“区域”这个概念是NetScreen自己定的,它是很多NetScreen设置操作上所使用的单位。这个参数是在每
个物理接口属性设置的(主菜单->Network->Interfaces),也可以通过:
->set interface 接口号 zone 区域类型名
更改,常见的区域有Trust与Untrust。这里有一些需要切记的准则:
1)默认Trust与Untrust区域都是挂载在trust-vr虚拟路由上的;
2)若我们把两个物理端口同时挂载在Trust区域时,它们之间就能直接访问了(也就是说路由与策略默认
都是全通了);
3)但倘若我们把两个物理端口同时挂载在Untrust区域时,它们之间是不能直接互访的(路由通,但策略
不通),需要添加“对象:Untrust->Untrust、地址:Any->Any、行为:Permit”的策略才能互访;
4)但若把两个物理端口分别挂载在Trust与Untrust两个区域时,即使它们之间的路由是通的(这个不需要
任何配置,因为它们默认就都在同一张路由表上---Trust虚拟路由表),也是不能互访的,需要在Policie
s上添加互访的策略(也就是说它们的策略默认是“全部不通”的)。
“路由”在NetScreen中被命名为虚拟路由,默认有trust-vr与untrust-vr。设置虚拟路由表有多种方式,
其设置可以在WEB UI上主菜单的Network->Routing中找到。关于当前路由与区域的对应关系可以在WEB UI
上的Network->Binding上找到(其实这些对应关系是可以由我们可以设置的)。有一点是需要注意的:在
屏蔽其它因素(主要是“策略”的因素)的情况下,在同一虚拟路由表下的所有物理端口间的路由都是全
通的。
“策略”大多用于包过滤、NAT的功能实现上。我们可以直接通过WEB UI上主菜单的Policies进行设置,它
主要是“区域”作为对象单位的。当需要配置跨区域互访与网络地址NAT伪装时就一定要用到它。这里有两
个例子:
1)当要配置Trust区域的物理端口与Untrust区域的物理端口的网段互访时需要添加两个规则:
规则一:
对象:Trust->Untrust
地址:Any->Any
行为:Permit
规则二:
对象:Untrust->Trust
地址:Any->Any
行为:Permit
2)配置Trust区域通过伪装的方式连通Untrust区域:
对象:Trust->Untrust
地址:Any->Any
高级(规则设置界面的“Advanced”按钮激活):Destination Translation地址设置为Untrust的网段
行为:Permit
JUNIPER “区域”与“路由”、“策略”基本概念
發表評論
所有評論
還沒有人評論,想成為第一個評論的人麼? 請在上方評論欄輸入並且點擊發布.
相關文章
JUNIPER防火墙在建立×××时不能建立策略
宇宙蝸牛
2020-05-31 19:59:49
JUNIPER的认证分类
check1ng
2019-11-18 15:04:47
JUNIPER E×××学习笔记1.0
Ybj_314
2019-06-26 13:32:23
JUNIPER GRE OVER BGP
Ybj_314
2019-03-30 13:18:25
JUNIPER MX PPPOE拨号实验2.0
Ybj_314
2019-03-29 13:19:29
JUNIPER MX DHCP 实验1.0
Ybj_314
2019-03-25 13:19:37
SRX dynamic *** 修改443 PORT
Ybj_314
2019-03-08 13:05:48
Juniper常用命令
萌新包大人
2020-06-24 12:33:17
FreeBSD和JunOS安装手册
steve6307
2020-06-23 20:24:08
×××连接报789错误解决方法
Wilson_Lai
2020-05-31 04:21:12
juniper RMA坏件返还流程
傑1992
2020-05-30 22:56:09
Juniper SSL ×××主机检查参数
風不停
2020-05-30 15:33:08
使用flow、debug 工具排查Juniper srx故障
tuolzb
2020-03-26 15:14:35
Netscreen 防火墙设备性能监控之debug 和snoop
tuolzb
2020-03-13 15:15:57
juniper VIP映射
mpd5956
2020-02-20 13:56:31