Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
AUF DIESER SEITE
 

Der J-Web-Setup-Assistent

Konfigurieren von Firewalls der SRX-Serie mit dem J-Web-Setup-Assistenten

Mithilfe des Setup-Assistenten können Sie die Schritt-für-Schritt-Konfiguration eines Services Gateways durchführen, das Datenverkehr sicher weiterleiten kann.

Informationen zum Starten und Zugreifen auf die J-Web-Benutzeroberfläche finden Sie unter Zugriff auf die J-Web-Benutzeroberfläche.

Sie können einen der folgenden Einrichtungsmodi auswählen, um das Services Gateway zu konfigurieren:

  • Standalone-Modus: Konfigurieren Sie Ihre Firewall der SRX-Serie für den Betrieb in einem Standalone-Modus. In diesem Modus können Sie grundlegende Einstellungen konfigurieren, z. B. Geräteanmeldeinformationen, Uhrzeit, Verwaltungsschnittstelle, Zonen und Schnittstellen sowie DNS-Server und Standardgateways.

  • Cluster-Modus (HA): Konfigurieren Sie Ihre Firewall der SRX-Serie für den Betrieb im Cluster-Modus (HA). Im Cluster-Modus wird ein Gerätepaar miteinander verbunden und so konfiguriert, dass es wie ein einzelner Knoten funktioniert und Geräte-, Schnittstellen- und Servicelevel-Redundanz bietet.

    Hinweis:

    Sie können den Standalone- oder passiven Modus nicht konfigurieren, wenn sich Ihr Gerät im HA-Modus befindet.

  • Passiver Modus (Tap): Konfigurieren Sie Ihre Firewall der SRX-Serie für den Betrieb im TAP-Modus. Mit dem TAP-Modus können Sie den Datenverkehrsfluss in einem Netzwerk passiv überwachen. Wenn IPS aktiviert ist, überprüft der TAP-Modus den ein- und ausgehenden Datenverkehr, um die Anzahl der Bedrohungen zu ermitteln.

    Hinweis:

    • SRX5000 Gerätereihe, SRX4600 und virtuelle vSRX-Firewall-Geräte unterstützen die Konfiguration des passiven Modus nicht.

    • Ab Junos OS Version 23.4R1 unterstützt J-Web SRX1600 und SRX2300 Firewalls.

Um Sie durch den Prozess zu führen, führt der Assistent Folgendes aus:

  • Legt basierend auf Ihrer Auswahl fest, welche Konfigurationsaufgaben Ihnen angezeigt werden sollen.

  • Markiert alle fehlenden erforderlichen Konfigurationen, wenn Sie versuchen, eine Seite zu verlassen.

So konfigurieren Sie Firewalls der SRX-Serie mithilfe des J-Web-Setup-Assistenten:

  1. Wählen Sie den Konfigurationsmodus aus, den Sie einrichten möchten, und klicken Sie auf Start.

    Die Seite Setup-Assistent wird angezeigt.

  2. Schließen Sie für den Standalone- und den passiven Modus (Tap) die Konfiguration gemäß den Richtlinien in Tabelle 2 ab.

    Wenn Sie den Cluster-Modus (HA) auswählen, finden Sie die Konfigurationsinformationen unter Konfigurieren des Cluster-Setups (HA).

    Hinweis:

    Das Root-Passwort ist im Setup-Assistenten obligatorisch. Alle anderen Optionen sind optional. Im passiven Modus ist die Konfiguration der Verwaltungsschnittstelle, der Tap-Schnittstelle und der Dienste obligatorisch.

  3. Überprüfen Sie die Konfigurationsdetails. Wenn Sie die Konfiguration ändern möchten, klicken Sie auf "Konfiguration bearbeiten" oder andernfalls auf "Fertig stellen".

    Warten Sie, bis die Konfiguration festgeschrieben wurde. Eine erfolgreiche Meldung wird angezeigt, sobald die gesamte Konfiguration für das Gerät bestätigt wurde.

    Hinweis:

    • Wenn der Commit fehlschlägt, zeigt J-Web die von der CLI empfangene Fehlermeldung an, und Sie bleiben auf der letzten Seite des Assistenten. Überprüfen Sie Ihre Konfiguration, und nehmen Sie ggf. Änderungen vor, damit der Commit erfolgreich ist.

    • Bei Geräten der SRX300-Reihe und SRX550M-Geräten im passiven Modus wird eine zusätzliche Meldung über den Neustart des Geräts angezeigt, wenn Sie Juniper ATP Cloud- oder Security Intelligence-Services aktiviert haben. Bei anderen Firewalls der SRX-Serie wird das Gerät nicht neu gestartet.

  4. Lesen Sie, ob Anweisungen verfügbar sind, und klicken Sie dann auf J-Web-Anmeldeseite öffnen.

    Die J-Web Login-Seite wird angezeigt.

  5. Geben Sie den Root-Benutzernamen und das Passwort ein und klicken Sie auf Anmelden.

    Der Bildschirm "Startpad" wird angezeigt, bis die J-Web-Benutzeroberfläche geladen ist. Siehe J-Web: Ein erster Blick.

Beispiel: J-Web-Assistent für den Standalone-Modus

In diesem Abschnitt zeigen wir Ihnen einen typischen Workflow des J-Web-Setup-Assistenten für den Betrieb im Standalone-Modus. Die J-Web-Oberfläche wird im Laufe der Zeit aktualisiert und modifiziert. Das folgende Beispiel ist repräsentativ für den typischen Arbeitsablauf. Dieses spezielle Beispiel basiert auf der Version Junos 21.3R1.

