Компьютерный форум OSzone.net  

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)
-   Сетевое оборудование (http://forum.oszone.net/forumdisplay.php?f=55)
-   -   VPN на Juniper`ах SRX (http://forum.oszone.net/showthread.php?t=238494)

denisz 13-07-2012 01:13 1950975
VPN на Juniper`ах SRX
 
Господа, добрый вечер
Знатоки Junos подскажите как решить проблему или пните в нужную сторону. Раньше не имел дела с такими железками, как-то все провайдер на себя брал. Сам я Windows`зятник
А сейчас в руки попали Juniper SRX210 и несколько SRX100. Всю документацию на русском проштудировал, на английском в силу несильного знания языка тоже.
После такого количества информации, поступившей мне в голову, может быть что-то не указал в теме - не ругайте :) Мозг кипит уже :)
Что имеем:
- главный офис с сетью 192.168.4.0/24. DNS 192.168.4.2/24 (AD,TS,DHCP). Есть ISA Server 192.168.4.254, в него входит инет и входит лан. Внешний IP 10.10.10.4
- первый удаленный офис с сетью 192.168.5.0/24. С дополнительным КД и DNS 192.168.5.2/24. Внешний IP 10.10.10.5
- второй удаленный офис с сетью 192.168.6.0/24. С дополнительным КД и DNS 192.168.6.2/24. Внешний IP 10.10.10.6
- все клиенты главного офиса и удаленных ходят в интернет через ISA Server - ну это пока не так важно
- в fe-0/0/0 вставлен инетернет. В fe-0/0/1 вставлена сеть. Остальные fe не нужны, но пускай будут ethernet-swiching.
Разницы особой кроме пропускной способности между SRX 210 и SRX100 для моего случая вроде нет - поэтому тоже не принципиально, пусть все будут SRX100 в данном примере.
Вопросы поступают по мере углубления :) Пока думаю только про настройку Junipera в первом удаленном офисе. Есть конфиг. Будет ли он работать? Можно ли что-то добавить или убрать?
По ходу чтения кода не всё складывается - уверен, что вагон ошибок.
Код:
version 10.4R6.5;
system {
    host-name gwa;
    domain-name local.int;
    root-authentication {
        encrypted-password "12345"; ## SECRET-DATA
    }
    name-server {
        192.168.5.2;
        192.168.4.2;
    }
    login {
        user admin {
            uid 2000;
            class super-user;
            authentication {
                encrypted-password "12345"; ## SECRET-DATA
            }
        }
    }
    services {
        ssh;
    }
    syslog {
        archive size 100k files 3;
        user * {
            any emergency;
        }
        file messages {
            any critical;
            authorization info;
        }
        file interactive-commands {
            interactive-commands error;
        }
    }
    max-configurations-on-flash 5;
    max-configuration-rollbacks 20;
    license {
        autoupdate {
            url https://ae1.juniper.net/junos/key_retrieval;
        }
    }
    ntp {
        server 192.168.4.2;
    }
}
interfaces {
    interface-range interfaces-trust {
        member fe-0/0/1;
        member fe-0/0/2;
        member fe-0/0/3;
        member fe-0/0/4;
        member fe-0/0/5;
        member fe-0/0/6;
        member fe-0/0/7;
        unit 0 {
            family ethernet-switching {
                vlan {
                    members vlan-trust;
                }
            }
        }
    }
    fe-0/0/0 {
        unit 0 {
            family inet {
                address 192.168.5.1/24;
            }
        }
    }
    st0 {
        unit 0 {
            family inet {
                address 10.0.0.5/32;
            }
        }
    }
    vlan {
        unit 0 {
            family inet {
                address 192.168.5.1/24;
            }
        }
    }
}
routing-options {
    static {
        route 0.0.0.0/0 next-hop 10.10.10.10;
        route 192.168.4.0/24 next-hop st0.0;
        route 192.168.6.0/24 next-hop st0.0;
    }
}
protocols {
    stp;
}
security {
    ike {
        traceoptions {
            flag all;
            flag policy-manager;
            flag ike;
            flag routing-socket;
        }
        proposal P1-AES {
            authentication-method pre-shared-keys;
            dh-group group2;
            authentication-algorithm sha1;
            encryption-algorithm aes-128-cbc;
        }
        policy ike-policy-1 {
            mode main;
            proposals P1-AES;
            pre-shared-key ascii-text "12345"; ## SECRET-DATA
        }
        gateway gw1 {
            ike-policy ike-policy-1;
            address 192.168.5.1;
            external-interface fe-0/0/0.0;
        }
    }
    ipsec {
        proposal P2-AES {
            protocol esp;
            authentication-algorithm hmac-sha1-96;
            encryption-algorithm aes-128-cbc;
        }
        policy ipsec-policy-1 {
            perfect-forward-secrecy {
                keys group2;
            }
            proposals P2-AES;
        }
        vpn vpn1 {
            bind-interface st0.0;
            ike {
                gateway gw1;
                proxy-identity {
                    local 192.168.4.0/24;
                    remote 192.168.5.0/24;
                    service any;
                }
                ipsec-policy ipsec-policy-1;
            }
            establish-tunnels immediately;
        }
        vpn vpn2 {
            bind-interface st0.0;
            ike {
                gateway gw1;
                proxy-identity {
                    local 192.168.6.0/24;
                    remote 192.168.5.0/24;
                    service any;
                }
                ipsec-policy ipsec-policy-1;
            }
            establish-tunnels immediately;
        }
    }
    nat {
        source {
            rule-set trust-to-untrust {
                from zone trust;
                to zone untrust;
                rule source-nat-rule {
                    match {
                        source-address 0.0.0.0/0;
                    }
                    then {
                        source-nat {
                            interface;
                        }
                    }
                }
            }
        }
    }
    screen {
        ids-option untrust-screen {
            icmp {
                ping-death;
            }
            ip {
                source-route-option;
                tear-drop;
            }
            tcp {
                syn-flood {
                    alarm-threshold 1024;
                    attack-threshold 200;
                    source-threshold 1024;
                    destination-threshold 2048;
                    timeout 20;
                }
                land;
            }
        }
    }
    zones {
        security-zone trust {
            host-inbound-traffic {
                system-services {
                    all;
                }
                protocols {
                    all;
                }
            }
            interfaces {
                vlan.0;
            }
        }
        security-zone untrust {
            screen untrust-screen;
            interfaces {
                fe-0/0/0.0 {
                    host-inbound-traffic {
                        system-services {
                            dhcp;
                            tftp;
                        }
                    }
                }
                fe-0/0/1.0;
            }
        }
    }
    policies {
        from-zone trust to-zone untrust {
            policy trust-to-untrust {
                match {
                    source-address any;
                    destination-address any;
                    application any;
                }
                then {
                    permit;
                }
            }
            policy policy-name {
                match {
                    source-address any;
                    destination-address any;
                    application any;
                }
                then {
                    permit;
                }
            }
        }
    }
}
vlans {
    vlan-trust {
        vlan-id 3;
        l3-interface vlan.0;
    }
}

kim-aa 13-07-2012 15:12 1951283
1) Вот это читали?

По Динамическому VPN
http://www.juniper.net/elqNow/elqRed...3500202-en.pdf

По типовым настройкам
http://www.juniper.net/elqNow/elqRed...3500153-en.pdf

2) У вас есть возможность собрать рабочую схему "на столе". Т.е. Juniper'ыу вас на руках?

3) Вы по NAT читали?
http://www.juniper.net/elqNow/elqRed...3500151-en.pdf

У вас "untrust" зона описана двумя интерфейсами.
NAT же описан для перехода между зонами с присваиванием IP внешнего интерфейса. Так и задумано?

