Page 1
安全产品
SSG 5 硬件安装和配置指南
Juniper Networks, Inc.
1194 North Mathilda Avenue
Sunnyvale, CA 94089
USA
408-745-2000
www.juniper.net
编号 : 530-015647-01-SC，修订本 02
Page 2
Copyright Notice
Copyright © 2006 Juniper Networks, Inc. All rights reserved.
Juniper Networks and the Juniper Networks logo are registered trademarks of Juniper Networks, Inc. in the United States and other countries. All other
trademarks, service marks, registered trademarks, or registered service marks in this document are the property of Juniper Networks or their respective
owners. All specifications are subject to change without notice. Juniper Networks assumes no responsibility for any inaccuracies in this document or for
any obligation to update information in this document. Juniper Networks reserves the right to change, modify, transfer, or otherwise revise this publication
without notice.
FCC Statement
The following information is for FCC compliance of Class A devices: This equipment has been tested and found to comply with the limits for a Class A
digital device, pursuant to part 15 of the FCC rules. These limits are designed to provide reasonable protection against harmful interference when the
equipment is operated in a commercial environment. The equipment generates, uses, and can radiate radio-frequency energy and, if not installed and
used in accordance with the instruction manual, may cause harmful interference to radio communications. Operation of this equipment in a residential
area is likely to cause harmful interference, in which case users will be required to correct the interference at their own expense.
The following information is for FCC compliance of Class B devices: The equipment described in this manual generates and may radiate radio-frequency
energy. If it is not installed in accordance with Juniper Networks’ installation instructions, it may cause interference with radio and television reception.
This equipment has been tested and found to comply with the limits for a Class B digital device in accordance with the specifications in part 15 of the FCC
rules. These specifications are designed to provide reasonable protection against such interference in a residential installation. However, there is no
guarantee that interference will not occur in a particular installation.
If this equipment does cause harmful interference to radio or television reception, which can be determined by turning the equipment off and on, the user
is encouraged to try to correct the interference by one or more of the following measures:
Reorient or relocate the receiving antenna.
Increase the separation between the equipment and receiver.
Consult the dealer or an experienced radio/TV technician for help.
Connect the equipment to an outlet on a circuit different from that to which the receiver is connected.
Caution: Changes or modifications to this product could void the user's warranty and authority to operate this device.
Disclaimer
THE SOFTWARE LICENSE AND LIMITED WARRANTY FOR THE ACCOMPANYING PRODUCT ARE SET FORTH IN THE INFORMATION PACKET THAT SHIPPED
WITH THE PRODUCT AND ARE INCORPORATED HEREIN BY THIS REFERENCE. IF YOU ARE UNABLE TO LOCATE THE SOFTWARE LICENSE OR LIMITED
WARRANTY, CONTACT YOUR JUNIPER NETWORKS REPRESENTATIVE FOR A COPY.
2
Page 3
目录
关于本指南 5
组织结构..........................................................................................................6
WebUI 约定 .....................................................................................................6
CLI 约定 ...........................................................................................................7
获取文档和技术支持........................................................................................7
第 1 章
第 2 章
硬件概述 9
端口和电源连接器 ...........................................................................................9
前面板 ...........................................................................................................10
系统状态 LED..........................................................................................10
端口说明........................................................................................................12
以太网端口 .......................................................................................12
控制台端口 .......................................................................................12
AUX 端口 ..........................................................................................13
后面板 ...........................................................................................................13
电源适配器..............................................................................................13
无线电收发器 ..........................................................................................14
接地片 .....................................................................................................14
天线类型 ................................................................................................. 14
USB 端口 .................................................................................................14
安装和连接设备 15
准备工作........................................................................................................16
安装设备........................................................................................................16
