вторник, 2 июля 2013 г.

Лабораторная работа по Juniper №6. OSPF, BGP


Так как лабораторных работ достаточно много, на ранних лабораторных будет изменяться схема подключения устройств.
Настройка BGP:
root@ set protocols bgp local-as 65145

создаем bgp запись с автономной системой 65145
root@ set protocols bgp peer-as 25405

подключаем соседнюю as 25405
root@ set protocols bgp group TEST neighbor 192.168.1.1 preference 150
подключаем соседа по адресу  neighbor 192.168.1.1 с AD 150
root@ set protocols bgp group TEST neighbor 192.168.2.2
подключаем соседа по адресу  neighbor 192.168.2.2
root@ set protocols bgp group TEST multipath
делаем возможность использовать несколько путей для передачи данных в bgp (основной и резервный канал)

Создадим prefix-list с сетями, которые будут анонсироваться через BGP.
root@set policy-options prefix-list TEST 10.10.10.0/24
анонсируем сеть 10.10.10.0/24

создаем политику где prefix-list при совпадении будет анонсироватся в BGP
root@set policy-options policy-statement TESTPolicy term ACCEPT from prefix-list TEST
root@set policy-options policy-statement TESTPolicy term ACCEPT then accept
root@set policy-options policy-statement TESTPolicy then reject 

root@set protocols bgp group TEST export TESTPolicy
включим экспорт в BGP.

Политики в общем виде должны выглядеть так:
policy-options {
    prefix-list TEST {
        10.10.10.0/24;
    }
    policy-statement TESTPolicy {
        term ACCEPT {
            from {                     
                prefix-list TEST ;
            }
            then accept;
        }
        then reject;
    }

Выполним проверку доступности экспортируемого маршрута в таблице маршрутизации.

Настройка OSPF:
root@set protocols ospf area 0 interface ge-1/1/5    
root@set protocols ospf area 0 interface ge-1/1/6     
добавим интерфейсы в area 0.

В show run мы должны видеть
ospf {
area 0.0.0.0 {
interface ge-1/1/5.0
interface ge-1/1/6.0

Теперь поднимем OSPF Single area на всех устройства (кроме EX3200, на него другие планы). Так как на Cisco 7200 у нас используются fa-интерфейсы, а Juniper испытает трудности при использовании SFP-электрического модуля переведем все интерфейсы в 100м режим и отключим автоматическое согласование.Настроим интерфейсы в соответствии с стендом.

root@MX80# show interfaces                          
ge-1/0/5 {
    speed 100m;
    unit 0 {
        description LAN192.168.2.0;
        family inet {
            address 192.168.2.2/24;
        }
    }
}
ge-1/1/4 {
    unit 0 {
        description LAN;
        family inet {
            address 192.168.1.1/24;
        }
    }
}
ge-1/1/5 {
    unit 0 {
        description p2pto7200;
        family inet {
            address 172.16.0.1/30;
        }
    }                                  
}
ge-1/1/6 {
    unit 0 {
        description p2ptoSRX210h;
        family inet {
            address 172.16.2.2/30;
        }
    }
}

По примеру выше и схеме настроим интерфейсы на SRX240h и 7200.

Посмотрим на MX80 таблицу маршрутизации:
root@MX80# run show route 
inet.0: 9 destinations, 9 routes (9 active, 0 holddown, 0 hidden)
+ = Active Route, - = Last Active, * = Both

0.0.0.0/0          *[Static/5] 16:00:20
                    > to 192.168.2.1 via ge-1/0/5.0
172.16.0.1/32      *[Local/0] 16:00:28
                      Reject
172.16.2.0/30      *[Direct/0] 16:00:17
                    > via ge-1/1/6.0
172.16.2.2/32      *[Local/0] 16:00:28
                      Local via ge-1/1/6.0
192.168.1.0/24     *[Direct/0] 16:00:18
                    > via ge-1/1/4.0
192.168.1.1/32     *[Local/0] 16:00:28
                      Local via ge-1/1/4.0
192.168.2.0/24     *[Direct/0] 16:00:20
                    > via ge-1/0/5.0
192.168.2.2/32     *[Local/0] 16:00:29
                      Local via ge-1/0/5.0
224.0.0.5/32       *[OSPF/10] 00:00:15, metric 1 - такого даже на cisco нет))) 

