IT技术随笔

AIX 网络概念和管理方面的常见问题及其解决方法

IT技术随笔 — Mon, 25 Aug 2008 16:11:55 +0800

在 AIX 中，TCP/IP 网络支持多种适配器，如：

10/100 MB 以太网适配器
千兆以太网适配器
令牌环网络适配器
FDDI
ATM Turboways 100/155
异步适配器和本地串行端口
串行光通道转换器

当在系统中添加网络适配器后，在 ODM（Object Data Manager）中就会有相应的逻辑设备被创建。下面的例子是如何创建一个以太网络适配器：

相应的网络接口可以允许 TCP/IP 使用网络适配器。对于那些可以自动检测到的适配器，如以太网和令牌网适配器，网络接口都是自动创建的。然而，例如 ATM 适配器，就需要手工进行创建。

对于每个网络适配器，AIX 系统为它们分别分配了一个位置码（location codes）。它的作用是确定适配器所在的位置。一般情况下，位置码一般由最多 4 位代码组成，具体代码的含义在不同类型的机器上是不同的。在这里，我们向您展示如何查询适配器的位置码，如下面的示例：

AIX53:/#lsdev -Cc adapter
ent0    Available 00-08 10/100/1000 Base-TX PCI-X Adapter (14106902)
ent1    Available 06-08 10/100/1000 Base-TX PCI-X Adapter (14106902)
ent2    Available 09-08 2-Port 10/100/1000 Base-TX PCI-X Adapter (14108902)
ent3    Available 09-09 2-Port 10/100/1000 Base-TX PCI-X Adapter (14108902)
ide0    Available 03-08 ATA/IDE Controller Device
lai0    Available 0C-00 GXT135P Graphics Adapter
sisioa0 Available 04-08 PCI-X Dual Channel U320 SCSI RAID Adapter
usbhc0 Available 08-08 USB Host Controller (33103500)
usbhc1 Available 08-09 USB Host Controller (33103500)
vsa0    Available       LPAR Virtual Serial Adapter
vsa1    Available       LPAR Virtual Serial Adapter

红色表示位置码。通过相应的参数表，可以查询到各个网络适配器对应的槽位。详细的操作方法可以参见 System p 的硬件手册： http://publib.boulder.ibm.com/infocenter/pseries/v5r3/index.jsp?topic=/com.ibm.pseries.doc/hardware_docs/hardware.htm

删除一个网络适配器

如果您想从系统中删除一个网络适配器，首先你需要删除相对应的网络接口，然后才能成功删除这个适配器设备。

例如，想删除一个名为 ent0 的网络适配器，需要执行下面的相应操作：

1.查看网络适配器：

AIX53:/#lsdev -Cl ent0
ent0 Available 06-08 10/100/1000 Base-TX PCI-X Adapter (14106902)

2.查看网络接口的定义：

AIX53:/#lsdev -Cl en0
en0 Available 00-08 Standard Ethernet Network Interface

3.停止这个网络接口：

AIX53:/#ifconfig en0 down

4.删除这个网络接口：

AIX53:/#ifconfig en0 detach

5.删除这个网络接口的驱动：

AIX53:/#rmdev -l en0 -d
en0 deleted
AIX53:/#rmdev -l ent0 -d
ent0 deleted

然后您就可以关闭您的服务器，然后把相应的网络适配器拆卸掉了。如果您使用的是热插拔的 PCI 插槽，那么您只要禁用相应的 PCI 插槽，就可以在机器运行的状态下拆卸掉对应的网络适配器了。

网络驱动

为了确认您适配器安装的是哪个网络驱动，您需要使用 lsdev 命令来查询对应的设备的 ID 号，这个 ID 会在 lsdev 输出中显示（一般在括号中）。然后使用 lslpp 命令查找对应的 LPP。下面的例子就是演示如何查询出一个千兆以太网卡所对应的驱动：

AIX53:/#lsdev -Cc adapter | grep ent
ent0    Available 00-08 10/100/1000 Base-TX PCI-X Adapter (14106902)
ent1    Available 06-08 10/100/1000 Base-TX PCI-X Adapter (14106902)
ent2    Available 09-08 2-Port 10/100/1000 Base-TX PCI-X Adapter (14108902)
ent3    Available 09-09 2-Port 10/100/1000 Base-TX PCI-X Adapter (14108902)
AIX53:/#lslpp -l | grep 14106902
devices.pci.14106902.diag
devices.pci.14106902.rte 5.3.0.50 COMMITTED 10/100/1000 Base-TX PCI-X
devices.pci.14106902.rte 5.3.0.50 COMMITTED 10/100/1000 Base-TX PCI-X
AIX53:/#lslpp -l | grep 14108902
devices.pci.14108902.diag 5.3.0.0 COMMITTED 10/100/1000 Base-TX PCI-X
devices.pci.14108902.rte 5.3.0.50 COMMITTED 2-Port 10/100/1000 Base-TX
devices.pci.14108902.rte 5.3.0.50 COMMITTED 2-Port 10/100/1000 Base-TX

