12 12
发新话题
打印

[问题求助] ssg-5可否按端口分权限上内网及外网,请高手指点

ssg-5可否按端口分权限上内网及外网,请高手指点

各路英雄大家好,小弟刚接触JUNIPER,希望大家多多帮忙。

我现在用的是SSG-5的,老板要求部分人员只能上内网,不能上外网,最多只允许MSN,另外一部分人可以上内网也可以上外网。

我原来想找找看有没有MAC地址绑定,然后再根据MAC授权访问,但好像找不到。现在又想到了第二种方案,不知道行不行得通,请各路高手指点:

我想SSG-5里好像有对各个端口设置分组,然后各个组可以定义成不同的区域(如TRUST、VR-TRUST等)然后再通过这个区域的不同添加不同的规则来实现各个端口上网权限的不同。

不知道这样行不行得通,或者大家有更好的方法,请多多指点。

非常感谢!!

TOP

netscreen_ISG1000-> set arp ?
<IPv4 Address>       IPv4 Address
age                  set ARP entries age out time
always-on-dest       always ARP for packet destination

TOP

2楼  你这个对吗?能不能解释的清楚一点?

TOP

谢谢,能不能解释清楚点

谢谢,能不能解释清楚点?

如果只按IP地址进行权限设置的话,它还能不能限制PC机自行改IP?

TOP

關於它的一點小想法

聽了樓上大哥的話,我這邊也正想利用它來實現上網的分類及權限設置問題。
很想聽聽樓上大哥的意見
小弟的MSN:li_ry2007@live.cn

TOP

我有个朋友说“允许的人分一个网段,不允许的在分一个网段,非别放在不同的区段,通过策略控制访问权限”,不知道具体怎么配置。

谢谢指点

TOP

是啊,我现在设置的只能限制某IP不能上外网,很想知道楼上的说法如何设置!

TOP

端口映射其实就是我们常说的NAT地址转换的一种,其功能就是把在公网的地址转翻译成私有地址, 采用路由方式的ADSL宽带路由器拥有一个动态或固定的公网IP,ADSL直接接在HUB或交换机上,所有的电脑共享上网。这时ADSL的外部地址只有一个,比如61.177.0.7。 而内部的IP是私有地址,比如ADSL设为192.168.0.1,下面的电脑就依次设为192.168.0.2到192.168.0.254。

在宽带路由器上如何实现NAT功能呢?一般路由器可以采用虚拟服务器的设置和开放主机(DMZ Host)。虚拟服务器一般可以由用户自己按需定义提供服务的不同端口,而开放主机是针对IP地址,取消防火墙功能,将局域网的单一IP地址直接映射到外部IP之上,而不必管端口是多少,这种方式只支持一台内部电脑。

最常用的端口映射是在网络中的服务器使用的是内部私有IP地址,但是很多网友希望能将这类服务器IP地址通过使用端口映射能够在公网上看到这些服务器,这里,我们就需要搞清楚所用服务的端口号,比如,HTTP服务是80,FTP服务则是20和21两个端口。

这里我们以最常用的80端口为例,设置一个虚拟HTTP服务器,假设内部HTTP服务器IP地址为10.0.0.10。


第一步,在浏览器中输http://10.0.0.2,进入其他配置页面,修改HASB-100本身HTTP服务端口,不建议关闭,因为通常使用WEB设置HASB-100,将HTTP服务器端口修改为81。 提交并重新启动。

第二步,打开HASB-100控制页http://10.0.0.2:81 进入虚拟服务器页面,依次填入公共端口号80,私有端口号80,端口类型为TCP,主机IP地址10.0.0.10。 完毕后点击“增加该设置”,然后保存并重新启动HASB-100,设置就完成了。这个时候外网的通过在IE中输入HASB-100的IP地址就可以访问到内部的10.0.0.10了,当然10.0.0.10要把HTTP服务打开。

再讲一下开FTP的虚拟服务器,注意FTP是两个端口,20和21,两个都要作映射,方法也跟上面的一样。 首先,在其他配置页中将HASB-100的FTP服务关闭。 提交并保存。然后在虚拟服务器页中添加两条映射就可以了,跟HTTP的一样,这里就不多说了。

在其它设置项里,有项DMZ设置,默认是关闭的,必须打开才能开启局域网内虚拟服务器的功能。


进入路由器,点击“其他设定”->“NAT”->“添加”。

规则类型选择“REDIRECT”。

协议选择“TCP”。

本地地址输入您的电脑地址,如“192.168.0.2”。

起始目的端口选择“HTTP80”,如果映射其他端口,请选择“任意其他端口”,并在右边输入端口号。

终止目的端口,设成和起始目的端口相同。如果要映射一个端口范围,如“60000-60020”,可把起始目的端口设置为60000,终止目的端口设置为60020。

最后,点击提交。在主菜单中点advanced,接下来的菜单中有个forwarding,以在内部pc192.168.1.2上架设webserver为例设置如下:

extport:80to80

ipaddress:192.168.1.2

然后点击“apply”就可以了。

TOP

 12 12
发新话题