Netscreen防火牆的簡單配置

Netscreen防火牆的簡單配置

http://netsecurity.51cto.com  2005-09-27 17:20    網絡用戶   我要評論(0)

• 摘要：本文介紹了NS防火牆的一個簡單配置步驟。
• 標籤：防火牆  配置

 

一、進入字符配置界面： 
用隨機帶的CONSOLE線，一頭接計算機串口，一頭接E1端口，在計算機上打開超級終端進行配置，用戶名，密碼都是NETSCREEN。

 

 

二、進入WEB配置界面：
用交叉網線鏈接E1和計算機的網卡，將計算機IP改爲192.168.1.2（與E1端口在同一網段）。打開IE瀏覽器輸入http: /192.168.1.11（192.168.1.11爲E1端口管理IP），用戶名，密碼都是NETSCREEN。         

三、配置端口IP和管理IP：
E1：內部網端口
端口IP192.168.1.20和管理IP192.168.1.11
更改成當地內部網的IP地址,E1的端口IP設爲當地內部網網關，管理IP用於在內部網管理NETSCREEN防火牆。

E3: 外網端口
端口IP192.168.42.66和管理IP192.168.42.68
更改成當地電信所分配的IP地址，E3的管理IP用於外網管理者在INTERNET上配置和管理NETSCREEN防火牆。

四、配置由內網到外網的NAT： 
在E3端口上配置NAT，用於將內部網地址轉換成當地電信所分配的公網IP地址，以便訪問INTERNET信息。

1. Network > Interfaces > Edit（對於ethernet1）：輸入如下內容，而後單擊OK：
Zone Name: Trust
IP Address/Netmask: 172.16.40.11/24（當地內部網網關IP）

2. Network > Interfaces > Edit（對於ethernet3）：輸入如下內容，而後單擊OK：
Zone Name: Untrust
IP Address/Netmask: 215.3.4.11/24(當地電信所分配的IP地址)。

3. Network > Interfaces > Edit（對於ethernet3）> DIP > New：輸入如下內容，而後單擊OK：
ID: 6
IP Address Range
Start: 215.3.4.12（當地電信所分配的IP地址）
End: 215.3.4.210（當地電信所分配的IP地址，這是一個地址池，可大可小）
Port Translation: Enable

4. Policies > (From: Untrust, To: Trust) > New：輸入如下內容，
而後單擊OK：
Source Address:
Address Book: （選擇） , Any
Destination Address:
Address Book: （選擇） , Any
Service: Any
Action: Permit
> Advanced: 輸入如下內容，而後單擊Return，設置高級選項並返回基本配置頁：
NAT: On
DIP On:（選擇） , 6 (215.3.4.12–215.3.4.210)：上一步設的地址池。

 

五、配置由外網到內網的VIP：
在E3端口上配置VIP，可將一個外網IP和端口號對應到一個內網IP。經過這種方法能夠將WEB服務器，郵件服務器或其餘服務放到內網，而從外網只看到一個公網IP，增長安全性。

1. Network > Interfaces > Edit（對於ethernet1）：輸入如下內容，而後單擊Apply：
Zone Name: Trust
IP Address/Netmask: 10.1.1.1/24（當地內部網網關IP）

2. Network > Interfaces > Edit（對於ethernet3）：輸入如下內容，而後單擊OK：
Zone Name: Untrust
IP Address/Netmask: 210.1.1.1/24（當地電信所分配的IP地址）

VIP
3. Network > Interfaces > Edit（對於ethernet3）> VIP：輸入如下地址，而後單擊Add：
Virtual IP Address: 210.1.1.10（對外的服務器地址）

4. Network > Interfaces > Edit（對於ethernet3）> VIP > New VIP Service：輸入如下內容，而後單擊OK：
Virtual Port: 80
Map to Service: HTTP (80)：（此例爲WEB服務器的配置，若是是其餘的服務器，就加入其服務與對應的端口號）
Map to IP: 10.1.1.10（此爲服務器自己IP，內網IP）

策略 5. Policies > (From: Untrust, To: Global) > New：輸入如下內容，而後單擊OK： Source Address: Address Book:（選擇）, ANY Destination Address: Address Book:（選擇）, VIP(210.1.1.10)：對外服務器地址 Service: HTTP（WEB服務器選項） Action: Permit