01Junipernetscreen初始配置及管理.ppt

Implementing NetScreen Security Gateways 安全设备管理 目标 安全网关的组成 登录/管理安全网关的方法 系统管理的配置 管理license keys 配置文件的导入导出 系统文件（ScreenOS）的管理 系统组成 所有关键功能都是在内存中执行的。 可以通过WEB或者命令行两种方式 登录安全网关 通过Console线缆来连接安全网关 使用Windows系统自带的超级终端（还原默认值）即可 最为安全的登录方式 无须网络支持就可以登录 无须IP地址就可以登录 可以看到启动的信息 可以看到实时的debug信息 图形化（WEBUI）模式 安全网关可以通过图形化模式进行管理 只需要很少的配置 (在安全网关接口上配置管理地址，并打开web访问权限即可) 客户端的地址设置到与管理地址同一网段。 默认的可网管接口是安全设备的最小号码的端口（比如eth0/0） 默认的可网管接口的管理地址是/24 默认的管理员用户名/密码是 netscreen 图形化界面的主菜单 配置向导 如果初次配置安全网关（或者网关进行了恢复出厂值操作），当通过WEBUI登录安全网关时，配置向导就会出现。 配置向导可以帮助不熟悉安全网关的用户对系统进行基本配置。高级用户不建议使用该向导进行系统配置。 命令行（CLI）模式 输入“ ?”, 会输出该目录下可执行的所有命令。命令行的命令输入后，需要通过save命令来存盘。 左半部分列出命令或者命令的参数 右半部分列出对命令的解释 命令行的管理员默认用户名/密码是netscreen。 Console/WEBUI/CLI三种模式的管理员帐号是通用的。 配置安全网关的管理项 1.配置接口地址 将接口绑定到安全区（zone） 给接口地址配置地址 配置可管理服务（如ping，web访问，telnet访问等） 管理地址 （可选） 2.修改 root administrator 密码 3.创建新的管理员帐号 安全区与接口 安全网关有严格的逻辑上的层次结构 安全区从属于虚拟路由器 安全区默认都从属于trust-vr 接口从属于安全区 一个接口只能从属于一个安全区 IP地址从属于接口 安全区的种类 安全区 预定义: Trust:一般放置内网接口 Untrust:一般放置外网接口 DMZ:一般放置服务器接口 用户自定义： 隧道安全区（Tunnel Zone） 功能安全区 Null MGT HA Self VLAN 设置接口/安全区 WebUI模式 设置接口/安全区 命令行模式 An interface must be a member of a security zone prior to having an address assigned 可网管选项 WebUI模式 默认的可网管选项因安全区的不同而不同 Trust zone: 所有可网管选项都是允许的 其它 zone: 所有可网管选项都是不被允许的 可网管选项 CLI模式 如果在命令的末尾没有写出特定的选项，则代表所有的选项 管理地址的设置 可以设定特定的非接口地址来进行网管 管理员帐号 不同级别的管理员帐号有不同的权限 Root管理员由系统定义，不能删除 本地管理员由Root管理员创建，可以由Root管理员删除 创建系统管理员 修改Root管理员用户名/密码 Manager-IP 地址的设定 为了增加安全性，可以设定Manager-IP地址来限定可以网管安全网关的客户端 一旦是指定了Manager-IP地址，那么只有设定了Manager-IP的客户端才可以对安全设备进行网关。 Manager-IP地址可以一个主机地址，也可以是一个网段。 配置Manager-IP地址 External Management Devices There are several common applications that operate in conjunction with the NetScreen device DNS Syslog SNMP DNS Configuration Syslog Configuration SNMP Configuration - WebUI SNMP Configuration – WebUI (cont.) SNMP Configuration - CLI License Keys的管理 License Keys提供的功能: Capacity expansion (extended/advanced releases) 防病毒（Anti-virus） 网页过滤（URL filtering） 防垃圾邮件（Anti-Spam） 深层检测（Deep Inspection/IPS