将接口电缆连接到设备 ..................................................................................17
连接电源........................................................................................................18
将设备连接到网络 .........................................................................................18
将设备连接到不可信网络 ........................................................................18
以太网端口 .......................................................................................19
串行 (AUX/ 控制台 ) 端口 .................................................................. 19
WAN 端口 .........................................................................................19
将设备连接到内部网络或工作站 ............................................................. 20
以太网端口 .......................................................................................20
无线天线...........................................................................................20
目录 3
Page 4
SSG 5 硬件安装和配置指南
第 3 章 配置设备 21
访问设备........................................................................................................22
使用控制台连接.......................................................................................22
使用 WebUI.............................................................................................23
使用 Telnet..............................................................................................24
缺省设备设置.................................................................................................24
基本设备配置.................................................................................................26
根 Admin 名称和密码.............................................................................. 26
日期和时间..............................................................................................27
桥接组接口..............................................................................................27
管理存取 ................................................................................................. 28
管理服务 ................................................................................................. 28
主机名和域名 ..........................................................................................28
缺省路由 ................................................................................................. 29
管理接口地址 ..........................................................................................29
备份 Untrust 接口配置.............................................................................29
基本无线配置.................................................................................................30
WAN 配置......................................................................................................33
ISDN 接口................................................................................................33
V.92 调制解调器接口 .............................................................................. 34
基本防火墙保护 ............................................................................................. 35
验证外部连通性 ............................................................................................. 35
将设备重置为出厂缺省值...............................................................................36
第 4 章
附录 A
附录 B
维护设备 37
需要的工具和部件 .........................................................................................37
升级内存........................................................................................................37
规格 41
物理 ............................................................................................................... 41
电气 ............................................................................................................... 41
环境忍耐力 ....................................................................................................42
证书 ............................................................................................................... 42
安全.........................................................................................................42
EMC 辐射 ................................................................................................42
EMC 抗扰度.............................................................................................42
ETSI.........................................................................................................43
连接器 ...........................................................................................................43
初始配置向导 45
索引 ............................................................................................................................ 59
4 目录
Page 5
关于本指南
Juniper Networks 安全服务网关 (SSG) 5 设备是一种集成路由器和防火墙平台，可
为分公司或零售渠道提供“互联网协议安全”(IPSec)、“虚拟专用网”(VPN) 和防
火墙服务。
Juniper Networks 提供六种型号的 SSG 5 设备 :
SSG 5 串行
SSG 5 串行 WLAN
SSG 5 V.92
SSG 5 V.92-WLAN
SSG 5 ISDN
SSG 5 ISDN-WLAN
所有 SSG 5 设备都支持通用串行总线 (USB) 主机模块。这些设备还提供局域网
(LAN) 和广域网 (WAN) 之间的协议转换，其中三种型号支持无线局域网 (WLAN)。
注意 :
本文档中的配置说明和范例均指运行 ScreenOS 5.4 的设备所具有的功能。根据运
行的 ScreenOS 版本的不同，设备的功能也可能有所不同。有关最新设备文档的
信息，请参阅 Juniper Networks 技术出版物网站
http://www.juniper.net/techpubs/hardware
。要查看设备当前可用的 ScreenOS 版
本，请访问 Juniper Networks 支持网站
http://www.juniper.net/customers/support/。
5
Page 6
SSG 5 硬件安装和配置指南
组织结构
本指南包含以下部分 :
第 1 章，“硬件概述”介绍 SSG 5 设备的机箱和组件。
