免费注册 查看新帖 |

Chinaunix

  平台 论坛 博客 文库
最近访问板块 发新帖
查看: 1544 | 回复: 4
打印 上一主题 下一主题

网络出口配置问题,pix与netscreen熟悉的进来帮一下忙,谢谢! [复制链接]

论坛徽章:
0
跳转到指定楼层
1 [收藏(0)] [报告]
发表于 2006-07-31 13:39 |只看该作者 |倒序浏览
客户的公网出口是两台防火墙串接,Pix525作为内网防火墙,netscreen作为外网防火墙,采用两层地址映射的方式

pix后有两台主机,一台为unix服务器,地址为134.64.2.10,之前仅在公网上开放了7001与9001端口,另一台为pc server作为测试机地址为134.64.2.18此前没有出公网,pix将两台主机分别mip为192.168.200.100与 192.168.200.104,netscreen再将这两个192地址映射为公网地址;

出于业务需要,主机需要调用公网上的某台服务器的smtp,即需要开放两台主机外出访问25端口的权限,我对pix和netscreen做了如下配置:

pix的acl配置:

access-list 101 permit tcp any host 192.168.200.100 eq 7001
access-list 101 permit tcp any host 192.168.200.100 eq 9001
access-list 101 permit tcp any host 192.168.200.103 eq 7001
access-list 101 permit tcp any host 192.168.200.103 eq 9001
access-list 101 permit tcp any host 192.168.200.104 eq smtp
access-list 101 permit tcp any host 192.168.200.100 eq smtp
access-list 101 permit icmp any host 192.168.200.100 echo-reply
access-list 101 permit icmp any host 192.168.200.104 echo-reply
access-group 101 in interface outside

netscreen上做了如下policy配置:
set policy id 14 from "Untrust" to "Global"  "Any" "MIP(x.x.x.35)" "7001" Permit
set policy id 0 name "go-out" from "Trust" to "Untrust"  "192.168.100.0/24" "192.168.100.0/24" "7001" Permit
set policy id 13 from "Untrust" to "Global"  "Any" "MIP(x.x.x.35)" "9001" Permit
set policy id 1 from "Trust" to "Untrust"  "192.168.100.0/24" "192.168.100.0/24" "9001" Permit
set policy id 2 from "Untrust" to "Trust"  "Any" "Any" "MAIL" Permit
set policy id 3 from "Trust" to "Untrust"  "Any" "Any" "MAIL" Permit
set policy id 4 from "Untrust" to "Global"  "Any" "MIP(x.x.x.35)" "MAIL" Permit
set policy id 5 from "Untrust" to "Global"  "Any" "MIP(x.x.x.3" "MAIL" Permit

x.x.x.35是134.64.2.10的公网地址
x.x.x.38是134.64.2.18的公网地址

经过配置以后做测试,测试机可以顺利联通远端25端口,但是正式机却怎么也联不上公网地址
1、是否与unix本地没有打开25端口有关?连接远程25端口需要本地主机自身也同时打开25端口吗?
2、是否与主机双网卡多地址绑定有关?我已经在主机里面添加了目标主机route add net 210.x.x.0 gateway 134.64.2.1(内网pix地址)的静态路由了,还是不通.

论坛徽章:
0
2 [报告]
发表于 2006-07-31 13:48 |只看该作者
自己顶,拜托大家乐!

论坛徽章:
0
3 [报告]
发表于 2006-07-31 14:32 |只看该作者
有人骂?

论坛徽章:
0
4 [报告]
发表于 2006-07-31 15:00 |只看该作者
把netscreen的配置改为
set policy id 2 from "Untrust" to "Trust"  "Any" "Any" "any" Permit
set policy id 3 from "Trust" to "Untrust"  "Any" "Any" "any" Permit

测试机能ping出到公网,而业务机还是不行!

论坛徽章:
0
5 [报告]
发表于 2006-07-31 15:08 |只看该作者
提示: 作者被禁止或删除 内容自动屏蔽
您需要登录后才可以回帖 登录 | 注册

本版积分规则 发表回复

  

北京盛拓优讯信息技术有限公司. 版权所有 京ICP备16024965号-6 北京市公安局海淀分局网监中心备案编号:11010802020122 niuxiaotong@pcpop.com 17352615567
未成年举报专区
中国互联网协会会员  联系我们:huangweiwei@itpub.net
感谢所有关心和支持过ChinaUnix的朋友们 转载本站内容请注明原作者名及出处

清除 Cookies - ChinaUnix - Archiver - WAP - TOP