为 SRX 系列防火墙配置 WAN 边缘模板

要配置 WAN 边缘模板，请执行以下操作：

在此任务中，将两个 WAN 接口添加到 WAN 边缘模板。

要将 WAN 接口添加到模板，请执行以下操作：

瞻博网络 Mist SD-WAN 使组织能够无缝集成 LTE 连接。LTE 连接为多路径路由提供了备用路径;在无法访问电路的位置中作为主路径，或在主电路发生故障时作为最后路径。

例如：在为业务关键型应用程序提供主 MPLS 连接的零售商店中。瞻博网络 Mist SD-WAN 可以添加 LTE 链路作为备份。如果 MPLS 链路出现问题，瞻博网络 Mist 会动态将流量切换到 LTE 链路。这可确保持续连接并最大限度地减少中断。

在 SRX 系列防火墙上，LTE 小型物理接口模块 （Mini-PIM） 在 SRX300 系列和 SRX550 高内存服务网关上提供无线 WAN 支持。Mini-PIM 包含一个集成调制解调器，可在 3G 和 4G 网络上运行。小型 PIM 可以安装在设备上的任何小型 PIM 插槽中。请参阅 https://www.juniper.net/documentation/us/en/hardware/lte-mpim-install/topics/task/lte-mpim-hardware-intalling.html 了解如何在 SRX 系列防火墙上安装 LTE Mini-PIM。

要为瞻博网络 Mist SD-WAN 建立 LTE 链路，您需要在 Session Smart 路由器和 SRX 系列防火墙上设置 LTE 接口，并将用户识别模块 （SIM） 插入 LTE 卡中。

要将 LTE 接口添加为 WAN 链路，请执行以下操作：

可能需要禁用 WAN 边缘端口的原因有很多。例如，在调试方案中，禁用端口然后再次启用它可以触发进程重置，这有助于解决问题。

您可能还希望在暂存连接但尚未准备好使连接投入使用时禁用端口，或者如果您已识别出恶意或有问题的设备，则可以禁用该端口以快速禁用该设备，直到可以删除或修复该设备。

要禁用 WAN 边缘端口，请执行以下操作：

LAN 接口配置根据您在 LAN 配置中指定的网络名称标识请求源。

要添加 LAN 接口：

链路聚合控制协议 （LACP） 是一种 IEEE 标准协议，用于定义一组接口的运行方式。使用 LACP，设备相互发送 LACP 数据单元以建立连接。如果设备无法建立连接，则不会尝试建立连接，这可以防止在链路聚合设置过程中出现问题，例如错误配置的链路聚合组 （LAG） 设置。您可以在 SRX 系列防火墙的冗余以太网 （Reth） 接口上配置 LACP。

要在冗余以太网接口上配置 LACP：

与集线器配置文件一样，在瞻博网络 Mist 网络中，您可以定义应用程序流量遍历网络的不同路径。您在流量转向中配置的路径也会确定目标区域。

要配置流量引导策略，请执行以下操作：

在 Mist 网络中，您可以在应用程序策略中定义哪些网络和用户可以访问哪些应用程序，以及根据哪个流量引导策略。 网络/用户 设置确定源区域。“ 应用程序 + 流量转向 ”设置确定目标区域。此外，还可以分配“允许”或“拒绝”操作。Mist 会按照您列出的顺序评估和应用应用程序策略。

考虑 图 8 中的流量要求。该图描述了企业 VPN 设置的基本初始流量模型（未显示第三分支设备和第二中心设备）。

图 8：流量和分配

为了满足上述要求，您需要创建以下应用程序策略：

• 策略 1 — 允许从分支站点到中心的流量。在这种情况下，地址组中使用的目标前缀表示两个集线器的 LAN 接口。

• 策略 2 — 允许通过公司 LAN 的分支到分支流量通过叠加网络。

  注意：

  这在现实世界中可能不可行，除非在具有托管 IP 的昂贵 MPLS 网络上。托管 IP 将流量直接发送到其他分支。此类流量通常流经集线器设备

• 策略 3 — 允许从连接到中心的中心和 DMZ 到分支设备的流量。

• 策略 4 — 允许互联网绑定流量从分支设备流向中心设备。从那里，流量爆发到互联网。在这种情况下，中心将源 NAT 应用于流量，并将流量路由到 WAN 接口，如中心配置文件中所定义。此规则是通用规则，因此应将其放在特定规则之后。因为 Mist 会按照应用程序策略在策略列表中的位置顺序来评估应用程序策略。

要配置应用程序策略，请执行以下操作：