                      MultiRecv

Как мы видим линк между SRX240 и 7200 не появился, опять же из-за не согласования ge порта SRX240 и fa 7200. 
Создадим loopback на SRX240h. 
root@SRX240h# set interfaces lo0 unit 0 family inet 100.100.100.1/24
root@SRX210h# show protocols ospf          
area 0.0.0.0 {
    interface ge-0/0/0.0;
    interface ge-0/0/1.0;
    interface lo0.0;
}
root@MX80> show route
 inet.0: 11 destinations, 11 routes (11 active, 0 holddown, 0 hidden)
+ = Active Route, - = Last Active, * = Both 
0.0.0.0/0          *[Static/5] 16:30:57
                    > to 192.168.2.1 via ge-1/0/5.0
172.16.0.0/30      *[Direct/0] 00:05:28
                    > via ge-1/1/5.0
172.16.0.1/32      *[Local/0] 16:31:05
                      Local via ge-1/1/5.0
172.16.1.0/30      *[OSPF/10] 00:04:42, metric 2
                    > to 172.16.0.2 via ge-1/1/5.0
172.16.2.0/30      *[Direct/0] 16:30:54
                    > via ge-1/1/6.0
172.16.2.2/32      *[Local/0] 16:31:05
                      Local via ge-1/1/6.0
192.168.1.0/24     *[Direct/0] 16:30:55
                    > via ge-1/1/4.0
192.168.1.1/32     *[Local/0] 16:31:05
                      Local via ge-1/1/4.0
192.168.2.0/24     *[Direct/0] 16:30:57
                    > via ge-1/0/5.0
192.168.2.2/32     *[Local/0] 16:31:06
                      Local via ge-1/0/5.0
224.0.0.5/32       *[OSPF/10] 00:30:52, metric 1
                      MultiRecv

 Маршрут до сети 172.16.1.0/30 появился, но loopback нет. Так же при выполнении команды ping 0 loopback не доступен.  Это связанно с логикой работы SRX,  как все межсетевые экраны - необходимо настроить политики безопасности разрешающие что-либо.
root@SRX210h> show configuration security
screen {
    ids-option untrust-screen {
        icmp {
            ping-death;
        }
        ip {
            source-route-option;
            tear-drop;
        }
        tcp {
            syn-flood {
                alarm-threshold 1024;
                attack-threshold 200;
                source-threshold 1024;
                destination-threshold 2048;
                timeout 20;
            }
            land;
        }
    }
}
nat {
    source {
        rule-set trust-to-untrust {    
            from zone trust;
            to zone untrust;
            rule source-nat-rule {
                match {
                    source-address 0.0.0.0/0;
                }
                then {
                    source-nat {
                        interface;
                    }
                }
            }
        }
    }
}
policies {
    from-zone trust to-zone untrust {
        policy trust-to-untrust {
            match {
                source-address any;
                destination-address any;
                application any;
            }                          
            then {
                permit;
            }
        }
    }
}
zones {
    security-zone trust {
        host-inbound-traffic {
            system-services {
                all;
            }
            protocols {
                all;
            }
        }
        interfaces {
            vlan.0;
        }
    }
    security-zone untrust {
        screen untrust-screen;
        interfaces {                   
            ge-0/0/0.0 { - интерфейс через который идет трафик
                host-inbound-traffic {
                    system-services {
                        dhcp;
                        tftp;
                        ping;
                    }
                }
            }
            ge-0/0/1.0 { - интерфейс через который идет трафик
                host-inbound-traffic {
                    system-services {
                        any-service;
                    }
                }
            }
        }
    }

}
ping успешен.

Настроим loopback'и на других устройствах. 

root@MX80# set inetrface lo0 unit 0 family inet address 200.200.200.1/24
root@MX80# set protocols ospf area 0.0.0.0 interface lo0.0

Cisco(config)#router ospf 1
Cisco(config-router)#network 150.150.150.0 0.0.0.255 area 0
Cisco(config-router)#exit

Cisco(config)#interface loopback 0
Cisco(config-if)#ip address 150.150.150.1 255.255.255.0
Cisco(config-if)#no shutdown
Cisco(config-if)#exit

В таблице  маршрутов MX80:

150.150.150.1/32   *[OSPF/10] 00:00:21, metric 2 - loopback от cisco, от SRX по прежнему не видно
                    > to 172.16.0.2 via ge-1/1/5.0