4) Схему начертите

Обсуждать и , особенно, настраивать сеть по текстовым материалам дурная привычка, ведущая к командировкам :)

denisz 13-07-2012 23:05 1951499
Вложений: 1
kim-aa, я только вчера о Вас вспоминал. Я просил у Вас в icq поделиться документацией по Juniper где-то год (!) назад. Вчера я вспомнил, что Вы мне эту документацию высылали. И я ее долго искал и нашел :) Прочитал еще раз. И вот Вы тут )) Неожиданно))
А по теме:
- начертил схему в кореле. Сто лет не юзал корел - извиняюсь :)
- конфиг прилагаю. Он у всех офисов по идее одинаковый. В данном примере конфиг от Джунипера 192.168.5.1/24
- куда и как цеплять сервер с ISA Server 192.168.4.254/24, который натит и управляет трафиком всех офисов?
Код:
version 10.4R6.5;
system {
    host-name gw5;
    domain-name local.int;
    root-authentication {
        encrypted-password "12345"; ## SECRET-DATA
    }
    name-server {
        192.168.5.2;
        192.168.4.2;
    }
    login {
        user admin {
            uid 2000;
            class super-user;
            authentication {
                encrypted-password "12345"; ## SECRET-DATA
            }
        }
    }
    services {
        ssh;
    }
    syslog {
        archive size 100k files 3;
        user * {
            any emergency;
        }
        file messages {
            any critical;
            authorization info;
        }
        file interactive-commands {
            interactive-commands error;
        }
    }
    max-configurations-on-flash 5;
    max-configuration-rollbacks 20;
    license {
        autoupdate {
            url https://ae1.juniper.net/junos/key_retrieval;
        }
    }
    ntp {
        server 192.168.4.2;
    }
}
interfaces {
    interface-range interfaces-trust {
        member fe-0/0/1;
        member fe-0/0/2;
        member fe-0/0/3;
        member fe-0/0/4;
        member fe-0/0/5;
        member fe-0/0/6;
        member fe-0/0/7;
        unit 0 {
            family ethernet-switching {
                vlan {
                    members vlan-trust;
                }
            }
        }
    }
    fe-0/0/0 {
        unit 0 {
            family inet {
                address 192.168.5.1/24;
            }
        }
    }
    st0.0 {
        unit 0 {
            family inet {
                address 10.0.0.5/24;
            }
        }
    }
    st0.1 {
        unit 0 {
            family inet {
                address 10.0.0.5/24;
            }
        }
    }
    vlan {
        unit 0 {
            family inet {
                address 192.168.5.1/24;
            }
        }
    }
}
routing-options {
    static {
        route 0.0.0.0/0 next-hop 192.168.4.254;
        route 172.16.4.0/24 next-hop st0.0;
        route 172.16.6.0/24 next-hop st0.1;
    }
}
protocols {
    stp;
}
security {
    ike {
        traceoptions {
            flag all;
            flag policy-manager;
            flag ike;
            flag routing-socket;
        }
        proposal P1-AES {
            authentication-method pre-shared-keys;
            dh-group group2;
            authentication-algorithm sha1;
            encryption-algorithm aes-128-cbc;
        }
        policy ike-policy-1 {
            mode main;
            proposals P1-AES;
            pre-shared-key ascii-text "12345"; ## SECRET-DATA
        }
        gateway gw1 {
            ike-policy ike-policy-1;
            address 192.168.5.1;
            external-interface fe-0/0/0.0;
        }
    }
    ipsec {
        proposal P2-AES {
            protocol esp;
            authentication-algorithm hmac-sha1-96;
            encryption-algorithm aes-128-cbc;
        }
        policy ipsec-policy-1 {
            perfect-forward-secrecy {
                keys group2;
            }
            proposals P2-AES;
        }
        vpn vpn1 {
            bind-interface st0.0;
            ike {
                gateway gw1;
                proxy-identity {
                    local 192.168.4.0/24;
                    remote 192.168.5.0/24;
                    service any;
                }
                ipsec-policy ipsec-policy-1;
            }
            establish-tunnels immediately;
        }
        vpn vpn2 {
            bind-interface st0.0;
            ike {
                gateway gw1;
                proxy-identity {
                    local 192.168.6.0/24;
                    remote 192.168.5.0/24;
                    service any;
                }
                ipsec-policy ipsec-policy-1;
            }
            establish-tunnels immediately;
        }
    }
    nat {
        source {
            rule-set trust-to-untrust {
                from zone trust;
                to zone untrust;
                rule source-nat-rule {
                    match {
                        source-address 0.0.0.0/0;
                    }
                    then {
                        source-nat {
                            interface;
                        }
                    }
                }
            }
        }
    }
    screen {
        ids-option untrust-screen {
            icmp {
                ping-death;
            }
            ip {
                source-route-option;
                tear-drop;
            }
            tcp {
                syn-flood {
                    alarm-threshold 1024;
                    attack-threshold 200;
                    source-threshold 1024;
                    destination-threshold 2048;
                    timeout 20;
                }
                land;
            }
        }
    }
    zones {
        security-zone trust {
            host-inbound-traffic {
                system-services {
                    all;
                }
                protocols {
                    all;
                }
            }
            interfaces {
                vlan.0;
            }
        }
        security-zone untrust {
            screen untrust-screen;
            interfaces {
                fe-0/0/0.0 {
                    host-inbound-traffic {
                        system-services {
                            dhcp;
                            tftp;
                        }
                    }
                }
                fe-0/0/1.0;
            }
        }
    }
    policies {
        from-zone trust to-zone untrust {
            policy trust-to-untrust {
                match {
                    source-address any;
                    destination-address any;
                    application any;
                }
                then {
                    permit;
                }
            }
            policy policy-name {
                match {
                    source-address any;
                    destination-address any;
                    application any;
                }
                then {
                    permit;
                }
            }
        }
    }
}
vlans {
    vlan-trust {
        vlan-id 3;
        l3-interface vlan.0;
    }
}

denisz 13-07-2012 23:09 1951503
Прошу паузу, конфиг неверный
По ходу вопрос. Можно ли всем st одного Джунипера (st0.0, st0.1, st0.2, и т.д.) присвоить один и тот же IP адрес? По идее наверняка же можно, да?
Цитата:
2) У вас есть возможность собрать рабочую схему "на столе". Т.е. Juniper'ыу вас на руках?
Могу только на работе, т.е. в понедельник. Сейчас есть только доступ в SRX100 через консоль удаленно

kim-aa 15-07-2012 18:38 1952218
denisz,

1) Я, перерисую в понедельник на работе схему в визио для удобства, псле этого будет более удобно ее комментить.

2) По поводу подключения ISA.

Все зависит как именно вы хотите ее использовать.
Сразу скажу, что шибко в ISA не волоку, по этому опишу классические схемы не зависимые от ПО, групповых политик и прочего шаманизма

а) Вы хотите чтобы через ISA ходил ВЕСЬ трафик
Для этого ее необходимо сделать шлюзом по умолчанию, по крайней мере для рабочих станций.

Варианты:
а1) Последовательная схема

{LAN} <---> [ISA]<--->{Служебная сеть}<-----> [Juniper] <-----> {Inet}

a2) Схема с "одноноруким" маршрутизатором
(буржуи еще ее называют "маршрутизатор-на-палочке", но на русском это достаточно ассоциативно-негативно :)

Смысл идеи таков:
- ISA может жить в той же сети ,что и рабочие станции. Пусть ее адрес x.x.x.254 (интерфейс у ISA только один)
- Juniper торчит в ту же сеть и имеет адрес x.x.x.253
- Для всех рабочих станций шлюз по умолчанию = ISA
- и только для ISA шлюз по умолчанию = Juniper

Логически схема получается последовательная, а физически - параллельная.


б) ISA работает как прокси

В этом случае ее можно запихать в отдельный DMZ-сегмент

Цитата:
Цитата denisz
Прошу паузу, конфиг неверный
По ходу вопрос. Можно ли всем st одного Джунипера (st0.0, st0.1, st0.2, и т.д.) присвоить один и тот же IP адрес? По идее наверняка же можно, да? »
Вопрос не в этом.

Верный вопрос:
- как наиболее правильно и максимально удобно для дальнейшей эксплуатации, и ,возможно, разрастающейся сети.