第 2 章，“安装和连接设备”介绍如何安装 SSG 5 设备，以及如何将其连接到
网络上。
第 3 章，“配置设备”介绍如何配置和管理 SSG 5 设备以及如何执行某些基本
配置任务。
第 4 章，“维护设备”介绍 SSG 5 设备的保养和维护过程。
附录 A，“规格”提供 SSG 5 设备的通用系统规格。
附录 B，“初始配置向导”提供有关 SSG 5 设备的初始配置向导 (ICW) 的详细
信息。
WebUI 约定
要用 WebUI 执行任务，首先导航到相应的对话框，然后在该对话框中定义对象和
设置参数。 V 形符号 ( > ) 指示在 WebUI 中导航的顺序，使用时单击菜单选项和
链接即可。 每个任务的指令集都分为导航路径和配置设置。
下图列出进入地址配置对话框的路径，采用的是下面的示例配置设置 :
Objects > Addresses > List > New: 输入以下内容，然后单击 OK:
Address Name: addr_1
IP Address/Domain Name:
IP/Netmask: ( 选择 ), 10.2.2.5/32
Zone: Untrust
图 1: 导航路径和配置设置
6 组织结构
Page 7
CLI 约定
在范例和文本中出现 CLI 命令的语法时，使用下列约定。
在范例中 :
在中括号 [ ] 中的任何内容都是可选的。
大括号 { } 中的任何内容都是必需项。
如果有多个选项，则使用竖线 ( | ) 分隔每个选项。 例如 :
set interface { ethernet1 | ethernet2 | ethernet3 } manage
意思就是“设置 ethernet1、ethernet2 或 ethernet3 接口的管理选项”。
注意 :
获取文档和技术支持
变量为
斜体
形式 :
set admin user name1 password xyz
在文本中 :
命令为粗体形式。
变量为
斜体
形式。
输入关键字时，只需键入足以唯一标识相关单词的字母即可。 例如，要输入命令
set admin user kathleen j12fmt54，只需输入 set adm u kath j12fmt54。 尽管
输入命令时可以使用此捷径，但本文所述的所有命令都以完整的方式提供。
要获取任何 Juniper Networks 产品的技术文档，请访问
www.juniper.net/techpubs/
要获取技术支持，请使用 http://www.juniper.net/support/
。
中的 Case Manager 链接
打开支持案例，还可拨打电话 1-888-314-JTAC ( 美国国内 ) 或 1-408-745-9500 ( 美
国以外 )。
如果在本文档中发现任何错误或遗漏，请通过下面的电子邮件地址与我们联系 :
CLI 约定 7
Page 8
SSG 5 硬件安装和配置指南
8 获取文档和技术支持
Page 9
第 1 章
硬件概述
端口和电源连接器
本章提供了有关 SSG 5 机箱及其组件的详细说明。其中包括以下部分 :
第 9 页上的“端口和电源连接器”
第 10 页上的“前面板”
第 13 页上的“后面板”
本节介绍和显示内置端口和电源连接器的位置。
图 2: 内置端口位置
0123456
TX/RX LINK TX/RX LINK TX/RX LI NK TX/ RX L INK TX/RX LI NK TX/RX LINK TX/RX LINK
CONSOLE
10/100 10/100
10/100 10/100
控制台
10/100 10/100
10/100
0/60/50/40/30/20/10/0
POWER
STATUS
802.11A
B/ G
WLAN
SSG 5
TX /RX
CD
V.92
AUX、ISDN
或 V.9 2
V.92
端口和电源连接器 9
Page 10
SSG 5 硬件安装和配置指南
表 1 显示了 SSG 5 设备上的端口和电源连接器。
表 1: SSG 5 端口和电源连接器
端口 说明 连接器 速度 / 协议
0/0-0/6
USB
控制台 实现与系统之间的串行连接。用于终端仿真连接以
AUX
V. 92 调制解调器实现到服务提供商的主要互联网连接或备份互联网
ISDN
天线 A 和天线 B
(SSG 5-WLAN)
通过交换机或集线器实现至工作站的直接连接或
LAN 连接。此连接也可通过 Teln et 会话或 WebUI
来管理设备。
实现与系统之间的 1.1 USB 连接。 不适用 12M ( 全速 ) 或 1.5M ( 低速 )
启动 CLI 会话。
通过外部调制解调器实现备份 RS-232 异步串行互
联网连接。
连接，或者主要不可信网络连接或备份不可信网络
连接。
可将 ISDN 线路用作不可信或备份接口。(S/T)
在无线电连接附近实现到工作站的直接连接。
RJ-45
RJ-45
RJ-45
RJ-11
RJ-45
RPSMA
10/100 Mbps 以太网
自动检测双工和自动 MDI/MDIX
9600 bps/RS-232C 串行
9600 bps - 115 Kbps/RS-232C 串行
9600 bps - 115 Kbps/RS-232 串行自动检
测双工和极性
B 信道为 64 Kbps
租用线路为 128 Kbps
802.11a ( 无线电波段为 5 GHz 时传输速
度为 54 Mbps)
802.11b ( 无线电波段为 2.4 GHz 时传输
速度为 11 M bps )
802.11g ( 无线电波段为 2.4 GHz 时传输
速度为 54 Mbps)
802.11 superG ( 无线电波段为 2.4 GHz 和
5 GHz 时传输速度为 108 Mbps)
前面板
系统状态
本节介绍 SSG 5 设备前面板上的以下元素 :
系统状态 LED
端口说明
LED
系统状态 LED 显示有关主要设备功能的信息。图 3 说明了 SSG 5 V.92-WLAN 设备
前面板上各状态 LED 的位置。系统 LED 根据 SSG 5 设备的版本而有所不同。
图 3: 状态 LED
10 前面板
Page 11
启动系统后，POWER LED 从关闭状态变为闪烁绿色状态，而 STATUS LED 则按以
下顺序发生变化 : 红色、绿色、闪烁绿色。完成启动这一过程大约需要两分钟时
间。如果要在关闭系统后重新启动系统，建议在关闭之后和重新启动之前稍候几
秒。表 2 提供了各系统状态 LED 的类型、名称、颜色、状态和说明。
表 2: 状态 LED 说明
类型 名称 颜色 状态 说明
ISDN 设备
V. 92 设备
WLAN 设备
POWER
STATUS
CH B1
CH B2
HOOK
TX/RX
802.11A
B/G
绿色 始终为开 表示系统已通电。
关 表示系统没有通电。
红色 始终为开 表示设备未正常运行。
关 表示设备正常运行。
绿色 始终为开 表示系统正在启动或正在执行诊断。
闪烁 表示设备正常运行。
红色 闪烁 表示检测到错误。
绿色 始终为开 表示 B 信道 1 处于活动状态。
关表示 B 信道 1 处于非活动状态。
绿色 始终为开 表示 B 信道 2 处于活动状态。
关表示 B 信道 2 处于非活动状态。
绿色 始终为开 表示链接处于活动状态。
关 表示串行接口处于非服务状态。
绿色 闪烁 表示正在交换信息流。
关 表示没有交换信息流。
绿色 始终为开 表示已建立无线连接，但无链接活动。
闪烁 表示已建立无线连接。波特率与链接活动成
比例。
关 表示未建立无线连接。
绿色 始终为开 表示已建立无线连接，但无链接活动。
闪烁 表示已建立无线连接。波特率与链接活动成
比例。
关 表示未建立无线连接。
前面板 11
Page 12
SSG 5 硬件安装和配置指南
端口说明
本节介绍以下端口的目的和功能 :
以太网端口
控制台端口
AUX 端口
以太网端口
七个 10/100 以太网端口提供了到集线器、交换机、本地服务器和工作站的 LAN 连
接。也可指定一个以太网端口来管理信息流。各端口被标记为 0/0 到 0/6。有关各
以太网端口缺省区段绑定的信息，请参阅第 24 页上的“缺省设备设置”。
配置各端口时，请参考与端口位置相对应的接口名称。前面板上从左至右，端口的
接口名称依次为 ethernet0/0 到 ethernet0/6。
图 4 显示了各以太网端口上 LED 的位置。
图 4: 活动链接 LED
LINKTX/RX
表 3 介绍以太网端口 LED。
表 3: 以太网端口 LED
名称 颜色 状态 说明
LINK
TX/RX
绿色 始终为开
关
绿色 闪烁
关
端口在线。
端口离线。
信息流正在通过。波特率与链接活动成比例。
端口可能正在使用中，但并未接收数据。
控制台端口
控制台端口为 RJ-45 串行端口，将充当数据电路终端设备 (DCE)，用于进行本地管
理。进行终端连接时，请使用直通电缆；连接到另一 DCE 设备时，请使用交叉电
缆。提供了 RJ-45 到 DB-9 适配器。
12 端口说明
有关 RJ-45 连接器插脚引线的信息，请参阅第 43 页上的“连接器”。
Page 13
后面板
AUX 端口
辅助 (AUX) 端口为 RJ-45 串行端口，将充当数据终端设备 (DTE)，通过将其连接到调
制调解器可实现远程管理。建议不要将此端口用于进行日常远程管理。通常将 AUX
端口指定为备份串行接口。可以调节波特率，范围从 9600 bps 到 115200 bps，并
且需要使用硬件流程控制。连接到调制解调器时，请使用直通电缆；连接到另一
DTE 设备时，请使用交叉电缆。
有关 RJ-45 连接器插脚引线的信息，请参阅第 43 页上的“连接器”。
本节介绍 SSG 5 设备后面板上的以下元素 :
电源适配器
无线电收发器
接地片
天线类型
USB 端口
电源适配器
注意 :
仅 SSG 5-WLAN 设备有天线连接器。
图 5: SSG 5 设备的后面板
天线 B
USB
LOCK
主机模块
RESET
重置
针孔
USB
接地片
DC POWER
B A
5V A4
SD FLASH
电源
适配器
天线 A
设备前面板上的 POWER LED 呈绿色或为关闭状态。绿色表示运行正常，关闭表示
电源适配器故障或设备处于关闭状态。
后面板 13
Page 14
SSG 5 硬件安装和配置指南
无线电收发器
接地片
天线类型
SSG 5-WLAN 设备包含两个具有无线连通性的无线电收发器，这些收发器支持
802.11a/b/g 标准。第一个收发器 (WLAN 0) 使用 2.4 GHz 无线电波段，它在传输速
度为 11 M bp s 时支持 802.11b 标准，在传输速度为 54 Mbps 时支持 802.11g 标
准。第二个无线电收发器 (WLAN1) 使用 5 GHz 无线电波段，它在传输速度为 54
Mbps 时支持 802.11a 标准。两个无线电波段可以同时使用。有关配置无线电波段
的信息，请参阅第 30 页上的“基本无线配置”。
机箱后部提供一个单孔接地片，可使用此接地片将设备接地 ( 请参阅图 5)。
要在连接电源前将设备接地，请将接地电缆连接到地面，然后将电缆连接到机箱后
部的接地片上。
SSG 5-WLAN 设备支持三种类型的定制无线电天线 :
USB
端口
分集天线 - 分集天线可提供 2dBi 定向覆盖，并且覆盖区域内的信号强度电平
相当均衡，适合大部分安装。设备随带有此类天线。
外部全向天线 - 外部天线可提供 2dBi 全向覆盖。与成对运行的分集天线不
同，外部天线用于消除某些时候在使用两个天线时由信号的些微延迟特性所产
生的回波效应。
外部定向天线 - 外部定向天线可提供 2dBi 单向覆盖，适合安装在诸如走廊和
外墙之类的位置 ( 天线朝内 )。
SSG 5 设备后面板上的 USB 端口接受安装有袖珍闪存盘的通用串行总线 (USB) 存储
规格
设备或 USB 存储设备适配器 ( 如 CompactFlash 协会发布的 CompactFlash
所定义 )。安装和配置 USB 存储设备后，它会在主袖珍闪存盘无法启动时自动充当
第二启动设备。
USB 端口允许文件在外部 USB 存储设备与安全设备中的内部闪存之间传输各种数
据，如设备配置、用户证书和更新版本映像等信息。USB 端口在低速 (1.5M) 或全
速 (12M) 文件传输时均支持 USB 1.1 规格。
要在 USB 存储设备和 SSG 5 之间传输文件，请执行以下步骤 :