Tabelle 1 enthält Details zu den Konfigurationsparametern, die für die Ersteinrichtung verwendet werden.

Tabelle 1: Parameter des Standalone-Setup-Assistenten
Beispielwert für Konfigurationsparameter
Root-Passwort "Sample_psswd_for_doc-only!"
Hostname SRX-300
Verwaltungsschnittstelle GE-0/0/1
Verwaltung von IP und CIDR 10.102.70.79/24
Zugriffsprotokolle HTTPS, SSH, Ping
Statische Route für die Verwaltung 10.0.0.0/8, nächster Hop 10.102.70.254
NTP und DNS

  • NTP: north-america.pool.ntp.org

  • DNS: 8.8.8.8 und 8.8.4.4

  • Zeitzone: PST/Los Angeles
Ras SSH mit Root-Login erlaubt
Nicht-Root-Benutzer (Admin-/Superuser-Konto) Benutzer "lab", Passwort "Sample_psswd_for_doc-only!"
Sicherheitspolitik Standard

Informationen zum Zugriff auf die J-Web-Benutzeroberfläche finden Sie unter Zugriff auf die J-Web-Benutzeroberfläche . Dieses Beispiel basiert auf einem SRX300. Basierend auf den Informationen in Tabelle 1 ist das Verwaltungsgerät für DHCP eingestellt und an die ge-0/0/1-Schnittstelle angeschlossen. Bei einer werkseitigen Standardkonfiguration wird die ge-0/0/1-Schnittstelle als DHCP-Server konfiguriert und weist dem PC eine Adresse aus dem Subnetz 192.168.1.0/24 zu. Um in diesem Szenario auf J-Web zuzugreifen, zeigen Sie den Browser auf https://192.168.1.1.

  1. Wir beginnen mit dem Bildschirm des J-Web-Setup-Assistenten. Sie klicken auf die Option für den Standalone-Modus und dann auf die Schaltfläche Start.

    Abbildung 1: Modi des J-Web-Setup-Assistenten J-Web Setup Wizard Modes

  2. Konfigurieren Sie den Gerätenamen, den Root-Benutzer und die Anmeldeinformationen des Nicht-Root-Benutzers (Administrator) auf der Seite Geräteanmeldeinformationen.

    Hinweis:

    Aktivieren Sie SSH für den Root-Benutzer.
    Abbildung 2: Geräteanmeldeinformationen des J-Web-Setup-Assistenten J-Web Setup Wizard Device Credentials

  3. Klicken Sie auf Weiter.

    Die Seite "Uhrzeit " wird geöffnet.

  4. Konfigurieren Sie die Zeitzone, die Zeitquelle und im Falle von NTP den/die gewünschten Server.

    Abbildung 3: Zeitserver J-Web Setup Wizard Time Servers des J-Web-Setup-Assistenten

  5. Klicken Sie auf Weiter.

    Die Seite "Verwaltungsschnittstelle " wird geöffnet.

  6. Auch dieses Setup-Beispiel basiert auf einem Gerät der SRX 300-Serie. Diese Firewall der SRX-Serie verfügt nicht über eine dedizierte Verwaltungsschnittstelle. In vielen Fällen führt ihre Rolle in Zweigstellen dazu, dass sie aus der Ferne über die WAN-Schnittstelle (ge-0/0/0) verwaltet werden. Bei größeren Firewalls der SRX-Serie ist eine dedizierte Verwaltungsschnittstelle (fxp0) für den Anschluss an ein Out-of-Band-Verwaltungsnetzwerk (OOB) vorgesehen. In diesem Beispiel konfigurieren Sie die ge-0/0/1-Schnittstelle als dedizierte OOB-Verwaltungsschnittstelle.

    Abbildung 4: Verwaltungsschnittstelle J-Web Setup Wizard Management Interface des J-Web-Setup-Assistenten

    Bevor Sie fortfahren, klicken Sie auf die Registerkarte Zugriffsprotokolle , um zu bestätigen, dass HTTPS, SSH und Ping (ICMP-Echo) auf der Verwaltungsoberfläche zulässig sind.

    Abbildung 5: Zugriffsprotokolle des J-Web-Setup-Assistenten J-Web Setup Wizard Access Protocols

  7. Klicken Sie auf Weiter.

    Die Seite " Zones & Interfaces " wird geöffnet.

  8. In diesem Beispiel behalten Sie die werkseitig standardmäßige Sicherheitsrichtlinie bei. Denken Sie daran, dass Sie J-Web jederzeit verwenden können, um später alle Aspekte der Konfiguration, einschließlich der Sicherheit, zu ändern, nachdem Sie die Ersteinrichtung abgeschlossen haben.

    Abbildung 6: Sicherheitszonen J-Web Setup Wizard Security Zones des J-Web-Setup-Assistenten

  9. Klicken Sie auf Weiter.

    Die Seite DNS-Server und Standard-Gateways wird geöffnet.

  10. Konfigurieren Sie eine öffentliche DNS-Server-IP-Adresse, und lassen Sie die Standard-Gateway-Felder leer. Falls gewünscht, können Sie Standardrouten hinzufügen, um auf andere Netzwerke zuzugreifen, die über die Verwaltungsschnittstelle erreichbar sein sollen.

