Part 04 - SRX Getting Started - Interfaces

[GreenNET]

LÀM QUEN VỚI THIẾT BỊ JUNIPER SRX
Chủ đề 04: Cấu hình Interfaces và Security Zones

Bài viết này cung cấp một ví dụ về cấu hình interface và security zone trên SRX.







Các chủ đề trong bài viết:

• Cách đặt tên interface trên Junos.
• Khái quát về security zone.
• Cấu hình ví dụ về interface và security zone.
• Kiểm tra cấu hình.

Cách đặt tên interface trên Junos:
Nếu bạn mới tìm hiểu về hệ điều hành Junos của Juniper, để có thể cấu hình interface, trước hết bạn cần phải hiểu về cách đặt tên của interface.
§ Cấu trúc đặt tên interface như sau:
<Interface Type>-<Slot>/<Module>/<Port>.<logical number>
§ Chi tiết về cách đặt tên interface có thể tham khảo tại link sau:
http://www.juniper.net/techpubs/software/junos-security/junos-security10.0/junos-security-swconfig-interfaces-and-routing/network-interfaces-section.html#jseries-interface-naming-conventions
§ Sử dụng lệnh ‘show interface terse’ để xem danh sách những interface hiện có trên thiết bị:

[FONT=Courier New][COLOR=#000000]root@SRX240> show interfaces terse[/COLOR][/FONT]
[FONT=Courier New][COLOR=#000000]Interface      Admin Link Proto    Local                 Remote[/COLOR][/FONT]
[FONT=Courier New][COLOR=#000000]ge-0/0/0       up    up [/COLOR][/FONT]
[FONT=Courier New][COLOR=#000000]ge-0/0/0.0     up    up   inet     10.85.49.150/24[/COLOR][/FONT]
[FONT=Courier New][COLOR=#000000]gr-0/0/0       up    up [/COLOR][/FONT]
[FONT=Courier New][COLOR=#000000]ip-0/0/0       up    up [/COLOR][/FONT]
[FONT=Courier New][COLOR=#000000]lsq-0/0/0      up    up [/COLOR][/FONT]
[FONT=Courier New][COLOR=#000000]lt-0/0/0       up    up [/COLOR][/FONT]
[FONT=Courier New][COLOR=#000000]mt-0/0/0       up    up [/COLOR][/FONT]
[FONT=Courier New][COLOR=#000000]pd-0/0/0       up    up [/COLOR][/FONT]
[FONT=Courier New][COLOR=#000000]pe-0/0/0       up    up[/COLOR][/FONT]

§ Lấy ví dụ về interface ge-0/0/0.0 trong ví dụ trên có thể phân tích như sau:
o Đây là một interface logic số 0, cấu hình trên interface vật lý ge-0/0/0.
o Kiểu của interface này là Gigabit Ethernet.
o Interface nằm trên port số 0 của module số 0, và module này đã được gắn vào slot 0 của thiết bị.

Khái quát về security zone:
Một security zone được định nghĩa là một vùng bao gồm những interface có chung những chính sách bảo mật. Mối quan hệ giữa security zone và interface có thể khái quát như sau:
§ Một security zone có thể chứa nhiều interface.
§ Một interface chỉ có thể áp đặt trên một security zone cụ thể.
Một ví dụ về cách áp đặt một interface vào một security zone như sau:
§ Interface kết nối đến mạng LAN, có thể áp đặt vào security zone tên là ‘trust’.
§ Interface kết nối ra internet, có thể áp đặt vào security zone tên là ‘untrust’.
Một security policy (chính sách bảo mật) có thể được sử dụng để điều kiển luồng dữ liệu từ security zone này đến security zone khác. Chúng ta sẽ đề cập cụ thể hơn về security zone trong các bài viết sau.



Cấu hình ví dụ về interface và security zone:

[COLOR=#000000][FONT=Courier New]root# set interfaces ge-0/0/1 unit 0 family inet address 192.168.20.2/24
Cấu hình interface ge-0/0/1.0 với địa chỉ IP là 192.168.20.2/24:
[/COLOR]

• Cấu hình một security zone với tên ‘trust’:

[COLOR=#000000]root# set security zones security-zone trust[/COLOR]

• Áp đặt interface ge-0/0/1.0 đến security zone ‘trust’:

[COLOR=#000000]root# set security zones security-zone trust interfaces ge-0/0/1.0[/COLOR]

[/FONT]
Kiểm tra cấu hình:





Để kiểm tra cấu hình ta có thể sử dụng một vài lệnh như sau:

• show interfaces terse
• show interfaces
• show security zones

(Bài viết được thực hiện bởi GiangNN - Trung Tâm Đào Tạo GreenNET)

[emptyX]

Hi GreenNet,
CHo mình hỏi là khi nào dùng logical interface, khi nào ko dùng ???!
Logical Interface trong Juniper nó có giống interface type nào củ Cisco hay ko ?!

Thanks,

[junumber1]

Hi emptyX

Logical Interface của Juniper khá giống với Sub-Interface của Cisco. Chỉ có điều nó ưu việt hơn rất nhiều.
Một điều lưu ý là khi bạn gán địa chỉ ip thì bắt buộc bạn phải gán nó vào một unit nhất định (unit ở đây chính là phần logical của interface đồng thời nó thể hiện bản chất địa chỉ ip lớp 3 là logical mà)

Ví dụ ở đây ta gán ip cho cổng gigabit ethernet ge-0/0/1 tại unit 0
root# set interfaces ge-0/0/1 unit 0 family inet address 192.168.20.2/24
Khi đó cổng này sẽ được ký hiệu là ge-0/0/1.0

Có thể gán thêm ip cho một unit khác trên cùng cổng này
root# set interfaces ge-0/0/1 unit 11 family inet address 192.168.11.2/24
Khi đó cổng này sẽ là ge-0/0/1.11

Tóm lại:
Juniper quy định bắt buộc phải đặt địa chỉ ip trong unit, do đó logical interface luôn luôn phải dùng đến.
Một interface vật lý có thế chứa nhiều unit (trong trường hợp trên cổng vật lý ge-0/0/1 có 2 unit là 0 & 11). Ngoài ra một unit có thế gán nhiều ip (tương tự Cisco).

Thân

[emptyX]

thanks junumber1 :)

[phutranthanh]

Các bạn cho mình hỏi cách cấu hình ethernet channel trong juniper srx110. Cụ thể: tôi muốn dùng tất cả 8 port làm ethernet channel, trunking với switch core, sau đó tạo ra 2 interface VLAN: interface VLAN 10 trong zone trust và interface VLAN 100 là untrust.
Mọi người vui lòng giúp cấu hình nhé.
Thanks