Juniper_SSG5_三十天快速上手

【Juniper SG5 三十天快速上手】G三十天就上手Da1 SSG 是什么？要学SSG之前，当然是要先知道什么是SSG5,本篇文章,会先对SSG作简单的介绍让大家知道SG是什么?它有哪些功能?以及如何运用它？JuiperNtwks SS安全服务网关器是专用型安全设备,将高效能、安全防护、路由,以及ANAN 连结完美地结合在一起,以有效保护小型分支机构、远程居家工作者,与小型企业网络。利用完整的统一威胁管理功能，包括状态式防火墙、Psec VPN、IPS、防毒(包括防间谍软件、防钓鱼攻击、防广告软件)、防垃圾邮件，以及eb过滤，以阻挡蠕虫、间谍软件、木马、恶意软件，及其它新发现的攻击。.SSG基本规格如下:已测试之SceeOS版本: ScreeS 6。2防火墙效能 （大型封包): 160Mbps防火墙效能（IMIX)（）：90 bps每秒防火墙封包 （4 byte）： 0,000 PAE256+A1PN效能: 4Mbps3DS+SHA1 P效能: 40p同时联机数：8,000每秒新联机数: ,800最大政策数： 0最大用户数： 无限制网络连结： 固定/O 7 1000企业用途；一般 T最常头痛的莫过于对于外点的支持,有了 SG5让你的外点可以架构简单又不失安全性外加好支持。让SSG5替代你外点的 ate，让它帮你解决外点 ruing问题。另外如果你没有前拉专线,只有要有一条对外线路给SSG5,它可以轻轻松松帮你建立sitetsite 的VPN.参考数据：SSG5三十天就上手-ay SS5如何还原到出厂设定值。让你的SG5从头开始吧!不论你是接手前人的设备还是旧设备，或是忘记密码甚至是前辈没有给你密码。最夸张还有前人被炒鱿鱼不肯交出密码,都不用担心害怕，本篇教您如何还原到出厂的默认值.还原SSG 有两个方法。方法一：ardwaes在SSG5的后面有一个Rest的针孔，当然如果今天只是要跟你说用针插一下这个孔，那我就略掉了。当然它绝对不是您所想得这么简单，要用Hadae est，您需要对该针孔插两次针，且不是随便插，您必须配合它的灯号，第一次差大约秒不动，然后灯号变成一红一绿,在将针拔出然后间隔约1秒之后，再将针插入约4秒，如此才能完成Rest动作。方法二:noe Rese：这就简单多了，您需要可以连到SSG的osle 线，它是一头为Com por一头为RJ4，跟Cio wtch 用的线一样。将线连接到SSG5的Conol por 后,使用超级终端机联机到SSG5,然后账号密码都输入背后贴纸的序号。接着按下两次 Y，如此您就可以还原到原厂设定值.还原后的SG5预设帐密为nescreen，如此您就可以开始享用您的SG咯！SSG5三十天就上手ay S 如何进行备份与还原。本篇让您快速Backp 与 Resore一般如果有两台SS要互相替换，当然最佳的方法是做HA,可惜在没有钱的T界，一定是一台SG5来当很多台的Bckp,此时如果在线的SG5挂了,如何让你Bakup的SSG5，可以快速还原并上线就非常重要！第一、平时要对你在线的SG5进行Cig的 Backup,请登入您SG5的Web接口，在左边的选单中，进入 Cfigrtion Upda然后在右边画面中，点选 Save o ile如此就能Bckup 您的Cnfiguraion第二、进行快速还原，请登入您ckp的SS的e接口，在左边的选单中，进入Configuration Upda，在右边画面中Upa Cofigrtion to Dvic选择epce rren Cofiguration ，并按下浏览 挑选出第一步骤中所备份出fie。接着等待SG开完机您就可以上线！5三十天就上手 4 SG5 如何进行软件更新。软件更新让您的SSG5始终如新新版软件除了会帮您解掉一些旧版的bg 之外，也会进行 funcion 的改进,或者说增加一些新功能,因此对SS进行软件更新就变成您必备的技能.下载软件您可以拿您SSG5的续号,到Jniper 的网页,注册一个账号,注册后您可以downoa新版 SSG5 的软件。更新软件准备好软件档案后,登入您的SSG5的Web接口，在左边的选单中,进入 Configration Updat-SrenOS/Kys，在右边画面中选择 Firmware pdae （creO） ,并按下”DN”=Host然后在右边的页面中,输入下列之信息:PrimarDNS Servr： 19。18。12 Scondary NS eer: 9.168.DNS fre: (请勾选）并手动在very at：字段上输入 3：0然后按下Appy ，这样您SSG5的 DNS就设定完成了。