В понедельник рекомендации по Dynamic VPN перечитаю - скажу.

denisz 15-07-2012 23:12 1952394
По поводу ИСЫ:
Скорее всего придется ставить в главном офисе джунипер и ису отдельносмотрящими в интернет, в одной сети, со своими внешними ip-адресами.
Т.о. в каждом офисе джуниперы будут шлюзами, а у джуниперов иса будет шлюзом.
Но правильнее будет, наверное, как Вы сказали в а2.
Завтра наверно смогу выдать итоговую схему и возможные конфиги, пока доки пытаюсь изучить

denisz 15-07-2012 23:39 1952412
По крайней мере в данный момент такая схема реализована у нас провайдером на его оборудовании, наверно это правильно

kim-aa 16-07-2012 19:25 1952987
Цитата:
Цитата denisz
По ходу вопрос. Можно ли всем st одного Джунипера (st0.0, st0.1, st0.2, и т.д.) присвоить один и тот же IP адрес? По идее наверняка же можно, да? »
Можно, но я бы использовал разные - удобнее трассировать в случае неисправности будет.

denisz 16-07-2012 19:43 1953002
Получается схема, которая нарисована ранее + isa в подсети с адресом 192.168.4.254/24 (только подсеть 172.16.0.0/24 для vpn убрал - для простоты она пока не нужна, наверное :) )

Конфиг удаленного офиса №5 у меня получился таким:

Код:
root@gw5# show | no-more
## Last changed: 2012-07-16 23:34:58 UTC
version 10.4R6.5;
system {
    host-name gw5;
    root-authentication {
        encrypted-password "12345"; ## SECRET-DATA
    }
    name-server {
        208.67.222.222;
        208.67.220.220;
    }
    login {
        user admin {
            uid 2000;
            class super-user;
            authentication {
                encrypted-password "12345"; ## SECRET-DATA
            }
        }
    }
    services {
        ssh;
    }
    syslog {
        archive size 100k files 3;
        user * {
            any emergency;
        }
        file messages {
            any critical;
            authorization info;
        }
        file interactive-commands {
            interactive-commands error;
        }
    }
    max-configurations-on-flash 5;
    max-configuration-rollbacks 5;
    license {
        autoupdate {
            url https://ae1.juniper.net/junos/key_retrieval;
        }
    }
}
interfaces {
    fe-0/0/0 {
        unit 0 {
            family inet {
                address 10.0.0.5/24;
            }
        }
    }
    fe-0/0/1 {
        unit 0 {
            family ethernet-switching {
                vlan {
                    members vlan-trust;
                }
            }
        }
    }
    st0 {
        unit 0 {
            family inet {
                address 192.168.5.1/24;
            }
        }
    }
    vlan {
        unit 0 {
            family inet {
                address 192.168.5.1/24;
            }
        }
    }
}
routing-options {
    static {
        route 0.0.0.0/0 next-hop 192.168.4.254;
    }
}
protocols {
    stp;
}
security {
    ike {
        policy ike-policy-gw4 {
            mode aggressive;
            proposal-set standard;
            pre-shared-key ascii-text "12345"; ## SECRET-DATA
        }
        gateway ike-gateway-gw4 {
            ike-policy ike-policy-gw4;
            address 192.168.4.1;
            external-interface fe-0/0/0;
        }
    }
    ipsec {
        proposal ipsec-no-encryption {
            protocol esp;
            authentication-algorithm hmac-sha1-96;
            lifetime-seconds 86400;
        }
        policy ipsec-policy-gw4 {
            perfect-forward-secrecy {
                keys group2;
            }
            proposal-set standard;
        }
        vpn ipsec-vpn-gw4 {
            bind-interface st0.0;
            vpn-monitor;
            ike {
                gateway ike-gateway-gw4;
                ipsec-policy ipsec-policy-gw4;
            }
            establish-tunnels immediately;
        }
    }
    nat {
        source {
            rule-set trust-to-untrust {
                from zone trust;
                to zone untrust;
                rule source-nat-rule {
                    match {
                        source-address 0.0.0.0/0;
                    }
                    then {
                        source-nat {
                            interface;
                        }
                    }
                }
            }
        }
    }
    screen {
        ids-option untrust-screen {
            icmp {
                ping-death;
            }
            ip {
                source-route-option;
                tear-drop;
            }
            tcp {
                syn-flood {
                    alarm-threshold 1024;
                    attack-threshold 200;
                    source-threshold 1024;
                    destination-threshold 2048;
                    timeout 20;
                }
                land;
            }
        }
    }
    zones {
        security-zone trust {
            address-book {
                address net-gw5_192-168-5-0 192.168.5.0/24;
            }
            host-inbound-traffic {
                system-services {
                    all;
                }
                protocols {
                    all;
                }
            }
            interfaces {
                vlan.0;
            }
        }
        security-zone untrust {
            screen untrust-screen;
            host-inbound-traffic {
                system-services {
                    ike;
                }
            }
            interfaces {
                fe-0/0/0.0 {
                    host-inbound-traffic {
                        system-services {
                            dhcp;
                            tftp;
                            ping;
                            ssh;
                        }
                    }
                }
            }
        }
        security-zone vpn-to-gw4 {
            address-book {
                address net-gw4_192-168-4-0 192.168.4.0/24;
            }
            interfaces {
                st0.0;
            }
        }
    }
    policies {
        from-zone trust to-zone untrust {
            policy trust-to-untrust {
                match {
                    source-address any;
                    destination-address any;
                    application any;
                }
                then {
                    permit;
                }
            }
        }
        from-zone trust to-zone vpn-to-gw4 {
            policy trust-vpngw4-gw5 {
                match {
                    source-address net-gw5_192-168-5-0;
                    destination-address net-gw4_192-168-4-0;
                    application any;
                }
                then {
                    permit;
                }
            }
        }
        from-zone vpn-to-gw4 to-zone trust {
            policy vpngw4-trust {
                match {
                    source-address net-gw4_192-168-4-0;
                    destination-address net-gw5_192-168-5-0;
                    application any;
                }
                then {
                    permit;
                }
            }
        }
    }
    flow {
        tcp-mss {
            ipsec-vpn {
                mss 1350;
            }
        }
    }
}
vlans {
    vlan-trust {
        vlan-id 3;
        l3-interface vlan.0;
    }
}
Я так понимаю у всех офисов конфиги будут одинаковые, только с изменением "своей" подсети
Упс не вставил другие тоннели

kim-aa 20-07-2012 16:37 1955592
Для конфигурации Маршрутизаторов удаленных офисов не забудьте маршруты указывающие во внутренние сети.
Иначе трафик не будет заворачиваться в VPN-тунель, а будет попытка отправки на маршрутизатор провайдера.

В конфигурации маршрутизатора штаб-квартиры они у вас указаны так:

routing-options {
static {
* * *
route 172.16.4.0/24 next-hop st0.0;
route 172.16.6.0/24 next-hop st0.1;
}
}

denisz 20-07-2012 21:13 1955783
Вложений: 1
kim-aa,
совсем итоговая схема.
Рисунок во вложении (так и не понял, чем Визио выигрывает :) )
Главный офис 192.168.4.0/24
Удаленные офисы: tnc - 192.168.1.0/24, hrv - 192.168.2.0/24, ksn - 192.168.3.0/24, smr - 192.168.5.0/24, mta - 192.168.6.0/24, vgl - 192.168.9.0/24.
И на рисунке расписан один удаленный офис smr с сетью 192.168.5.0/24. Остальные удаленные офисы сделаны по такой же схеме как smr
Весь трафик должен идти через ISA(TMG)-сервер 192.168.4.254, висит LANом в свиче с сетью 192.168.4.0/24 и Juniperом главного офиса
Не пойму правда для чего нужна сеть 10.0.0.0/24, т.к. все джуниперы из всех сетей должны быть видны как 192.168.х.1
Тунели должны быть от всех офисов ко всем офисам
На рабочих станциях (и главного офиса, и удаленных) шлюзом должен быть соответствующий Джунипер. А у джуниперов шлюз сервер с Исой, как я понял.
Вот конфиг для главного офиса (у всех удаленных он практически такой же)

