项目中经常用到juniper ssg系列的防火墙,比如ssg5、ssg140和ssg520,网上也有很多的快速配置手册,比如在网上就可以下载到联强国际和神州数码的关于juniper配置的内部资料,对于入门者很有用,而且一些常规的配置比如ipsec×××、MIP、VIP、Policy等等都涉及到了,而实际配置中遇到的问题却没有涉及到,下面我就把自己平时遇到的问题或需要注意的地方说说:
1、不要忘记设置默认路由!否则你防火墙下面的电脑无法访问因特网,这个问题可以参见我的一片文章
http://yritech.blog.51cto.com/1504393/543973
2、DMZ区域的电脑或设备要访问Internet,必须开启DMZ->Untrust相关策略NAT的Source Translation功能,如图3 ,否则无法访问Internet,而Trust区域就不需要。
由下图1可以看到,这是允许dmz区域访问外网的策略,action是蓝色,这说明启用了 Source Translation功能,而普通的策略是绿色的,如图2
![](../p_w_upload/201104/091008730.bmp)
图1
![](../p_w_upload/201104/091906148.bmp)
图2
![](../p_w_upload/201104/091547296.bmp)
图3
3、如果需要对个别ip地址进行网站限制,可以做一下策略:
ID Source Destination Service Action
30 192.168.12.1/32 www.baidu.com http permit
www.sohu.com dns
to-dns
31 192.168.12.1/32 any any deny
dns
pop3
https
解释:策略从上至下依次执行,之前我们只有ID=1的策略,这条策略是允许内网访问外网的,现在我们需要限制个别ip只能访问个别网址,所以我们举例限制192.168.12.1这个ip的主机,只能访问www.baidu.com和www.sohu.com两个网址,其他的网站不允许访问,故而增加id=30和31两个策略,这三个策略的顺序不能改变!!有一点需要特别说明,就是id=30的策略,其中Destination的to-dns,这个必须加,这个to-dns是我们的dns地址,即202.106.0.20或者其他isp指定的dns服务器ip,否则你输入的域名无法解析成ip,也就无法访问网址了。
待续。。。。。。。。
转载于:https://blog.51cto.com/yritech/555332