1. 将 USB 存储设备插入安全设备上的 USB 端口中。
文件名
2. 使用 save {software | config | image-key} from usb
将文件从 USB 存储设备保存到设备的内部闪存中。
to flash CLI 命令
中
14 后面板
3. 取出 USB 存储设备前，使用 exec usb-device stop CLI 命令停止 USB 端口。
4. 现在可安全取出 USB 存储设备。
文件名
如果要从 USB 存储设备删除文件，请使用 delete file usb:/
如果要查看 USB 存储设备或内部闪存上保存的文件信息，请使用 get file CLI 命令。
CLI 命令。
Page 15
第 2 章
安装和连接设备
本章介绍如何安装 SSG 5 设备以及如何将电缆和电源连接到本设备。其中包括以下
各节 :
第 16 页上的“准备工作”
第 16 页上的“安装设备”
第 17 页上的“将接口电缆连接到设备”
第 18 页上的“连接电源”
第 18 页上的“将设备连接到网络”
注意 :
有关安全警告和说明，请参阅 Juniper Networks Security Products Safety Guide。在
使用任何设备之前，应注意由电路引发的危险以及熟悉标准操作以防止意外事故
的发生。
15
Page 16
SSG 5 硬件安装和配置指南
准备工作
机箱位置、安装设备的布局以及布线间的安全对于系统的正常运行而言均至关
重要。
警告 : 为防止未经授权人员的误用和侵入，应将 SSG 5 设备安装在安全的环境中。
遵守以下预防措施可防止出现关机、设备故障以及人身伤害 :
安装前，请务必确定此设备电源与任何电源断开连接。
确保运行设备的房间保持良好的通风状况，并且室温不超过 104 °F (40 °C)。
请勿将设备放置在会阻塞设备进气口或排气口的设备机架中。确保封闭式机架
具有风扇且各面装有百叶窗板。
安装设备
注意 :
注意 :
执行任何安装前，请改善并消除以下危险状况 : 地面潮湿、存在渗漏、电缆未
接地或已磨损，或者未进行安全接地。
可以前置安装、壁式安装或桌面安装的方式安装 SSG 5 设备。可单独购买安装
套件。
要安装 SSG 5 设备，您需要一个 2 号十字螺丝起子 ( 未提供 ) 和若干与设备机架相
匹配的螺丝 ( 已包括在套件中 )。
安装设备时，请确保可将此设备连接到电源插座。
要以机架安装的方式安装 SSG 5 设备，请执行以下步骤 :
1. 用十字螺丝起子松开底盘的安装支架。
拥有可选天线的 SSG 5-WLAN 用户必须移除现有的天线，然后通过侧孔连接新的
天线。
2. 将设备底部和底盘的基准孔对齐。
16 准备工作
3. 前拉设备将其锁入底盘的基准孔里。
4. 使用螺丝将安装支架连接到设备和底盘上。
5. 将电源放入电源支架，然后将电源适配器插入设备。
6. 要安装第二个 SSG 5 设备，请重复步骤 1 到 5，然后继续。
Page 17
图 6: SSG 5 机架安装
电源支架
电源支架
7. 使用提供的螺丝将底盘安装到机架上。
8. 将电源插入电源插座。
要以桌面安装的方式安装 SSG 5 设备，请执行以下步骤 :
1. 将桌面支架安装到设备一侧。建议使用靠近电源适配器的一侧。
2. 将装有桌面支架的设备放置在桌面上。
图 7: SSG 5 桌面安装
3. 插入电源适配器，并将电源连接到电源插座。
将接口电缆连接到设备
要将接口电缆连接到设备，请执行以下步骤 :
1. 准备一段适用于接口的电缆。
2. 将电缆连接器插入设备的电缆连接器端口中。
3. 按以下方式排列电缆以防止其移动或成为受力点 :
a. 固定电缆，使其在悬挂到地板时不用承受其自身的重量。
b. 将多余电缆整齐地盘绕成圆环状。
c. 将紧固件放在环上以保持其形状。
将接口电缆连接到设备 17
Page 18
SSG 5 硬件安装和配置指南
连接电源
将设备连接到网络
要将电源连接到设备，请执行以下步骤 :
1. 将电缆的 DC 连接器端插入设备后面的 DC 电源插座。
2. 将电缆的 AC 适配器端插入 AC 电源。
警告 : 建议将电涌保护器用于电源连接。
当将 SSG 5 设备放置在内部网络和不可信网络之间时，它可为网络提供防火墙和通
用安全保障。本节介绍以下内容 :
将设备连接到不可信网络
将设备连接到内部网络或工作站
将设备连接到不可信网络
可通过以下方法中的一种将 SSG 5 设备连接到不可信网络 :
以太网端口
串行 (AUX/ 控制台 ) 端口
WA N 端口
图 8 显示了带有基本网络电缆连接的 SSG 5，其中 10/100 以太网端口的电缆连接
方式如下 :
将标记为 0/0 的端口 (ethernet0/0 接口 ) 连接到不可信网络。
将标记为 0/1 的端口 (ethernet0/1 接口 ) 连接到 DMZ 安全区段中的工作站。
将标记为 0/2 的端口 (bgroup0 接口 ) 连接到 Tr ust 安全区段中的工作站。
将控制台端口连接到串行终端以进行管理访问。
18 连接电源
Page 19
图 8: 基本网络连接范例
SSG 5
POWER
TX/RX
802.11A
CD
STATUS
B/G
WLAN
V.92
Callouts
Untrust
区段
0123456
TX/RX LINK TX/RX LINK TX/RX LINK TX/RX LINK TX/RX LINK TX/RX LINK TX/RX LINK
10/100 10/100
CONSOLE
V.92
10/100 10/100
10/100 10/100
10/100
控制台
DMZ
Trus t
区段
以太网端口
要建立高速连接，请将提供的以太网电缆从 SSG 5 设备上标记为 0/0 的以太网端口
连接到外部路由器。设备将自动检测正确的速度、双工和 MDI/MDIX 设置。
串行 (AUX /控制台 ) 端口
可通过 RJ-45 直通串行电缆和外部调制解调器连接到不可信网络。
警告 : 请勿因疏忽而将设备上的“控制台”、"AUX" 或“以太网”端口连接到电
话接口。
WAN 端口
1. 准备一段适用于接口的电缆。
2. 将电缆连接器插入设备的电缆连接器端口中。
3. 按以下方式排列电缆以防止其移动或成为受力点 :
a. 固定电缆，使其在悬挂到地板时不用承受其自身的重量。
b. 将所有多余电缆整齐地盘绕成圆环状。
c. 使用紧固件以保持电缆线圈的形状。
将设备连接到网络 19
Page 20
SSG 5 硬件安装和配置指南
将设备连接到内部网络或工作站
可将局域网 (LAN) 或工作站与以太网和 / 或无线接口相连。
以太网端口
SSG 5 设备包含七个以太网端口。可使用这些端口中的一个或多个通过交换机或集
线器连接到 LAN。也可以直接将一个或所有的端口连接到工作站，从而消除对集
线器或交换机的需求。可使用交叉电缆或直通电缆将以太网端口连接到其它设备。
有关缺省接口到区段绑定的信息，请参阅第 24 页上的“缺省设备设置”。
无线天线
如果要使用无线接口，需连接所提供的设备上的天线。如果有标准 2dB 分集天
线，请使用螺丝将它们安装到设备背面标记为 A 和 B 的接头上。在各天线弯曲处
顺势弯曲，以免使隔板连接器受压。
图 9: SSG 5-WLAN 天线位置
天线 B
LOCK
DC POWER
B A
5V A4
SD FLASH
RESET
如果要使用可选的外部天线，请遵循此天线附带的连接说明。
天线 A
USB
隔板连接器隔板连接器
20 将设备连接到网络
Page 21
第 3 章
配置设备
SSG 5 设备上已经预先安装了 ScreenOS 软件。打开设备电源后，即可对其进行配
置。尽管设备有缺省的出厂配置，可以先连接到设备，但需要进行进一步配置以满
足特定的网络需求。
本章包括以下各节 :
第 22 页上的“访问设备”
第 24 页上的“缺省设备设置”
第 26 页上的“基本设备配置”
第 30 页上的“基本无线配置”
第 33 页上的“WA N 配置”
第 35 页上的“基本防火墙保护”
第 35 页上的“验证外部连通性”
注意 :
第 36 页上的“将设备重置为出厂缺省值”
在配置设备并通过远程网络验证连通性后，必须在 www.juniper.net/support/ 上注
册产品，以便能在设备中激活某些 ScreenOS 服务，如深入检查签名服务和防病
毒 ( 单独购买 )。在注册完产品之后，使用 WebUI 获得对服务的预订。有关注册
产品和获得对特定服务的预订的详细信息，请参阅设备上运行的 ScreenOS 版本
概念与范例
的
ScreenOS
参考指南
中的
基本原理
卷。
21
Page 22
SSG 5 硬件安装和配置指南
访问设备
可以用几种方法配置和管理 SSG 5 设备 :
控制台 : 设备上的“控制台”端口用于通过连接到工作站或终端的串行电缆来
访问设备。要配置设备，请在终端或工作站上的终端仿真程序中输入 ScreenOS
命令行界面 (CLI) 命令。
WebUI: ScreenOS Web 用户界面 (WebUI) 是一个可以通过浏览器使用的图形接
口。最初使用 WebUI 时，运行浏览器的工作站必须与设备处于同一子网中。
还可使用带有安全 HTTP (S-HTTP) 的安全套接字层
(SSL)，通过安全服务器访
问 WebUI。
Telnet / SSH: Telnet 和 SSH 是可以通过 IP 网络访问设备的应用程序。要配置设
备，请在工作站的 Telnet 会话中输入 ScreenOS CLI 命令。有关详细信息，请
概念与范例
参阅
NetScreen-Security Manager: NetScreen-Security Manager 是 Juniper Networks
ScreenOS
参考指南中的管理
卷。
的企业级管理应用程序，用于控制和管理 Juniper Networks 防火墙 /IPSec VPN
设备。有关如何使用 NetScreen-Security Manager 管理设备的说明，请参阅
NetScreen-Security Manager Administrator's Guide。
使用控制台连接
注意 :
将带有阳性 RJ-45 连接器的直通 RJ-45 CAT5 串行电缆插入设备的控制台端口。
要建立控制台连接，请执行以下步骤 :
1. 将提供的 DB-9 适配器的凹端插入工作站的串行端口。( 确保 DB-9 正确插入并
固定。) 图 10 显示了所需的 DB-9 连接器类型。
图 10: DB-9 适配器
RJ-45 插孔
RJ-45 电缆
DB-9 适配器
2. 将 RJ-45 CAT5 串行电缆的凸端插入 SSG 5 的控制台端口。( 确保将 CAT5 电缆
的另一端正确插入并固定在 DB-9 适配器中。)
22 访问设备
Page 23
3. 在工作站上启动串行终端仿真程序。启动控制台会话需要如下设置 :
波特率 : 9600
奇偶 : None
数据位 : 8
停止位 : 1
流量控制 : None
4. 如果尚未更改缺省的用户名和密码，请在登录名和密码提示中都输入
netscreen。( 仅使用小写字母。登录名和密码字段都区分大小写。)
使用
Web UI
注意 :
有关如何使用 CLI 命令配置设备的信息，请参阅
。
指南
概念与范例
ScreenOS
参考
5. ( 可选 ) 在缺省情况下，空闲时间超过 10 分钟后控制台将超时并自动终止。要
清除超时，请输入
set console timeout 0。
要使用 WebUI，用于管理设备的工作站最初必须与设备处于同一子网中。要使用
WebUI 访问设备，请执行以下步骤 :
1. 将工作站连接到设备上的 0/2 - 0/6 端口 (Trust 区段中的 bgroup0 接口 )。
2. 确保工作站配置为“动态主机配置协议”(DHCP) 或静态配置为
192.168.1.0/24 子网中的 IP 地址。
3. 启动浏览器，为 bgroup0 接口输入 IP 地址 ( 缺省 IP 地址为 192.168.1.1/24)，
然后按 Enter。
第一次通过 WebUI 访问设备时，会出现初始配置向导 (ICW)。如果决定使用 ICW
配置设备，请参阅第 45 页上的“初始配置向导”。
WebUI 应用程序将显示如图 11 所示的登录提示。
图 11: WebUI 登录提示
