juniper防火墙详细配置手册 - 图文

? Service options服务选项：设置此接口是否允许被PING，WEB或TELNET

等方式进行管理，默认情况下ETH1（内网口）的都是打开的，而ETH4口(外网口)的WEB和TELNET管理选项是关闭的，也就是说如果我们想从外网登陆ETH4口的IP进行管理，必须把相应的WEB或TELNET选项点中。 ? 最后的配置框可以保持默认值。

6.2.3 设置地址转换

Juniper防火墙的地址转换有三种方式：MIP-静态一对一地址转换；VIP-虚拟一对多地址转换；DIP-动态多对多地址转换。

由于MIP和VIP地址转换有一些规则限制，比如要转换外网发起流量的源地址的时候，转换后的地址必须和ETH1内网口在同一个子网，否则无法配置。而DIP不受此规则的影响，同时可以完成MIP和VIP的功能，应用和设置比较灵活，因此我们建议地址转换统一采用DIP的方式。

6.2.3.1 配置MIP静态地址转换

20

? 配置MIP静态地址映射的时候要注意转换后的虚拟地址要在数据流的出站

接口上进行配置：例如流量从E1口入从E4口出，192.168.1.1访问外网，我们把192168.1.1的地址转换为1.1.1.1，那么这个1.1.1.1的地址的MIP是做在出站接口，也就是E4口上的。 ? 新建MIP静态地址映射

? 当使用静态MIP地址映射时，对方发起的数据流的目的地地址要注意设置为

MIP后的地址。

21

6.2.3.2 设置DIP动态地址转换

? DIP动态地址转换可以实现一对一，一对多，多对一和多对多的访问。 ? DIP地址池和MIP一样要设置在出站接口上来实现源地址的翻译。 ? DIP地址池可以和出站接口不再一个网段（使用扩展IP技术）。

? 如果访问是多对一的（多个客户端访问一个服务器），必须使用Port-Xlate端

口转换特性（默认设置，建议都使用这种方式）。

? 如果DIP被策略引用则无法编辑和更改，必须先移除策略后才可以编辑。 ? 创建新的DIP地址池：

22

? 如果DIP地址池和出站接口不在同一网段必须使用扩展IP特性，把选择框

选择到下方“In the same as the extended ip”，并输入一个扩展IP的地址。 ? 例如出站接口是9X.2.244.1/28，而源地址出站时我们想转换成192.168.1.X

的地址，那么在扩展IP框中我们可以输入192.168.1.0/24。

? 扩展IP地址可以使用一个地址也可以用一个网段，推荐使用网段的方式。 ? 同一DIP地址网段可以同时分布在多个接口上，比如9X.2.18.0虚拟地址簿

可以同时设置在E1、E2和E3口上。

? 但同一个DIP地址只能同时设置在一个接口上，比如9X.2.18.1地址只能设

置在E1或E2或E3口上，不能同时在多个接口上都设置9X.2.18.1。

23