Juniper防火墙划分三个端口：

1.E0/0连接内网网络，网段是172.16.1.0/24，E0/0的端口ip地址是172.16.1.1，作为内网网络的网关

2.E0/1连接DMZ区域，网段是172.16.2.0/24，E0/1的端口ip地址是172.16.2.1，作为DMZ的网关

3.E0/2连接外网区域，网段是202.202.202.0/24，E0/2的端口ip地址是202.202.202.202，同时配置默认路由，指向202.202.202.1

划分为三个不同区域，策略如下：

1.E0/0是trust区域，trust区域能够访问DMZ和untrust区域

2.E0/1是DMZ区域，DMZ区域能够访问trust和untrust区域

3.E0/2是untrust区域，untrust区域能够访问DMZ区域

PC连接到交换机上，交换机的有个端口连接到Juniper防火墙的E0/0端口，PC的ip地址是172.16.1.5，网关是172.16.1.1，服务器连接到交换机上，交换机的有个端口连接到Juniper防火墙的E0/1端口，服务器的ip地址是172.16.2.5，网关是172.16.2.1配置完成后，出现了以下问题：

1.PC能够ping通172.16.1.1，也能够ping通202.202.202.202，也能够上网，但是不能ping通172.16.2.1

2.服务器也能够ping通172.16.2.1，也能够ping通202.202.202.202，也能够上网，但是不能ping通172.16.1.1

为了找出问题所在，在策略里面增加日志记录功能，发现和DMZ区域通信时，相应的策略并没有任何的日志记录，判断数据并没有到达Juniper或者Juniper对数据进行了过滤。

后来发现是PC的掩码配置错误，应该为255.255.255.0，配置错误为255.255.0.0。和DMZ区域（172.16.2.0/24）通信时误以为和自己是一个网段的，所以会arp广播查询mac地址，但是广播包无法通过Juniper的三层口。即使有mac地址，172.16.1.5和172.16.2.5通信时，二层源mac地址是172.16.1.5的mac地址，目的mac地址是172.16.2.5的mac地址。这个包发给交换机后，由于没有该mac地址对应的端口，会从所有端口洪泛此包，到达Juniper后，发现目的mac地址并不属于自己的，会进行丢弃处理，所以通信仍不能建立。

junper防火墙之自摆乌龙的更多相关文章

  1. CentOS7使用firewalld打开关闭防火墙与端口(转载)

    1.firewalld的基本使用 启动: systemctl start firewalld 查看状态: systemctl status firewalld 停止: systemctl disabl ...

  2. 解决开启服务器防火墙导致ftp不能连接的问题

    在防火墙设置的"高级"选项卡中的"网络连接设置"--"本地连接"--"设置"中添加了"FTP服务器" ...

  3. Linux网卡驱动安装、防火墙原理

    安装网卡驱动程序: 需要检查是否安装kernel依赖包: rpm –q kernel-devel #检查kernel依赖包是否安装 yum –y install kernel-devel 检查gcc和 ...

  4. centos6和centos7防火墙的关闭

    CentOS6.5查看防火墙的状态: [zh@localhost ~]$service iptable status 显示结果: [zh@localhost ~]$service iptable st ...

  5. 解决WINDOWS防火墙开启后Ping不通

    WINDOWS系统由于安全考虑,当开启防火墙时,默认不允许外主机对其进行ping功能,即别的电脑ping不通本机.别的主机ping不通本机是因为本机的防火墙关闭了ICMP回显功能,只要把这回显功能打开 ...

  6. Linux配置防火墙 开启80端口的方法

    命令行输入: vi /etc/sysconfig/iptables 将 -A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT ...

  7. XSS 前端防火墙 —— 整装待发

    到目前为止,我们把能用前端脚本防御 XSS 的方案都列举了一遍. 尽管看起来似乎很复杂累赘,不过那些是理论探讨而已,在实际中未必要都实现.我们的目标只是为了预警,能发现问题就行,并非要做到滴水不漏的程 ...

  8. CentOS7安装iptables防火墙

    CentOS7默认的防火墙不是iptables,而是firewalle. 安装iptable iptable-service #先检查是否安装了iptables service iptables st ...

  9. CentOS7使用firewalld打开关闭防火墙与端口

    1.firewalld的基本使用 启动: systemctl start firewalld 查看状态: systemctl status firewalld  停止: systemctl disab ...

随机推荐

  1. python算法（一）基本知识&冒泡排序&选择排序&插入排序

    本节内容: 算法基本知识 冒泡排序 选择排序 插入排序 1. 算法基本知识 1.1 什么是算法? 算法(algorithm):就是定义良好的计算过程,他取一个或一组的值为输入,并产生出一个或一组值作为 ...

  2. @Autowired与@Resource的区别（转载）

    原文地址:http://bhdweb.iteye.com/blog/1663907 1.@Autowired与@Resource都可以用来装配bean. 都可以写在字段上,或写在setter方法上.  ...

  3. SOA架构及其架构分析

    一.什么是SOA SOA即面向服务的架构.分为三层结构:表示层(服务层).中间业务逻辑层.数据访问层. SOA是一种粗粒度.松耦合服务架构,服务之间通过简单.精确定义接口进行通讯,不涉及底层编程接口和 ...

  4. chrome scrollTop 获取失败问题及解决方案

    https://blog.csdn.net/h357650113/article/details/78384621

  5. 镜像源操作-ananconda-docker

    CentOS mv /etc/yum.repos.d/CentOS-Base.repo /etc/yum.repos.d/CentOS-Base.repo.backup CentOS 6 wget - ...

  6. html aside标签 语法

    html aside标签 语法 aside是什么意思? aside为语义化标签,通常用来描述与文档主体内容不相关的内容,其aside标签的内容应该与附近的内容相关. 作用:定义其所处内容之外的内容.直 ...

  7. UNIX环境--线程

    一.线程的概念 1.线程在进程中是负责执行代码的一个单位,可以说线程是进程的一部分.一个进程中至少要有一个主线程,进程可以拥有多个线程. 2.线程和进程一样,线程会共享进程的一些信息.比如,代码段.全 ...

  8. 【bzoj1189】[HNOI2007]紧急疏散evacuate

    *题目描述: 发生了火警,所有人员需要紧急疏散!假设每个房间是一个N M的矩形区域.每个格子如果是’.’,那么表示这是一块空地:如果是’X’,那么表示这是一面墙,如果是’D’,那么表示这是一扇门,人们 ...

  9. 启用Executor初始化线程池

    前言 上文我们介绍了JDK中的线程池框架Executor.我们知道,只要需要创建线程的情况下,即使是在单线程模式下,我们也要尽量使用Executor.即: ExecutorService fixedT ...

  10. （48）LINUX应用编程和网络编程之三Linux获取系统信息

    3.3.1.关于时间的概念 3.3.1.1.GMT时间 (1)GMT是格林尼治时间,也就是格林尼治地区的当地之间. (2)GMT时间的意义?[用格林尼治的当地时间作为全球国际时间],用以描述全球性的事 ...