Код:
admin@nkb-gw> show configuration | no-more
## Last commit: 2012-07-21 00:16:12 UTC by root
version 10.4R6.5;
system {
    host-name nkb-gw;
    root-authentication {
        encrypted-password "12345"; ## SECRET-DATA
    }
    name-server {
        192.168.4.3;
    }
    login {
        user admin {
            uid 2001;
            class super-user;
            authentication {
                encrypted-password "12345"; ## SECRET-DATA
            }
        }
    }
    services {
        ssh;
        telnet;
    }
    syslog {
        archive size 100k files 3;
        user * {
            any emergency;
        }
        file messages {
            any critical;
            authorization info;
        }
        file interactive-commands {
            interactive-commands error;
        }
    }
    max-configurations-on-flash 5;
    max-configuration-rollbacks 20;
    license {
        autoupdate {
            url https://ae1.juniper.net/junos/key_retrieval;
        }
    }
}
interfaces {
    fe-0/0/0 {
        description internet;
        unit 0 {
            family inet {
                address 245.43.23.90/24;
            }
        }
    }
    fe-0/0/1 {
        description lan;
        unit 0 {
            family ethernet-switching {
                vlan {
                    members vlan-trust;
                }
            }
        }
    }
    st0 {
        description vpn;
        unit 1 {
            description tnc;
            family inet {
                address 10.0.0.1/24;
            }
        }
        unit 2 {
            description hrv;
            family inet {
                address 10.0.0.2/24;
            }
        }
        unit 3 {
            description ksn;
            family inet {
                address 10.0.0.3/24;
            }
        }
        unit 5 {
            description smr;
            family inet {
                address 10.0.0.5/24;
            }
        }
        unit 6 {
            description mta;
            family inet {
                address 10.0.0.6/24;
            }
        }
        unit 9 {
            description vgl;
            family inet {
                address 10.0.0.9/24;
            }
        }
    }
    vlan {
        unit 0 {
            family inet {
                address 192.168.4.1/24;
            }
        }
    }
}
routing-options {
    static {
        route 0.0.0.0/0 next-hop 192.168.4.254;
        route 192.168.1.0/24 next-hop st0.1;
        route 192.168.2.0/24 next-hop st0.2;
        route 192.168.3.0/24 next-hop st0.3;
        route 192.168.5.0/24 next-hop st0.5;
        route 192.168.6.0/24 next-hop st0.6;
        route 192.168.9.0/24 next-hop st0.9;
    }
}
protocols {
    stp;
}
security {
    ike {
        policy ike_policy_tnc {
            mode aggressive;
            proposal-set compatible;
            pre-shared-key ascii-text "12345"; ## SECRET-DATA
        }
        policy ike_policy_hrv {
            mode aggressive;
            proposal-set compatible;
            pre-shared-key ascii-text "12345"; ## SECRET-DATA
        }
        policy ike_policy_ksn {
            mode aggressive;
            proposal-set compatible;
            pre-shared-key ascii-text "12345"; ## SECRET-DATA
        }
        policy ike_policy_smr {
            mode aggressive;
            proposal-set compatible;
            pre-shared-key ascii-text "12345"; ## SECRET-DATA
        }
        policy ike_policy_mta {
            mode aggressive;
            proposal-set compatible;
            pre-shared-key ascii-text "12345"; ## SECRET-DATA
        }
        policy ike_policy_vgl {
            mode aggressive;
            proposal-set compatible;
            pre-shared-key ascii-text "12345"; ## SECRET-DATA
        }
        gateway ike_gateway_tnc {
            ike-policy ike_policy_tnc;
            address 231.234.43.23;
            external-interface fe-0/0/0.0;
        }
        gateway ike_gateway_hrv {
            ike-policy ike_policy_hrv;
            address 132.56.23.166;
            external-interface fe-0/0/0.0;
        }
        gateway ike_gateway_ksn {
            ike-policy ike_policy_ksn;
            address 112.126.213.66;
            external-interface fe-0/0/0.0;
        }
        gateway ike_gateway_smr {
            ike-policy ike_policy_smr;
            address 211.23.6.34;
            external-interface fe-0/0/0.0;
        }
        gateway ike_gateway_mta {
            ike-policy ike_policy_mta;
            address 129.233.2.34;
            external-interface fe-0/0/0.0;
        }
        gateway ike_gateway_vgl {
            ike-policy ike_policy_vgl;
            address 19.241.81.111;
            external-interface fe-0/0/0.0;
        }
    }
    ipsec {
        proposal ipsec-no-encryption {
            protocol esp;
            authentication-algorithm hmac-sha1-96;
            lifetime-seconds 86400;
        }
        policy ipsec_policy_tnc {
            perfect-forward-secrecy {
                keys group2;
            }
            proposal-set compatible;
        }
        policy ipsec_policy_hrv {
            perfect-forward-secrecy {
                keys group2;
            }
            proposal-set compatible;
        }
        policy ipsec_policy_ksn {
            perfect-forward-secrecy {
                keys group2;
            }
            proposal-set compatible;
        }
        policy ipsec_policy_smr {
            perfect-forward-secrecy {
                keys group2;
            }
            proposal-set compatible;
        }
        policy ipsec_policy_mta {
            perfect-forward-secrecy {
                keys group2;
            }
            proposal-set compatible;
        }
        policy ipsec_policy_vgl {
            perfect-forward-secrecy {
                keys group2;
            }
            proposal-set compatible;
        }
        vpn ipsec_vpn_tnc {
            bind-interface st0.1;
            vpn-monitor;
            ike {
                gateway ike_gateway_tnc;
                ipsec-policy ipsec_policy_tnc;
            }
            establish-tunnels immediately;
        }
        vpn ipsec_vpn_hrv {
            bind-interface st0.2;
            vpn-monitor;
            ike {
                gateway ike_gateway_hrv;
                ipsec-policy ipsec_policy_hrv;
            }
            establish-tunnels immediately;
        }
        vpn ipsec_vpn_ksn {
            bind-interface st0.3;
            vpn-monitor;
            ike {
                gateway ike_gateway_ksn;
                ipsec-policy ipsec_policy_ksn;
            }
            establish-tunnels immediately;
        }
        vpn ipsec_vpn_smr {
            bind-interface st0.5;
            vpn-monitor;
            ike {
                gateway ike_gateway_smr;
                ipsec-policy ipsec_policy_smr;
            }
            establish-tunnels immediately;
        }
        vpn ipsec_vpn_mta {
            bind-interface st0.6;
            vpn-monitor;
            ike {
                gateway ike_gateway_mta;
                ipsec-policy ipsec_policy_mta;
            }
            establish-tunnels immediately;
        }
        vpn ipsec_vpn_vgl {
            bind-interface st0.9;
            vpn-monitor;
            ike {
                gateway ike_gateway_vgl;
                ipsec-policy ipsec_policy_vgl;
            }
            establish-tunnels immediately;
        }
    }
    nat {
        source {
            rule-set trust-to-untrust {
                from zone trust;
                to zone untrust;
                rule source-nat-rule {
                    match {
                        source-address 0.0.0.0/0;
                    }
                    then {
                        source-nat {
                            interface;
                        }
                    }
                }
            }
        }
    }
    screen {
        ids-option untrust-screen {
            icmp {
                ping-death;
            }
            ip {
                source-route-option;
                tear-drop;
            }
            tcp {
                syn-flood {
                    alarm-threshold 1024;
                    attack-threshold 200;
                    source-threshold 1024;
                    destination-threshold 2048;
                    timeout 20;
                }
                land;
            }
        }
    }
    zones {
        security-zone trust {
            address-book {
                address addr_192_168_4_0--24 192.168.4.0/24;
            }
            host-inbound-traffic {
                system-services {
                    all;
                }
                protocols {
                    all;
                }
            }
            interfaces {
                vlan.0;
            }
        }
        security-zone untrust {
            screen untrust-screen;
            interfaces {
                fe-0/0/0.0 {
                    host-inbound-traffic {
                        system-services {
                            ping;
                            ssh;
                        }
                    }
                }
            }
        }
        security-zone vpn_zone {
            address-book {
                address addr_192_168_5_0--24 192.168.5.0/24;
                address addr_192_168_1_0--24 192.168.1.0/24;
                address addr_192_168_2_0--24 192.168.2.0/24;
                address addr_192_168_3_0--24 192.168.3.0/24;
                address addr_192_168_9_0--24 192.168.9.0/24;
                address addr_192_168_6_0--24 192.168.6.0/24;
            }
            host-inbound-traffic {
                system-services {
                    ike;
                }
            }
            interfaces {
                st0.1;
                st0.2;
                st0.3;
                st0.6;
                st0.5;
                st0.9;
            }
        }
    }
    policies {
        from-zone trust to-zone untrust {
            policy trust-to-untrust {
                match {
                    source-address any;
                    destination-address any;
                    application any;
                }
                then {
                    permit;
                }
            }
        }
        from-zone trust to-zone vpn_zone {
            policy policy_trust_to_tnc {
                match {
                    source-address addr_192_168_4_0--24;
                    destination-address addr_192_168_1_0--24;
                    application any;
                }
                then {
                    permit;
                }
            }
            policy policy_trust_to_hrv {
                match {
                    source-address addr_192_168_4_0--24;
                    destination-address addr_192_168_2_0--24;
                    application any;
                }
                then {
                    permit;
                }
            }
            policy policy_trust_to_ksn {
                match {
                    source-address addr_192_168_4_0--24;
                    destination-address addr_192_168_3_0--24;
                    application any;
                }
                then {
                    permit;
                }
            }
            policy policy_trust_to_smr {
                match {
                    source-address addr_192_168_4_0--24;
                    destination-address addr_192_168_5_0--24;
                    application any;
                }
                then {
                    permit;
                }
            }
            policy policy_trust_to_mta {
                match {
                    source-address addr_192_168_4_0--24;
                    destination-address addr_192_168_6_0--24;
                    application any;
                }
                then {
                    permit;
                }
            }
            policy policy_trust_to_vgl {
                match {
                    source-address addr_192_168_4_0--24;
                    destination-address addr_192_168_9_0--24;
                    application any;
                }
                then {
                    permit;
                }
            }
        }
        from-zone vpn_zone to-zone trust {
            policy policy_tnc_to_trust {
                match {
                    source-address addr_192_168_1_0--24;
                    destination-address addr_192_168_4_0--24;
                    application any;
                }
                then {
                    permit;
                }
            }
            policy policy_hrv_to_trust {
                match {
                    source-address addr_192_168_2_0--24;
                    destination-address addr_192_168_4_0--24;
                    application any;
                }
                then {
                    permit;
                }
            }
            policy policy_ksn_to_trust {
                match {
                    source-address addr_192_168_3_0--24;
                    destination-address addr_192_168_4_0--24;
                    application any;
                }
                then {
                    permit;
                }
            }
            policy policy_smr_to_trust {
                match {
                    source-address addr_192_168_5_0--24;
                    destination-address addr_192_168_4_0--24;
                    application any;
                }
                then {
                    permit;
                }
            }
            policy policy_mta_to_trust {
                match {
                    source-address addr_192_168_6_0--24;
                    destination-address addr_192_168_4_0--24;
                    application any;
                }
                then {
                    permit;
                }
            }
            policy policy_vgl_to_trust {
                match {
                    source-address addr_192_168_9_0--24;
                    destination-address addr_192_168_4_0--24;
                    application any;
                }
                then {
                    permit;
                }
            }
        }
        from-zone trust to-zone trust {
            policy trust_to_trust {
                match {
                    source-address any;
                    destination-address any;
                    application any;
                }
                then {
                    permit;
                }
            }
        }
    }
    flow {
        tcp-mss {
            ipsec-vpn {
                mss 1350;
            }
        }
        tcp-session {
            no-syn-check;
            no-syn-check-in-tunnel;
        }
    }
}
vlans {
    vlan-trust {
        vlan-id 3;
        l3-interface vlan.0;
    }
}

