防火墙netscreen 5gt透明模式配置指引

《防火墙netscreen 5gt透明模式配置指引》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、防火墙NetScreen5GT透明模式配置指引目录一、配置网络环境描述2二、配置步骤32.1防火墙的配置32.3配置结果10三、参考资料10第10页共10页一、配置网络环境描述网络拓扑结构网络拓扑结构图网络拓扑结构简述防火墙采用1台NetScreen5GT（以下简称5GT），5GT将与其连接的网络设备分为V1-Trust和V1-Untrust两个安全区段，其物理端口配置在透明模式下运行，并定义各端口为中继端口，实现5GT允许与其连接的交换机接收、发送来自多个VLAN的信息流，并按帧头中的VLAN标

2、识符(VID)对各个封包进行分类。第10页共10页交换机采用2台CiscoCatalyst2950-24。Cat2950-2的F0/24端口连接5GT的Trust端口，f0/24配置为Trunk工作模式，Cat2950-2指定为VTPServer工作模式，并建立VLAN101、VLAN102和VLAN103；Cat2950-1的F0/24端口连接5GT的Untrust端口，f0/24配置为Trunk工作模式，Cat2950-1指定为VTPClient工作模式，并加入Cat2950-2创建的VTP域

3、，接收其创建的VLAN信息。二、配置步骤2.1防火墙的配置1、登录将NetScreen5GT的Trust端口1~4中任一端口与一台PC通过网线直连，将该PC的IP地址设置为192.168.1.2~255中的任一地址。通过WEB登录NetScreen5GT，NetScreen默认的管理地址是：192.168.1.1选择“No，usetheInitialConfigurationWizardinstead。”默认配置：第10页共10页输入默认的用户名“netscreen”和密码“netscreen”：

4、进入5GT的Web用户管理界面（WebUI）：1、配置端口查看5GT的“Network-interfaces”界面，5GT的物理端口共有5个，由untrust和ethernet1-4组成，ethernet1-4端口默认名称(name)为trust，它们在默认的配置中分别属于“Untrust”和“Trust”区段(zone)。第10页共10页进入5GTVLAN1区段的配置界面：配置5GT的VLAN1区段，设置VLAN1的IP地址(此处所设置的IP地址就是防火墙的管理IP，可根据不同网络环境的需要进行

5、调试。如在银河总部的防火墙隔离工程中，我们将4台防火墙VLAN1的IP地址分别设置为192.168.42.143~146)，并开启“ServiceOptions”中的“VlanTrunk”和“BypassNon-IPpackets”选项，“VlanTrunk”是定义属于VLAN1区段的端口为中继端口，“BypassNon-IPpackets”选项是允许非IP信息流通过5GT，如IPX协议，最后单击OK完成配置：第10页共10页进入name为“untrust”，Zone为“Untrust”的端口的配

6、置界面：将untrust端口由Untrust区段更改为V1-Untrust区段：第10页共10页进入name为“trust”，Zone为“Trust”的端口的配置界面，将trust端口由Trust区段更改为V1-Trust区段，并把默认的IP地址192.168.1.1更改为0.0.0.0/0，这样5GT物理端口的IP地址均为0.0.0.0，端口就这样被配置为透明模式完成上述配置后，“Network-interfaces”的界面显示如下，trust和untrust的端口已经由原来的Trust和Unt

7、rust区段更改为V1-Trust和V1-Untrust区段，处于这两个区段内的端口已变为在透明模式下工作，同时这些端口被VLAN1区段定义为中继端口－vlantrunk：第10页共10页1、配置策略进入5GT的“Policles”界面，5GT的默认策略是“FromTrustToUntrust”没有限制：删除默认的策略：第10页共10页分别建立“FromV1-TrusttoV1-Untrust”和“FromV1-UntrusttoV1-Trust”的策略：完成上述策略配置后的“Policles”界

8、面如下：第10页共10页2.3配置结果在完成上述配置后，连接在5GTuntrust端口上的Cat2950-1（VTPClient）能够接收由Cat2950-2（VTPServer）传来的VLAN信息，且2台交换机之间能够相互ping通和实现telnet功能；而整个网络中处于同一VLAN内的设备也能够相互访问，如连接Cat2950-1VLAN101内的工作站和ServerA之间能够相互ping通对方的IP地址；需要注意的是，在上述5GT的配置中，VLAN1区段的配置中开启了“Bypa