Juniper 防火墙端口映射

以下操作均通过WEB用户管理界面进行： 一、添加自定义服务端口 1、选择菜单Policy > Policy Elements > Services > Custom，进入自定义服务管理页面 2、点击右上角的New按钮进入自定义服务添加页面  在Service Name处填写自定义的服务名称，在Transport protocol处选择需要使用的协议，在Destination Port 处填写自定义服务的目的端口，点击OK按钮提交操作。在上图中，我们添加了了一个名为udp-3311的服务，它使用UDP协议，目的端口号为3311。 3、选择菜单Network > Interfaces(List)，找到Untrust Zone对应的端口名（图中Untrust Zone对应的端口为ethernet0/0），点击右边的Edit按钮进入端口编辑页面 4、点击Properties中的VIP按钮，切换到VIP管理页面 初次添加VIP设置时，如果你有多个外网IP地址，你可以选择填入你的Virtual IP Address，如果ISP只提供给你一个外网IP地址或者你通过PPPOE方式获得外网IP，你可以选择Same as the untrusted interface IP address，点击Add按钮提交。 5、点击New VIP Service按钮，进入VIP服务添加页面 6、添加VIP Service相关信息 A、在Map to Service 下拉列表中选择现有服务类型或者自定义的服务，图中我们选择了之前添加的udp-3311服务 B、在Map to IP中填写提供服务的主机IP，Virtual Port与自定义服务的端口一致，不要勾选Server Auto Detection后Enable选项,点击OK按钮提交 7、选择菜单Policy > Policies,进入策略管理页面 8、左上角的From选择Untrust Zone，To选择Trust Zone，点击NEW进入From Untrust To Trust策略新增页面 Source Address（源地址）从Address Book Entry中选择Any，Destination Address（目的地址）从Address Book Entry中选择相关的VIP服务，Service选择自定义的服务。图中目的地址我们选择了之前添加的VIP(ethernet0/0)，Service选择之前自定义的udp-3311服务，完成后，点击OK按钮提交。 至此，端口映射就完成了，如需添加多个端口映射，方法类似。 SSG-5是Juniper 防火墙里入门级的产品，某些紧急情况需要登录到内网的某台PC或者Server时，需要临时把防火墙的3389端口打开及做相应的VIP映射。 命令行自然是设定最快，最不容易错的方式啦。设定方法如下： set service "3389" protocol tcp src-port 0-65535 dst-port 3389-3389 -------打开远程登录的3389端口 set interface ethernet0/0 vip interface-ip 3389 "3389" 192.168.1.5-------- 添加要远程登录设备的IP端口映射 set policy id 3 from "Untrust" to "Trust" "Any" "VIP(ethernet0/0)" "3389" permit log -------设定端口policy及ID set policy id 3 exit 以上设定只是在untrust to trust 和trust to untrust 都是permit any的情况，如果有deny 的policy存在的话，需要注意policy的顺序。