denisz 21-07-2012 12:22 1956010
Ужас, чтобы junos обновить еще и контракт какой-то нужен...

cameron 21-07-2012 17:53 1956158
Цитата:
Цитата denisz
Ужас, чтобы junos обновить еще и контракт какой-то нужен.. »
ничего не нужно.
регайтесь на сайте джунипера, указываете серийник любой вашей железки.
всё, раздел Download Software целиком и полностью ваш.

denisz 21-07-2012 18:22 1956169
cameron, да спасибо. Веду переписку в саппортом, пока еще не разрешают моей учетке скачивать, вроде как сейчас откроют

Попробовал собрать эту схему на столе. Получилось :) Ряд вопросов правда появился. Ну это потом :)

denisz 22-07-2012 00:49 1956339
Не пойму почему у меня с Джунипера всё что в туннелях не пингуется. Наружу всё норм
Хотя с компьютеров в разных сетях, соединенных VPNом всё пингуется и джуниперы

И все же непонятно зачем сеть 10.0.0.0/24. И если в главном офисе st0.1-st0.9 назначены IP 10.0.0.1-10.0.0.9, то в первом удаленном st0.1-st0.9 должны быть 10.0.0.10-10.0.0.16. В следующем офисе 10.0.0.17-10.0.0.22. Это принципиально? :) И надо ли это вообще?
А вообще у меня туча вопросов, но мне стыдно их задавать )) Придется ковырять мануалы ))

cameron 22-07-2012 09:00 1956392
Цитата:
Цитата denisz
Не пойму почему у меня с Джунипера всё что в туннелях не пингуется. Наружу всё норм
Хотя с компьютеров в разных сетях, соединенных VPNом всё пингуется и джуниперы »
>ping %some_IP% source ?
Цитата:
Цитата denisz
назначены IP 10.0.0.1-10.0.0.9 »
Цитата:
Цитата denisz
то в первом удаленном st0.1-st0.9 должны быть 10.0.0.10-10.0.0.16 »
откуда у вас по 7-8 IP на один туннель?
никто не мешает делать по /30 на туннель, главное что бы не было оверлапа.
а вообще такое разделение крайне удобно в диагностике, пока вы этим не занимаетесь - не понять.
Цитата:
Цитата denisz
Это принципиально? И надо ли это вообще? »
где-то на сайте джунипера есть конфигруатор VPN, очень просто и понятно всё делает, даёт конфиг для cli.
там, емнип, поля подписаны и есть хелп даже.

denisz 22-07-2012 11:35 1956443
Dear Denis,

Thank you for your response. I checked the information regarding the SN you provided; I
was able to verify that it is not registered yet to your company and not having active
support contract. Please provide a seial number with active support contract so that we
may be able to proceed in updating your account with the software access you requested.

Please feel free to let me know if you need further assistance and I will be happy to
assist.


Best regards,

Lily Macayan
Juniper Networks, Inc.
Customer Care

cameron 22-07-2012 14:21 1956530
denisz,
когда были куплены эти джуниперы?
если более года назад, с базовой гарантией, то конечно регнуть их уже не получится.
скажите какие версии джуноса вам нужны, я выложу.

denisz 22-07-2012 15:44 1956566
Да, год уже наверное прошел :( гарантия наверняка была базовая
Версию какую-нибудь актуальную для srx100. Я так понимаю это 12.1R2.9. Буду бесконечно благодарен :)
http://www.juniper.net/support/downloads/?p=srx100#sw

Вообще какое-то странное отношение Juniper к обновлению. Всего год :)

cameron 22-07-2012 16:11 1956583
Цитата:
Цитата denisz
Вообще какое-то странное отношение Juniper к обновлению. Всего год »
обновляться можно всегда, а вот регнулься - со свежим девайсам.
моей регистрации уже года два-три, по моему.
линки будут в личке.

denisz 22-07-2012 16:13 1956585
Ааа вот оно что
Спасибо огромное :)

kim-aa 22-07-2012 19:44 1956741
denisz,

1)
Прошивки можно забирать с торрентов (что конечно не комильфо с точки зрения безопасности, но всякое бывает)
http://rutracker.org/forum/viewtopic.php?t=4017214

2) Если удаленных офисов много, то лучше перейти к Dynamic VPN.
Тогда все настройки производятся на корневом маршрутизаторе (Server - в терминологии DVPN),
а коммутаторы удаленных офисов настраиваются однотипно.
Правда в связи с динамичностью структуры, лучше маршрутизацию делать динамической (OSPF).


3)
Цитата:
Цитата denisz
Не пойму почему у меня с Джунипера всё что в туннелях не пингуется. Наружу всё норм
Хотя с компьютеров в разных сетях, соединенных VPNом всё пингуется и джуниперы »
А точно должны? Вы где-нибудь данные маршруты прописывали?
Не забываем про "show route"

4)
Привыкайте пользоваться для отладки <traceroute>

5)
Для отладки и макетирования своих художеств, рекомендую использовать JunOS для VMware (Olive)
Оно прекрасно работает как под VMware Workstation, так и ESXi

http://rutracker.org/forum/viewtopic.php?t=4061726

7)
Цитата:
Цитата denisz
Ужас, чтобы junos обновить еще и контракт какой-то нужен... »
Это стандартная позиция любого крупного вендора.

