这周算是补了上周和上上周脱更的内容了,下周好好继续研究,大家一起学习!!j_0057.gif成为一名优秀的网工。


之前的文章里面有介绍过basic-policy-***和routing-***的区别(SSG系列),同时也列举的basic-policy-***的配置思路和配置方法。今天呢算是做一个补充,介绍一下SSG基于tunnel接口的routing-***配置方法。


简单介绍下:

基于路由的IPsec ×××: 在防火墙上建立虚拟接口tunnel接口,设置到对端的数据丢进这个tunne接口中,再有IPsec ×××进行加密


×××的配置思路:

  1. 新增自定义zone

  2. 新建tunnel接口并关联zone配置IP地址。(类似GRE的配置)

  3. ipsec-***第一阶段配置

  4. ipsec-***第二阶段配置并绑定tunnel接口

  5. 写基于tunnel接口的目的路由

  6. 放行内网接口到tunnel接口zone的策略

  7. 测试网络是否正常


以上的思路均可根据自己经验和习惯进行微调,没有准确的答案,每个人的习惯决定每个人的配置手法,注意一点即可。思路清晰,做事严谨。


简单介绍下zone、tunnel接口如何配置:

zone的新建:

web-ui---network--zones,找到系统自带trust,观察里面属性。

Juniper-SSG-路由模式的IPSEC-***之配置终结篇_第1张图片


接着模仿配置一个新zone,命名为ceshi,如下所示。下面五个勾选框无需刻意勾选。

Juniper-SSG-路由模式的IPSEC-***之配置终结篇_第2张图片


创建完成之后如下图所示:

Juniper-SSG-路由模式的IPSEC-***之配置终结篇_第3张图片


接着创建tunnel接口,network-interface-右上角下拉找到tunnel IF,点击new

Juniper-SSG-路由模式的IPSEC-***之配置终结篇_第4张图片


关联刚刚创建的zone-ceshi,然后配置tunnel-ip地址:10.255.255.1/30,点击ok

Juniper-SSG-路由模式的IPSEC-***之配置终结篇_第5张图片


创建完成之后interface接口输出图如下:

Juniper-SSG-路由模式的IPSEC-***之配置终结篇_第6张图片

此时第一步和第二步就已经完成了。我们可以开始配置×××呢。


×××的配置,这里省略因为前面介绍的比较详细了,所以如果配置思路和配置方法不清晰或者不明白的,请在博主的***分类篇去找下Juniper-SSG的策略ipsec-***的配置方法。


非常感谢,好了,这里不做赘述。我继续!!


在ipsec-***配置完成之后,一般默认情况下第一阶段就一起了,进设备底层->get sa 方可进行查看。


从这里开始,SSG的路由模式的×××的关键地方来了,大家自信的往下看。

第四步,ipsec-***第二阶段配置并绑定tunnel接口

在basic-policy-***第二阶段的配置中,有个advance的配置,进去勾选bind-tunnel,下拉刚刚新建的tunnel接口,如下图。

Juniper-SSG-路由模式的IPSEC-***之配置终结篇_第7张图片

通俗理解就是:把该隧道绑定到tunnel接口上,这一步就完成了ipsec绑定tunnel接口的配置。

这个和山石网科,tunnel接口下绑定ipsec-***的手法完全一致,只是山石做的更符合国人的思维而已。


第五步:写基于tunnel接口的目的路由

如下图所示:(写个目的路由,菜单我就不介绍了,太low)

Juniper-SSG-路由模式的IPSEC-***之配置终结篇_第8张图片

Juniper-SSG-路由模式的IPSEC-***之配置终结篇_第9张图片


第六步:放行内网接口到tunnel接口zone的策略。

注释:为什么是内网接口的zone到tunnel接口的zone的策略放行,而不是trust到untrust。这个就是routing-***的区别之处。

wKiom1eLNDnQDfF1AAAfvQVtK0k684.png-wh_50


流量基于tunnel接口和路由去转发,而并非通过感兴趣流(源目地)去匹配,一定程度上,路由***比策略***灵活可控,但是大家也明白tunnel接口数量是有上限的,所以偶尔我们在规划配置的时候,真的好考虑下设备的硬件支持,不然悲剧中途该方案,贼难受和贼不专业。


第七步:内网互Ping,即可。如果不同,检查ipsec配置起来没,其他的没了。***这类技术很久了,百度、谷歌文档一大堆,多研究多看书,别做伸手党。



------------------------------来自一家二级运营商的网工分享