    Abbildung 7: J-Web-Setup-Assistent DNS und Standard-Gateways J-Web Setup Wizard DNS and Default Gateways

  11. Klicken Sie auf Weiter.

    Der Setup-Assistent wird geöffnet. Auf dieser Seite fassen Sie Ihre Konfiguration zusammen. Falls gewünscht, verwenden Sie die Option Konfiguration bearbeiten , um Änderungen vorzunehmen.

    Abbildung 8: Zusammenfassung des J-Web-Setup-Assistenten J-Web Setup Wizard Summary

  12. Wenn Sie mit der Konfiguration zufrieden sind, klicken Sie auf Fertig stellen. Der Setup-Assistent zeigt eine Statusseite an, die anzeigt, dass die Erstkonfiguration an die Firewalls der SRX-Serie übertragen wird.

    Abbildung 9: Konfigurations-Push des J-Web Setup Wizard Configuration Push J-Web-Setup-Assistenten

    In wenigen Augenblicken wird die Seite "Setup erfolgreich " angezeigt. Herzlichen glückwunsch! Ihre Firewall der SRX-Serie ist aus der Ferne zugänglich und kann über die J-Web-Schnittstelle fortlaufend verwaltet werden.

    Abbildung 10: J-Web-Setup-Assistent erfolgreich J-Web Setup Wizard Successful
    Hinweis:

    Denken Sie daran, dass in diesem auf SRX-300 basierenden Beispiel das Verwaltungsgerät über den ge-0/0/1-Port direkt mit dem SRX verbunden ist. Sie haben die Erstkonfiguration mit einer 192.168.1.0/24-Adresse durchgeführt, die von der Firewall der SRX-Serie über DHCP zugewiesen wurde.

    Mithilfe des Setup-Assistenten haben Sie die ge-0/0/1-Schnittstelle als dedizierte Verwaltungsschnittstelle konfiguriert und die statische IP-Adresse 10.102.70.89/24 zugewiesen. Dies hat zur Folge, dass die ge-0/0/1-Schnittstelle nicht mehr als DHCP-Server fungiert.

    Sobald die neue Konfiguration aktiviert ist, müssen Sie sicherstellen, dass das Verwaltungsgerät mit einer kompatiblen IP-Adresse konfiguriert ist, wenn es direkt mit der ge-0/0/1-Schnittstelle verbunden bleibt. Sie melden sich mit https://10.102.70.89 wieder bei J-Web an.

Herzlichen glückwunsch! Sie haben die Ersteinrichtung mit J-Web abgeschlossen. Besuchen Sie die folgenden Links:

Parameter des J-Web-Setup-Assistenten

Dieser Abschnitt dient als Referenz für die modusspezifischen Parameter, die Sie mit dem J-Web-Setup-Assistenten konfigurieren können. Tabelle 2 enthält Details zu den Parametern, die im Standalone- und im passiven Modus (Tap) konfiguriert werden können. Weitere Informationen zu Parametern, die im Cluster-Modus (HA) unterstützt werden, finden Sie unter Konfigurieren des Cluster-Setups (HA).

Tabelle 2: Konfiguration des Setup-Assistenten

Feld

Aktion
Geräte-Anmeldeinformationen
Systemidentität

Gerätename

Geben Sie einen Hostnamen ein.

Sie können alphanumerische Zeichen, Sonderzeichen wie den Unterstrich (_), den Bindestrich (-) oder den Punkt (.) verwenden. Die maximale Länge beträgt 255 Zeichen.
Root-Konto

Nutzername

Zeigt den Root-Benutzer an.

Hinweis:

Es wird empfohlen, das Root-Benutzerkonto nicht als bewährte Methode zum Verwalten Ihrer Geräte zu verwenden.

Passwort

Geben Sie ein Passwort ein.

Sie können alphanumerische Zeichen und Sonderzeichen verwenden. Die Mindestlänge beträgt sechs Zeichen.

SSH für Root-Benutzer

Aktivieren Sie diese Option, um die Root-Anmeldung (am Gerät) über SSH zu ermöglichen.
Admin-Konto

Nutzername

Geben Sie den Administratorbenutzernamen ein, um das Gerät zu verwalten.

Passwort

Geben Sie das Administratorkennwort ein.
Zeitkonfiguration
Zeit

Zeitzone

Wählen Sie eine Zeitzone aus der Liste aus.

Zeitquelle

Wählen Sie entweder NTP-Server, Computerzeit oder Manuell aus, um die Systemzeit zu konfigurieren:

  • NTP-Server > NTP-Server: Wählen Sie den NTP-Server in der Spalte Verfügbar aus und wechseln Sie mit dem Pfeil nach rechts zur ausgewählten Spalte. Sobald das System mit dem Netzwerk verbunden ist, wird die Systemzeit mit der NTP-Serverzeit synchronisiert.

    Um einen neuen NTP-Server hinzuzufügen, klicken Sie auf +, geben Sie einen Hostnamen oder eine IP-Adresse des NTP-Servers ein und klicken Sie auf OK.

    Hinweis:

    Wenn Sie weitere NTP-Server hinzufügen möchten, gehen Sie über das J-Web-Menü zu Geräteverwaltung > Grundeinstellungen > Datums- und Uhrzeitdetails.

  • Computerzeit > Computerzeit – Das Gerät synchronisiert sich nur während des Setups automatisch mit Ihrer Computerzeit.