Добавим политики пропускающие ospf пакеты на SRX

...interfaces ge-0/0/1 host-inbound-traffic protocols ospf   
...interfaces ge-0/0/0 host-inbound-traffic protocols ospf

root@SRX210h> show ospf neighbor
Address          Interface              State     ID               Pri  Dead
172.16.2.2       ge-0/0/0.0             Full      200.200.200.1    128    39
172.16.1.1       ge-0/0/1.0             Full      172.16.1.1         1    34

root@SRX210h> show route protocol ospf  
inet.0: 13 destinations, 13 routes (13 active, 0 holddown, 0 hidden)
+ = Active Route, - = Last Active, * = Both
150.150.150.1/32   *[OSPF/10] 00:04:58, metric 2
                    > to 172.16.1.1 via ge-0/0/1.0
172.16.0.0/30      *[OSPF/10] 00:04:58, metric 2
                      to 172.16.2.2 via ge-0/0/0.0
                    > to 172.16.1.1 via ge-0/0/1.0
200.200.200.0/24   *[OSPF/10] 00:05:01, metric 1
                    > to 172.16.2.2 via ge-0/0/0.0
200.200.200.1/32   *[OSPF/10] 00:05:01, metric 1
                    > to 172.16.2.2 via ge-0/0/0.0
224.0.0.5/32       *[OSPF/10] 00:59:34, metric 1
                      MultiRecv

 Теперь другое дело, на SRX приходят loopback'и от других устройств.

Перейдем на Cisco:
Cisco#show ip ospf neighbor
Neighbor ID     Pri   State           Dead Time   Address         Interface
100.100.100.1   128   FULL/DR         00:00:37    172.16.1.2      FastEthernet0/0
200.200.200.1   128   FULL/DR         00:00:39    172.16.0.1      FastEthernet0/1

Cisco#show ip route
Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2
       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
       ia - IS-IS inter area, * - candidate default, U - per-user static route
       o - ODR, P - periodic downloaded static route
Gateway of last resort is not set
     200.200.200.0/24 is variably subnetted, 2 subnets, 2 masks
O       200.200.200.0/24 [110/1] via 172.16.0.1, 00:03:00, FastEthernet0/1
O       200.200.200.1/32 [110/1] via 172.16.0.1, 00:03:00, FastEthernet0/1
     100.0.0.0/8 is variably subnetted, 2 subnets, 2 masks
O       100.100.100.0/24 [110/1] via 172.16.1.2, 00:03:00, FastEthernet0/0
O       100.100.100.1/32 [110/1] via 172.16.1.2, 00:03:00, FastEthernet0/0
     172.16.0.0/30 is subnetted, 3 subnets
C       172.16.0.0 is directly connected, FastEthernet0/1
C       172.16.1.0 is directly connected, FastEthernet0/0
O       172.16.2.0 [110/2] via 172.16.0.1, 00:03:01, FastEthernet0/1
                   [110/2] via 172.16.1.2, 00:03:01, FastEthernet0/0
     150.150.0.0/24 is subnetted, 1 subnets
C       150.150.150.0 is directly connected, Loopback0

Заметим, что Juniper анонсирует loopback с маской, которая указанна на при создании, cisco так не может(

MX80:
root@MX80> show ospf neighbor
Address          Interface              State     ID               Pri  Dead
172.16.0.2       ge-1/1/5.0             Full      172.16.1.1         1    38
172.16.2.1       ge-1/1/6.0             Full      100.100.100.1    128    32

root@MX80> show route protocol ospf   
inet.0: 16 destinations, 16 routes (16 active, 0 holddown, 0 hidden)
+ = Active Route, - = Last Active, * = Both
100.100.100.0/24   *[OSPF/10] 00:02:08, metric 1
                    > to 172.16.2.1 via ge-1/1/6.0
100.100.100.1/32   *[OSPF/10] 00:02:08, metric 1
                    > to 172.16.2.1 via ge-1/1/6.0
150.150.150.1/32   *[OSPF/10] 00:05:06, metric 2
                    > to 172.16.0.2 via ge-1/1/5.0
172.16.1.0/30      *[OSPF/10] 00:02:08, metric 2
                    > to 172.16.0.2 via ge-1/1/5.0
                      to 172.16.2.1 via ge-1/1/6.0
224.0.0.5/32       *[OSPF/10] 01:01:17, metric 1
                      MultiRecv

