Junipernetscreen防火墙培训进阶篇教学PPT课件.ppt

* L2TP Tunnel策略的设置 Action选择Tunnel 选择L2TP Tunnel 源地址选择Dial-Up VPN（系统自定义） * Windows 客户端的配置 01 * Windows 客户端的配置 02 * Windows 客户端的配置 03 * Windows 客户端的配置 04 * Windows 客户端的配置 05 * Windows 客户端的配置 06 * Windows 客户端的配置 07 注意： 远程用户所在的内部网络不能与VPN Gateway内部网络相同的子网。 在Windows XP/2003创建一条L2TP vpn tunnel 在windows XP下面要修改注册表： 开始/运行/regedit.exe，找到下面这个路径 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RasMan\Parameters, 新增或修改ProhibitIpSec的值为1。 重启计算机。 IPsec 软件客户端　　　访问总部A的ERP服务器 VPN Gateway设置 VPN 设置 VPN 安全策略 Netscreen Remote 客户端的设置 Dial-up User 设定部分 － 设定用户的IKE ID * * * Junipernetscreen 防火墙培训 课程目标 规范公司员工合理有效的上网 　　 策略 :地址、服务、时间、流量监控、认证、 会话控制、日志 　　　地址绑定 分支机构、移动办公, 安全连入总部 　　 VPN（L2TP、IPSEC、SSL VPN） 分公司为星型 　　　VPN冗余 策略的组成 源地址＆目的地址 地址 地址群 服务 预定义服务 定制服务 定制服务群 动作 会话控制 日志 高级选项 　时间、流量控制/统计、认证 地址 服务 动作 日志 流量统计 认证 一、安全策略 创建策略 WebUI模式 组成 选择From与To的安全区 源＆目的地址 通过下拉菜单选取前面设定的地址 服务 通过下拉菜单选取前面设定的服务 行动 允许, 拒绝, 安全隧道 日志 认证，流量控制、统计 认证 流量控制 流量统计 重点：流量控制，认证。 针对不同的服务或者部门，可以制定不同的流量策略，保证其带宽。 重要资源要求身份认证 安全策略的顺序 新策略加载在最后 在所有策略的末尾有隐含的deny all的策略 顺序非常重要，改变策略的顺序会影响到实际应用效果 公司内部员工随意更改IP地址，导致地址冲突 外来人员随意接入，影响公司网络安全 利用防火墙实现地址绑定 实现MAC绑定功能需要三个步骤 1、强迫执行ARP目地IP扫描：set arp always-on-dest2、作ARP静态绑定：set arp 10.0.0.250 0002b34896fc trust3、设置一个地址组group，它只包含做MAC地址绑定的那些IP地址。然后设置一个策略，只让这个地址组group通过。 注：此功能只能通过命令行来实现。 IP MAC绑定图示 telnet 到防火墙接口 二 VPN 应用 VPN的应用说明： 　　　Juniper的网络安全防火墙设备的VPN应用模式较多，包括：基于策略的VPN、基于路由的VPN，集中星形VPN和背靠背VPN等。在这里，我们主要介绍最常用的VPN模式：策略VPN。 首先，如何配置两种策略VPN，一种是点对点的VPN应用，一种是拨号VPN应用。其中点对点包括静态/动态对静态，拨号包括L2TP和IPSCE客户端两种。 其次， 介绍SSL VPN 和VPN冗余。 静态对静态VPN配置 地址对象 服务对象 VPN网关 IKE 对象 安全策略 10.1.0.5 Trust 10.1.0.1 Untrust 3.3.3.1 Untrust 1.1.1.1 Trust 10.50.0.1 ERP　10.50.0.5 总部 分部 * 总部A与分部C之间的Site to Site VPN 总部A部分的Site to Site VPN设置 VPN Gateway的设置 VPN 的设置 VPN策略设置 分部C部分的Site to Site VPN设置 VPN Gateway的设置 VPN的设置 VPN策略设置 * 总部A Gateway的设置 对方VPN设备的网关 * 选择VPN通道的出口 总部A Gateway的设置 共享密钥双方必须一致 * 总部A Gateway的设置 高级选项 VPN双方的模式必须一致 * 总部A