安装不存在的网络驱动

如果一个新安装的网络适配器没有在 lsdev 命令输出中显示，那么您可以通过使用cfgmgr 命令来确定缺少了那些软件。cfgmgr 命令会立即显示一个警告并显示缺少了哪些驱动文件集，例如：

# cfgmgr
cfgmgr: 0514-621 WARNING: The following device packages are required for
device support but are not currently installed.
devices.pci.token-ring:devices.pci.14101800:devices.pci.IBM.42H0658:devices.pci
.
IBM.25H3037:devices.pci.IBM.38H5818

安装缺失的驱动文件集并重新运行 cfgmgr 命令。如果 cfgmgr 没有显示任何警告，那么这个网络适配器被成功地安装在您的系统上了。

各版本ScreenOS配置手册官方网站下载链接

IT技术随笔 — Sun, 24 Aug 2008 17:05:14 +0800

1、ScreenOS 4.0中文版（包括简体、繁体）下载链接：

http://www.juniper.net/techpubs/software/screenos/screenos4x/translated/

2、ScreenOS 5.0中文版（包括简体、繁体）下载链接：

http://www.juniper.net/techpubs/software/screenos/screenos5x/translated/

3、ScreenOS 5.1中文版（包括简体、繁体）下载链接：

http://www.juniper.net/techpubs/software/screenos/screenos5.1.0/translated/

4、ScreenOS 5.3中文版（包括简体、繁体）下载链接：

http://www.juniper.net/techpubs/software/screenos/screenos5.3.0/translated/

5、ScreenOS 6.0中文版（包括简体、繁体）下载链接：

http://www.juniper.net/techpubs/software/screenos/screenos6.0.0/translated/

6、ScreenOS 1.0英文版下载链接：

http://www.juniper.net/techpubs/software/screenos/screenos1x/cli_160.pdf

7、ScreenOS 2.0英文版下载链接：

http://www.juniper.net/techpubs/software/screenos/screenos2x/index.html

8、ScreenOS 3.0英文版下载链接：

http://www.juniper.net/techpubs/software/screenos/screenos3x/index.html

9、ScreenOS 4.0英文版下载链接：

http://www.juniper.net/techpubs/software/screenos/screenos4x/index.html

10、ScreenOS 5.0英文版下载链接：

http://www.juniper.net/techpubs/software/screenos/screenos5x/index.html

11、ScreenOS 5.1英文版下载链接：

http://www.juniper.net/techpubs/software/screenos/screenos5.1.0/index.html

12、ScreenOS 5.2英文版下载链接：

http://www.juniper.net/techpubs/software/screenos/screenos5.2.0/index.html

13、ScreenOS 5.3英文版下载链接：

http://www.juniper.net/techpubs/software/screenos/screenos5.3.0/index.html

14、ScreenOS 5.4英文版下载链接：

http://www.juniper.net/techpubs/software/screenos/screenos5.4.0/index.html

15、ScreenOS 6.0英文版下载链接：

http://www.juniper.net/techpubs/software/screenos/screenos6.0.0/index.html

16、ScreenOS 6.1英文版下载链接：

http://www.juniper.net/techpubs/software/screenos/screenos6.1.0/index.html

Juniper SSG550M 实验--之乱七八招不完整版

IT技术随笔 — Fri, 22 Aug 2008 14:34:03 +0800

文档头截图：都是一些很实用的实验过程，

特别适用于有一定Juniper防火墙经验Juniper防火墙的初学者。

写的比较乱，凑合着看吧！

PDF文档下载链接：Juniper SSG550M 实验----之乱七八招不完整版

监视用户的使用情况

IT技术随笔 — Tue, 19 Aug 2008 14:11:52 +0800

查看当前登陆用户列表：

AIX53:/#who
wxh         pts/0       Aug 19 08:16     (172.20.20.60)
root        pts/1       Aug 11 14:45     (172.20.20.71)
zytest      pts/2       Aug 19 08:51     (172.20.20.70)
zcj         pts/3       Aug 19 11:13     (10.200.28.92)
xff         pts/5       Aug 19 11:22     (10.200.25.107)
cdy         pts/6       Aug 19 11:37     (10.200.25.107)
mc          pts/7       Aug 19 11:49     (10.200.25.107)
root        pts/8       Aug 19 13:52     (10.200.51.202)
gj          pts/12      Aug 13 10:55     (172.20.20.68)
gj          pts/15      Aug 13 10:55     (172.20.20.68)