 Теперь вернемся к EX3200: С помощью его мы сделаем из Single area, Multiarea, где ABR(ASBR) будет MX80.
EX2200
set vlans OSPF l3-interface vlan.100
root@EX2200# show
## Last changed: 2009-01-16 04:09:15 UTC
version 9.2R3.5;
system {
    host-name EX2200;
    root-authentication {
        encrypted-password "$1$B.P17g9e$95BGJvcYwYz3uAGym6UjK."; ## SECRET-DATA
    }
}
interfaces {
    ge-0/0/0 {
        unit 0 {
            family ethernet-switching {
                vlan {
                    members OSPF;
                }
            }
        }
    }


    vlan {
        unit 100 {
            family inet {
                address 192.168.1.2/24;
            }      
        }
   
}
vlans {
    OSPF {
        vlan-id 100;
    }
}

Изменим настройки на MX80:
root@MX80> show configuration protocols ospf  
area 0.0.0.0 {
    interface ge-1/1/5.0;
    interface ge-1/1/6.0;
    interface lo0.0;
}
area 0.0.0.1 {
    interface ge-1/1/4.0;
}

Настройки на EX3200:
root@EX3200> show configuration protocols ospf
area 0.0.0.1 {
    interface ge-0/0/0.0;
    interface lo0.0;
    interface vlan.100;
}
set protocols ospf area 1 interface ge-0/0/2

   ge-0/0/2 {
        unit 0 {
            family inet {
                address 192.168.100.1/24;
            }
        }
    }

Перейдем непосредственно к настройке ABR/ASBR:

создаем политики:
set policy-options policy-statement OSPF_EXPORT_POL term EXPORT_ALL from protocol ospf
set policy-options policy-statement OSPF_EXPORT_POL term EXPORT_ALL from protocol static
set policy-options policy-statement OSPF_EXPORT_POL term EXPORT_ALL then accept
set policy-options policy-statement OSPF_IMPORT_POL term IMPORT_ALL from protocol ospf
set policy-options policy-statement OSPF_IMPORT_POL term IMPORT_ALL then acceptприменяем политики:
set protocols ospf export OSPF_EXPORT_POL
set protocols ospf import OSPF_IMPORT_POL

В итоге:
protocols {
    ospf {
        export OSPF_EXPORT_POL;
        import OSPF_IMPORT_POL;
        area 0.0.0.0 {
            interface ge-1/1/5.0;
            interface ge-1/1/6.0;
            interface lo0.0;
        }
        area 0.0.0.1 {
            interface ge-1/1/4.0;
        }
    }
}
policy-options {
    policy-statement OSPF_EXPORT_POL {
        term EXPORT_ALL {
            from protocol ospf static;
            then accept;
        }
    }
    policy-statement OSPF_IMPORT_POL { 
        term IMPORT_ALL {
            from protocol ospf;
            then accept;
        }
    }

root@MX80> show ospf database

    OSPF database, Area 0.0.0.0
 Type       ID               Adv Rtr           Seq      Age  Opt  Cksum  Len
Router   100.100.100.1    100.100.100.1    0x80000023  2762  0x22 0x9c8d  72
Router   172.16.1.1       172.16.1.1       0x8000001d    38  0x22 0x4574  60
Router  *200.200.200.1    200.200.200.1    0x80000018   698  0x22 0xabd3  72
Network *172.16.0.1       200.200.200.1    0x80000007   278  0x22 0x3dc6  32
Network  172.16.1.1       172.16.1.1       0x80000007    38  0x22 0xbf0d  32
Network *172.16.2.2       200.200.200.1    0x80000005   483  0x22 0x68d   32
Summary *192.168.1.0      200.200.200.1    0x80000005  2018  0x22 0xf57c  28
Summary *192.168.100.0    200.200.200.1    0x80000001   513  0x22 0xc24f  28


    OSPF database, Area 0.0.0.1
 Type       ID               Adv Rtr           Seq      Age  Opt  Cksum  Len
Router   192.168.1.2      192.168.1.2      0x8000000c   475  0x22 0x8e0a  48
Router  *200.200.200.1    200.200.200.1    0x80000005  2018  0x22 0xb6e7  36
Network *192.168.1.1      200.200.200.1    0x80000002  2018  0x22 0x3476  32
Summary *100.100.100.0    200.200.200.1    0x80000004    78  0x22 0x961a  28
Summary *100.100.100.1    200.200.200.1    0x80000003  2144  0x22 0x8e22  28
Summary *150.150.150.1    200.200.200.1    0x80000003  1938  0x22 0x898f  28
Summary *172.16.0.0       200.200.200.1    0x80000003  1525  0x22 0x1f06  28
Summary *172.16.1.0       200.200.200.1    0x80000003  1731  0x22 0x1e05  28
Summary *172.16.2.0       200.200.200.1    0x80000003  1318  0x22 0x91a   28
Summary *200.200.200.0    200.200.200.1    0x80000003  1111  0x22 0x7015  28
Summary *200.200.200.1    200.200.200.1    0x80000003   905  0x22 0x661e  28

root@MX80> show route protocol ospf      
 inet.0: 15 destinations, 15 routes (15 active, 0 holddown, 0 hidden)
+ = Active Route, - = Last Active, * = Both