SSG5三十天就上手-ay 10 S5DHCP port说明 SSG5 对 DHC（Dynamc HosCnfiration rotocol)的支援HCP （Dymc ot ConfiguratioProtocol）可以用来让网络中的计算机自动取得I 设定。透过DCP可以让系统管理员对网络中的计算机设定更容易。SSG5 在DHC 中可以办演下列角色：HC lint:可以透过网络中的DHPSere 取得所配发的IP 。DCPerer：可以在网络中配发 给 DHC Clint。DHCPRlay Aen:负责接收网络中的DHCP Client 要求 I 的封包，并转给(rey）给指定的DHPSeer，必取得ever 所配IP之讯后，转回给 Cli。要在SSG5 中设定DHP，请登入 SS5的 we 管理接口，点选左边的 ”twok =HCP然后在右边的页面中，选择要设定的Interfce，点选Conigur 字段中的 edit。如此就可以设定DCP 相关信息。当您的Inerface为Down 或 p设定为 00。0.0/0（就是没设) ，您只能选择 C Cle。其它则您可以在上述中的三个角色三选一。若选择DCP elay Agnt，接着设定Rla AgntServer IP 或oai ame。若选择DHCP Srver,接着设定DHCServ 其它相关设定：Serverode可选择Auto （obing）、Enble、Disbl一般会选择EnableLeas 预设为Unie接着 ateway NetmskNS WNS 等相关信息即可。G三十天就上手-ay 11 G Setup PPoEPPoE(Pont-toPoint Prool oer tret)如果您的对外线路没有使用固定IP的线，那大多您就会使用电信所提供的(大多就是SL)使用 PPoE 拨接上网。SSG5 对 PPPoE 的支持也没有问题，在SSG 的默认值中，通常会将 eh0/ 设定在ntrust 的one ,并使用eh0/来当做对外线路，所以这里也建议您可以利用th00来设定的拨接。Sting Up PPPo请登入 SS5 的 web管理接口，点选左边的 Network”=ntraces ，然后在右边的页面,对eh0/0点选Edit，进入编辑页面后,点选btain IP ing PPPE”，并接着在选项后面有一个 Link（Create w ppposetti ） 可以让您点选并Creae 您的PPPE的 Proi，或者您已经是前就先eae后，也可以直接在选项后直接使用下拉选单挑选事先rae好的 PPPE Porfle。reae Po Profi请登入 SS5 的eb 管理接口，点选左边的 Newok= ”P” =”PPPE Profil ，然后在右边的页面右上方，按下ew的按钮，接着设定PPPoEnstane （这是这个Proile的名子)、接着输入从ISP那边拿来的拨接用的Uername跟Passord。这样您的SSG5就可以使用PPPo拨接上网了。SSG5三十天就上手ay1 SSSeNtrk Boo让你的SG5也可支持网络开机当你的环境中，可以网络开机时候，您可以让SG 也支持这样的设定。一般如果你要让netwrk boot 可以正常ork ,您必须在您的DHPrvr中，设定两个项目：1。nextsever ：这个 IP 是T的 IPaddress2.: 这是tfi 的 这样DHC Cliet 如果设定使用网络开机的时候，他就知道拿完IP之后,要去找哪一台 来dowload bootfile进行开机。在SSG5中,您在设定DCP的时候，只要指定上述两个数值即可让您的SSG5支持网络开机。设定方法如下：请登入SSG5 的 web管理接口,点选左边的 Netor =DHCP然后在右边的页面中，选择要设定的Inefce ，点选 Conigre 字段中的 edi.请选择设定为DHCPSee，并设定 Next ererIp，这里选择om Inpt 并输入 IP. 接着点选右下角的Custom Opts,进入 Cstom Option 设定页面。再点选右上角的e”，在cd 输入 6,tye选择 string，alu中输入bootfile的 .这样就完成设定，接着您就可以测试看看。ps：请注意，如果您的 rmwar Vein: 6。