  • Manuell > Datum und Uhrzeit: Wählen Sie das Datum und die Uhrzeit (im 24-Stunden-Format MM-TT-JJJJ und HH:MM:SS) aus, um die Systemzeit manuell zu konfigurieren.
Konfiguration der Verwaltungsschnittstelle
Management-Schnittstelle
Hinweis:

Wenn Sie die Verwaltungs-IP-Adresse ändern und auf Weiter klicken, wird auf der Seite Verwaltungsschnittstelle eine Warnmeldung angezeigt, dass Sie die neue Verwaltungs-IP-Adresse verwenden müssen, um sich bei J-Web anzumelden, da Sie möglicherweise die Verbindung zu J-Web verlieren.

Verwaltungsschnittstelle

Wählen Sie eine Schnittstelle aus der Liste aus.

Wenn der fxp0-Port der Verwaltungsport Ihres Geräts ist, wird der fxp0-Port angezeigt. Sie können es nach Bedarf ändern oder Keine auswählen und mit der nächsten Seite fortfahren.

Hinweis:

  • Sie können den Umsatzport als Management-Port auswählen, wenn Ihr Gerät den fxp0-Port nicht unterstützt. Umsatzports sind alle Ports außer fxp0 und em0.

  • Wenn Sie sich im Standalone-Modus befinden, können Sie für die Verwaltungsoberfläche "Keine " auswählen und auf "Weiter " klicken, um zum nächsten Bildschirm zu gelangen.

  • Wenn Sie sich im passiven Modus (Tap) befinden, müssen Sie unbedingt einen Management-Port konfigurieren. J-Web benötigt einen Management-Port zum Anzeigen des generierten Berichts.
IPv4
Hinweis:

Klicken Sie auf E-Mail an sich selbst , um die neu konfigurierte IPv4- oder IPv6-Adresse in Ihren Posteingang zu erhalten. Dies ist nützlich, wenn die Verbindung unterbrochen wird, wenn Sie die Verwaltungs-IP-Adresse in ein anderes Netzwerk ändern.

Adresse der Geschäftsführung

Geben Sie eine gültige IPv4-Adresse für die Verwaltungsschnittstelle ein.

Hinweis:

Wenn der fxp0-Port der Verwaltungsport Ihres Geräts ist, wird die Standard-IP-Adresse des fxp0-Ports angezeigt. Sie können es bei Bedarf ändern.

Maske des Verwaltungssubnetzes

Geben Sie eine Subnetzmaske für die IPv4-Adresse ein.

Wenn Sie die Verwaltungsadresse geändert haben, verwenden Sie die neue IP-Adresse für den Zugriff auf J-Web.

Statische Route

Geben Sie eine IPv4-Adresse für die statische Route ein, die an die anderen Netzwerkgeräte weitergeleitet werden soll.

Subnetzmaske für statische Routen

Geben Sie eine Subnetzmaske für die IPv4-Adresse der statischen Route ein.

Gateway für den nächsten Hop

Geben Sie eine gültige IPv4-Adresse für den nächsten Hop ein.
IPv6

Management-Zugriff

Geben Sie eine gültige IPv6-Adresse für die Verwaltungsschnittstelle ein.

Präfix für Verwaltungssubnetze

Geben Sie die Länge eines Subnetzpräfixes für die IPv6-Adresse ein.

Statische Route

Geben Sie eine IPv6-Adresse für die statische Route ein, falls erforderlich, um das Gerät über die Verwaltungsschnittstelle zu erreichen.

Subnetzpräfix für statische Routen

Geben Sie die Länge eines Subnetzpräfixes für die IPv6-Adresse der statischen Route ein.

Gateway für den nächsten Hop

Geben Sie eine gültige IPv6-Adresse für den nächsten Hop ein.
Zugriffsprotokolle
Hinweis:

Diese Option ist für alle Ports außer fxp0 verfügbar.

HTTPS

Diese Option ist standardmäßig aktiviert.

SSH

Diese Option ist standardmäßig aktiviert.

Ping

Aktivieren Sie diese Option für den Ping-Dienst.

DHCP

Aktivieren Sie diese Option für den DHCP-Dienst.

NETCONF

Aktivieren Sie diese Option für den NETCONF-Dienst.
Zonen & Schnittstellen
Sicherheitspolitik
Hinweis:

Diese Option ist nur für den Standalone-Modus verfügbar. Für den passiven Modus (Tippen) ist diese Option unter Tippeinstellungen verfügbar.

Aus der Zone

Name der Quellzone. Lässt im Standalone-Modus den gesamten Datenverkehr aus der Vertrauenszone zu.

Zur Zone

Name der Zielzone. Lässt im Standalone-Modus den gesamten Datenverkehr von der Vertrauenszone in die nicht vertrauenswürdige Zone zu.

Quelle

Name der Quelladresse (nicht der IP-Adresse) einer Richtlinie.

Ziel

Name der Zieladresse.

Anwendung

Name einer vorkonfigurierten oder benutzerdefinierten Anwendung der Richtlinienübereinstimmung.

Aktion

Aktion, die ausgeführt wird, wenn eine Übereinstimmung auftritt, wie in der Richtlinie angegeben.
Zonen

: Zeigt die Konfiguration der verfügbaren vertrauenswürdigen und nicht vertrauenswürdigen Zonen an.
Trust Zone-Schnittstellen
Hinweis:

Diese Option ist nur für den Standalone-Modus verfügbar.