4. 如果尚未更改 admin 名称和密码的缺省登录，请在登录名和密码提示中都输
入
netscreen。( 仅使用小写字母。登录名和密码字段都区分大小写。)
访问设备 23
Page 24
SSG 5 硬件安装和配置指南
使用
Telnet
要建立 Telnet 连接，请执行以下步骤 :
1. 将工作站连接到设备上的 0/2 - 0/6 端口 (Trust 区段中的 bgroup0 接口 )。
2. 确保工作站配置为 DHCP 或静态配置为 192.168.1.0/24 子网中的 IP 地址。
3. 启动 Telnet 客户端应用程序至 bgroup0 接口的 IP 地址 ( 缺省 IP 地址为
192.168.1.1)。例如，输入
telnet 192.168.1.1。
Telnet 应用程序显示登录提示。
4. 如果尚未更改缺省的用户名和密码，请在登录名和密码提示中都输入
netscreen。( 仅使用小写字母。登录名和密码字段都区分大小写。)
5. ( 可选 ) 在缺省情况下，空闲时间超过 10 分钟后控制台将超时并自动终止。要
清除超时，请输入
set console timeout 0。
缺省设备设置
本节介绍 SSG 5 设备的缺省设置和操作。
表 4 显示了设备端口的缺省区段绑定。
表 4: 缺省物理接口到区段的绑定
端口标签 接口 区段
10/100 以太网端口 :
0/0 ethernet0/0 Untrust
0/1 ethernet0/1 DMZ
0/2 bgroup0 (ethernet0/2) Trust
0/3 bgroup0 (ethernet0/3) Trust
0/4 bgroup0 (ethernet0/4) Trust
0/5 bgroup0 (ethernet0/5) Trust
0/6 bgroup0 (ethernet0/6) Trust
AUX serial0/0 Null
WAN 端口 :
ISDN bri0/0 Untrust
V. 92 s er i al 0 /0 N ul l
24 缺省设备设置
桥接组 (bgroup) 旨在让网络用户可以在有线和无线信息流间进行切换，而不必重
新配置或重新启动设备。在缺省情况下，ethernet0/2 - ethernet0/6 接口 ( 在设备上
标记为端口 0/2 - 0/6) 被组合为 bgroup0 接口，其 IP 地址为 192.168.1.1/24，且被
绑定到 Trus t 安全区段。最多可配置四个 bgroup。
如果要将以太网或无线接口设置在 bgroup 中，必须先确保以太网或无线接口处于
Null 安全区段。取消设置 bgroup 中的以太网或无线接口会将接口置于 Null 安全区
段中。将以太网接口分配到 Null 安全区段后，即可将其绑定到某一安全区段并分
配不同的 IP 地址。
Page 25
要取消设置 bgroup0 中的 ethernet0/3，并将其分配到静态 IP 地址为 192.168.3.1/24
的 Trus t 区段，请按以下所述使用 WebUI 或 CLI:
Web UI
Network > Interfaces > List > Edit (bgroup0) > Bind Port: 取消选择
ethernet0/3，然后单击 Apply。
List > Edit (ethernet0/3): 输入以下内容，然后单击 Apply:
Zone Name: Trust ( 选择 )
IP Address/Netmask: 192.168.3.1/24
CLI
unset interface bgroup0 port ethernet0/3
set interface ethernet0/3 zone trust
set interface ethernet0/3 ip 192.168.3.1/24
save
表 5: 无线和逻辑接口绑定
注意 :
SSG 5-WLAN
无线接口
指定一个可配置使用 2.4G 和 / 或 5 G 无
线电的无线接口
逻辑接口
第 2 层接口 在设备处于透明模式时，vlan1 指定
通道接口 tunnel.n 指定一个逻辑通道接口。此
接口 区段
wireless0/0 ( 缺省 IP 地址为
192.168.2.1/24)。
wireless0/1-0/3。
用于管理和 VPN 信息流终止的逻辑
接口。
接口用于 VPN 信息流。
Trus t
Null
不适用
不适用
可以更改 bgroup0 接口的缺省 IP 地址，以匹配 LAN 和 WLAN 上的地址。有关将
无线接口配置到 bgroup 的信息，请参阅第 30 页上的“基本无线配置”。
在 bgroup 接口包含无线接口时，在透明模式下将不起作用。
有关 bgroup 的其它信息和范例，请参阅
概念与范例
ScreenOS
参考指南
。
设备上的其它以太网或无线接口没有配置其它缺省 IP 地址；需要为其它接口 ( 包
括 WAN 接口 ) 分配 IP 地址。
缺省设备设置 25
Page 26
SSG 5 硬件安装和配置指南
基本设备配置
本节介绍以下基本配置设置 :
根 Admin 名称和密码
日期和时间
桥接组接口
管理存取
管理服务
主机名和域名
缺省路由
根
Admin
名称和密码
注意 :
管理接口地址
备份 Untrust 接口配置
根 admin 用户拥有配置 SSG 5 设备的全部权限。我们建议立即更改缺省根 admin
名称和密码 ( 均为 netscreen)。
要更改根 admin 名称和密码，请按以下所述使用 WebUI 或 CLI:
Web UI
Configuration > Admin > Administrators > Edit ( 对于管理员名称 ): 输入以下
内容，然后单击 OK:
Administrator Name:
Old Password: netscreen
New Password:
Confirm New Password:
WebUI 中不会显示密码。
CLI
set admin name
set admin password
名称
密码字串
save
26 基本设备配置
Page 27
日期和时间
桥接组接口
SSG 5 设备上设置的时间会影响事件，如 VPN 通道的设置。设置设备的日期和时
间的最简单的方法，就是利用 WebUI 同步设备系统时钟和工作站时钟。
要配置设备的日期和时间，请按以下所述使用 WebUI 或 CLI:
Web UI
1. Configuration > Date/Time: 单击 Sync Clock with Client 按钮。
会弹出一条消息，提示您指定是否已在工作站时钟上启用了夏令时选项。
2. 单击 Yes 将同步系统时钟，并根据夏令时调整时钟，或单击 No 只同步系
统时钟，不根据夏令时对其进行调整。
还可使用 Telnet 或控制台会话中的 set clock CLI 命令，手动输入设备的日期和
时间。
在缺省情况下，SSG 5 设备将以太网接口 ethernet0/2 - ethernet0/4 一起组合在
Trus t 安全区段中。组合接口会将接口设置在一个子网内。可以对组中的接口取消
设置，并将其分配到不同的安全区段。将接口分配到某个组之前，它们必须已在
Null 安全区段中。要将已分组的接口置于 Null 安全区段中，请使用 unset
接口
port
接口
interface
CLI 命令。
注意 :
SSG 5-WLAN 设备可将以太网和无线接口组合在一个子网中。
在 bgroup 组内只能设置无线和以太网接口。
要为某个组配置以太网和无线接口，请按以下所述使用 WebUI 或 CLI:
Web UI
Network > Interfaces > List > Edit (bgroup0) > Bind Port: 取消选择
ethernet0/3 和 ethernet0/4，然后单击 Apply。
Edit (bgroup1) > Bind Port: 选择 ethernet0/3、ethernet0/4 和 wireless0/2，
然后单击 Apply。
> Basic: 输入以下内容，然后单击 Apply:
Zone Name: DMZ ( 选择 )
IP Address/Netmask: 10.0.0.1/24
基本设备配置 27
Page 28
SSG 5 硬件安装和配置指南
管理存取
CLI
unset interface bgroup0 port ethernet0/3
unset interface bgroup0 port ethernet0/4
set interface bgroup1 port ethernet0/3
set interface bgroup1 port ethernet0/4
set interface bgroup1 port wireless0/2
set interface bgroup1 zone DMZ
set interface bgroup1 ip 10.0.0.1/24
save
在缺省情况下，如果知道登录名和密码，网络中的任何用户都可以管理设备。要将
设备配置为仅通过网络上的指定主机进行管理，请按以下所述使用 WebUI 或 CLI:
Web UI
Configuration > Admin > Permitted IPs: 输入以下内容，然后单击 Add:
管理服务
主机名和域名
IP Address/Netmask: ip
地址/掩码
CLI
set admin manager-ip ip
save
地址/掩码
ScreenOS 提供了配置和管理设备的服务，如 SNMP、SSL 和 SSH，可以根据接口
启用相应的服务。要配置设备的管理服务，请按以下所述使用 WebUI 或 CLI:
Web UI
Network > Interfaces > List > Edit ( 对于 ethernet0/0): 在 Management
Services 下，选择或清除要在接口上使用的管理服务，然后单击 Apply。
CLI
set interface ethernet0/0 manage web
unset interface ethernet0/0 manage snmp
save
域名定义设备所属的网络或子网，而主机名则表示特定的设备。主机名和域名一
起，唯一标识网络中的设备。要配置设备的主机名和域名，请按以下所述使用
WebUI 或 CLI:
28 基本设备配置
Web UI
Network > DNS > Host: 输入以下内容，然后单击 Apply:
Host Name:
Domain Name:
名称
名称
CLI
set hostname
set domain
save
名称
名称
Page 29
缺省路由
管理接口地址
缺省路由是一个静态路由，用于将数据包引至未在路由表中明确列出的网络。数据
包到达设备时，如果设备未包含该设备地址的路由信息，设备会将数据包发送到缺
省路由指定的目标。要配置设备的缺省路由，请按以下所述使用 WebUI 或 CLI:
Web UI
Network > Routing > Destination > New (trust-vr): 输入以下内容，然后单击
OK:
IP Address/Netmask: 0.0.0.0/0.0.0.0
Next Hop
Gateway: ( 选择 )
Interface: ethernet0/2 ( 选择 )
Gateway IP Address: ip
CLI
set route 0.0.0.0/0 interface ethernet0/2 gateway ip
save
Trus t 接口的缺省 IP 地址为 192.168.1.1/24，且配置用于管理服务。如果将设备的
0/2 - 0/4 端口连接到工作站，则可使用管理服务 ( 如 Telnet ) ，通过 192.168.1.1/24
子网中的工作站配置设备。
可更改 Trus t 接口的缺省 IP 地址。例如，您可能要更改接口以匹配 LAN 中现有的
IP 地址。
地址
地址
备份
Untrust
接口配置
SSG 5 设备可以为不可信的故障切换配置备份接口。要为不可信的故障切换设置备
份接口，请执行以下步骤 :
1. 使用 unset interface
2. 使用 set interface
注意 :
主接口和备份接口必须在相同的安全区段中。一个主接口只能有一个备份接口，
同样，一个备份接口也只能有一个主接口。
接口。
相同的安全区段。
