Juniper NetScreen密码恢复

浏览数：24 / 时间：2015年06月09日

密码恢复：
使用笔记本连接防火墙的console口，用户名和密码都输入机身后面的序列号，此时会警告你要reset configure，两次按"y"后防火墙恢复了出厂设置，并重新启动。（防火墙启动时要把console线拔开，否则将会进入一个tftp传送映像的模式。）
出厂的默认用户名和密码是netscreen，ether1的ip是192.168.1.1，把笔记本的ip地址设置一个192.168.1.0/24网段的IP，用网线连接到ether1，就可以用浏览器访问了。
“NetScreen 的接口能以三种不同模式运行，分别是 : 网络地址转换 (NAT)、路由(Route)和透明。如果绑定到第 3 层（OSI的模型）区段的接口具有 IP 地址，则可为该接口定义 NAT 或路由操作模式。绑定到第 2 层区段 (如预定义的 v1-trust、v1-untrust 和 v1-dmz，或用户定义的第 2 层区段 ) 的接口必须为透明模式。在配置接口时选择操作模式。 vsys 不能处于“透明”模式下。”
初次看到netscreen的接口模式肯定有点不知所措（起码本人愚钝，如此反应），其实如果明白有这几种模式就很容易理解了。由于透明网桥是工作在第二层，所以肯定是layer2方面的，也就是v1-trust,v1-untrust、v1-dmz这几种了（因为选择好模式后在netscreen的界面中可以看到ineteface的type属性写着"Layer2"，:-)）
理解后就很容易配置了。我选择了ether7作为连接wan的，ether8连接lan（lan内部已经有nat设备了，所以我才用netscreen做网桥）。ether7连接的是外网，那当然是非信任区域了,ether7->v1-untrust；ether8连接的是内网，ether8->v1-trust。都不用设置ip。
为了可以在内网登录防火墙，到”network"->"zones"->"v1-trust"，勾上"web ui”，"telnet","ping"这几个（根据自己需要勾上就可以了）。netscreen比较奇特的一个东西是vlan1(对于我来说是奇特的东东，用惯了当然不会觉得）；我之前以为是extreme中的vlan一样，是802.1q协议构建的虚网，但是却没看见802.1q的tag设置，也没看见有真实的端口在。后来才知道原来那个只是虚拟的东东（理解上还不是很清晰），我们在vlan1上设置IP后，再勾上“web ui"之类的权限，于是就可以在用这个IP登录防火墙了（不用对应到某个物理端口）。
最后还要让允许端口间通讯，防火墙的规则是——没有明确允许的就是禁止的——所以我们要设置规则让v1-trust和v1-untrust的数据可以放行。“Polices”->"from v1-trust to v1-untrust"，选择permit(默认就是any)，"from v1-untrust to v1-trust"，选择permit。
收工，连接好ether7和ether8的网线测试下效果吧。
当然防火墙这样直通的规则是没什么作用的，所以我在“screening"->"screen"中，对于v1-untrust勾选上了一些防止攻击的选项，现在拦截到一些数据了，也算是起到一点作用了），如果真正要发挥作用的话，关键还是要有选择的制定放行规则，否则防火墙就只是一个hub，没有任何作用。