Trust Zone-Schnittstelle hinzufügen

Klicken Sie auf + , um eine Schnittstelle für die Vertrauenszone hinzuzufügen. Weitere Informationen zu den Feldern finden Sie in Tabelle 3.

Trust Zone-Schnittstelle bearbeiten

Wählen Sie eine Schnittstelle aus und klicken Sie auf das Stiftsymbol in der rechten Ecke der Tabelle, um die Konfiguration zu ändern.

Trust Zone-Schnittstelle löschen

Wählen Sie eine Schnittstelle aus und klicken Sie auf das Löschen-Symbol in der oberen rechten Ecke der Tabelle.

Ein Bestätigungsfenster wird angezeigt. Klicken Sie auf Ja , um die ausgewählte Schnittstelle zu löschen, oder klicken Sie auf Nein , um sie zu verwerfen.

Schnittstelle für die Suche in der Vertrauenszone

Klicken Sie auf das Suchsymbol in der rechten Ecke der Tabelle, um schnell eine Zone oder eine Schnittstelle zu finden.

Detailansicht Trust Zone-Schnittstelle

Bewegen Sie den Mauszeiger über den Schnittstellennamen und klicken Sie auf das Symbol Detailansicht, um die Zonen- und Schnittstellendetails anzuzeigen.
Trust Zone-Schnittstellen – Einstellungen auf Zonenebene

Name der Zone

Zeigen Sie den Namen der Vertrauenszone an, der in den werkseitigen Standardeinstellungen Ihres Geräts ausgefüllt wurde.

Hinweis:

Im Standalone-Modus werden vertrauensvolle und nicht vertrauenswürdige Zonen standardmäßig erstellt, auch wenn diese Zonen in den werkseitigen Standardeinstellungen nicht verfügbar sind.

Beschreibung

Geben Sie die Beschreibung für die Vertrauenszone ein.

Systemdienstleistungen

Aktivieren Sie diese Option für die Datenverkehrstypen, die das Gerät auf einer bestimmten Schnittstelle erreichen können.

Standardmäßig ist diese Option aktiviert. Sie können dies bei Bedarf deaktivieren.

Protokolle

Aktivieren Sie diese Option, um das Gerät so zu konfigurieren, dass es mithilfe von Netzwerkverkehrsprotokollen (z. B. TCP und UDP) eine zustandsbehaftete Filterung des Netzwerkdatenverkehrs für Netzwerkpakete durchführt.

Standardmäßig ist diese Option aktiviert. Sie können dies bei Bedarf deaktivieren.

Anwendungsverfolgung

Aktivieren Sie diese Option, um Byte-, Paket- und Dauerstatistiken für Anwendungsdatenströme in der angegebenen Zone zu erfassen.

Quellidentitätsprotokoll

Aktivieren Sie diese Option, damit das Gerät die Benutzeridentitätsinformationen basierend auf der in der Sicherheitsrichtlinie konfigurierten Quellzone protokollieren kann.

Schnittstellen zur nicht vertrauenswürdigen Zone

Schnittstelle für nicht vertrauenswürdige Zone hinzufügen

Klicken Sie auf + , um eine nicht vertrauenswürdige Zonenschnittstelle hinzuzufügen. Weitere Informationen zu den Feldern finden Sie in Tabelle 4.

Schnittstelle für nicht vertrauenswürdige Zone bearbeiten

Wählen Sie eine Schnittstelle aus und klicken Sie auf das Stiftsymbol in der rechten Ecke der Tabelle, um die Konfiguration zu ändern.

Nicht vertrauenswürdige Zonenschnittstelle löschen

Wählen Sie eine Schnittstelle aus und klicken Sie auf das Löschen-Symbol in der oberen rechten Ecke der Tabelle.

Ein Bestätigungsfenster wird angezeigt. Klicken Sie auf Ja , um die ausgewählte Schnittstelle zu löschen, oder klicken Sie auf Nein , um sie zu verwerfen.

Schnittstelle für nicht vertrauenswürdige Zone durchsuchen

Klicken Sie auf das Suchsymbol in der oberen rechten Ecke der Tabelle, um schnell eine Zone oder eine Schnittstelle zu finden.

Detailansicht Untrust Zone-Schnittstelle

Bewegen Sie den Mauszeiger über den Schnittstellennamen und klicken Sie auf das Symbol Detailansicht, um die Zonen- und Schnittstellendetails anzuzeigen.
Nicht vertrauenswürdige Zonenschnittstellen – Einstellungen auf Zonenebene

Name der Zone

Zeigen Sie den Namen der nicht vertrauenswürdigen Zone an, der aus den werkseitigen Standardeinstellungen Ihres Geräts ausgefüllt wurde.

Hinweis:

Im Standalone-Modus werden vertrauensvolle und nicht vertrauenswürdige Zonen standardmäßig erstellt, auch wenn diese Zonen in den werkseitigen Standardeinstellungen nicht verfügbar sind.

Beschreibung

Geben Sie die Beschreibung für die nicht vertrauenswürdige Zone ein.

Anwendungsverfolgung

Aktivieren Sie diese Option, um Byte-, Paket- und Dauerstatistiken für Anwendungsdatenströme in der angegebenen Zone zu erfassen.

Quellidentitätsprotokoll

Aktivieren Sie diese Option, damit das Gerät die Benutzeridentitätsinformationen basierend auf der in der Sicherheitsrichtlinie konfigurierten Quellzone protokollieren kann.