接口
接口
[port
zone
接口
区段名称
] CLI 命令，在 Null 安全区段中设置备份
CLI 命令，将备份接口绑定到与主接口
基本设备配置 29
Page 30
SSG 5 硬件安装和配置指南
基本无线配置
要将 ethernet0/4 接口设置为 ethernet0/0 接口的备份接口，请按以下所述使用
WebUI 或 CLI:
Web UI
Network > Interfaces > Backup > 输入以下内容，然后单击 Apply。
Primary: ethernet0/0
Backup: ethernet0/4
Type: track-ip ( 选择 )
CLI
unset interface bgroup0 port ethernet0/4
set interface ethernet0/4 zone untrust
set interface ethernet0/0 backup interface ethernet0/4 type track-ip
save
注意 :
本节提供有关在 SSG 5-WLAN 设备上配置无线接口的信息。无线网络由称为服务
集标识符 (SSID) 的名称组成。指定 SSID 可将多个无线网络驻留在同一位置，而不
会互相干扰。SSID 名称最多可包含 32 个字符。如果 SSID 名称字符串包含有空
格，则必须将该字符串用引号括起来。设置 SSID 名称后，即可配置更多的 SSID
属性。要使用设备的无线局域网 (WLAN) 功能，至少必须配置一个 SSID 并将其绑
定到无线接口。
SSG 5-WLAN 设备最多可创建 16 个 SSID，但只能同时使用其中 4 个。可配置设备
以使用任一收发器上的 4 个 SSID，或在两个收发器上使用 (例如，分配给 WLAN 0
的 3 个 SSID 和分配给 WLAN 1 的 1 个 SSID)。使用 set interface
无线接口
wlan
{0 | 1 | both} CLI 命令设置 SSG 5-WLAN 设备的无线电收发器。图 12 显示了 SSG
5-WLAN 设备的缺省配置。
设置 wireless0/0 接口的 SSID 后，即可按照第 22 页上的“访问设备”中介绍的步
骤，使用缺省的 wireless0/0 接口 IP 地址访问设备。
如果您在美国、日本、加拿大、中国、中国台湾、韩国、以色列或新加坡以外的
国家 / 地区使用 SSG 5-WLAN 设备，则必须使用 set wlan country-code CLI 命令
或在 Wireless > General Settings Web UI 页面上对其进行设置，然后才能建立
WLAN 连接。此命令设置可选的通道范围和传输功率电平。
如果您的区段代码为 ETSI，则必须设置满足本地无线电频谱规定的正确的国家 / 地
区代码。
30 基本无线配置
Page 31
图 12: 缺省的 SSG 5-WLAN 配置
Callouts
Untrust
Callouts
区段
wireless0/0
SSG 5
POWER
802.11A
TX/RX
STATUS
B/G
CD
V.92
WLAN
0123 45 6TX/RX LINK TX/RX LINK TX/RX LINK TX/ RX LINK T X/RX LINK TX/RX LINK TX/RX LINK
10/100 10/100
CONSOLE
V.92
10/100 10/100
10/100 10/100
10/100
Trus t
控制台
区段
在缺省情况下，wireless0/0 接口的 IP 地址配置为 192.168.2.1/24。所有需要连接
到 Trust 区段的无线客户端的 IP 地址都必须在无线子网内。也可将设备配置为使用
DHCP，以便将 192.168.2.1/24 子网内的 IP 地址自动分配给设备。
在缺省情况下，wireless0/1 - wireless0/3 接口定义为 Null，且未分配 IP 地址。如
果要使用其它无线接口，则必须为其配置 IP 地址、分配 SSID 并将其绑定到安全区
段。表 6 显示了无线认证和加密方法。
表 6: 无线认证和加密选项
认证 加密
Open
Shared-key
WPA-PSK
WPA
WPA2-PSK
WPA2
WPA-Auto-PSK
WPA-Auto
802.1x
允许任何无线客户端访问设备
WEP 共享密钥
使用预共享密钥的 AES/TKIP
使用 RADIUS 服务器密钥的 AES/TKIP
使用预共享密钥的 802.11i
使用 RADIUS 服务器的 802.11i
允许使用预共享密钥的 WPA 和 WPA2 加密
允许使用 RADIUS 服务器的 WPA 和 WPA2 加密
使用 RADIUS 服务器密钥的 WEP
有关与无线安全配置有关的配置范例、SSID 属性和 CLI 命令的信息，请参阅
与范例
ScreenOS
参考指南
。
基本无线配置 31
概念
Page 32
SSG 5 硬件安装和配置指南
要配置无线接口以实现基本连通性，请按以下所述使用 WebUI 或 CLI:
Web UI
1. 设置 WLAN 国家 / 地区代码和 IP 地址。
Wireless > General Settings > 选择以下内容，然后单击 Apply:
Country code: 选择您的代码
IP Address/Netmask: ip
地址/网络掩码
2. 设置 SSID。
Wireless > SSID > New: 输入以下内容，然后单击 OK:
SSID:
Authentication:
Encryption:
Wireless Interface Binding:
3. ( 可选 ) 设置 WEP 密钥。
SSID > WEP Keys: 选择密钥 ID，然后单击 Apply。
4. 设置 WLAN 模式。
Network > Interfaces > List > Edit ( 无线接口 ): 对于 WLAN 模式，选择
Both，然后单击 Apply。
5. 激活无线更改。
Wireless > General Settings > 单击 Activate Changes。
CLI
1. 设置 WLAN 国家 / 地区代码和 IP 地址。
set wlan country-code { code_id }
set interface
无线接口
ip ip
地址/网络掩码
2. 设置 SSID。
set ssid name
set ssid
set ssid
( 可选 ) set ssid
名称字串
名称字串
名称字串
authentication
interface
名称字串
接口
key-id
认证类型
编号
encryption
加密类型
3. 设置 WLAN 模式。
32 基本无线配置
set interface
无线接口
wlan both
4. 激活无线更改。
save
exec wlan reactivate
可以设置 SSID，以便与有线子网在同一子网中使用。此操作让客户端可使用任一
接口，而不必重新连接另一子网。
Page 33
要将以太网和无线接口设置到同一桥接组接口，请使用 WebUI 或 CLI:
Web UI
Network > Interfaces > List > Edit (
桥接组名称
) > Bind Port: 选择无线接口
和以太网接口，然后单击 Apply。
CLI
set interface
set interface
桥接组名称
桥接组名称
port
port
无线接口
以太网接口
WAN 配置
ISDN
接口
注意 :
桥接组名称
以太网接口
无线接口
可以是 bgroup0-bgroup3。
可以是 ethernet0/0-ethernet0/6。
可以是 wireless0/0-wireless0/3。
如果配置了无线接口，则需要使用 exec wlan reactivate CLI 命令或单击
Wireless > General Settings WebUI 页面上的 Activate Changes 来重新激活
WLAN。
本节介绍如何配置以下 WAN 接口 :
ISDN 接口
V. 92 调制解调器接口
“集成服务数字网络”(ISDN) 是在“国际电报电话咨询委员会”(CCITT) 和“国际
电信联盟”(ITU) 创建的不同媒体上进行数字传输的一组标准。作为一项按需拨号
服务，它具有快速呼叫设置和低延迟时间，以及传输高质量语音、数据和视频的能
力。ISDN 还是一种电路交换服务，可用于多点和点对点连接。ISDN 为服务路由器
的网络接口提供了一种多链路点对点协议 (PPP) 连接。ISDN 接口通常配置为以太
网接口的备份接口以访问外部网络。
要配置 ISDN 接口，请使用 WebUI 或 CLI:
Web UI
Network > Interfaces > List > Edit (bri0/0): 输入或选择以下内容，然后单击
OK:
BRI Mode: Dial Using BRI
Primary Number: 123456
WAN Encapsulation: PPP
PPP Profile: isdnprofile
CLI
set interface bri0/0 dialer-enable
set interface bri0/0 primary-number "123456"
set interface bri0/0 encap ppp
set interface bri0/0 ppp profile isdnprofile
save
WAN 配置 33
Page 34
SSG 5 硬件安装和配置指南
要将 ISDN 接口配置为备份接口，请参阅第 29 页上的“备份 Untrust 接口配置”。
V.92
调制解调器接口
注意 :
有关如何配置 ISDN 接口的详细信息，请参阅
概念与范例
ScreenOS
参考指南。
V. 92 接口提供了一个内部模拟调制解调器，可以与服务提供商建立 PPP 连接。可
将串行接口配置为主接口或备份接口，备份接口在接口出现故障切换时使用。
V. 92 接口在透明模式下不起作用。
要配置 V.92 接口，请使用 WebUI 或 CLI:
Web UI
Network > Interfaces > List > Edit (对于 serial0/0): 输入以下内容，然后单击
OK:
Zone Name: Untrust ( 选择 )
ISP: 输入以下内容，然后单击 OK:
ISP Name: isp_juniper
Primary Number: 1234567
Login Name: juniper
Login Password: juniper
Modem: 输入以下内容，然后单击 OK:
Modem Name: mod1
Init String: AT&FS7=255S32=6
Active Modem setting
Inactivity Timeout: 20
34 WAN 配置
CLI
set interface serial0/0 zone untrust
set interface serial0/0 modem isp isp_juniper account login juniper password
juniper
set interface serial0/0 modem isp isp_juniper primary-number 1234567
set interface serial0/0 modem idle-time 20
set interface serial0/0 modem settings mod1 init-strings AT&FS7=255S32=6
set interface serial0/0 modem settings mod1 active
有关如何配置 V.92 调制解调器接口的信息，请参阅
。
指南
概念与范例
ScreenOS
参考
Page 35
基本防火墙保护
设备配置的缺省策略允许网络中 Trus t 区段的工作站访问 Untrust 安全区段的所有
资源，但不允许外部计算机访问或启动工作站的会话。可以配置指导设备的策略，
允许外部计算机启动与计算机的特定种类的会话。有关创建或修改策略的信息，请
概念与范例
参阅
ScreenOS
参考指南
。
SSG 5 设备提供了各种检测方法和防御机制，以对抗旨在破坏或损害网络或网络资
