WAP项目现场安装文档 (SSG 550M防火墙)
V1.0
Juniper Networks.
2008-9-6
电信WAP网关SSG550配置手册
第2页 共42页
电信WAP网关SSG550配置手册
目录
1 2
概述 ........................................................................................................................................................ 4 电信WAP中心网络规划 ..................................................................................................................... 5
2.1 2.2
Zone规划 ........................................................................................................................ 5 访问策略实现 ................................................................................................................. 7 2.2.1 2.2.2 2.2.3 2.2.4
PDSN访问实现 ...................................................................................................... 7 163公网访问实现 .................................................................................................. 8 DCN访问实现 ........................................................................................................ 8 CN2访问实现 ......................................................................................................... 8
3 设备端口连接规划 ................................................................................................................................ 8
3.1 3.2 3.3 3.4
4
设备端口编号 ................................................................................................................. 8 设备端口连接表 ............................................................................................................. 9 防火墙接口地址规划 ..................................................................................................... 9 防火墙策略定义规划 ................................................................................................... 10
防火墙配置安装步骤 .......................................................................................................................... 12
4.1 4.2 4.3 4.4 4.5 4.6 4.7 4.8 4.9 4.10 4.11
5
初始化配置 ................................................................................................................... 12 防火墙冗余NSRP设置 ............................................................................................... 14 设置设备接口参数 ....................................................................................................... 21 设置路由 ....................................................................................................................... 24 定义WAP中心主机及信息服务端口 ......................................................................... 26 配置NAT（DIP\\NAT-Dst\\MIP） ................................................................................ 27 定义安全访问策略 ....................................................................................................... 32 用户账号管理 ............................................................................................................... 33 配置文件备份 ............................................................................................................... 34 版本升级步骤 ............................................................................................................... 36 常用排错步骤及命令汇总 ........................................................................................... 37
附录：防火墙配置文件 ...................................................................................................................... 38
5.1 5.2
SSG-550M-1防火墙配置 ............................................................................................. 38 SSG-550M-2防火墙配置 ............................................................................................. 42
第3页 共42页
电信WAP网关SSG550配置手册
1 概述
电信WAP网关采用两台ZXR10 T40G三层交换机做为核心交换机，并且采用两台Juniper SSG-550M防火墙来做安全控制。WAP网关通过电信的CE路由器分别连接PDSN、CN2、DCN和电信163公网4个网络，以内蒙古电信WAP为例，网络结构图如下：
在逻辑结构上，WAP网关需要和PDSN、CN2、DCN和163公网4个网络进行网络互联。
第4页 共42页
电信WAP网关SSG550配置手册
此次项目通过JUNIPER防火墙实现的主要功能如下： 1.
PDSN网络（10.0.0.0/8）的主机需要访问10.0.0.165 主机TCP的80端口，UDP的9200－9203、1813、1812端口。通过防火墙后，即访问我内部主机192.168.0.133TCP的8000端口，UDP的9200－9203、1813、1812。 2.
内部的多台主机（包括192.168.0.133）需要访问163公网上的任何资源，而且192.168.0.133的TCP的8090端口需要被163公网上的主机访问。这样报文在出防火墙时，需要转换成公网地址。 3.
内部的多台主机（包括192.168.0.133）需要与CN2上相互访问，这样内部主机需要转换成CN2的地址与CN2的主机进行通讯。而且192.168.0.133的TCP的8090端口需要被CN2上的主机访问，其他的端口还不确定。 4.
内部的多台主机(包括192.168.0.133)需要与DCN的主机进行互相访问。也需要转换成DCN的地址进行互通。 5.
PDSN网络的主机需要通过防火墙去访问163公网上的资源，需要在防火墙上将源地址变换成公网地址。
2 电信WAP中心网络规划
2.1 Zone规划
根据WAP业务访问需求，由于在此项目中使用的Juniper SSG-550M防火墙为标准配置，
仅自带4个千兆接口，其中eth0/3 接口作为HA传输心跳等信息，至此实际能应用到此网络环境中进行数据传输的接口只有3个（eth0/0、eth0/1、eth0/2），并且每台CE路由器也仅能提供2个接口通过交换机与我们的设备进行通信。内部网络占用一个端口，这样实际上剩下2个端口来接电信的4个网络。为保证内部用户与其4个网络互相通信，并正常访问，在此将对网络连接接口进行如下规划：
1、 PDSN单独划分为一个 DMZ zone，CN2\\DCN\\163公网划分到Untrust zone。 2、 PDSN网络单独一根线通过交换机接到防火墙的eth0/1接口，该接口为DMZ zone。 3、 163网络单独一根线通过交换机接到防火墙的eth0/2 接口，该接口为Untrust zone。 4、 CN2\\DCN网络所以流量将通过eth0/2接口进出，该接口为Untrust zone。
第5页 共42页