Наверное, только MS исключение :)

cameron 22-07-2012 19:56 1956748
Цитата:
Цитата kim-aa
2) Если удаленных офисов много, то лучше перейти к Dynamic VPN. »
afaik "Dynamic VPN" у джунов это клиенский доступ (SSL-VPN), для которого нужны лицензии.
DMVPN - сугубо кошки, аналогов, насколько я знаю, у джунов нет.
Цитата:
Цитата kim-aa
а коммутаторы удаленных офисов настраиваются однотипно. »
? конечно ex2200 и выше имеют некий функционал роутинга, но что бы принимать VPN я как-то не осилила настроить.

kim-aa 22-07-2012 19:59 1956751
Цитата:
Цитата cameron
afaik "Dynamic VPN" у джунов это клиенский доступ (SSL-VPN), для которого нужны лицензии.
DMVPN - сугубо кошки, аналогов, насколько я знаю, у джунов нет. »
Да вы правы.
Правильно звучит - GroupVPN

http://www.juniper.net/elqNow/elqRed...3500202-en.pdf


2) Да, опечатался я. Надо читать "Маршрутизаторы", а лучше "SRX" :)

cameron 22-07-2012 20:35 1956762
Цитата:
Цитата kim-aa
GroupVPN »
а вот о нём я слышала от ребят из ростелика негатив, хотя, возможно, они тоже не достаточно хорошо "раскурили" мануалы.
скажите, вы его использовали?
сколько SRX'ов было увязано?

kim-aa 25-07-2012 14:46 1958508
cameron,

Нет, в большом продуктиве я его не использовал. Только макетки.
На данную технологию я наткнулся когда искал конкурента Cisco DMVPN.

Технология эта относительно новая для Junos и тем интереснее услышать отзыв больших провайдеров.

Нельзя ли узнать, чем именно она не пофартила Ростелекому?

cameron 25-07-2012 14:50 1958513
Цитата:
Цитата kim-aa
Нельзя ли узнать, чем именно она не пофартила Ростелекому? »
насколько я знаю у них в принципе нет особо SRX и group VPN, но на тестовых стендах что-то не пошло, подробностей я не знаю, к сожалению.

denisz 27-07-2012 20:17 1960262
Цитата:
Цитата kim-aa
А точно должны? Вы где-нибудь данные маршруты прописывали? »
Там же есть маршрут
Код:
routing-options {
    static {
        route 192.168.2.0/24 next-hop st0.2;
}
и если пинговать с этого джунипера друнипер 192.168.2.1, то ничего не выходит. Такое чувство, что принимающий джунипер отбрасывает пинг, хотя у него все протоколы в политике разрешены. Но если этот джунипер пинговать откуда угодно с отличного от джунипера устройства, то все работает :) Мистика

Адреса 10.0.0.х (которые назначены тоннелям) тоже не пингуются. Не пингуются ни откуда. Но в трайсроуте присутствуют

Код:
security-zone vpn_zone {
            address-book {
                ...
                address addr_192_168_2_0--24 192.168.2.0/24;
                ...
            }
            host-inbound-traffic {
                system-services {
                    all;
                }
              {
              protocols
                    all;
              }
            }
            interfaces {
                ...
                st0.2;
                ...
            }

cameron 27-07-2012 21:26 1960298
denisz,
я же вам подсказала
ping XXX source

denisz 27-07-2012 22:37 1960332
Цитата:
Цитата cameron
denisz,
я же вам подсказала
ping XXX source »
cameron, Спасибо, сначала не понял что за source :) Запинговал)

kim-aa 01-08-2012 00:46 1962434
Цитата:
Цитата denisz
и если пинговать с этого джунипера друнипер 192.168.2.1, то ничего не выходит. Такое чувство, что принимающий джунипер отбрасывает пинг, хотя у него все протоколы в политике разрешены. Но если этот джунипер пинговать откуда угодно с отличного от джунипера устройства, то все работает Мистика »
Смысл такого поведения кроется в алгоритме команды "Ping" и отработке ее маршрутизатором (точнее как вендор заставляет ее отрабатывать).

а) Согласно стандарту, получив ICMP-запрос, узел обязан поменять местами поля Отправитель и Получатель и сформировать ICMP-ответ.
Вот тут и кроются возможные чудеса. Чудеса связаны с тем, какой именно адрес выбирает маршрутизатор-отправитель для отправки ICMP запроса. Видимо у Juniper выбирается, что-то "неудобоваримое" и маршрутизатор-получатель не может обнаружить маршрут ответа и "дропает" пакет.

Кстати, у Циско может быть зеркально обратная ситуация: когда соседний маршрутизатор, можно будет пропинговать только с маршрутизатора, а со всех остальных нельзя.

б) Короткое итого: пакеты "дропаются" не фаерволом, а процессом маршрутизации (все почему-то забывают про него, а он первый подозреваемый).
Причем "дропаться" они могут сразу на маршрутизаторе-отправителе, а не обязательно на получателе как я описал выше.
Полноценная отладка таких вещей у Cisco, знания как минимум CCNA.
У Juniper - JNCIA, а лучше JNCIS.


в) для контроля таких чудес у используют:
- у Cisco - расширенный ping
- у Juniper - ping с указанием источника

технически это одно и то же, а именно сформировать ICMP пакет, где адрес отправителя вы задаете руками.
Это очень удобно для проверки маршрутизации, вам не нужен еще один хост для генерации проверочного трафика.

denisz 04-08-2012 11:54 1964571
kim-aa, спасибо Вам за столь подробный ответ :)

victorius 07-11-2014 07:47 2425883
Добрый день. Господа знатоки, подскажите пожалуйста, возможна ли для реализации на джуниперах такая схема:
У нас есть два офиса. они связаны по впн между двумя джуниперами SRX240. На днях открылся новый офис3. Там нет джунипера. Юзеры конектятся в офис1 по динамик впн.
в офисе1 две подсети 1 и 3. в офисе2 подсеть 4. Какие настройки нужно прописать. чтобы юзеры из офиса3 подключаясь по дин-впн, могли попадать в впн между офисами1 и 2 и работать на серверах офиса2? Вчера пол дня проковырялся, ничего не получается. Может это в принципе не возможно?

cameron 07-11-2014 09:39 2425925
Цитата:
Цитата victorius
Там нет джунипера »
IPsec Site-to-site VPN можно поднять почти с чем угодно.
Цитата:
Цитата victorius
Какие настройки нужно прописать. чтобы юзеры из офиса3 подключаясь по дин-впн, могли попадать в впн между офисами1 и 2 и работать на серверах офиса2? Вчера пол дня проковырялся, ничего не получается. »
прописать сабнет нового офиса в security policies обоих джунов, на джуне офиса 2 ещё прописать маршрутизацию этой сети через существующий туннельный интерфейс.

victorius 07-11-2014 12:29 2426002
Цитата:
IPsec Site-to-site VPN можно поднять почти с чем угодно.
Из офиса3 люди подключаются на джун офиса1 посредством встроенного в джунипер впн клиента. Этот впн клиент прекрасно работает при подключению к офису1, а в офис два уже между джунами настроен впн и получется так. что пользователь. должен из динвпн попапсть в тунель между офисом 1 и 2.

Цитата:
прописать сабнет нового офиса в security policies обоих джунов, на джуне офиса 2 ещё прописать маршрутизацию этой сети через существующий туннельный интерфейс.
Сабнет нового офиса? но джун-офис1 пускает их как дин-впн клиентов. к себе.
Я добился того. что из офиса3, трэйс попадает на шлюз офиса1, но почемуто дольше трейс уходит в интернет, а не в дин-тунель (((( дальше познания не позволяют.
люди из офиса1 ходят без проблем в офис2 и офис два гуляет по двум сабнетам офиса1.

cameron 07-11-2014 12:40 2426016
Цитата:
Цитата victorius
Из офиса3 люди подключаются на джун офиса1 посредством встроенного в джунипер впн клиента. Этот впн клиент прекрасно работает при подключению к офису1, а в офис два уже между джунами настроен впн и получется так. что пользователь. должен из динвпн попапсть в тунель между офисом 1 и 2. »
я поняла это.
Цитата:
Цитата victorius
Сабнет нового офиса? но джун-офис1 пускает их как дин-впн клиентов. к себе.
Я добился того. что из офиса3, трэйс попадает на шлюз офиса1, но почемуто дольше трейс уходит в интернет, а не в дин-тунель (((( дальше познания не позволяют.
люди из офиса1 ходят без проблем в офис2 и офис два гуляет по двум сабнетам офиса1. »
чем я могу вам помочь?

