关闭

NetScreen208防火墙透明网桥设置

标签: 防火墙layer测试浏览器uiweb
1165人阅读 评论(0) 收藏 举报
分类:

   以前写的netscreen的防火墙配置没有怎么理解,写得比较乱,连我自己现在都看不懂了。

     又重新配置了一次防火墙,感觉对NetScreen的防火墙的了解加深了一层。

1.密码恢复:
     由于只是测试配置,很少用,密码都忘记了。只好用手提连防火墙的console口,用户名和密码都输入机身后面的序列号,此时会警告你要reset configure,两次按"y"后防火墙恢复了出厂设置,并重新启动。(防火墙启动时要把console线拔开,否则将会进入一个tftp传送映像的模式。)
2、出厂的默认用户名和密码是netscreen,ether1的ip是192.168.1.1,把手提ip设置一个192.168.1.0/24网段的IP,用网线连接到ether1,就可以用浏览器访问了。
3、“NetScreen 的接口能以三种不同模式运行,分别是 : 网络地址转换 (NAT)、路由(Route)和透明。如果绑定到第 3 层(OSI的模型)区段的接口具有 IP 地址,则可为该接口定义 NAT 或路由操作模式。绑定到第 2 层区段 (如预定义的 v1-trust、v1-untrust 和 v1-dmz,或用户定义的第 2 层区段 ) 的接口必须为透明模式。在配置接口时选择操作模式。 vsys 不能处于“透明”模式下。” 
     初次看到netscreen的接口模式肯定有点不知所措(起码本人愚钝,如此反应),其实如果明白有这几种模式就很容易理解了。由于透明网桥是工作在第二层,所以肯定是layer2方面的,也就是v1-trust,v1-untrust、v1-dmz这几种了(因为选择好模式后在netscreen的界面中可以看到ineteface的type属性写着"Layer2",:-))
     理解后就很容易配置了。我选择了ether7作为连接wan的,ether8连接lan(lan内部已经有nat设备了,所以我才用netscreen做网桥)  。ether7连接的是外网,那当然是非信任区域了,ether7->v1-untrust;ether8连接的是内网,ether8->v1-trust。都不用设置ip。
     为了可以在内网登录防火墙,到”network"->"zones"->"v1-trust",勾上"web ui”,"telnet","ping"这几个(根据自己需要勾上就可以了)。netscreen比较奇特的一个东西是vlan1(对于我来说是奇特的东东,用惯了当然不会觉得);我之前以为是extreme中的vlan一样,是802.1q协议构建的虚网,但是却没看见802.1q的tag设置,也没看见有真实的端口在。后来才知道原来那个只是虚拟的东东(理解上还不是很清晰),我们在vlan1上设置IP后,再勾上“web ui"之类的权限,于是就可以在用这个IP登录防火墙了(不用对应到某个物理端口)。
    最后还要让允许端口间通讯,防火墙的规则是——没有明确允许的就是禁止的——所以我们要设置规则让v1-trust和v1-untrust的数据可以放行。“Polices”->"from v1-trust to v1-untrust",选择permit(默认就是any),"from v1-untrust to v1-trust",选择permit。
收工,连接好ether7和ether8的网线测试下效果吧。
    当然防火墙这样直通的规则是没什么作用的,所以我在“screening"->"screen"中,对于v1-untrust勾选上了一些防止攻击的选项,现在拦截到一些数据了,也算是起到一点作用了),如果真正要发挥作用的话,关键还是要有选择的制定放行规则,否则防火墙就只是一个hub,没有任何作用。 

0
0

查看评论
* 以上用户言论只代表其个人观点,不代表CSDN网站的观点或立场
    个人资料
    • 访问:222736次
    • 积分:3506
    • 等级:
    • 排名:第10032名
    • 原创:123篇
    • 转载:16篇
    • 译文:1篇
    • 评论:21条
    文章分类
    最新评论