Juniper 三层操做

查看防火墙的本地路由表：

àget route

默认状况下全部的Zone都属于Trust-VR虚拟路由器

查看防火墙的虚拟路由器

àget vrouter

因为防火墙须要链接多个Zone，不一样的Zone属于不一样的网段，须要Zone之间进行互通的话，防火墙须要路由

Juniper的防火墙支持哪些路由协议：

1.静态路由

1.普通的静态路由协议

àset route (vrouter trust-vr) 10.1.3.0/24 interface eth3 gateway 1.1.1.3

àget route protocol static

2.缺省静态路由（默认静态路由）

àset route 0.0.0.0/0 interface eth3 gateway 1.1.1.3

2.动态路由

OSPF

RIP

BGP

Juniper定义地址组建和地址组

a.定义一个地址

àset address untrust 10.1.2.2 10.1.2.2 255.255.255.255

b.定义一个地址组

àset group addrss untrust cjclub01 add 10.1.2.2

àset group addrss untrust cjclub01 add 10.1.3.2

c.应用外网到内网区段的策略

àset policy from untrust to home cjclub01 any any permit

àset policy from untrust to home any any any permit

容许外网到Home区段全部的服务进入

配置Juniper防火墙的三层功能：

a.创建一个Zone（若是不使用默认Zone的话）;

àset zone name cjclub

b.创建一个接口，将接口划分进Zone中，并配置IP地址

àset interface loopback.1 zone cjclub

àset interface loopback.1 ip 8.8.8.8/32

c.配置防火墙的静态路由

àset route 10.1.2.0/24 interface eth3 gateway 1.1.1.2

三层的查看命令：

a.查看到达目的主机的路由是存在

àget route ip 10.1.2.1

b.查看到达目的网段的路由条目

àget route prefix 10.1.2.0/24

c.查看静态的路由条目

àget route protocol static

d.跟踪路由

àtrace-route 10.1.3.2

Juniper的防火墙的Debug信息：

1. Debug信息能够实时的监控网络发送流量的数据包

默认Juniper的防火墙的Debug信息是放到缓存中的

2. Debug信息的配置

a.打开Debug信息

àdebug flow basic

b.查看DB的缓存

àget db stream

c.查看DB缓存的状态

àget db info

d.设置DB缓存的大小

àset db size 4096

e.清除缓存计数

àclear dbuf

l直接将Debug信息经过Console口输出

àunset console dbuf

3. 配置Juniper防火墙的流过滤

Flow filter:

a.基于IP地址

b.基于TCP/UDP 端口号

c.基于IP的协议

làundebug all 关闭全部的Debug信息

4. 经过Debug信息查看数据包通过防火墙的详细过程

a.设置Flow Filter

àset ff src-ip 10.1.1.2

b.查看Flow Filter

àget ff

Flow filter based on :

Id:0 src ip 10.1.1.2

c.打开Debug的信息

àdebug flow basic

d.清除DB的缓存

àclear db

e.关闭全部的Debug信息

àundebug all

l详细过程

1.Screen filter 的检查

Packet passed sanity check

2.查找是否存在会话

Flow got session

3.查找路由条目

Search route to

4.查找Policy

5.查找普通的NAT

6.创建Session；

7.路由数据包

8.解析下一跳IP的MAC地址（使用ARP）

& ISG-2000和NS-5000高端防火墙一些信息没法经过Debug捕获

Debug信息的捕获彻底根据CPU处理，高端设备采用ASIC芯片;

Loopback interface(回环接口地址)

a.虚拟的接口，一直是UP，不须要物理链接

b.做用：

1.管理

2.×××

3.动态路由协议(ROUTER-ID)

c.配置loopback

1.给接口配置IP地址

àset interface loopback.3 ip 10.10.10.10/32

2.配置loopback的管理功能

àset interface lo.3 manage