Juniper 三层操作

sdfsdnfslk

　　查看防火墙的本地路由表：
　　àget route
　　默认情况下所有的Zone都属于Trust-VR虚拟路由器
　　查看防火墙的虚拟路由器
　　àget vrouter
　　由于防火墙需要连接多个Zone，不同的Zone属于不同的网段，需要Zone之间进行互通的话，防火墙需要路由
　　Juniper的防火墙支持哪些路由协议：
　　1.静态路由
　　1.普通的静态路由协议
　　àset route (vrouter trust-vr) 10.1.3.0/24 interface eth3 gateway 1.1.1.3
　　àget route protocol static
　　2.缺省静态路由（默认静态路由）
　　àset route 0.0.0.0/0 interface eth3 gateway 1.1.1.3
　　2.动态路由
　　OSPF
　　RIP
　　BGP
　　Juniper定义地址组建和地址组
　　a.定义一个地址
　　àset address untrust 10.1.2.2 10.1.2.2 255.255.255.255
　　b.定义一个地址组
　　àset group addrss untrust cjclub01 add 10.1.2.2
　　àset group addrss untrust cjclub01 add 10.1.3.2
　　c.应用外网到内网区段的策略
　　àset policy from untrust to home cjclub01 any any permit
　　àset policy from untrust to home any any any permit
　　允许外网到Home区段所有的服务进入
　　配置Juniper防火墙的三层功能：
　　a.建立一个Zone（如果不使用默认Zone的话）;
　　àset zone name cjclub
　　b.建立一个接口，将接口划分进Zone中，并配置IP地址
　　àset interface loopback.1 zone cjclub
　　àset interface loopback.1 ip 8.8.8.8/32
　　c.配置防火墙的静态路由
　　àset route 10.1.2.0/24 interface eth3 gateway 1.1.1.2
　　三层的查看命令：
　　a.查看到达目的主机的路由是存在
　　àget route ip 10.1.2.1
　　b.查看到达目的网段的路由条目
　　àget route prefix 10.1.2.0/24
　　c.查看静态的路由条目
　　àget route protocol static
　　d.跟踪路由
　　àtrace-route 10.1.3.2
　　Juniper的防火墙的Debug信息：
　　1. Debug信息可以实时的监控网络发送流量的数据包
　　默认Juniper的防火墙的Debug信息是放到缓存中的
　　2. Debug信息的配置
　　a.打开Debug信息
　　àdebug flow basic
　　b.查看DB的缓存
　　àget db stream
　　c.查看DB缓存的状态
　　àget db info
　　d.设置DB缓存的大小

　　àset db>　　e.清除缓存计数
　　àclear dbuf
　　l直接将Debug信息通过Console口输出
　　àunset console dbuf
　　3. 配置Juniper防火墙的流过滤
　　Flow filter:
　　a.基于IP地址
　　b.基于TCP/UDP 端口号
　　c.基于IP的协议
　　làundebug all 关闭所有的Debug信息
　　4. 通过Debug信息查看数据包经过防火墙的详细过程
　　a.设置Flow Filter
　　àset ff src-ip 10.1.1.2
　　b.查看Flow Filter
　　àget ff
　　Flow filter based on :
　　Id:0 src ip 10.1.1.2
　　c.打开Debug的信息
　　àdebug flow basic
　　d.清除DB的缓存
　　àclear db
　　e.关闭所有的Debug信息
　　àundebug all
　　l详细过程
　　1.Screen filter 的检查
　　Packet passed sanity check
　　2.查找是否存在会话
　　Flow got session
　　3.查找路由条目
　　Search route to
　　4.查找Policy
　　5.查找普通的NAT
　　6.建立Session；
　　7.路由数据包
　　8.解析下一跳IP的MAC地址（使用ARP）
　　& ISG-2000和NS-5000高端防火墙一些信息无法通过Debug捕获
　　Debug信息的捕获完全根据CPU处理，高端设备采用ASIC芯片;
　　Loopback interface(回环接口地址)
　　a.虚拟的接口，一直是UP，不需要物理连接
　　b.作用：
　　1.管理
　　2.***
　　3.动态路由协议(ROUTER-ID)
　　c.配置loopback
　　1.给接口配置IP地址
　　àset interface loopback.3 ip 10.10.10.10/32
　　2.配置loopback的管理功能
　　àset interface lo.3 manage