3.0r4.0（FewallVPN),会遇到带出的boofile的多了一个怪怪符号,目前看来是这一版的bug.SSG三十天就上手D 1SSG5管理员帐号和密码Definng Ain se前面讲了这么多SSG5的功能与如何设定，接下来要跟大家说明最基本的安全问题，那就是您SG的管理员帐号和密码。SSG5的预设管理员帐号和密码为etsreennescren,您如果要修改可以透过 conoe接口进行修改，如果您手上没有onsole的线，您也可以透过下列方式.当您拿到一台新的5或是将S5 rset 到原厂设定值的时候，它预设会将eth02eth/ 设定为一个bgrop，并且会当DHP err配发 IP,该broup0的IP会设定为 192.168.1.1。您可以将您的计算机连接到该brp0的po,取得 IP 之后,透过 Tee进入Cone。进入Conole后,先用预设帐号和密码登入。登入后先利用下列指令修改管理员的帐号名称.set dmi ame管理员帐号接这SG5会提示时已将密码设定为netceen，并建议您马上修改密码，再利用下列指令修改管理员的密码.set dmi assword 管理员密码这样就完成了修改管理员帐号和密码的工作。SG5三十天就上手Day 14 SS5 变更管理portSS预设的http管理w 接口是透过8 ort ，为了安全起见，如果您要对您的interfa启用web 管理web接口的时,建议您要变更您的 prt，以增加安全性，可以避免伊些简单的攻击。假设您的infae ip 为 12。12.18,预设开启web 管理时可以透过来进行管理，如果您经port 变更为5522，则您管理接口则须使预下列方式连接：变更的方式如下：请登入SS5 的 web 管理接口,点选左边的Configuraon”=Amn”=”aagement”,然后在TTPPort 字段输入你的prt ，如5522。SG5三十天就上手Day 15SGEvent Log让log告诉你发生了什么事身为一个管理人员,有事没空也都必须去看一下og,透过SS5 的 vnt Log可以让你知道你的 SG5发生了什么事情。比如说管理者进行了组态变更，或是SSG5本身产的讯息或是 alams等等.在SG5将 Even g分为下列Levl：Alrt: 这个讯息是需要马上被注意的，如防火墙遭到攻击。Crtial： 这个讯息是有可能会影响运作或是功能,如HA（high availablity ）状态改变。rro:这个讯息是SSG5发生错误且可能造成运作上或是功能上的错误，如如法连上H erves.Wanng： 这个讯息是SSG发生了会影响功能面的事件,如认证失败。tifiatio:这是发生一般正常的事件，给予管理这常态的通知，如管理人员变更组态设定等。Debging： 这是提供详细的信息让您用来做debug用途.您可以登入 SSG5 的wb管理页面,并在 ”eport = System Lo”= ”Even” 查看SS5的ven Log。SG5三十天就上手Dy 16 SG Sendi mai Aes系统管理员看l是天命身为一位 T的系统管理人员,每天看Log可以说是天命。但是天天进系统看og实在会累死人,尤其是当您可以能会十几台SSG的时候.这个时候当然是要叫 SSG5给天自动把alrm 用emi 寄给你!设定的方法如下：登入SG5 的e管理页面,并进入onfiuration = ”Reor Sting= ”mai ,在右边的页面,您就可以设定下列信息:1SMTerverName2Email Addre 3E-ma Adrss 2请在 TP Servr ame设定您的mairer，假设我的mi srver为 192.168.17125，那就将19.16.171.25输入到MTP Serv ame的字段。当然如果您有将SG5 DNS enbl,您就可以使用hosname（如。tw)。接着在-i ddrss 的字段输入要被通知的管理人员的mai Are。如fun。tw。然后按下pply即可。ps： 当然您要将nae ail Notfication folrms勾选，另外还可以选择Icde Traffc Lo。SSG5三十天就上手-Dy 17 G How to setup Rad Servr使用 Ras rvr 认证SSG5 可以让您设定外部的 Radius ervr来进行认证的工作，假设您有一台 freeradiu ,已经安装好, P 为 2.16.19118，监听 112的 pt，且设定Shared Secret为toe。您只要进行下列设定，就可以让您的5可以使用这台Radius 进行认证.