin>PermittedIPs21Junipernetscreen初始配置及管理第21頁(yè)ExternalManagementDevicesThereareseveralcommonapplicationsthatoperateinconjunctionwiththeNetScreendeviceDNSSyslogSNMP22Junipernetscreen初始配置及管理第22頁(yè)DNSConfigurationNetwork>DNSsetdnshostdns1<ip_address>setdnshostdns2<ip_address>setdnshostschedule<hh:mm>23Junipernetscreen初始配置及管理第23頁(yè)SyslogConfigurationConfiguration>ReportSettings>Syslogsetsyslogconfig<ip_address>facility<facility>setsyslogconfig<ipaddress>log[all|traffic|event]setsyslogsrc-interface<name>setsyslogenable24Junipernetscreen初始配置及管理第24頁(yè)SNMPConfiguration-WebUIConfiguration>ReportSettings>SNMP25Junipernetscreen初始配置及管理第25頁(yè)SNMPConfiguration–WebUI(cont.)Configuration>ReportSettings>SNMP>Community26Junipernetscreen初始配置及管理第26頁(yè)SNMPConfiguration-CLIsetsnmpcontact<name>setsnmplocation<name>setsnmpport[listen|trap]<port>setsnmpcommunity<name>[trap-on|trap-off]setsnmpcommunity<name>version[v1|v2c]setsnmphost<community-name><ip_address>src-interface<name>setsnmphost<community-name><ip_address>trap<version>27Junipernetscreen初始配置及管理第27頁(yè)LicenseKeys管理LicenseKeys提供功效:Capacityexpansion(extended/advancedreleases)防病毒（Anti-virus）網(wǎng)頁(yè)過(guò)濾（URLfiltering）防垃圾郵件（Anti-Spam）深層檢測(cè)（DeepInspection/IPS）兩種方式導(dǎo)入LicenseKeys手動(dòng)–從Juniper網(wǎng)站下載lickey文件導(dǎo)入安全網(wǎng)關(guān)自動(dòng)–將安全網(wǎng)關(guān)在Juniper網(wǎng)站注冊(cè)，然后讓安全網(wǎng)關(guān)自動(dòng)下載licexeclicense-key[capacity]<key>execlicense-keyupdate28Junipernetscreen初始配置及管理第28頁(yè)配置文件管理CLI模式只有root管理員才能夠進(jìn)行配置文件管理備份配置文件恢復(fù)配置文件1:將文件拷貝到Flash–配置將在重啟后生效2:將文件與現(xiàn)有配置組合在一起生成新配置文件（請(qǐng)慎重處理）saveconfigfromflashto[tftp<address>|pcmcia|slot1]<filename>ns208->saveconfigfromflashtotftp5015Jun03.cfgsaveconfigfrom[tftp<address>|pcmcia|slot1]<filename>toflashns208->saveconfigfromtftp5015June03.cfgtoflashsaveconfigfrom[tftp<address>|pcmcia|slot1]<filename>mergens208->saveconfigfromtftp5015June03.cfgmerge29Junipernetscreen初始配置及管理第29頁(yè)配置文件管理–WebUI模式Configuration>Update>ConfigFile

30Junipernetscreen初始配置及管理第30頁(yè)系統(tǒng)文件升級(jí)CLI模式需要設(shè)置TFTP服務(wù)器5XT->savesoftwarefromtftp50newimage.bintoflash!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!tftpreceivedoctets=3304662tftpsuccess!TFTPSucceededSavetoflash.Itmaytakeafewminutes...updatenewflashimage(02c86db0,3304662)platform=17,cpu=10,version=16offset=20,address=900000,size=3304584date=0,time=0,cksum=28e9f31cProgramflash(0,3304662)...++++++++++++++++++++++++++++++++++++++++++++++++++doneDone5XT->reset31Junipernetscreen初始配置及管理第31頁(yè)Configuration>Update>ScreenOS/Keys系統(tǒng)文件升級(jí)WebUI模式直接從客戶(hù)端文件夾獲取32Junipernetscreen初始配置及管理第32頁(yè)災(zāi)難恢復(fù)當(dāng)系統(tǒng)文件/配置文件被破壞時(shí)，需要做災(zāi)難恢復(fù)系統(tǒng)文件被破壞Root管理員密碼丟失33Junipernetscreen初始配置及管理第33頁(yè)恢復(fù)系統(tǒng)文件在開(kāi)啟模式（BootLoader）下NetScreenNS-200BootLoaderVersion3.0.0(Checksum:35E1A866)Copyright(c)1997-NetScreenTechnologies,Inc.Totalphysicalmemory:128MBTest-PassInitialization-DoneModelNumber:NS-208HitanykeytorunloaderHitanykeytorunloaderHitanykeytoruSerialNumber[004304000034]:READONLYHWVersionNumber[0110]:READONLYSelfMACAddress[0010-db1d-1c30]:READONLYBootFileName[n200-LAS0z0ad]:n200-LAS0z0adSelfIPAddress[]:TFTPIPAddress[31]:Saveloaderconfig(112bytes)...DoneTFTP服務(wù)器必須與安全網(wǎng)關(guān)SelfIP在同一子網(wǎng)TFTP服務(wù)器必須接在:安全網(wǎng)關(guān)Trust接口安全網(wǎng)關(guān)eth1接口安全網(wǎng)關(guān)管理接口