Netscreen OS  5.3.0r7.0
5.2 升至5.3 须先升级5.3up OS

       / Beijing  
suzhou|——Shanghai
       \ HongKong

1.untrust-vr     
unset int e3 ip
unset int e3 zone
set zone untrust vrouter untrust-vr
set int e3 zone untrust
set int e3 ip

如果是新设机器，照manual做即可。
如果为在trust-vr单vrouter当中工作的机器，须先确认e3接口未被占用。
   **如MIP, vip ,tunnel interface   须先移除,  相关policy需要移除在先。

2.untrust-vr 与trust-vr间的路由注入
set vrouter trust-vr
set route 0.0.0.0/0 vrouter untrust-vr
set vrouter untrust-vr
set route "inbound access" vrouter trust-vr

对于分支默认路由全指向中心的情况：
可设置 set route "outbound access" interface tunnel.int
       set route "center global ip" interface e3 gateway "Isp GW IP"

3.Policy
对于中心点的 untrust int  须unset block intra-zone access
路由表正确的情况下，分支与中心的访问，分别由两地policy控制
对于分支与分支之间的互访，需要在中心侧设定 untrust to untrust intra-zone policy.
允许分支站点的LAN间互访。


Reuben
June 28th,2007