登入 SS 的eb管理页面，并进入”Confiuton ”Aut ”AthSees ,在右边的页面右上方，点选NE，您就可以设定下列信息:Name 输入您要为这台Srer取的名称,假设我们取为 Radius。IPDomain Nm输入这台Serer的 IP 191.118Account Typ由于我们想要用在认证，所以勾选AthRADIUS Port 输入 1812Shred Secrt输入 itome接着按下 K ，这样您的 ASevr就设定完成。SSG三十天就上手Day18SS 如何利用adius eer控制上网权限透过SSG5轻松管理上网通常公司都会管控同仁或是公司网络的上晚网权限，避免有人可以来乱上网。在S5可以轻松做到对上网进行权限管控.在第五天我们有介绍过SSG5 SecutyZones,假设您将您的LN放在rust 的Zone，把上网的线路,放在Urust的Zoe.在第八天我们有介绍过Policies ，您可以透过Plices 来控制两个Zone之间的traffc。我们可以透过Poliies 中的进阶设定,设定我们在第十六天所设定完成的Rius来进行认证，只让认证通过的user可以上网。设定方法如下:请登入您SSG5的 we管理接口，点选左边的 ”olicy =Pcs”,然后在右边页面中，上方的Fro选择Trt，To选择 ”nts,然后按下最右边的 ”e。设定好 Souce ddress 跟 Dtinaion Adress ，此范例中都选择Any ，Servce也选择y。接着按下”aned进入进阶设定页面，勾选Authetication，并挑选我们设定好的Raius ever.按下K ，这样您就可以透过adiusSrver控制上网权限。SG5三十天就上手-Day S5 如何reatigSecor P Address让你的tac 挂多个IP有些情况，你会需要让你的 Irfae挂两个 IP ，一个挂外面 ulic ip，另一个挂里面的pritep。这个时候您就可以利用SSG5 econary P ddess的功能,设定方法如下：请登入您SSG5的 web 管理接口，点选左边的 Newrk=terfces”，然后在右边页面中,对于您要编辑的inerfac按下edit。在edit的页面中,上面n 会有一个Seconar IP,点下Lin后,进入Secndary P编辑页面，按下Add，输入IP跟Netmk入下：I Adrss/emsk： 19168.1/2这样SSG 就可以在一个tae 挂两个I .SSG5三十天就上手Dy SSG5 Siple Network Manaet ProoolimpleNtwork Management ProocSSG5也支持 Simple Netwok Maageent Prtco （NP)，您可以透过 M监控SSG5的状态，如CPU或是流量等等，很多范例都是透过t来抓SS5 SNMP,藉由Cat了解SSG5使用状态.如果您要让ati可以利用SMP抓取 SG5状态,您需要先对5进行设定，设定的方式如下：请登入您SSG的 web 管理接口，点选左边的 Cnfigutin ”=”RepotStins=SNM”,然后在右边页面中按下右上角的 ew Commnt ，然后设定你的 Comuniym，如 obli，勾选您的Pissios，默认值是全部勾选，然后选择支持的Vrsin。最后设定 osts Address 跟 Netask,此设定需要将您Cacti的主机包含进去。然后选择此设定的 SoureInefa,这样您就可以透过SM抓取SSG5的状态。SSG三十天就上手 1 SSG5 Aress Groups设定群组 s假设您在设定Policy 的时候，希望可以设定严格一点，比如说source adre不想要用a,但是您可能又有一堆adress 需要设定进去,这个时候您就可以利用G5的 addres grus。设定方法如下：请登入您S5的 eb管理接口，点选左边的 Policy” =Pl Eemnts”=Addesses=Groups”,然后在右边页面中左上方选择要新增的one之后按下右上角的 Ne ，然后设定你的Group e，如 MyNetwork，接着将您的ares由右边拉到左边，然后按下K即可。如果在上列步骤没有您要的addrs可以拉,那就到Pi=”lcy Eleme=”Adresse”=”List中，然后在右边页面中左上方选择要新增的one之后按下右上角的 w ,然后设定你的 res即可。SG5三十天就上手Day 2 SSG5Destintion Sttic ongDestinton Satic Routing为了让你的G知道要让封包走哪一条路，最简单的方式,就是在S上面设定 DestinatioStatic Routig，让他知道这个目的地的地址,要走哪一条路。