DNS-Server und Standard-Gateways
DNS-Server

DNS-Server 1

Geben Sie die IPv4- oder IPv6-Adresse des primären DNS ein.

DNS-Server 2

Geben Sie die IPv4- oder IPv6-Adresse des sekundären DNS ein.
Standard-Gateway

Standard-Gateway (IPv4)

Geben Sie die IPv4-Adresse des nächstmöglichen Ziels für ein beliebiges Netzwerk ein.

Standard-Gateway (IPv6)

Geben Sie die IPv6-Adresse des nächstmöglichen Ziels für ein beliebiges Netzwerk ein.
Tippen Sie auf Einstellungen
Hinweis:

Diese Option ist nur für den passiven Modus (Tippen) verfügbar.
Tippen Sie auf Einstellungen

Tippen Sie auf Benutzeroberfläche

Wählen Sie die Schnittstelle aus der Liste aus.

IP-IP-Tunnelinspektion

Aktivieren Sie diese Option für die Firewall der SRX-Serie, um den Pass-Through-Datenverkehr über einen IP-IP-Tunnel zu überprüfen.

Inspektion des GRE-Tunnels

Aktivieren Sie diese Option für die Firewall der SRX-Serie, um den Pass-Through-Datenverkehr über einen GRE-Tunnel zu überprüfen.
Sicherheitsrichtlinien & erweiterte Services
Hinweis:

Ihr Gerät muss über eine Internetverbindung verfügen, um IPS, Webfilterung, Juniper ATP Cloud und Security Threat Intelligence Services nutzen zu können.

Aus der Zone

Name der Quellzone. Lässt im Tap-Modus den gesamten Datenverkehr aus der Tap-Zone zu.

Zur Zone

Name der Zielzone. Lässt im Tap-Modus den gesamten Datenverkehr von der TAP-Zone zur TAP-Zone zu.

Quelle

Name der Quelladresse (nicht der IP-Adresse) einer Richtlinie.

Ziel

Name der Zieladresse.

Anwendung

Name einer vorkonfigurierten oder benutzerdefinierten Anwendung der Richtlinienübereinstimmung.

Aktion

Aktion, die ausgeführt wird, wenn eine Übereinstimmung auftritt, wie in der Richtlinie angegeben.
Content-Sicherheit

Content-Sicherheit

Aktivieren Sie diese Option zum Konfigurieren von Content Security-Diensten.

Lizenz

Geben Sie den Content Security-Lizenzschlüssel ein und klicken Sie auf Lizenz installieren , um eine neue Lizenz hinzuzufügen.

Hinweis:

  • Verwenden Sie eine Leerzeile, um mehrere Lizenzschlüssel zu trennen.

  • Um Content Security-Dienste nutzen zu können, muss Ihr Gerät über eine Internetverbindung über eine Umsatzschnittstelle verfügen.

Art der Inhaltssicherheit

Wählen Sie eine Option aus, um Content Security-Funktionen zu konfigurieren:

  • Web-Filterung

  • Antivirus

  • Antispam

Webfilter-Typ

Wählen Sie eine Option:

  • Erweitert: Gibt an, dass die erweiterte Webfilterung von Juniper die HTTP- und HTTPS-Anforderungen abfängt und die HTTP-URL oder die HTTPS-Quell-IP an die Websense ThreatSeeker Cloud (TSC) sendet.

  • Lokal: Gibt den lokalen Profiltyp an.
IPS

IPS

Aktivieren Sie diese Option, um die IPS-Signaturen zu installieren.

Lizenz

Geben Sie den Lizenzschlüssel ein und klicken Sie auf Lizenz installieren , um eine neue Lizenz hinzuzufügen.

Hinweis:

Der Installationsvorgang kann einige Minuten dauern.

IPS-Signatur

Klicken Sie auf Durchsuchen , um zum IPS-Signaturpaketordner zu navigieren und ihn auszuwählen. Klicken Sie auf Installieren , um das ausgewählte IPS-Signaturpaket zu installieren.

Hinweis:

Sie können das IPS-Signatur-Offline-Paket unter https://support.juniper.net/support/downloads/ herunterladen.
ATP-Cloud

ATP-Cloud

Aktivieren Sie diese Option, um Juniper ATP Cloud-Services zu verwenden.

Hinweis:

Nachdem die Juniper ATP Cloud-Konfiguration übertragen wurde, werden nur die Geräte der SRX300-Reihe und SRX550M Geräte neu gestartet. Ihr Gerät muss über eine Internetverbindung verfügen, um den Registrierungsprozess für Juniper ATP Cloud über J-Web zu aktivieren.
Security Intelligence

Security Intelligence (Sicherheitsinformationen)

Aktivieren Sie diese Option, um Security Intelligence Services zu verwenden.

Hinweis:

Nachdem die Security Intelligence-Konfiguration übertragen wurde, werden nur die Geräte der SRX300-Reihe und SRX550M Geräte neu gestartet. Ihr Gerät muss über eine Internetverbindung verfügen, um den Registrierungsprozess für Juniper ATP Cloud über J-Web zu aktivieren.
Benutzer-Firewall

Benutzer-Firewall

Aktivieren Sie diese Option, um die Firewall-Dienste des Benutzers zu verwenden.

Domänennamen

Geben Sie einen Domänennamen für Active Directory ein.