100.100.100.0/24   *[OSPF/10] 03:17:21, metric 1
                    > to 172.16.2.1 via ge-1/1/6.0
100.100.100.1/32   *[OSPF/10] 03:17:21, metric 1
                    > to 172.16.2.1 via ge-1/1/6.0
150.150.150.1/32   *[OSPF/10] 03:37:20, metric 2
                    > to 172.16.0.2 via ge-1/1/5.0
172.16.1.0/30      *[OSPF/10] 03:17:21, metric 2
                      to 172.16.0.2 via ge-1/1/5.0
                    > to 172.16.2.1 via ge-1/1/6.0
192.168.100.0/24   *[OSPF/10] 00:09:58, metric 2
                    > to 192.168.1.2 via ge-1/1/4.0
224.0.0.5/32       *[OSPF/10] 05:44:22, metric 1
                      MultiRecv

EX3200
root@EX3200> show ospf route   
Topology default Route Table:


Prefix             Path   Route       NH   Metric  NextHop       Nexthop     
                   Type   Type        Type         Interface     addr/label
200.200.200.1      Intra  Area/AS BR  IP        1  vlan.100      192.168.1.1
100.100.100.0/24   Inter  Network     IP        2  vlan.100      192.168.1.1
100.100.100.1/32   Inter  Network     IP        2  vlan.100      192.168.1.1
150.150.150.1/32   Inter  Network     IP        3  vlan.100      192.168.1.1
172.16.0.0/30      Inter  Network     IP        2  vlan.100      192.168.1.1
172.16.1.0/30      Inter  Network     IP        3  vlan.100      192.168.1.1
172.16.2.0/30      Inter  Network     IP        2  vlan.100      192.168.1.1
192.168.1.0/24     Intra  Network     IP        1  vlan.100
192.168.100.0/24   Intra  Network     IP        1  ge-0/0/2.0
200.200.200.0/24   Inter  Network     IP        1  vlan.100      192.168.1.1
200.200.200.1/32   Inter  Network     IP        1  vlan.100      192.168.1.1

Зайдем на SRX:

root@SRX210h> show route protocol ospf   
inet.0: 14 destinations, 15 routes (14 active, 0 holddown, 0 hidden)
+ = Active Route, - = Last Active, * = Both

150.150.150.1/32   *[OSPF/10] 03:18:41, metric 2
                    > to 172.16.1.1 via ge-0/0/1.0
172.16.0.0/30      *[OSPF/10] 03:18:41, metric 2
                      to 172.16.2.2 via ge-0/0/0.0
                    > to 172.16.1.1 via ge-0/0/1.0
192.168.1.0/24      [OSPF/10] 00:37:03, metric 2
                    > to 172.16.2.2 via ge-0/0/0.0
192.168.100.0/24   *[OSPF/10] 00:11:14, metric 3
                    > to 172.16.2.2 via ge-0/0/0.0
200.200.200.0/24   *[OSPF/10] 03:18:41, metric 1
                    > to 172.16.2.2 via ge-0/0/0.0
200.200.200.1/32   *[OSPF/10] 03:18:41, metric 1
                    > to 172.16.2.2 via ge-0/0/0.0
224.0.0.5/32       *[OSPF/10] 05:41:01, metric 1
                      MultiRecv


Вот мы и получили ABR. Еще один пункт. Добавим статический адрес. В нашем случае он получился бессмысленным, но добавим для наглядности.
roo@MX80# set routing-options static route 172.16.1.0/30 next-hop 172.16.0.2
root@MX80> show ospf database                        
    OSPF database, Area 0.0.0.0
 Type       ID               Adv Rtr           Seq      Age  Opt  Cksum  Len
Router   100.100.100.1    100.100.100.1    0x80000024   641  0x22 0x9a8e  72
Router   172.16.1.1       172.16.1.1       0x8000001d   917  0x22 0x4574  60
Router  *200.200.200.1    200.200.200.1    0x8000001a   384  0x22 0xa7d5  72
Network *172.16.0.1       200.200.200.1    0x80000007  1157  0x22 0x3dc6  32
Network  172.16.1.1       172.16.1.1       0x80000007   917  0x22 0xbf0d  32
Network *172.16.2.2       200.200.200.1    0x80000005  1362  0x22 0x68d   32
Summary *192.168.1.0      200.200.200.1    0x80000006   159  0x22 0xf37d  28
Summary *192.168.100.0    200.200.200.1    0x80000001  1392  0x22 0xc24f  28