эмпирический ответ на эмпирический вопрос я вам написала.
дальше - дело ваше.
Цитата:
Цитата victorius
к себе. »
лучше выделить сеточку, тогда многое прояснится.

victorius 07-11-2014 13:10 2426043
Возможно я не совсем ясно выражаюсь. ))
офис1: сети 192.168.2.0/24 и 192.168.3.0/24
офис2: сеть 192.168.4.0/24
Между офисами статик впн посредством джуниперов.
открылся офис3.
Сеть: 192.168.5.0/24 и дин-впн которому джунипер офис1 выдает пул адресов 10.10.12.х
так вот трэйс на 10.10.12.х из офиса2 доходит до офиса1 и потом уходит на интернет шлюз и дальше во всемирную паутину.
Что я не так прописал или не дописал? Может Вам показать какие либо настройки?

cameron 07-11-2014 14:17 2426070
Цитата:
Цитата victorius
Может Вам показать какие либо настройки? »
>sho rou
>sho conf routing-options | disp set
>sho conf sec pol | disp set
>sho conf sec zon | disp set

victorius 10-11-2014 11:48 2427282
Цитата:
Цитата cameron
>sho rou
>sho conf routing-options | disp set
>sho conf sec pol | disp set
>sho conf sec zon | disp set »
Добрый день. Прикладываю настройки, я лишнее поубирал. оставил только касающееся конкретного вопроса. Если что, спрашивайте.
show configuration routing-options | display set
set routing-options interface-routes rib-group inet inside
set routing-options static route 0.0.0.0/0 next-table ISP1.inet.0
set routing-options static route 192.168.65.0/24 next-hop gr-0/0/0.0
set routing-options static route 192.168.3.22/32 next-hop 192.168.3.3
set routing-options rib-groups inside import-rib inet.0
set routing-options rib-groups inside import-rib TRUST-VRF.inet.0
set routing-options rib-groups inside import-rib ISP1.inet.0
set routing-options rib-groups inside import-rib ISP2.inet.0
set routing-options router-id 192.168.67.7


> show configuration security policies | display set
set security policies from-zone trust to-zone untrust policy trust-to-untrust match destination-address any
set security policies from-zone trust to-zone untrust policy trust-to-untrust match application any
set security policies from-zone trust to-zone untrust policy trust-to-untrust then permit
set security policies from-zone trust to-zone untrust policy trust-to-untrast-ping match source-address any
set security policies from-zone trust to-zone untrust policy trust-to-untrast-ping match destination-address any
set security policies from-zone trust to-zone untrust policy trust-to-untrast-ping match application junos-icmp-all
set security policies from-zone trust to-zone untrust policy trust-to-untrast-ping then permit
set security policies from-zone trust to-zone untrust policy trust-to-untrust-for-DYN-VPN match source-address LAN_network_67
set security policies from-zone trust to-zone untrust policy trust-to-untrust-for-DYN-VPN match destination-address DYN-VPN-CLients
set security policies from-zone trust to-zone untrust policy trust-to-untrust-for-DYN-VPN match application any
set security policies from-zone trust to-zone untrust policy trust-to-untrust-for-DYN-VPN then permit
set security policies from-zone untrust to-zone trust policy VPN-Access match source-address any
set security policies from-zone untrust to-zone trust policy VPN-Access match destination-address LAN_network_67
set security policies from-zone untrust to-zone trust policy VPN-Access match application any
set security policies from-zone untrust to-zone trust policy VPN-Access then permit tunnel ipsec-vpn VPN-Users
set security policies from-zone trust to-zone trust policy trust-to-trust match source-address any
set security policies from-zone trust to-zone trust policy trust-to-trust match destination-address any
set security policies from-zone trust to-zone trust policy trust-to-trust match application any
set security policies from-zone trust to-zone trust policy trust-to-trust then permit
set security policies from-zone vpn-DATACENTER to-zone trust policy vpn-DATACENTER-to-trust match source-address DATACENTER_network_69
set security policies from-zone vpn-DATACENTER to-zone trust policy vpn-DATACENTER-to-trust match source-address vpn_net_10
set security policies from-zone vpn-DATACENTER to-zone trust policy vpn-DATACENTER-to-trust match destination-address LAN_network_67
set security policies from-zone vpn-DATACENTER to-zone trust policy vpn-DATACENTER-to-trust match application any
set security policies from-zone vpn-DATACENTER to-zone trust policy vpn-DATACENTER-to-trust then permit
set security policies from-zone vpn-DATACENTER to-zone trust policy vpn-DATACENTER-to-trust then log session-init
set security policies from-zone vpn-DATACENTER to-zone trust policy vpn-DATACENTER-to-trust then log session-close
set security policies from-zone trust to-zone vpn-DATACENTER policy trust-to-vpn-DATACENTER match source-address LAN_network_67
set security policies from-zone trust to-zone vpn-DATACENTER policy trust-to-vpn-DATACENTER match destination-address DATACENTER_network_69
set security policies from-zone trust to-zone vpn-DATACENTER policy trust-to-vpn-DATACENTER match destination-address vpn_net_10
set security policies from-zone trust to-zone vpn-DATACENTER policy trust-to-vpn-DATACENTER match application any
set security policies from-zone trust to-zone vpn-DATACENTER policy trust-to-vpn-DATACENTER then permit
set security policies from-zone vpn-DATACENTER to-zone DMZ policy vpn-DATACENTER-to-DMZ match source-address DATACENTER_network_69
set security policies from-zone vpn-DATACENTER to-zone DMZ policy vpn-DATACENTER-to-DMZ match destination-address DMZ_network_65
set security policies from-zone vpn-DATACENTER to-zone DMZ policy vpn-DATACENTER-to-DMZ match application any
set security policies from-zone vpn-DATACENTER to-zone DMZ policy vpn-DATACENTER-to-DMZ then permit
set security policies from-zone DMZ to-zone vpn-DATACENTER policy DMZ-to-vpn-DATACENTER match source-address DMZ_network_65
set security policies from-zone DMZ to-zone vpn-DATACENTER policy DMZ-to-vpn-DATACENTER match destination-address DATACENTER_network_69
set security policies from-zone DMZ to-zone vpn-DATACENTER policy DMZ-to-vpn-DATACENTER match application any
set security policies from-zone DMZ to-zone vpn-DATACENTER policy DMZ-to-vpn-DATACENTER then permit
set security policies from-zone DMZ to-zone untrust policy DMZ-to-untrust-for-DYN-VPN match source-address DMZ_network_65
set security policies from-zone DMZ to-zone untrust policy DMZ-to-untrust-for-DYN-VPN match destination-address DYN-VPN-CLients
set security policies from-zone DMZ to-zone untrust policy DMZ-to-untrust-for-DYN-VPN match application any
set security policies from-zone DMZ to-zone untrust policy DMZ-to-untrust-for-DYN-VPN then permit
set security policies from-zone untrust to-zone DMZ policy untrust-DYN-VPN-to-DMZ match source-address any
set security policies from-zone untrust to-zone DMZ policy untrust-DYN-VPN-to-DMZ match destination-address DMZ_network_65
set security policies from-zone untrust to-zone DMZ policy untrust-DYN-VPN-to-DMZ match application any
set security policies from-zone untrust to-zone DMZ policy untrust-DYN-VPN-to-DMZ then permit tunnel ipsec-vpn VPN-Users
set security policies from-zone untrust to-zone vpn-DATACENTER policy untrust-DYN-VPN-to-vpn-DATACENTER match source-address DYN-VPN-CLients
set security policies from-zone untrust to-zone vpn-DATACENTER policy untrust-DYN-VPN-to-vpn-DATACENTER match destination-address DATACENTER_network_69
set security policies from-zone untrust to-zone vpn-DATACENTER policy untrust-DYN-VPN-to-vpn-DATACENTER match application any
set security policies from-zone untrust to-zone vpn-DATACENTER policy untrust-DYN-VPN-to-vpn-DATACENTER then permit tunnel ipsec-vpn VPN-Users
set security policies from-zone vpn-DATACENTER to-zone untrust policy vpn-DATACENTER-to-untrust-DYN-VPN match source-address DATACENTER_network_69
set security policies from-zone vpn-DATACENTER to-zone untrust policy vpn-DATACENTER-to-untrust-DYN-VPN match destination-address DYN-VPN-CLients
set security policies from-zone vpn-DATACENTER to-zone untrust policy vpn-DATACENTER-to-untrust-DYN-VPN match application any
set security policies from-zone vpn-DATACENTER to-zone untrust policy vpn-DATACENTER-to-untrust-DYN-VPN then permit



