Juniper防火墙映射配置应用场景变异

Posted 2020-10-17 暗香

 

Juniper防火墙映射配置应用场景变异

更新时间2019年1月21日 

背景：

二级单位下面有多个子单位，子单位与二级单位是通过专线连接，子单位的任何服务都可以在二级单位访问基层，现在某基层单位有个WEB服务，其他基层单位需要访问该WEB，如图：基层单位B中的终端PC要访问基层单位C中的WEB服务。

 

 

工具/原料

公司有Juniper防火墙；

原理介绍：

Juniper的MIP是“一对一”的双向地址翻译（转换）过程。通常的情况是：当你有若干个公网IP地址，又存在若干的对外提供网络服务的服务器（服务器使用私有IP地址），为了实现互联网用户访问这些服务器，可在Internet出口的防火墙上建立公网IP地址与服务器私有IP地址之间的一对一映射（MIP），并通过策略实现对服务器所提供服务进行访问控制。

我们用10.67.100.120来虚拟外网IP来实现对内网主机192.168.20.128的映射

 

方法/步骤

1、方法一：在二级单位A加一台服务器，做一个映射，让基层单位B访问基层单位C的WEB服务的时，通过二级单位A中的映射来完成之间的数据传递，因为二级单位A和基层单位都是互通的。

   方法二：就是把基层单位的WEB服务器搬到二级单位A中来，让基层直访问二级单位A。

2、使用第一种个方法来实现，二级单位A中有一台Juniper防火墙，在防火墙中可以做一个映射，让基层单位B中的请求通过juniper防火墙来映射到基层单位C的WEB中。

3、首先登录防火墙，在防火墙的接口中配置对应的MIP：Network-Interface-Edit-MIP

 

 

4、在配置策略，在策略中配置允许对应的数据包通过：

Policy-Policies

 

 

 

5、在做基层单位数据包时间的路由配置：

 

 

6、到此，在juniper中配置MIP映射结束，最后测试是否正常。

 

 策略中，三种状态解释。

蓝色下图第二种为生效。

 

 

2020年3月26日14:28:31

在使用MIP和VIP中，发现一个问题，不管是MIP还是VIP，映射、策略和路由都完成的情况下，还需要Jiunper设备能ping通映射的地址才能正常访问映射的地址。这两天就被这个问题困扰了好久，最后发现需要ping通业务才能正常访问。

 

 

注：Policy > Policy Elements > Services > Custom路径为配置自定义services（服务端口），在选择的时候，可以自定义。