源的探查和攻击 :
ScreenOS SCREEN 选项用于保护区段的安全，具体做法是先检查要求经过该
区段的某一接口的所有连接尝试，然后予以准许或拒绝。例如，可以将端口扫
描保护应用于 Untrust 区段，以阻止远程网络的源试图识别服务以进一步进行
攻击。
设备对从一个区段到另一个区段传递 SCREEN 过滤器的信息流应用防火墙策略
( 这些策略可能包含内容过滤和入侵检测及防护 (IDP) 组件 )。在缺省情况下，
不允许通过设备从一个区段到另一个区段传递信息流。要允许通过设备从一个
区段到另一个区段传递信息流，必须创建一个覆盖缺省行为的策略。
要设置区段的 ScreenOS SCREEN 选项，请按以下所述使用 WebUI 或 CLI:
Web UI
Screening > Screen: 选择要应用选项的区段。选择所需的 SCREEN 选项，然
后单击 Apply:
验证外部连通性
CLI
set zone
save
有关配置 ScreenOS 中可用的网络安全选项的详细信息，请参阅
ScreenOS
区段
screen
参考指南
选项
中的
攻击检测和防御机制
卷。
概念与范例
要验证网络中的工作站能否访问互联网中的资源，请从网络中的任何工作站启动浏
览器并输入以下的 URL: www.juniper.net。
基本防火墙保护 35
Page 36
SSG 5 硬件安装和配置指南
将设备重置为出厂缺省值
如果丢失了 admin 密码，可以将设备重置为其缺省设置。此操作会破坏现有的所
有配置，但可恢复对设备的访问。
警告 : 重置设备会删除所有现有的配置设置并关闭现有的所有防火墙和 VPN 服务。
可以使用以下任一方式将设备恢复为其缺省设置 :
使用控制台连接。有关详细信息，请参阅
管理
卷。
使用设备后面板上的重置针孔，如下一节所述。
概念与范例
ScreenOS
参考指南
中的
按压重置针孔可以重置设备并恢复出厂缺省设置。要执行此操作，需要查看前面板
上的设备状态 LED 或启动控制台会话，如第 22 页上的使用控制台连接中所述。
要使用重置针孔来重置和恢复缺省设置，请执行以下步骤 :
1. 找到后面板上的重置针孔。使用又细又硬的金属丝 ( 例如回形针 )，推压针孔
四至六秒然后松开。
STATUS LED 闪烁红色。控制台上的消息表明已经开始删除配置并且系统发出
一个 SNMP/SYSLOG 警示。
2. 等待一至二秒。
在第一次重置之后，STATUS LED 闪烁绿色，设备正等待第二次重置。控制台
消息现在表明设备正等待第二次确认。
3. 再次推压重置针孔四至六秒。
控制台消息验证第二次重置。STATUS LED 亮红色半秒，然后返回到闪烁绿色
状态。
36 将设备重置为出厂缺省值
然后，设备重置为其原始的出厂设置。设备重置后，STATUS LED 亮红色半秒，
然后亮绿色。控制台显示设备启动信息。系统产生 SNMP 和 SYSLOG 警示，发
给已配置的 SYSLOG 或 SNMP 陷阱主机。
设备重新启动后，控制台显示设备的登录提示。STATUS LED 闪烁绿色。登录
名和密码为 netscreen。
如果不遵循完整的程序，重置过程会取消且不更改任何配置，同时控制台消息表明
已中止删除配置。STATUS LED 返回到闪烁绿色状态。如果设备没有重置，则会发
送 SNMP 警示以确认失败。
Page 37
第 4 章
维护设备
本章介绍 SSG 5 设备的保养和维护过程。其中包括以下部分 :
本页上的“需要的工具和部件”
本页上的“升级内存”
注意 :
需要的工具和部件
升级内存
有关安全警告和说明，请参阅 Juniper Networks Security Products Safety Guide。
此指南中的说明警告您哪些情况可能会造成人身伤害。在使用任何设备之前，应
注意由电路引发的危险以及熟悉标准操作以防止意外事故的发生。
要更换 SSG 5 设备上的组件，需要使用以下工具和部件 :
静电放电 (ESD) 接地腕带
1/8 英寸的十字螺丝起子
可以将 SSG 5 设备从 128 MB 双列直插式内存模块 (DIMM) 动态随机存取内存
(DRAM) 升级为 256 MB DIMM DRAM。
要升级 SSG 5 设备的内存，请执行以下步骤 :
1. 如果设备未接地，请将 ESD 接地腕带绑到露出的手腕上，然后将此腕带与机
箱上的 ESD 点或外部 ESD 点相连。
2. 从电源插座上拔下交流电源线。
3. 翻转设备，以便将其顶部放置在平整表面上。
4. 使用十字螺丝起子移除内存卡盖上的螺丝。将螺丝放在手边，以便稍后固定盖
子时取用。
5. 移除内存卡盖。
需要的工具和部件 37
Page 38
SSG 5 硬件安装和配置指南
图 13: 设备底部
6. 用拇指按住模块两边的锁定装置向外轻推，使这些锁定装置与模块分离，从而
取下 128 MB DIMM DRAM。
图 14: 解除内存模块锁定
7. 抓住内存模块的较长边将其滑出。并把它放在一边。
图 15: 取下模块插槽
38 升级内存
8. 将 256 MB DIMM DRAM 插入插槽。用两个拇指对模块上边缘均匀施力，然后
向下按压模块直到锁定装置发出“咔”的一声入位。
Page 39
图 16: 插入内存模块
9. 将内存卡盖放置在插槽上。
10. 使用十字螺丝起子拧紧螺丝，从而固定设备盖。
升级内存 39
Page 40
SSG 5 硬件安装和配置指南
40 升级内存
Page 41
附录 A
规格
本附录提供 SSG 5 设备的通用系统规格。其中包括以下部分 :
本页上的“物理”
本页上的“电气”
第 42 页上的“环境忍耐力”
第 42 页上的“证书”
第 43 页上的“连接器”
物理
表 7: SSG 5 物理规格
说明 值
机箱尺寸 222.5 mm x 143.4 mm x 35 mm。加上橡胶脚垫，系统的高度为 40 mm (1.6 英寸 )。
(8.8 英寸 X 5.6 英寸 X 1.4 英寸 )。
设备重量 960g (2.1 磅 )。
电气
表 8: SSG 5 电气规格
项目 规格
DC 输入电压
DC 系统额定电流
5.5V
4 A
物理 41
Page 42
SSG 5 硬件安装和配置指南
环境忍耐力
表 9: SSG 5 环境忍耐力
说明 值
高度 6,600 英尺 (2,000 m) 以下性能稳定
相对湿度 相对湿度为 5％ - 90％ ( 非冷凝 ) 时可确保正常运行
温度 温度为 32°F (0°C) - 104°F (40°C) 时可确保正常运行
集装箱中非工作存储温度 : -40°F (-40°C) - 158°F (70°C)
证书
安全
CAN/CSA-C22.2 No. 60950-1-03/UL 60950-1 第三版，信息技术设备的安全性
EMC
EMC
EN 60950-1:2001+A11，信息技术设备的安全
IEC 60950-1:2001 第一版，信息技术设备的安全
辐射
FCC Part 15 Class B ( 美国 )
EN 55022 Class B ( 欧洲 )
AS 3548 Class B ( 澳大利亚 )
VCCI Class B ( 日本 )
抗扰度
EN 55024
EN-61000-3-2 电源线谐波
EN-61000-3-3 电源线谐波
EN-61000-4-2 ESD
EN-61000-4-3 辐射抗扰度
42 环境忍耐力
EN-61000-4-4 EFT
EN-61000-4-5 电涌
EN-61000-4-6 低频通用抗扰度
EN-61000-4-11 电压骤降与凹陷
Page 43
ETSI
连接器
欧洲电信标准机构 (ETSI) EN-3000386-2: 电信网络设备。电磁兼容性要求； ( 设备
类别 - 电信中心除外 )
图 17 显示了 RJ-45 连接器引脚的位置。
图 17: RJ-45 插脚引线
1 2 3 4 5 6 7 8
表 10 列出了 RJ-45 连接器插脚引线。
表 10: RJ-45 连接器插脚引线
引脚 名称
1
2
3TxD O
4GND
5GND
6RxD I
7DSR I
8CTS I
RTS 输出
DTR 输出
I/O
O
O
不适用 机箱接地
不适用 机箱接地
说明
请求发送
数据终端就绪
传输数据
接收数据
数据设备就绪
清除发送
连接器 43
Page 44
SSG 5 硬件安装和配置指南
图 18 显示了 DB-9 凹连接器引脚的位置。
图 18: DB-9 凹连接器
表 11 提供 DB-9 连接器插脚引线。
表 11: DB-9 连接器插脚引线
引脚 名称
1DCD I
2RxD I
3TxD O
4DTR O
5GND
6DSR I
7RTS O
8CTS I
9RING I
I/O
不适用 信号接地
说明
载波检测
接收数据
传输数据
数据终端就绪
数据设备就绪
请求发送
清除发送
振铃指示器
44 连接器
Page 45
附录 B
初始配置向导
本附录提供 SSG 5 设备初始配置向导 (ICW) 的详细信息。
将设备实际连接到网络后，便可使用 ICW 来配置已安装在本设备上的接口。
本节介绍以下 ICW 窗口 :
1. 第 46 页上的快速部署窗口
2. 第 46 页上的管理员登录窗口
3. 第 47 页上的 WLAN 接入点窗口
4. 第 47 页上的物理接口窗口
5. 第 48 页上的 ISDN 接口窗口
6. 第 50 页上的 V.92 调制解调器接口窗口
7. 第 51 页上的 Eth0/0 接口 (Untrust 区段 ) 窗口
8. 第 52 页上的 Eth0/1 接口 (DMZ 区段 ) 窗口
9. 第 52 页上的 Bgroup0 接口 (Trust 区段 ) 窗口
10. 第 54 页上的 Wireless0/0 接口 (Trust 区段 ) 窗口
11 . 第 55 页上的接口汇总窗口
12. 第 56 页上的物理以太网 DHCP 接口窗口
13. 第 56 页上的无线 DHCP 接口窗口
14. 第 57
页上的确认窗口
45
Page 46
SSG 5 硬件安装和配置指南
1. 快速部署窗口
图 19: 快速部署窗口
如果网络使用 NetScreen-Security Manager (NSM)，则可使用快速部署 configlet 以
自动配置设备。从 NSM 管理员处获得 configlet，选择 Yes，选择 Load Configlet
from:，浏览文件位置，然后单击 Next。configlet 会为您设置设备，因此无需执行
以下步骤来配置设备。
如果要绕过 ICW 直接转到 WebUI，请选择最后一个选项，然后单击 Next。
如果不使用 configlet 而要使用 ICW 来配置设备，请选择第一个选项，然后单击
Next。出现 ICW 欢迎屏幕。单击 Next。出现管理员登录窗口。
2. 管理员登录窗口
输入新的管理员登录名和密码，然后单击 Next。
图 20: 管理员登录窗口
46
Page 47
3. WLAN 接入点窗口
如果使用 WORLD 或 ETSI 调节域中的设备，则必须选择一个国家 / 地区代码。选
择相应选项，然后单击 Next。
图 21: 国家 / 地区代码窗口
4. 物理接口窗口
在接口到区段绑定屏幕中，设置要绑定到 Untrust 安全区段的接口。Bgroup0 已被
预绑定到 Trus t 安全区段。Ethernet0/1 已被绑定到 DMZ 安全区段，但还可选择绑
定其它接口。
图 22: 物理接口窗口
将接口绑定到区段后，便可配置此接口。此后显示的配置窗口取决于用作网络组成
部分的 SSG 5 设备。要使用 ICW 继续配置设备，请单击 Next。
47
Page 48
SSG 5 硬件安装和配置指南
5. ISDN 接口窗口
如果有 ISDN 设备，则会显示与下图相似的 Physical Layer 选项卡窗口。
图 23: ISDN Physical Layer 选项卡窗口
表 12: ISDN Physical Layer 选项卡窗口中的字段
字段 说明
Switch Type
SPID1
SPID2
TEI Negotiation
Calling Number
Sending Complete 复选框 启用将完整信息发送到外向设置消息。通常仅在中国香港特别
设置服务提供商的交换机类型 :
att5e: At&T 5ESS
ntdms100: Nortel DMS 100
ins-net: NTT INS-Net
