Juniper SRX 防火墙运行routinginstance AAANTPSYSLOG 配置实验.docx
- 文档编号:5335910
- 上传时间:2022-12-15
- 格式:DOCX
- 页数:18
- 大小:873.94KB
Juniper SRX 防火墙运行routinginstance AAANTPSYSLOG 配置实验.docx
《Juniper SRX 防火墙运行routinginstance AAANTPSYSLOG 配置实验.docx》由会员分享,可在线阅读,更多相关《Juniper SRX 防火墙运行routinginstance AAANTPSYSLOG 配置实验.docx(18页珍藏版)》请在冰豆网上搜索。
JuniperSRX防火墙运行routinginstanceAAANTPSYSLOG配置实验
JuniperSRX3400Routing-instance
AAA、NTP、SYSLOG
实验配置手册
目录
1.实验需求3
2.实验环境3
3.实验拓扑4
3.1.创建虚拟机4
3.2.虚拟机之间网络连接4
4.防火墙配置7
5.AAA配置验证14
5.1.1.若将防火墙source-address定义为172.16.1.114
5.1.2.删除环回口lo0地址16
6.NTP配置验证17
6.1.1.若将ntp源地址设为172.16.1.1,18
6.1.2.删除环回口lo0地址18
7.SYSLOG配置验证19
7.1.1.若将SYSLOG源地址设为172.16.1.119
7.1.2.删除防火墙上lo0接口地址20
8.最终结论21
1.实验需求
为了能够充分理解JuniperSRX防火墙在运行routing-instance情况下配置AAA、syslog、ntp的运行机制,通过虚拟机搭建试验环境来验证。
2.实验环境
Juniper防火墙使用虚拟机来搭建,Radius服务器使用windows2003+ACSv4.2,将windows2003作为ntpserver,在windows2003上安装Kiwi_Syslog_Server作为syslog软件。
实验工具如下:
软件
防火墙
junos-vsrx-12.1X44-D10.4-domestic;
服务器
WindowsServer2003EnterpriseEditionServicePack2
Radius服务器
ACSv4.2
Syslog服务器
Kiwi_Syslog_Server
登录工具
SecureCRT
VMWare
VMware-workstation-full-10.0.3-1895310.exe
PC
硬件
3.实验拓扑
3.1.创建虚拟机
创建2个虚拟机:
SRX:
juniper防火墙
Radius_NTP_Syslog_server:
作为radius、NTP、syslog服务器;
3.2.虚拟机之间网络连接
各虚拟机网卡连接方式如下:
1)将虚拟机SRX网卡1与物理机网卡桥接
2)将虚拟机SRX网卡3采用自定义方式,用于与两台服务器连接
3)服务器网卡也采用自定义的方式,用于与SRX连接:
4)配置IP地址,测试联通性
按照以上拓扑图对防火墙接口、服务器网口的IP地址进行配置,并测试连通性。
设置Radius_server_1地址:
设置Radius_server_2地址:
4.防火墙配置
system{
authentication-order[radius];//证验方式radius优先,radius失效本地帐号可登录
root-authentication{
encrypted-password"$1$XnvX8cV/$ofcHd9NOokhXfFY2vybIA.";##SECRET-DATA
}
radius-server{
172.16.1.100{//主服务器
secretjuniper;##SECRET-DATA
source-address10.0.0.100;
}
172.16.1.101{//备服务器
secretjuniper;##SECRET-DATA
source-address10.0.0.100;
}
}
accounting {//配置审计
events login;
destination {
radius {
server {
172.16.1.100 {
port 1646;
secret "$9$VdsgJikP36AGD6Ap0hcbs2"; ## SECRET-DATA
}
172.16.1.101 {
port 1646;
secret "$9$VdsgJikP36AGD6Ap0hcbs2"; ## SECRET-DATA
}
}
}
}
}
login{
classview-config{//建立只读用户权限class
idle-timeout5;
permissionsall;
deny-commands"(request)|(set)|(clear)|(configure)";//配置deny-commd
}
classsuper{//建立super用户权限class
idle-timeout15;
permissionsall;
}
userxuansw{//建立本地账户
uid2002;
classsuper;
authentication{
encrypted-password"$1$JnCi6P6j$vpWhKOfEW.mXllPzX0oOa1";##SECRET-DATA
}
useryangzz{//建立本地账户
uid2004;
classsuper;
authentication{
encrypted-password"$1$xOmWw0IM$Fj2npdjRgYutg5ZZFZ33r.";##SECRET-DATA
}
}
usercheck{/建立只读权限模板用户,模板用户不用配置密码,用于与ACS对接;
uid2010;
classview-config;
}
usersuper{//建立super权限模板用户,模板用户不用配置密码,用于与ACS对接;
uid2001;
classsuper;
}
}
}
syslog{
user*{
anyany;
}
host172.16.1.100{//指定syslog服务器地址为172.16.1.100
anynotice;
}
filemessages{
anynotice;
authorizationinfo;
explicit-priority;
}
fileinteractive-commands{
interactive-commandsany;
}
filetest4mgmt{
authorizationinfo;
explicit-priority;
}
filetraffic-log{
anyany;
matchRT_FLOW_SESSION;
}
source-address10.0.0.100;//源地址指定为lo0地址
}
ntp{
server172.16.1.100version3;//ntp服务器地址指定为172.16.1.100
source-address10.0.0.100;//源地址为10.0.0.100(lo0地址)
}
}
interfaces{
ge-0/0/1{
unit0{
familyinet{
address192.168.2.110/25;//与PC互联
}
}
}
ge-0/0/2{
unit0{