> show configuration security policies | display set
set security policies from-zone trust to-zone untrust policy trust-to-untrust-for-DYN-VPN match source-address LAN_network_67
set security policies from-zone trust to-zone untrust policy trust-to-untrust-for-DYN-VPN match destination-address DYN-VPN-CLients
set security policies from-zone trust to-zone untrust policy trust-to-untrust-for-DYN-VPN match application any
set security policies from-zone trust to-zone untrust policy trust-to-untrust-for-DYN-VPN then permit
set security policies from-zone untrust to-zone trust policy VPN-Access match source-address any
set security policies from-zone untrust to-zone trust policy VPN-Access match destination-address LAN_network_67
set security policies from-zone untrust to-zone trust policy VPN-Access match application any
set security policies from-zone untrust to-zone trust policy VPN-Access then permit tunnel ipsec-vpn VPN-Users
set security policies from-zone trust to-zone trust policy trust-to-trust match source-address any
set security policies from-zone trust to-zone trust policy trust-to-trust match destination-address any
set security policies from-zone trust to-zone trust policy trust-to-trust match application any
set security policies from-zone trust to-zone trust policy trust-to-trust then permit
set security policies from-zone vpn-DATACENTER to-zone trust policy vpn-DATACENTER-to-trust match source-address DATACENTER_network_69
set security policies from-zone vpn-DATACENTER to-zone trust policy vpn-DATACENTER-to-trust match source-address vpn_net_10
set security policies from-zone vpn-DATACENTER to-zone trust policy vpn-DATACENTER-to-trust match destination-address LAN_network_67
set security policies from-zone vpn-DATACENTER to-zone trust policy vpn-DATACENTER-to-trust match application any
set security policies from-zone vpn-DATACENTER to-zone trust policy vpn-DATACENTER-to-trust then permit
set security policies from-zone vpn-DATACENTER to-zone trust policy vpn-DATACENTER-to-trust then log session-init
set security policies from-zone vpn-DATACENTER to-zone trust policy vpn-DATACENTER-to-trust then log session-close
set security policies from-zone trust to-zone vpn-DATACENTER policy trust-to-vpn-DATACENTER match source-address LAN_network_67
set security policies from-zone trust to-zone vpn-DATACENTER policy trust-to-vpn-DATACENTER match destination-address DATACENTER_network_69
set security policies from-zone trust to-zone vpn-DATACENTER policy trust-to-vpn-DATACENTER match destination-address vpn_net_10
set security policies from-zone trust to-zone vpn-DATACENTER policy trust-to-vpn-DATACENTER match application any
set security policies from-zone trust to-zone vpn-DATACENTER policy trust-to-vpn-DATACENTER then permit
set security policies from-zone vpn-DATACENTER to-zone DMZ policy vpn-DATACENTER-to-DMZ match source-address DATACENTER_network_69
set security policies from-zone vpn-DATACENTER to-zone DMZ policy vpn-DATACENTER-to-DMZ match destination-address DMZ_network_65
set security policies from-zone vpn-DATACENTER to-zone DMZ policy vpn-DATACENTER-to-DMZ match application any
set security policies from-zone vpn-DATACENTER to-zone DMZ policy vpn-DATACENTER-to-DMZ then permit
set security policies from-zone DMZ to-zone vpn-DATACENTER policy DMZ-to-vpn-DATACENTER match source-address DMZ_network_65
set security policies from-zone DMZ to-zone vpn-DATACENTER policy DMZ-to-vpn-DATACENTER match destination-address DATACENTER_network_69
set security policies from-zone DMZ to-zone vpn-DATACENTER policy DMZ-to-vpn-DATACENTER match application any
set security policies from-zone DMZ to-zone vpn-DATACENTER policy DMZ-to-vpn-DATACENTER then permit
set security policies from-zone DMZ to-zone untrust policy DMZ-to-untrust-for-DYN-VPN match source-address DMZ_network_65
set security policies from-zone DMZ to-zone untrust policy DMZ-to-untrust-for-DYN-VPN match destination-address DYN-VPN-CLients
set security policies from-zone DMZ to-zone untrust policy DMZ-to-untrust-for-DYN-VPN match application any
set security policies from-zone DMZ to-zone untrust policy DMZ-to-untrust-for-DYN-VPN then permit
set security policies from-zone untrust to-zone DMZ policy untrust-DYN-VPN-to-DMZ match source-address any
set security policies from-zone untrust to-zone DMZ policy untrust-DYN-VPN-to-DMZ match destination-address DMZ_network_65
set security policies from-zone untrust to-zone DMZ policy untrust-DYN-VPN-to-DMZ match application any
set security policies from-zone untrust to-zone DMZ policy untrust-DYN-VPN-to-DMZ then permit tunnel ipsec-vpn VPN-Users
set security policies from-zone untrust to-zone vpn-DATACENTER policy untrust-DYN-VPN-to-vpn-DATACENTER match source-address DYN-VPN-CLients
set security policies from-zone untrust to-zone vpn-DATACENTER policy untrust-DYN-VPN-to-vpn-DATACENTER match destination-address DATACENTER_network_69
set security policies from-zone untrust to-zone vpn-DATACENTER policy untrust-DYN-VPN-to-vpn-DATACENTER match application any
set security policies from-zone untrust to-zone vpn-DATACENTER policy untrust-DYN-VPN-to-vpn-DATACENTER then permit tunnel ipsec-vpn VPN-Users
set security policies from-zone vpn-DATACENTER to-zone untrust policy vpn-DATACENTER-to-untrust-DYN-VPN match source-address DATACENTER_network_69
set security policies from-zone vpn-DATACENTER to-zone untrust policy vpn-DATACENTER-to-untrust-DYN-VPN match destination-address DYN-VPN-CLients
set security policies from-zone vpn-DATACENTER to-zone untrust policy vpn-DATACENTER-to-untrust-DYN-VPN match application any
set security policies from-zone vpn-DATACENTER to-zone untrust policy vpn-DATACENTER-to-untrust-DYN-VPN then permit


show configuration security zones | display set
set security zones security-zone trust host-inbound-traffic system-services all
set security zones security-zone trust host-inbound-traffic protocols all
set security zones security-zone trust interfaces vlan.0
set security zones security-zone trust interfaces ge-0/0/1.0
set security zones security-zone trust interfaces ge-0/0/2.0 host-inbound-traffic protocols ospf
set security zones security-zone trust interfaces lo0.0 host-inbound-traffic system-services all
set security zones security-zone untrust screen untrust-screen
set security zones security-zone untrust interfaces ge-0/0/0.0 host-inbound-traffic system-services ping
set security zones security-zone untrust interfaces ge-0/0/0.0 host-inbound-traffic system-services ike
set security zones security-zone untrust interfaces ge-0/0/0.0 host-inbound-traffic system-services https
set security zones security-zone DMZ host-inbound-traffic system-services all
set security zones security-zone DMZ host-inbound-traffic protocols all
set security zones security-zone DMZ interfaces ge-0/0/15.0
set security zones security-zone vpn-DATACENTER host-inbound-traffic system-services all
set security zones security-zone vpn-DATACENTER host-inbound-traffic protocols all
set security zones security-zone vpn-DATACENTER interfaces st0.0


Время: 19:08.

Время: 19:08.
© OSzone.net 2001-