Juniper 三層操做

查看防火牆的本地路由表：

àget route

默認狀況下全部的Zone都屬於Trust-VR虛擬路由器

查看防火牆的虛擬路由器

àget vrouter

因爲防火牆須要鏈接多個Zone，不一樣的Zone屬於不一樣的網段，須要Zone之間進行互通的話，防火牆須要路由

Juniper的防火牆支持哪些路由協議：

1.靜態路由

1.普通的靜態路由協議

àset route (vrouter trust-vr) 10.1.3.0/24 interface eth3 gateway 1.1.1.3

àget route protocol static

2.缺省靜態路由（默認靜態路由）

àset route 0.0.0.0/0 interface eth3 gateway 1.1.1.3

2.動態路由

OSPF

RIP

BGP

Juniper定義地址組建和地址組

a.定義一個地址

àset address untrust 10.1.2.2 10.1.2.2 255.255.255.255

b.定義一個地址組

àset group addrss untrust cjclub01 add 10.1.2.2

àset group addrss untrust cjclub01 add 10.1.3.2

c.應用外網到內網區段的策略

àset policy from untrust to home cjclub01 any any permit

àset policy from untrust to home any any any permit

容許外網到Home區段全部的服務進入

配置Juniper防火牆的三層功能：

a.創建一個Zone（若是不使用默認Zone的話）;

àset zone name cjclub

b.創建一個接口，將接口劃分進Zone中，並配置IP地址

àset interface loopback.1 zone cjclub

àset interface loopback.1 ip 8.8.8.8/32

c.配置防火牆的靜態路由

àset route 10.1.2.0/24 interface eth3 gateway 1.1.1.2

三層的查看命令：

a.查看到達目的主機的路由是存在

àget route ip 10.1.2.1

b.查看到達目的網段的路由條目

àget route prefix 10.1.2.0/24

c.查看靜態的路由條目

àget route protocol static

d.跟蹤路由

àtrace-route 10.1.3.2

Juniper的防火牆的Debug信息：

1. Debug信息能夠實時的監控網絡發送流量的數據包

默認Juniper的防火牆的Debug信息是放到緩存中的

2. Debug信息的配置

a.打開Debug信息

àdebug flow basic

b.查看DB的緩存

àget db stream

c.查看DB緩存的狀態

àget db info

d.設置DB緩存的大小

àset db size 4096

e.清除緩存計數

àclear dbuf

l直接將Debug信息經過Console口輸出

àunset console dbuf

3. 配置Juniper防火牆的流過濾

Flow filter:

a.基於IP地址

b.基於TCP/UDP 端口號

c.基於IP的協議

làundebug all 關閉全部的Debug信息

4. 經過Debug信息查看數據包通過防火牆的詳細過程

a.設置Flow Filter

àset ff src-ip 10.1.1.2

b.查看Flow Filter

àget ff

Flow filter based on :

Id:0 src ip 10.1.1.2

c.打開Debug的信息

àdebug flow basic

d.清除DB的緩存

àclear db

e.關閉全部的Debug信息

àundebug all

l詳細過程

1.Screen filter 的檢查

Packet passed sanity check

2.查找是否存在會話

Flow got session

3.查找路由條目

Search route to

4.查找Policy

5.查找普通的NAT

6.創建Session；

7.路由數據包

8.解析下一跳IP的MAC地址（使用ARP）

& ISG-2000和NS-5000高端防火牆一些信息沒法經過Debug捕獲

Debug信息的捕獲徹底根據CPU處理，高端設備採用ASIC芯片;

Loopback interface(迴環接口地址)

a.虛擬的接口，一直是UP，不須要物理鏈接

b.做用：

1.管理

2.×××

3.動態路由協議(ROUTER-ID)

c.配置loopback

1.給接口配置IP地址

àset interface loopback.3 ip 10.10.10.10/32

2.配置loopback的管理功能

àset interface lo.3 manage