Domänencontroller

Geben Sie die IP-Adresse des Domänencontrollers ein.

Nutzername

Geben Sie einen Benutzernamen für Administratorrechte ein.

Passwort

Geben Sie ein Kennwort für die Administratorrechte ein.
Tabelle 3: Hinzufügen einer Vertrauenszone

Feld

Aktion
Allgemeine

Typ (Familie)

  • Wählen Sie Switching (Switching) aus. Felder für den Schnittstellenwechsel sind:

    Hinweis:

    Diese Option ist nur für Firewalls der SRX300-Serie, SRX550M und SRX1500 sowie SRX1600-Firewalls verfügbar. Für SRX2300-, SRX4100-, SRX4200-, SRX4600-, Firewalls der Serien SRX5000 und virtuelle vSRX-Firewalls ist das Feld Typ (Familie) nicht verfügbar.

    • IRB-Schnittstelleneinheit: Geben Sie die IRB-Einheit ein.

    • Beschreibung: Geben Sie die Beschreibung für die Schnittstelle ein.

  • Wählen Sie Routing aus. Felder für die Routing-Schnittstelle sind:

    Für Firewalls der SRX5000-Serie, virtuelle Firewalls der Serien SRX4100, SRX4200, SRX4600 und vSRX ist das Feld Typ (Familie) nicht verfügbar.

    • Schnittstelle: Wählen Sie eine Option aus der Liste aus.

    • Schnittstelleneinheit: Geben Sie die Inet-Einheit ein.

      Hinweis:

      VLAN-Tagging wird automatisch aktiviert, wenn die Schnittstelleneinheit größer als Null ist.

    • Beschreibung: Geben Sie die Beschreibung für die Schnittstelle ein.

    • VLAN-ID - Geben Sie die VLAN-ID ein.

      Hinweis:

      Die VLAN-ID ist obligatorisch, wenn die Schnittstelleneinheit größer als Null ist.

Schnittstellen

Wählen Sie eine Schnittstelle aus der Spalte Verfügbar aus und verschieben Sie sie in die Spalte Ausgewählt.

Hinweis:

Diese Option ist nur für den Familientyp "Switching" verfügbar.
VLAN
Hinweis:

Diese Option ist nur für den Familientyp "Switching" verfügbar.

Namen

Geben Sie einen eindeutigen Namen für das VLAN ein.

VLAN-ID

Geben Sie die VLAN-ID ein.
IPv4

IPv4-Adresse

Geben Sie eine gültige IPv4-Adresse für das Switching- oder Routing-Interface ein.

Subnetzmaske

Geben Sie eine Subnetzmaske für die IPv4-Adresse ein.
IPv6

IPv6-Adresse

Geben Sie eine gültige IPv6-Adresse für das Switching- oder Routing-Interface ein.

Subnetz-Präfix

Geben Sie ein Subnetzpräfix für die IPv6-Adresse ein.
Lokaler DHCP-Server

Lokaler DHCP-Server

Aktivieren Sie diese Option, um den Switch so zu konfigurieren, dass er als erweiterter lokaler DHCP-Server fungiert.

Name des Pools

Geben Sie den Namen des DHCP-Pools ein.

Startadresse des Pools

Geben Sie die IPv4-Startadresse des Adressbereichs des DHCP-Serverpools ein. Diese Adresse muss sich innerhalb des IPv4-Netzwerks befinden.

Endadresse des Pools

Geben Sie die End-IPv4-Adresse des Adressbereichs des DHCP-Serverpools ein. Diese Adresse muss sich innerhalb des IPv4-Netzwerks befinden.

Hinweis:

Diese Adresse muss größer sein als die Adresse, die in Pool-Startadresse angegeben ist.

Übertragen von Einstellungen aus

Wählen Sie eine Option aus der Liste aus. Weitergabe von TCP/IP-Einstellungen (z. B. DNS und Gateway-Adresse), die auf der Geräteschnittstelle empfangen werden, die als DHCP-Client fungiert.
Dienste & Protokolle

Systemdienstleistungen

Wählen Sie Systemdienste aus der Liste in der Spalte Verfügbar aus, und klicken Sie dann auf den Pfeil nach rechts, um sie in die Spalte Ausgewählt zu verschieben.

Folgende Optionen stehen zur Verfügung:

  • all: Geben Sie alle Systemdienste an.

  • any-service: Geben Sie Services für den gesamten Portbereich an.

  • appqoe: Geben Sie den aktiven APPQOE-Probe-Service an.

  • bootp: Geben Sie den Bootp- und DHCP-Relay-Agent-Service an.

  • dhcp - Geben Sie das Protokoll für die dynamische Hostkonfiguration an.

  • dhcpv6 - Dynamisches Hostkonfigurationsprotokoll für IPV6 aktivieren.

  • dns: Geben Sie den DNS-Dienst an.

  • finger: Geben Sie den Finger-Service an.

  • ftp: Geben Sie das FTP-Protokoll an.

  • http: Geben Sie die Webverwaltung über HTTP an.

  • https: Geben Sie die Webverwaltung mit SSL gesichertem HTTP an.

  • ident-reset - Geben Sie die SEND-BACK-TCP-RST-IDENT-Anfrage für Port 113 an.

  • ike: Geben Sie den Internet-Schlüsselaustausch an.

  • lsping: Geben Sie den Ping-Service Label Switched Path an.

  • netconf – Geben Sie den NETCONF-Dienst an.

