SSG配置手册-参考资料

Route Mode（路由模式）：当端口是处在路由模式下的时候，Netscreen会路由数据包而不执行网络地址转换，就是说，当经过Netscreen的时候，数据包头的源地址和源端口号都不会被转换。不像NAT模式，你不需要在端口建立MIP或者VIP地址，路由模式可以允许进入的会话到达主机。也不像透明模式，在Trust Zone中的端口和在Untrust Zone中的端口是处于不同的子网。
HA Zone（高可用性区域）：这个区域主要包括了高可用性的端口。包括HA1和HA2。
Self Zone（远程管理区域）：这个区域主要包括用于远程管理连接的端口。当你通过Http，SCS或Telnet连接到Netscreen上面的时候，你就是连接到这个区域。
Interfaces(端口)
2 基本管理 20
2.1 通讯连接的设置 21
2.2 Web管理连接设置 23
2.3 防火墙基本设置 27
2.3.1 设置访问超时时间 27
2.3.2 设置管理员 29
2.3.3 设置DNS 32
2.3.4 设置Zone（安全区域） 34
2.3.5 设置Interface(接口) 36
5.1.1 配置Manual Key 73
5.1.2 配置路由 75
5.1.3 配置Policy 75
5.2 AutoKey IKE 78
5.2.1 Policy-based IKE 78
5.2.2 Route-based IKE 81
5.3 VPN TroubleShooting（VPN 错误检测） 83
端口可以被配置成为三种不同的模式：网络地址转换模式（NAT Mode），路由模式（Route Mode）和透明模式（Transparent Mode）。当你配置端口的时候，你可以选择其中的一种模式。
Transparent Mode（透明模式）：当端口是处于透明模式下的时候，Netscreen过滤穿过防火墙的包时是不会改变在IP包头的原地址和目的地址的信息的。所有的端口就像存在于同一个网络中，而Netscreen就像一个二层的交换机或路桥。在透明模式下，端口的IP地址要设为0.0.0.0，使得Netscreen就好像不存在，或者说是对于用户来说是“透明”的。
Network address translation Mode(网络地址转换模式)：当端口是处于NAT模式下的时候，Netscreen就像是一台3层的交换机或路由器，能够转换穿过防火墙出去的IP包头的两个组成部分：源IP地址和源端口号。Netscreen会把源地址转换为包需要传送到的目的区域的端口IP地址。而且它也会把源端口号转换为另一个由Netscreen自己产生的随机号。
虚拟路由器和路由器的功能是一样的，它有自己的端口和路由表。在USGA，NetScreen设备支持两个虚拟路由器，这样设备可以维护两个独立的路由表，互相隐藏路由信息。
Access Policies(访问策略)
每次有数据包尝试通过另一个安全区域时，NetScreen设备就会检查访问策略，如果有允许的策略的话，就会让数据包通过，否则就会拒绝通过。
1.1.3 Virtual Routers(虚拟路由器) 5
1.1.4 Access Policies(访问策略) 5
1.1.5 VPNs（虚拟专用网络） 6
1.1.6 Virtual Systems(虚拟系统) 6
1.1.7 Packet Flow Sequence(数据包处理过程) 7
Tunnel Zones(隧道区域)
Tunnel Zone 是主管一个或多个隧道接口的逻辑部分。它被Security Zone联合起来作为行动的载体。Netscreen设备用路由信息为载体区域指导通向隧道终点的流量。默认的Tunnel Zone是Untrust－Tun，它是关联Unstrust Zone的。你可以创建其他的Tunnel Zone，并用在虚拟系统的载体区域中，对一个Tunnel Zone可以用的最大数目来绑定到其他的Security Zone。
目录导航
1 概念与简介 4
1.1 Universal Security Gateway Architecture(通用安全网关架构) 4
1.1.1 Multiple Security Zones(多安全区域) 4
1.1.2 Security Zone Interfaces(安全区域端口) 4
Universal Security Gateway Architecture(通用安全网关架构)
NetScreen Screen OS 4.0 引入了Universal Security Gateway Architecture(通用安全网关架构)，这个架构使得用户在实施网络安全策略时更具灵活性。在多端口的NetScreen设备中，用户可以建立不同Zone(安全区域)，并将端口绑定在不同的安全区域，在端口之间建立相应的安全策略。
