Juniper SRX防火墙配置手册
上海神州数码有限公司
系统网络技术部

Juniper  防火墙安装手册
项目编号
Juniper200909
文档名称
JuniperSRX防火墙安装手册
编写人
樊超
完成日期
20091001
文档修订记录：
日期
修订版本
修订内容
修订人

一、透明模式配置说明
硬件型号SRX3400
软件版本 9.6R1.13
配置案例图
•在上图中ge-0/0/0, ge-0/0/10, ge-0/0/8均让VLAN 199-223穿过。
•GSR和cisco 3750，6509之间通过上述vlan连通。
•在GSR、3750和6509之间运行3层协议（如ospf、static等）
•根据需求，在SRX上运行policy实现trust、DMZ和untrust流量控制
•Juniper防火墙作为透明模式部署需要建立3个区域,分别<L2_Untrust>、<L2_Trust>、<L2_DMZ>
1.1设置node ID和cluster ID
##在操作模式下输入，后面没有注明的则默认是在配置模式下操作
##SRX3400-1_L2配置为
set chassis cluster node 0 cluster-id 1 reboot
##SRX3400-2_L2配置为
set chassis cluster node 1 cluster-id 1 reboot
1.2防火墙系统全局配置（初始化配置）
##设置root的用户名和密码
system {
    root-authentication {
        encrypted-password "$1$R7QtWpjt$OsUXw/4GC.7AiGO2bFHUz."; ## SECRET-DATA
    }
##添加用户名为lab的用户和密码
 
login {
        user lab {
            uid 2000;
            class superuser;
            authentication {
                encrypted-password "$1$h54Sa7e3$cjwdMDkIcvEN89jSZ8eSa/"; ## SECRET-DATA
            }
        }
}
##设置防火墙自己开启的服务
    services {
        ftp;
        telnet;
        web-management {
            http;
        }
    }
    syslog {
        user * {
            any emergency;
        }
        file messages {
            any notice;
            authorization info;
        }
    }
}
1.3建立集
##双机配置，设置node0为主，node1为备。
##设置node0主机名
groups {
    node0 {
        system {
          host-name SRX3400-1_L2;
          backup-router 192.168.2.1 destination 0.0.0.0/0; 
              }
##设置带外管理地址和带外管理的网关
        interfaces {
            fxp0 {
                unit 0 {
                    family inet {
                        address 192.168.2.254/24;
                    }
                }
            }
        }
        routing-options {
            static {
                route 0.0.0.0/0 {
                    next-hop 192.168.2.1;
                    retain;
                    no-readvertise;
                }
            }
        }
}
##设置node1主机名,带外管理地址和带外管理的网关
    node1 {
        system {
            host-name SRX3400-2_L2;
            backup-router 192.168.2.1 destination 0.0.0.0/0;
        }
        interfaces {
            fxp0 {
                unit 0 {
                    family inet {
                        address 192.168.2.253/24;
                    }
                }
            }
        }
        routing-options {
            static {
                route 0.0.0.0/0 {
                    next-hop 192.168.2.1;
                    retain;
                    no-readvertise;
                }
            }     
        }
    }
}
apply-groups "${node}";
1.4设置cluster冗余组和接口对象
##设置reth-count 数目及主机单元的优先级，并设置监控的端口和权重
chassis {
    cluster {
        reth-count 3;
        heartbeat-interval 1000;
        heartbeat-threshold 3;
##redundancy-group 0为引擎组对象，此处将所有业务接口都放到此组中，这样##设置的结果就是只要有一个业务接口down了，则引擎也进行切换，防止出现##业务接口进行了切换，而引擎没有切换的结果
        redundancy-group 0 {
            node 0 priority 100;
            node 1 priority 1;
            interface-monitor {
                ge-0/0/10 weight 255;
                ge-0/0/8 weight 255;
                ge-8/0/8 weight 255;
                ge-8/0/10 weight 255;
                ge-0/0/0 weight 255;
negotiation auto                ge-8/0/0 weight 255;
            }
        }
        redundancy-group 1 {
            node 0 priority 100;
            node 1 priority 1;
            interface-monitor {
                ge-0/0/8 weight 255;

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。