Konfigurisanje firewall-a netscreen-5gt i routera cisco 1600

Ako neko ima iskustva sa konfigurisanjem juniperovog firewall-a netscreen-5gt potrebna mi je pomoc.
Imam iznajmljenu liniju koja ide preko routera cisco 1600 na server win 2000. Na serveru imam dvije mrezne kartice. Jedna je konfigurisana za mrezu 10.10.0.1 i povezana je sa routerom, a da druga 192.168.0.1 je povezana u switch moje lokalne mreze. Na serveru je postavljen softverski firewall koji filtrira saobracaj sa kartice 10.10.0.1, a sa 192.168.0.1 propusta sav saobracaj. Firma je kupila juniperovog firewall netscreen-5gt koji bi trebalo prikljuciti na router i direktno na switch lokalne mreze 192.168.0.1, a drugu karticu bih izbacio. Isto tako me interesuje da li ima ogranicen broj korisnika koji mogu ici preko njega i koliki je taj broj u osnovnoj verziji, jer na mrezi imam 30 korisnika (nisam mogao da nadjem u papirima).

Trenutna konfiguracija routera je:
ip subnet-zero
!
!
!
!
interface Ethernet0
ip address 10.10.0.1 255.255.255.252
no ip directed-broadcast
ip nat inside
!
interface Serial0
ip address 70.75.83.122 255.255.255.252
no ip directed-broadcast
ip nat outside
!
ip nat inside source list 11 interface Serial0 overload
ip classless
ip route 0.0.0.0. 0.0.0.0. 70.75.83.121
no ip http server
!
access-list 1 permit 10.10.0.2
access-list 1 deny any
access-list 11 permit 10.10.0.2

Netscreen ima wizard za konfigurisanje koji trazi sljedece podatke:
-Static ip unthrust:
UNTHRUST____________
NETMASK_____________
GATEWAY_____________

-Thrust
IP ADRES______________
NET MASK_____________

Hvala

to je jednostavno, taj wizard je dovoljan da konfiguriraš samo mreže.

untrust:

ip: 10.10.0.1
netmask: 255.0.0.0 (ako se radi o default mreži)
gateway: IP od routera iz mreže 10.10.0.0

trust:

ip: 192.168.0.10 (naprimjer)
netmask: 255.255.255.0


svim stanicama u mreži staviš da je 192.168.0.10 gateway, a DNS-ove od providera ako nemaš lokalni DNS. možeš i upaliti DHCP na Netscreen-u.
što se tiče broja klijenata, zavisi koju verziju imaš, postoji sa licencom do 10 korisnika u trust zoni i sa neograničenim brojem, pretpostavljam da tebi treba ova druga.


npr:



P.S. prvi put čujem da netko u BiH koristi Netscreen, ja sam nedavno stavio jednog u Banja Luci.

Da li su potrebna neka dodatna konfigurisanja firewall-a pored ovih osnovnih radi bolje sigurnosti.

Da, svakako licenca za 10+ korisnika, tj. NS u oznaci NS-5GT-105. U principu može da bude dovoljan za LAN od 30 korisnika, ako nema "specifičnih" zahteva.
Koji ScreenOS si dobio uz uredjaj? Za >5.1 obrati pažnju da je fw podešen u Untrust-Trust mod ili koji ti već treba.

Naravno dosta toga dodatno možeš konfigurisati u cilju bolje sigurnosti... ipak to zavisi od potreba tvoje mreže. Onako generalno možeš npr. podesiti u polisama da su sa untrust dozvoljeni samo servisi koji su vam potrebni u mreži (HTTP, FTP, POP3, MAIL, SNMP, DNS, dns-high-ports, itd itd, npr. SIP ako koristite itd.). Ne zaboravi da u sledećoj polisi sve ostale zabraniš.

U Network, Interfaces, možeš zabraniti telnet, ping itd na interfejsu za koji smatraš da bi trebalo (privatna IP sa obe strane?) i još dodatno "vidljiv" samo za odredjene ip adrese (Configuration, Admin, Permitted IP)
Password se podrazumeva :)

Dalje imaš niz praktičnih/sigurnosnih opcija, npr. URL filtering, ICMP Flood Protection (pod Screen) itd itd. Po potrebi :)

btw. upoznao sam nedavno neke ljude iz Sarajeva koji su već nekoliko godina Netscreen partneri, tako da izgleda da ima još u BiH...

Potpis

Justice for Calimero and cracker for Poly