etsi: European variants
ni1: National ISDN-1
服务提供商 ID，通常是带有若干可选数字的七位电话号码。只
有 DMS-100 和 NI1 交换机类型要求输入 SPID。DMS-100 交换
机类型有两个分配的 SPID，每个 B 信道分别对应一个 SPID。
服务提供商备份 ID。
指定何时协商 TEI，或在启动时进行协商或在第一次呼叫时进行
协商。通常在欧洲提供 ISDN 服务和连接到用于发起 TEI 协商的
DMS-100 交换机时使用此类设置。
ISDN 网络帐号。
行政区和中国台湾地区使用。
48
Page 49
如果有 ISDN 设备，将看见 Leased Line Mode 和 Dial Using BRI 复选框。选择一个
或两个复选框，将显示与下图相似的窗口 :
图 24: Leased-Line 和 Dial Using BRI 选项卡窗口
表 13: Leased-Line 和 Dial Using BRI 选项卡窗口中的字段
字段 说明
PPP Profile Name
Authentication
Local User
Password
设置 ISDN 接口的 PPP 配置文件的文件名
设置 PPP 认证类型 :
Any
CHAP: 质询握手认证协议
PA P: 密码认证协议
None
设置本地用户
设置本地用户的密码
Static IP 复选框 启用接口的静态 IP 地址
Interface IP
Netmask
Gateway
设置接口的 IP 地址
设置网络掩码
设置网关地址
49
Page 50
SSG 5 硬件安装和配置指南
6. V.92 调制解调器接口窗口
如果有 V.92 设备，将显示以下窗口 :
图 25: V.92 调制解调器接口窗口
表 14: V.92 调制解调器接口窗口中的字段
字段 说明
Modem Name
Init Strings
ISP Name
Primary Number
Alternative Number (optional)
Login Name
Password
设置调制解调器接口的名称
设置调制解调器的初始化字符串
为服务提供商分配名称
指定用于访问服务提供商的电话号码
指定主号无法接通时的备选电话号码以访问服务提供商
设置服务提供商帐户的登录名
设置登录名的密码
50
Page 51
7. Eth0/0 接口 (Untrust 区段 ) 窗口
Untrust 区段接口可具有通过 DHCP 或 PPPoE 分配的静态或动态 IP 地址。插入必
需的信息，然后单击 Next。
图 26: Eth0/0 接口窗口
表 15: Eth0/0 接口窗口中的字段
字段 说明
Dynamic IP via DHCP
Dynamic IP via PPPoE
Static IP
使设备可以从服务提供商处获取 Untrust 区段接口的 IP 地址。
使设备可以充当 PPPoE 客户端，以便从服务提供商处获取 Untrust
区段的 IP 地址。输入服务提供商所分配的用户名和密码。
为 Untrust 区段接口分配唯一且固定的 IP 地址。输入 Untrust 区段接
口 IP 地址、网络掩码和网关。
51
Page 52
SSG 5 硬件安装和配置指南
8. Eth0/1 接口 (DMZ 区段 ) 窗口
DMZ 接口可具有通过 DHCP 分配的静态或动态的 IP 地址。插入必需的信息，然后
单击 Next。
图 27: Eth0/1 接口窗口
表 16: Ethernet0/1 接口窗口中的字段
字段 说明
Dynamic IP via DHCP
Static IP
使设备可以从服务提供商处获取 DMZ 接口的 IP 地址。
为 DMZ 接口分配唯一且固定的 IP 地址。输入 DMZ 接口 IP 地址和
网络掩码。
9. Bgroup0 接口 (Trust 区段 ) 窗口
Trus t 区段接口可具有通过 DHCP 分配的静态或动态的 IP 地址。插入所需的信息，
然后单击 Next。
缺省接口 IP 地址为 192.168.1.1，网络掩码为 255.255.255.0 或 24。
52
Page 53
图 28: Bgroup0 接口窗口
表 17: Bgroup0 接口窗口中的字段
字段 说明
Dynamic IP via DHCP
Static IP
使设备可以从服务提供商处获取 Trus t 区段接口的 IP 地址。
为 Trust 区段接口分配唯一且固定的 IP 地址。输入 Tru st 区段接
口 IP 地址和网络掩码。
53
Page 54
SSG 5 硬件安装和配置指南
10. Wireless0/0 接口 (Trust 区段 ) 窗口
如果有 SSG 5-WLAN 设备，则必须先设置服务集标识符 (SSID)，否则将无法激活
wireless0/0 接口。有关配置无线接口的详细说明，请参阅
考指南
图 29: Wireless0/0 接口窗口
。
概念与范例
ScreenOS
参
54
Page 55
表 18: Wireless0/0 接口窗口中的字段
字段 说明
Wlan Mode
SSID
Authentication and Encryption
设置 WLAN 无线模式 :
5G (802.11a)
2.4G (802.11b/g)
Both (802.11a/b/g)
设置 SSID 名称。
设置 WLAN 接口认证和加密 :
Open 认证为缺省设置，在这种情况下允许任何人访问设
备。对此认证选项无需进行加密处理。
WPA Pre-Shared Key 认证设置访问无线连接时必须输入的
预共享密钥 (PSK) 或密码短语。可以选择输入 HEX 或 PSK
的 ASCII 值。HEX PSK 必须是一个 256 位 (64 个文本字符 )
的 HEX 值。ASCII 密码短语必须是 8 到 63 个文本字符。必
须选择“临时密钥完整性协议”(TKIP) 或“高级加密标准”
(AES) 作为此选项的加密类型，或者选择 Auto 以允许使用任
一选项。
WPA2 预共享密钥。
WPA 自动预共享密钥。
Interface IP
Netmask
设置 WLAN 接口 IP 地址。
设置 WLAN 接口网络掩码。
配置 WAN 接口以后，将显示接口汇总窗口。
11. 接口汇总窗口
检查接口配置，准备好继续后，单击 Next。出现物理以太网 DHCP 接口窗口。
图 30: 接口汇总窗口
55
Page 56
SSG 5 硬件安装和配置指南
12. 物理以太网 DHCP 接口窗口
选择 Yes 启动设备以通过 DHCP 为有线网络分配 IP 地址。输入 IP 地址范围 ( 设备
会将这些 IP 地址分配给正在使用您的网络的客户端 )。
图 31: 物理以太网 DHCP 接口窗口
13. 无线 DHCP 接口窗口
选择 Yes 启动设备以通过 DHCP 为无线网络分配 IP 地址。输入 IP 地址范围 ( 设备
会将这些 IP 地址分配给正在使用您的网络的客户端 )。
图 32: 无线 DHCP 接口窗口
56
Page 57
14. 确认窗口
根据需要确认设备配置和更改。单击 Next 保存、重新启动设备和运行配置。
图 33: 确认窗口
单击 Next 后，设备将以保存的系统配置重新启动。出现 WebUI 登录提示。有关如
何使用 WebUI 访问设备的信息，请参阅第 23 页上的“使用 WebUI”。
57
Page 58
SSG 5 硬件安装和配置指南
58
Page 59
索引
C
重置针孔，使用.............................................................36
D
电缆
基本网络连接
...........................................................18
G
管理
通过 Telnet 连接
通过 WebUI ..............................................................23
通过控制台 ............................................................... 22
管理服务.........................................................................28
......................................................24
J
将接口备份到 Untrust 区段..........................................29
L
连接，基本网络.............................................................18
N
内存升级步骤.................................................................37
P
配置
admin 名称和密码
备份不可信接口 ....................................................... 29
管理存取 ................................................................... 28
管理地址 ................................................................... 29
管理服务 ................................................................... 28
桥接组 (bgroup) .......................................................27
缺省路由 ................................................................... 29
日期和时间 ............................................................... 27
USB............................................................................14
WAN 接口.................................................................33
无线接口和以太网组合 ........................................... 33
无线认证和加密 ....................................................... 31
主机名和域名 ........................................................... 28
...................................................26
W
无线
使用缺省接口
天线 ...........................................................................20
无线电收发器
WLAN 0
WLAN 1.....................................................................14
...........................................................20
.....................................................................14
Q
缺省 IP 地址 ...................................................................25
U
Untrust 区段，配置备份接口.......................................29
索引 59
Page 60
SSG 5 硬件安装和配置指南
60 索引
Loading...