    OSPF database, Area 0.0.0.1
 Type       ID               Adv Rtr           Seq      Age  Opt  Cksum  Len
Router   192.168.1.2      192.168.1.2      0x8000000c  1354  0x22 0x8e0a  48
Router  *200.200.200.1    200.200.200.1    0x80000007   384  0x22 0xb2e9  36
Network *192.168.1.1      200.200.200.1    0x80000003   358  0x22 0x3277  32
Summary *100.100.100.0    200.200.200.1    0x80000004   957  0x22 0x961a  28
Summary *100.100.100.1    200.200.200.1    0x80000004   757  0x22 0x8c23  28
Summary *150.150.150.1    200.200.200.1    0x80000003  2817  0x22 0x898f  28
Summary *172.16.0.0       200.200.200.1    0x80000003  2404  0x22 0x1f06  28
Summary *172.16.1.0       200.200.200.1    0x80000003  2610  0x22 0x1e05  28
Summary *172.16.2.0       200.200.200.1    0x80000003  2197  0x22 0x91a   28
Summary *200.200.200.0    200.200.200.1    0x80000003  1990  0x22 0x7015  28
Summary *200.200.200.1    200.200.200.1    0x80000003  1784  0x22 0x661e  28
    OSPF AS SCOPE link state database
 Type       ID               Adv Rtr           Seq      Age  Opt  Cksum  Len
Extern  *172.16.1.0       200.200.200.1    0x80000001   383  0x22 0x8517  36

Вот так он отображается в таблице OSPF.Если вам понравился данная лабораторная и вам захотелось поблагодарить:
Яндекс.деньги 410011902537185
ICQ: 402204328
Skype: monaxgtx

Так же пишите какие еще темы вы бы хотели видеть, буду разбираться. 
Автор: на Комментариев нет:

Лабораторная работа по Juniper №5. ACL


            Настроим IP ACL листы на интерфейс.
           
            root@ set interfaces ge-0/0/0.0 family inet filter input MANAGEMENT
            применяем acl на интерфейсе

    root@ set interfaces ge-0/0/0.0 family inet 192.168.1.1/24
root@ set firewall family inet filter MANAGEMENT term 10 from protocol tcp
создаем правило 10 и указываем протокол tcp в качестве разрешаемого

root@ set firewall family inet filter MANAGEMENT term 10 from  tcp-established
создаем правило 10 и указываем, что пакеты с установленной сессии пропускать

root@ set firewall family inet filter MANAGEMENT term 10 then accept
применяем правило

root@ set firewall family inet filter MANAGEMENT term TELNET  from  source-address  82.208.75.7
создаем правило пропускающие трафик с адресом источника  82.208.75.7

root@ set firewall family inet filter MANAGEMENT term  TELNET  from destination-port telnet
создаем правило пропсукающая трафик с портом назначения telnet

root@ set firewall family inet filter MANAGEMENT term  TELNET then accept
применяем правило

            root@ set firewall family inet filter MANAGEMENT term OTHER  then  reject
            Все остальные пакеты не удовлетворяющие правилам вышеуказанным     отбрасываются.          

В выводе show conf:
unit 0 {
    family inet {
        filter {
            input MANAGEMENT;
        }
        address 192.168.1.1/24;
    }
}
root@ show firewall family inet filter MANAGEMENT
term 10 {
    from {
        protocol tcp;
        tcp-established;
    }
    then accept;
}
term TELNET {
    from {
        source-address {
            192.168.1.2
        }
        destination-port telnet;
    }
    then accept;
}
term OTHER {
    then {
        reject;
    }


Настройка ACL на mac, snmp и т.п. выполняется аналогично.
Курс JNCIA и прочие.
Если вам понравился данная лабораторная и вам захотелось поблагодарить:
Яндекс.деньги 410011902537185
ICQ: 402204328
Skype: monaxgtx
Автор: на Комментариев нет:
Подписаться на: Сообщения (Atom)