设定的方法如下:请登入您S5的 we 管理接口,点选左边的 Newrk =Routing ”=estinato，然后在右边页面中右上角的 ew，最简单的方式，就是设定NetHop为 atway的方式，当然在 I Addrs/Netmask要设定目的地的 IP如 192。1.1.024,etH挑选Gatway,并选择Iterfac以及设定GatayIP Adres，如 eh2与9168。3.1 （通常这个时候代表 12。168。3.1 这台会知道接下来怎么走到191681。0/24）。这样最简单的 Desination StaticRui就设定完成了。SG5三十天就上手Day 23SSG5 iteoSiteVPVirtua Priat Ntworks （VN）SSG5 最主要的用途，除了一般做 AT 跟 Roing,另外就是让你拿来建VPN ，虽然在台湾申请点对点的线路（一般所说的PN），在多家业者竞争下，已经比起国外便宜许多.但是跟一般上网线路比较起来，还是贵了许多，尤其如果你的点在国外,那这个时候，就要靠 VP啰!今天就跟大家介绍如何在SSG5上建立SiteoeVPN。在SSG5只需要简单三步骤：步骤一:建立VPN atew,让你的SSG5知道要跟谁建P.步骤二:建立VPNTnne nterfce,让你的VPN有一条隧道可以走。步骤三:建立VP以下步骤请先登入您SG5的 web管理接口,后进行操作,此范例假设我们两个端点都是Static P Addres.建立VPN Gatw:点选PNs = Auoe Adaced= Gateway，然后按下右上角的w,设定Gatewame，设定Static I drss,按下Anced,进入进阶设定页面.设定Peshare Key，请注意reshare Key两个端点要设定相同,挑选Otgoing Intrfae,一般就是你上网的那个Ineface。按下下Retrn回到设定页面后，再按下OK.建立VP Tunnlntface:点选Netwk = Intrace=”Lt，右上角选择Tunnl I 后按下Ne,设定Tunnel Interfac ae可以挑选(110) ，设定Ze，挑选Unumbered(假设我们Tunnel nterfac不设P），接着按下OK。建立VP:点选Ps ”AutIE,然后按下右上角的New，设定VPName，Remot Gawy挑选Peefned 然后选择你在第一步骤中设定的Gtey,按下Avance，进入进阶设定页面。Bind o请选择Tunel erfce,并挑选你在第二步骤中新增的Tnnl Itface。按下下eurn回到设定页面后,再按下OK.将你的两个端点衣上列三个步骤执行后，大致上你的VN就已经没有问题，不过因为没有封包来他平常不会先帮你建好，接着你就设定你的Rouig(SSG5三十天就上手-Dy2），到诉你的SG5路由怎么走，封包来时PN就会帮你UP。SSG5三十天就上手Dy 24SG5 VPN OptinVP 进阶选项如果你看完ay 23,那你已经知道如何在SG5 设定VPN,当然接下来你会希望,可以让SSG5监控你的PN 状态。通常我会建议您可以设定下列两个选项为eabl：VN MitoReke您可以再昨天的步骤三建立的时后，在Advand 的设定页面中，将上列两个选项打勾。当您勾选了VPMntor，SSG5会帮您用 in 来监控，此时您就可以在VPN Monito的页面中查看VN的状态。另外当您勾选了ekey，S就会立即帮你送出 IMP echo request.所以当您在昨天的第三步骤勾选这两个选项后，您就会发现VN设定完后马上就会 UP.SSG5三十天就上手Da25 SS PN ebghse ： Retrasmisso lia ee rached.一般如果您按照VP三步骤建好N之后，通常不会有什么问题,不过总是会有粗心大意的时候,在这里就分享一个案例。一般如果V建不起来，建议都先去看看SSG5 的 ent og，看看SG5 告诉你发生什么事。此案例中,SSG5 写说 hae1： amisinit a ben racd.这边遇到这个问题大多会想说两端点是不是有通,曾经我就愈过，两边都互相 ping的到，设定也都没有错，可是就事建不起来。最后才发现，原来如果来回的路走不一样，也会让你建不起来.会来回走不一样的原因是因为有一端的SSG5有多条线路。