Ns 5gt 实战记录

Question

背景：
公司原有一台netscreen 5gt-108，做了很多的端口映射也就是vip。经常有外网的入侵状况，同时，网内的arp包比较多，经过监测，多由该防火墙发出。因此想进行优化设置，但是由于本人从未搞过防火墙，也看不懂那些英文，进去一痛乱改，结果所有人无法上网。所以开始了netscreen的研究与学习。

网络情况：
固定公网ip一个，218.25.a.b 子网掩码255.255.255.252 网关218.25.a.c
局域网内网段为192.168.1.x 子网掩码 255.255.255.0 网关 192.168.1.254

研究开始：

    在baidu.com及g.cn上都进行了打面积的搜索技术资料，终于找到至爱www.juniperbbs.net 。于是在上面进行取经。看到了os升级的文章，反正现在也不用这个防火墙上网了（用一台服务器进行代理上网替代）。索性先升级吧。于是下载了ns5gt(5.3+5.4)。下载地址可以在www.juniperbbs.net 里搜索。按照《Netscreen_防火墙初级配置指南》上的说明进行升级，结构成功，非常顺利，该指南的下载同样可以在www.juniperbbs.net上搜索。

    现在开始用netscreen 5gt-108 来进行上网，实际上就是实现路由的功能。同样按照《Netscreen_防火墙初级配置指南》上的说明进行配置，结构失败。反复试验了n多遍。就是不好用。于是又按照《Netscreen_防火墙初级配置指南》上的说明，进行了初始化。清空了能清空的所有配置。通过web管理防火墙，进入了向导配置页面，结果也是失败。

    经过高人指点，最后成功实现路由功能，通过netscreen防火墙上网。前提是未开通vlan，固定公网ip地址线路接入。具体配置如下

1，设置接口地址

Network > Interfaces >(trust)>Edit

Static IP IP Address / Netmask :192.168.1.254/24

Interface mod (nat)

2，设置路由

Network > Routing > Routing> Destination
选择trust-vr 点New进入到
Network > Routing > Routing Entries > Configuration
IP Address/Netmask 0.0.0.0/0
Next Hop Gateway
Interface Untrust
Gateway ip Address 218.25.a.c

3，设置策略

Policies

选择From （Trust） To (Untrust) 点 NEW

Source Address 192.168.1.0/24

Destination Address Any

Service Any

勾选Logging 及 Position at Top

4，设置dns

Network > DNS > Host

Primary DNS Server 202.98.5.68

Secondary DNS Server 202.98.0.68

至此，成功上网。经过分析比对，与《Netscreen_防火墙初级配置指南》上唯一的区别就在于第四步，也是困扰我一直无法成功上网就是第四步，经过高人指点，顺利完成。

日后准备对防火墙功能进行研究，成功后再发实战记录。转自：杜松之家