familyinet{
address172.16.1.1/24;//与服务器互联
}
}
}
lo0{
unit0{
familyinet{
address10.0.0.100/24;//环回接口
}
}
}
}
routing-options{
interface-routes{
rib-groupinetGlobal;
}
static{
route172.16.1.100/32next-tableECC-VR.inet.0;//全局路由inet.0指向服务器地址
}
rib-groups{
Global{
import-rib[inet.0ECC-VR.inet.0];//全局路由inet.0导入ECC-VR.inet.0
}
}
}
security{
policies;
zones{
security-zonetrust{
interfaces{
ge-0/0/1.0{
host-inbound-traffic{
system-services{
ping;
telnet;
ssh;
}
}
}
}
}
security-zoneuntrust{
interfaces{
ge-0/0/2.0
}
}
}
}
}
}
routing-instances{//配置routing-instancesECC-VR
ECC-VR{
instance-typevirtual-router;
interfacege-0/0/1.0;
interfacege-0/0/2.0;
routing-options{
static{
route0.0.0.0/0next-hop192.168.2.126;
}
}
}
}
5.AAA配置验证
疑问:
如下图,SRX防火墙在运行routing-instance情况下,防火墙配置AAA时,防火墙与Radius服务器通信的source-address是以下中哪一个:
1)rouing-instanceECC-VR里接口ge-0/0/2的地址172.16.1.1
2)全局下的lo0接口地址10.0.0.100
5.1.1.若将防火墙source-address定义为172.16.1.1
system{
authentication-order[radius];//证验方式radius优先,radius失效本地帐号可登录
}
radius-server{
172.16.1.100{//主服务器
secretjuniper;##SECRET-DATA
source-address172.16.1.1;//routing-instanceECC-VR里接口地址
}
}
ACS上指定客户端地址为:
172.16.1.1
在防火墙上对ge-0/0/2(防火墙与服务器互联接口)抓包如下:
此时通过radius服务器建立的账号test1无法登录,而抓包发现防火墙默认是通过防火墙全局下lo0接口地址10.0.0.100与服务器进行通信的。
若ACS上同时添加客户端地址为10.0.0.100,172.16.1.1,防火墙指定的源地址还是172.16.1.1:
在防火墙上对ge-0/0/2(防火墙与服务器互联接口)抓包如下:
此时通过radius服务器建立的账号test1可以正常登录,而抓包发现防火墙默认是通过防火墙全局下lo0接口地址10.0.0.100与服务器进行通信。
5.1.2.删除环回口lo0地址
删除防火墙上环回扣lo0接口址,source-address指定为172.16.1.1:
ACS同时添加172.16.1.1和10.0.0.100两个地址:
在防火墙上抓包,发现无数据通过,并且test1帐号无法登录:
结论:
从抓包结果可以看出,即使防火墙上指定源地址为VR上接口地址,实际上默认与radius服务器通信的地址为全局下接口地址(此处为Lo0)。
6.NTP配置验证
疑问:
如下图,SRX防火墙在运行routing-instance情况下,防火墙配置NTP时,防火墙与NTP服务器通信的source-address是以下中哪一个:
1)rouing-instanceECC-VR里接口ge-0/0/2的地址172.16.1.1
2)全局下的lo0接口地址10.0.0.100
6.1.1.若将ntp源地址设为172.16.1.1,
system{
ntp{
server172.16.1.100;//ntp服务器地址指定为172.16.1.100
source-address172.16.1.1;//routing-instanceECC-VR里接口地址
}
}
在防火墙做手动同步,并用源地址为172.16.1.1:
在防火墙抓包发现,与ntp服务器172.16.1.100通信是防火墙的lo0接口地址10.0.0.100:
6.1.2.删除环回口lo0地址
删除防火墙上环回扣lo0接口址,source-address指定为172.16.1.1:
在防火墙做手动同步发现无法同步:
结论:
从抓包结果可以看出,即使防火墙上指定源地址为VR上接口地址,实际上默认与NTP服务器通信的地址为全局下接口地址(此处为Lo0)。
7.SYSLOG配置验证
7.1.1.若将SYSLOG源地址设为172.16.1.1
syslog{
user*{
anyany;
}
host172.16.1.100{//指定syslog服务器地址为172.16.1.100
anynotice;
}
filemessages{
anynotice;
authorizationinfo;
explicit-priority;
}
fileinteractive-commands{
interactive-commandsany;
}
filetest4mgmt{
authorizationinfo;
explicit-priority;
}
filetraffic-log{
anyany;
matchRT_FLOW_SESSION;
}
source-address172.16.1.1//routing-instanceECC-VR里接口地址
}
在防火墙上抓包发现与syslog服务器通信的是全局下的环回口地址10.0.0.100:
从syslog服务器上发现与之通信的地址为10.0.0.100:
7.1.2.删除防火墙上lo0接口地址
删除防火墙上lo0接口地址,发现syslog上不再出防火墙上日志:
结论:
从抓包结果可以看出,即使防火墙上指定源地址为VR上接口地址,实际上默认与syslog服务器通信的地址为全局下接口地址(此处为Lo0)。
8.最终结论
通实验可以得出如下结论:
JuniperSRX防火墙在运行routing-instance的情况下,防火墙上AAA、NTP、SYSLOG与服务器通信的source-address默认必须是全局下的接口地址,不能通过routing-instance里的接口地址来与服务器通信。
Juniper官网说明如下:
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- Juniper SRX 防火墙运行routinginstance AAANTPSYSLOG 配置实验 防火墙 运行 routinginstance 配置 实验
![提示](https://static.bdocx.com/images/bang_tan.gif)
链接地址:https://www.bdocx.com/doc/5335910.html