netscreen的MIP功能实践

CTO VS CEO
人生的悲剧就是个性的悲剧？  Home netscreen 的 MIP 功能实践（本人公司网络环境） Netscreen 5gt 做公司网关，对应内部 IP 地址 192.168.3.1。

一．临时 MIP 的实现： 设置临时 MIP 58.211.184.43，为方便说明，这里对应内网 IP 192.168.5.150 为 例。

先说个基本概念 MIP，就是公司有多个公网 IP 的情况下，将空闲的 IP 映射到内网某 台电脑（1 公网 IP 对 1 内网 IP）；VIP，指的是公司只有 1 个 IP 的情况下，将公网 IP 的某个端口映射到内网某台电脑（可以 1 个端口到内网电脑 A，另一个端口到内网电脑 B） 1．MIP 的效果： 192.168.5.150 的用户上网效果和直接使用 IP 58.211.184.43 上网一样（包括游戏 /MSN/Netmeeting/下载），公网上的用户和 58.211.184.43 这个 IP 通信就是和 192.168.5.150 这个用户通信；不同的是，5.150 的用户可以继续使用局域网的资源。

2．MIP 的具体实现： 要点： 2.1)保证内网 192.168.5.150 可以正常上网，建 address 192.168.5.150 的 object ， 然后建 policy 允许它到 untrust 外网的访问。

2.2)建立 MIP 地址，并映射到 192.168.5.150 这个内网 IP。

2.3)保证外网用户能访问 MIP(58.211.184.43)这个地址。

左边 objects—addresses—list 界面，右上选 trust，list 最好选 100，如下图：


点击 new 按钮，新增加 192.168.5.150/32


然后选左边的 policies，右上部分 From 选 turst，To 选 untrust，点 Go 按钮，然后点 new 新增一条记录。

Source address 选刚才建好的 address 名称 yanghua，denstination address 选 any， service 选 any，action 选 permit，如下图：


这时候这条策略排在最后，我们需要调整策略的顺序使之生效，点后面的向右箭头




好了，现在这个 ip 可以上网了，下面做 MIP Network－interfaces，点 untrust 后面的 edit


选上面的 MIP，新增


Mapped ip 和 host ip address 填入，确认。

建立策略，允许访问。

左边选 policy，右上边，form 选 untrust，to 选 trust，点 go 按钮， 然后 new 新增




策略添加完成，注意顺序的调整。

现在变成 in use 了。

Ok，MIP 实例设置完毕。

二．邮件服务器在公网注册 IP 58.211.184.45 对应于内部 IP 地址 192.168.3.91(垃圾邮件 过滤器) ，在 192.168.3.91 过滤器上设置转发于 192.168.3.5(外部邮件服务器)，完成邮件 接收过程；发送邮件用 192.168.3.5 直接发送。

设置要点： 2.1)保证内网 192.168.3.5 和 192.168.3.91 可以正常上网，建 address 192.168.3.5 和 192.168.3.91 的 object ，然后建 policy 允许它们到 untrust 外网的 访问。

2.2)建立 MIP(58.211.184.45)地址，并映射到 192.168.33.91 这个内网 IP。

2.3)保证外网用户能访问 MIP(58.211.184.43)这个地址。

2.4) 保证内网用户能访问 MIP(58.211.184.43)这个地址。

具体操作和前面的 MIP 类似，就不详细说明了，这里只说第四个要点，如何使内网用户 访问这个 MIP 地址。

又讲基本概念了（不好意思，我本人没有接受过系统培训，全部概念的理解全靠自己总结 和 google，如有错误，请以官方的解释为准），juniper 有 3 个区域 trust/untrust/global， trust 接内网，untrust 接外网，这些好理解，那么 global 指什么呢，我的理解是 MIP 地址的 集合。

参见下图：




所以，建一个 Trust to Global 策略就可以了，好了，终于写完了。

PS: Netscreen 使用非常广泛，功能也很强大，今天的所知所得，不过冰山一角。

归类于： 原创 — 萝卜 @ 6:06 pm 评论(2)
2 条评论 1. 请问这种配置情况下目标地址，就是 untrust 中（公网）的主机看见访问源 （hanghua）的地址是什么呢？会是 58.211.184.43 吗？还是开始做的向外访问的 那个 netscreen 的公网端口地址？ 假使我公网的服务器要根据访问源做数据处理，然后要主动再根据这个源地址发起反 向连接，这种应用情况，是不是也可以这样配置？ freefly12 —— 2009 年 11 月 25 日 @5:15 pm 2. [网络]netscreen 的 MIP 功能实践 – 猪海渔男


匿名 —— 2009 年 12 月 02 日 @12:19 pm
发表评论 评论也有版权！
名称 (必填)
电子邮箱 (必填,不公开)
网址
提交评论
验证码  o  o o o o
news 导航 登录 日志 RSS 评论 RSS


 o o o  o o o o o o o o o o  o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o o  o o o o o
分类 原创 未分类 转载 最新日志 让 windows2000 上网速度快起来 更改 NETBIOS 名称 everest 收集公司电脑软硬件信息的实战 你知道根号 4 在电脑里面该怎么打出来吗 投影仪播放视频时黑屏的处理 OE 客户端 3 个错误提示框 近期公司病毒&网络&服务器&其他 DOS 批处理应用的简单学习笔记 关于邮件服务器维护的体会 网吧机器狗完全解决方案之实践 存档 2010 年 06 月 2010 年 05 月 2010 年 03 月 2010 年 01 月 2009 年 10 月 2009 年 09 月 2009 年 05 月 2009 年 02 月 2008 年 11 月 2008 年 10 月 2008 年 09 月 2008 年 08 月 2008 年 07 月 2008 年 06 月 2008 年 05 月 2008 年 04 月 2008 年 03 月 2008 年 02 月 2008 年 01 月 2007 年 12 月 2007 年 11 月 2007 年 10 月 2007 年 07 月 2007 年 06 月 2007 年 05 月 2007 年 04 月 2007 年 03 月 2007 年 02 月 2007 年 01 月 2006 年 12 月 2006 年 06 月 2006 年 04 月 2006 年 03 月 2005 年 12 月 最新评论 (1) (1) (3) (1) (1) (1) (1) (1) (3) (2) (2) (2) (1) (3) (1) (7) (2) (1) (1) (4) (2) (1) (2) (9) (1) (1) (1) (4) (2) (6) (2) (1) (1) (42)
啊宝宝 发表于《解决 office 各软件的图标丢失》 wenqizgq 发表于《U 盘管控,GFI EndPointSecurity 功能试用小记》 ccc 发表于《用一根网线同时走网络信号和电话信号的几点注意》 匿名 发表于《netscreen 的 MIP 功能实践（本人公司网络环境）》 freefly12 发表于《netscreen 的 MIP 功能实践（本人公司网络环境）》


CTO VS CEO is Powered by WordPress. Keso theme by dupola



。