Function Zones(功能区域)
一共有四个Function Zone分别是Null，MGT，HA和Self。每个Zone都为了一个单一的功能而设立的。
Null Zone（空区域）：这个区域是一个为了还没有绑定到其他的区域的端口做临时存放的区域。
MGT Zone（外带宽管理区域）：这个区域主要包括了对外带宽管理端口。包括MGT。
1.2 Zones(区域) 8
1.2.1 Security Zones(安全区域) 8
1.2.2 Tunnel Zones(隧道区域) 8
1.2.3 Function Zones(功能区域) 9
1.3 Interfaces(端口) 11
1.3.1 Interfaces Types(端口类型) 11
创建玩一个区域，下一步就是创建一个端口。你必须创建一个端口，并把它绑定到一个区域，和指定允许流量流进或流出这个区域。然后，你必须设置路由和配置访问策略以允许流量从一个端口到另一个端口。物理端口和子端口，就像一个门口，允许流量流进和流出一个区域。你可以指派多个端口给一个区域，但是一个端口只能被指派给一个区域。
2.3.6 设置router(路由) 40
2.3.7 设置policy（策略） 43
2.3.8 保存配置及配置文件 49
3 透明模式 53
3.1 设置管理端口 54
3.2 设置透明模式 54
3.3 其他相关命令 55
4 NAT模式及Route模式 56
4.1 NAT模式 56
1.3.2 Interfaces Settings And Operation Modes(端口设置和运行模式) 11
1.3.3 Secondary IP Addresses(第二IP地址) 13
1.3.4 Management Services Options(管理服务选项) 13
1.3.5 Interface Services Options(端口服务选项) 14
4.1.1 基于端口的NAT 57
4.1.2 基于策略的NAT 60
4.2 Route模式 62
4.3 MIP和VIP 63
4.3.1 MIP 63
4.3.2 VIP 66
4.4 DIP（虚拟IP） 70
5 VPN(虚拟专用网络) 73
5.1 Manual Key 73
Interfaces Types(端口类型)
端口类型一共有三种，分别是物理端口（Physical Interface），子端口（Subinterface）和隧道端口（Tunnel Interface）。
Interfaces Settings And Operation Modes(端口设置和运行模式)
1.3.6 Firewall Options(防火墙选项) 14
1.4 Administration（管理） 15
1.4.1 Management Methods and Tools（管理方法和工具） 15
1.4.2 Levels of Administration（管理权限等级） 16
6 常见问题及解决方案 84
6.1 透明模式 84
6.1.1 配置管理问题 84
6.1.2 连接问题 85
6.2 NAT和Route模式 86
6.2.1 配置管理问题 86
6.2.2 连接问题 86 概念与简介
Packet Flow Sequence(数据包处理过程)
当数据包从外部进入Netscreen设备时，首先是进入外部的接口，判断目的地址是否需要MIP或VIP转换，如果需要按照设定来转换，然后根据查找路由表上是否有路由，如果有查找策略中是否允许数据包进入，当查找到第一条与目的地址有关系的策略时，就根据策略决定是否允许数据包按照路由表的指定来传递，如果允许就传递到目的的地址。
Zones(区域)
Zone是一个可以应用安全措施虚拟网络空间(security zone)，一个能够被VPN隧道端口绑定的逻辑片断（tunnel zone），或者是一个能够履行一个特殊的功能的物理或逻辑实体（function zone）。
Security Zones(安全区域)
在单一的一个Netscreen设备上，你能够配置多个安全区域，把网络分解成多个能应用各种不同的安全策略的部分，以满足每一个部分不同的需要。最低限度，你必须定义两个 Security Zone，去建立一个网络中的区域到另外的区域的基本保护。你也可以定义许多的Security Zone，可以给你的安全设计带来很好的功能――不再需要为此再应该多种的安全工具了。
Multiple Security Zones(多安全区域)
安全区域是一个或多个需要对进出数据进行策略控制的网络。用户可以根据自己的需要来定义安全区域，也可以利用预定义的安全区域：Trust、Untrust、DMZ(与之前的ScreenOS兼容)，安全区域之间的访问只有策略允许下才能进行。