解法就是调整的Routng ，确保来回路都走一样，就可以解决这个问题。S5三十天就上手Da26 SS IntefaeStatsIteracette hanes在SSG的 intrfa 有下列四个 aes：yiay 这是当您的网络able 实际让你的SG5 接到一个or Dei （如 switch 或Notbo）,线路正常的状态.LogallyUp你可以在逻辑定义上，让你iteface设为 up ，此时 trafi才能通过你的 inerfac。Pysically own-这是当您的网络 cble 实际让你的 SSG5 接到一个 twork eie （如ch或 Noebok),线路断线的状态。ogcayDown你可以在逻辑定义上，让你ierac设为down ，此时rfic无法通过你的 iterfce。SSG5三十天就上手Day SG5 Op hotes Path FirtP如果有很多site,那给个site都可以放一台SSG5,你会发现维护你的rtin 会是很累人的事。尤其当你有两条线路要手动切备援，更是累人。此时建议您就可以onopf，让SSG5 帮你自动算 roting ,要让SSG o OSP 只要以下几个简步骤.步骤一，rate OPF stnce步骤二,设定Area中的 intrce步骤三，在Inrfe中将 OPF设定为nable这样你的SSG5就会启动 SF。SF会依据本身的设定放出的routng，放出让邻居(另外一台SG5）学习,每一条连接都有自己的C，然后他会帮你算出最便宜的路，最后让你的Routig 走最便宜的路线。SG5三十天就上手-Day 28SG5 OPF resAeasSSG5 预设在你启用pf的时候，会将所有的 res 群组放入一个单独的“ckbne ara 这个ara 叫做 rea 0 （你会在你的SSG5中看到area .0。0)。不过通常如果你的架构中，市一个很大的网络,那你会把他区分为几个小的 rea。在SS5中,你可以在新增are 时，设定你的 aea t ，除了normal，另外两种类型说明如下： Stub tub area- 接收来自ackbonearea 的ute ummarie但是不接收来自其它的ara 的linktate.Not So Stub Area (SA)像是一个norml stu rea, NAs 不能接收非本area外的 OSP 以外的资源。SSG5三十天就上手Da 9SS5 OSP SritCofigurtinfguringn M5Pssword为了避免有人利用SPF偷偷当你的非法邻居，乱放 routing 给你学，害你的ite挂掉，建议你要对你的SG 的OSF 设定安全性。SSG5 可以让你在 inerface 中设定明码或是M编码的密码，在这里建议你选用MD,他最多可以让你输入16个字符，设定方式如下:请登入你SS5 的web管理接口。在左边选择”Netwr”terfaces 然后对你要编辑的intrfae按下 dit 接着在上方的Link中点选OPF进入SPF 设定页面后,挑选 MD5的选项，并输入你的ky与KyID,最后要选Prefere。然后按下apl即可。这样没有这定这个key的就不能来当邻居啰!SSG5三十天就上手Dy 3 SS5 OSP NtworypeOSPF ewor yesSSG 支援下列 OSPF 的networ type：Badcastboadcast network 这是你接到一个有很多 router的网络,且可以送出广播。在 rdcat network 的routr 都假设可以彼此互相通讯。最简单的范例就是Ehernet。在roacst ntwks中，OSP 会让router 送出ello packets到multast addss 224。0.0。5 以便动态的侦测决定他的eihbo rouers. inttoPointpointtopointetwr典型的透过WN（Wi AreaNetwork) 将两个roter 加在一起。最简单的范例就是两个S透过IPse PN tunne 连接。在poin-toint netor中.SPF 会让rte 送出llo packets到multicataddres24.0.5 以便动态的侦测决定他的ighbo routr .int-toMultiontOS对pointolipoint ntok 会看成是一个 nonbradcat etwork。他是连接的对方是 i-to-on的lnks。在SSG5 只有 unnelneface才支持oit-Mliont。文中如有不足，请您指教！21 / 21