  • ntp: Geben Sie das Netzwerkzeitprotokoll an.

  • ping: Geben Sie das Protokoll für Internetsteuerungsnachrichten an.

  • r2cp - Aktivieren Sie das Radio-Router Control Protocol.

  • reverse-ssh - Geben Sie den Reverse-SSH-Dienst an.

  • reverse-telnet: Geben Sie den Reverse-Telnet-Dienst an.

  • rlogin: Geben Sie den Rlogin-Service an

  • rpm: Geben Sie die Echtzeit-Leistungsüberwachung an.

  • rsh: Geben Sie den Rsh-Service an.

  • snmp - Geben Sie das Simple Network Management Protocol an.

  • snmp-trap - Geben Sie den Simple Network Management Protocol-Trap an.

  • ssh: Geben Sie den SSH-Dienst an.

  • tcp—encap – Geben Sie den TCP-Kapselungsdienst an.

  • telnet: Geben Sie den Telnet-Dienst an.

  • tftp: Geben Sie den TFTP-Wert an.

  • traceroute: Geben Sie den Traceroute-Service an.

  • webapi-clear-text: Geben Sie den Webapi-Dienst mit http an.

  • webapi-ssl: Geben Sie den Webapi-Dienst mit SSL gesichertem HTTP an.

  • xnm-clear-text: Geben Sie die JUNOScript-API für unverschlüsselten Datenverkehr über TCP an.

  • xnm-ssl – Geben Sie den JUNOScript-API-Dienst über SSL an.

Protokolle

Wählen Sie Protokolle aus der Liste in der Spalte Verfügbar aus, und klicken Sie dann auf den Pfeil nach rechts, um sie in die Spalte Ausgewählt zu verschieben.

Folgende Optionen stehen zur Verfügung:

  • all: Gibt das gesamte Protokoll an.

  • bfd – Bidirektionale Weiterleitungserkennung.

  • bgp – Border Gateway Protocol.

  • dvmrp – Distance Vector Multicast Routing Protocol.

  • igmp (Internet Group Management Protocol) (Protokoll für die Verwaltung von Internetgruppen).

  • ldp – Label Distribution Protocol (Protokoll zur Verteilung von Etiketten).

  • msdp – Multicast Source Discovery Protocol.

  • nhrp – Next Hop Resolution Protocol.

  • ospf – Öffnet zuerst den kürzesten Pfad.

  • ospf3 - Öffnen Sie den kürzesten Pfad der ersten Version 3.

  • pgm – Pragmatisches allgemeines Multicast.

  • pim – Protokollunabhängiges Multicast.

  • rip – Routing-Informationsprotokoll.

  • ripng – Routing Information Protocol der nächsten Generation.

  • router-discovery: Router-Erkennung.

  • rsvp – Resource Reservation Protocol (Protokoll für Ressourcenreservierungen).

  • sap – Sitzungsankündigungsprotokoll.

  • vrrp – Virtual Router Redundancy Protocol (Protokoll für virtuelle Router-Redundanz).
Tabelle 4: Hinzufügen einer nicht vertrauenswürdigen Zone

Feld

Aktion
Allgemeine

Schnittstelle

Wählen Sie eine Schnittstelle aus der Liste aus.

Schnittstelleneinheit

Geben Sie den Wert für die Schnittstelleneinheit ein.

VLAN-ID

Geben Sie die VLAN-ID ein.

Hinweis:

Die VLAN-ID ist obligatorisch, wenn die Schnittstelleneinheit größer als Null ist.

Beschreibung

Geben Sie die Beschreibung für die Schnittstelle ein.

Adressmodus

Wählen Sie einen Adressmodus für die Schnittstelle aus. Die verfügbaren Optionen sind DHCP-Client, PPPoE (PAP), PPPoE (CHAP) und statische IP.

Hinweis:

PPPoE (PAP) und PPPoE (CHAP) werden für Firwalls der SRX5000-Serie und für Geräte, die sich im passiven Modus befinden, nicht unterstützt.

Nutzername

Geben Sie einen Benutzernamen für die PPPoE (PAP)- oder PPPoE (CHAP)-Authentifizierung ein.

Passwort

Geben Sie ein Kennwort für die PPPoE (PAP)- oder PPPoE (CHAP)-Authentifizierung ein.
IPv4
Hinweis:

Diese Option ist nur für den statischen IP-Adressmodus verfügbar.

IPv4-Adresse

Geben Sie eine gültige IPv4-Adresse für die Schnittstelle ein.

Subnetzmaske

Geben Sie eine Subnetzmaske für die IPv4-Adresse ein.
IPv6
Hinweis:

Diese Option ist nur für den statischen IP-Adressmodus verfügbar.

IPv6-Adresse

Geben Sie eine gültige IPv6-Adresse für die Schnittstelle ein.

Subnetz-Präfix

Geben Sie ein Subnetzpräfix für die IPv6-Adresse ein.
Dienste & Protokolle

Systemdienstleistungen

Wählen Sie Systemdienste aus der Liste in der Spalte Verfügbar aus, und klicken Sie dann auf den Pfeil nach rechts, um sie in die Spalte Ausgewählt zu verschieben.

Protokolle

Wählen Sie Protokolle aus der Liste in der Spalte Verfügbar aus, und klicken Sie dann auf den Pfeil nach rechts, um sie in die Spalte Ausgewählt zu verschieben.

Siehe auch