了解最近一次系统启动的时间和最近一次运行级别更改的日期和详细情况：

AIX53:/#who -aH
Name     ST Line           Time     Activity
   .        system boot Aug 11 14:25
   .        run-level 2 Aug 11 14:25
   .            .       Aug 11 14:25    23:01
   .            .       Aug 11 14:25    23:01
   .            .       Aug 11 14:25    23:01
   .            .       Aug 11 14:25    23:01
   .            .       Aug 11 14:25    23:01
   .            .       Aug 11 14:43    23:01
   .            .       Aug 11 14:43    23:01
   .            .       Aug 11 14:43    23:01
srcmstr   -     .       Aug 11 14:43    23:01
   .            .       Aug 11 14:43    23:01
   .            .       Aug 11 14:43    23:01
   .            .       Aug 11 14:43    23:01
cron      -     .       Aug 11 14:43    23:01
   .            .       Aug 11 14:43    23:01
   .            .       Aug 11 14:43    23:01
wxh       + pts/0       Aug 19 08:16     5:45
   .            .       Aug 11 14:43    23:01
root      + pts/1       Aug 11 14:45     4:29
uprintfd -     .       Aug 11 14:43    23:01
   .            .       Aug 11 14:44    23:01
zytest    + pts/2       Aug 19 08:51     0:09
   .            .       Aug 11 14:44    23:01
   .            .       Aug 11 14:44    23:01
   .            .       Aug 11 14:44    23:01
   .            .       Aug 11 14:44    23:01
   .            .       Aug 11 14:44    23:01
xmdaily   -     .       Aug 11 14:44    23:01
   .            .       Aug 11 14:44    23:01
LOGIN     - lft0        Aug 11 14:44     old
   .            .       Aug 11 14:44    23:01
   .            .       Aug 11 14:44    23:01
   .            .       Aug 11 14:44    23:01
   .            .       Aug 11 14:44    23:01

获取 root 所进行的所有登录：

AIX53:/#last root
root      pts/8        10.200.51.202          Aug 19 13:52   still logged in.
root      pts/3        10.200.2.14            Aug 19 09:33 - 11:06 (01:33)
root      ftp          10.200.25.107          Aug 14 11:47 - 11:48 (00:00)
root      ftp          10.200.25.107          Aug 14 11:45 - 11:46 (00:00)
root      ftp          10.200.25.107          Aug 14 11:41 - 11:42 (00:00)
root      ftp          10.200.25.107          Aug 14 11:39 - 11:40 (00:00)
root      pts/14       10.200.28.92           Aug 14 10:16 - 17:30 (07:13)
root      pts/7        10.200.28.92           Aug 14 10:05 - 10:06 (00:01)
root      ftp          10.200.25.107          Aug 14 04:38 - 13:39 (09:01)
root      ftp          10.200.25.107          Aug 13 17:57 - 17:57 (00:00)
root      ftp          10.200.25.107          Aug 13 17:08 - 17:09 (00:00)
root      ftp          10.200.25.107          Aug 13 16:17 - 04:38 (12:20)
root      ftp          10.200.25.107          Aug 13 15:59 - 15:59 (00:00)
root      ftp          10.200.25.107          Aug 13 15:59 - 15:59 (00:00)
root      pts/7        10.200.28.92           Aug 13 09:29 - 16:32 (07:02)
root      ftp          10.200.25.107          Aug 13 09:02 - 16:17 (07:15)
root      ftp          10.200.51.202          Aug 12 16:52 - 17:07 (00:15)
root      pts/15       10.200.51.202          Aug 12 16:37 - 19:31 (02:54)
root      ftp          10.200.25.107          Aug 12 16:28 - 16:29 (00:00)
root      ftp          10.200.51.202          Aug 12 16:26 - 16:26 (00:00)
root      ftp          10.200.51.202          Aug 12 16:17 - 16:18 (00:00)
root      ftp          10.200.51.202          Aug 12 16:11 - 16:11 (00:00)
root      ftp          10.200.25.107          Aug 12 15:51 - 15:51 (00:00)
root      ftp          10.200.25.107          Aug 12 15:42 - 15:43 (00:00)
root      ftp          10.200.25.107          Aug 12 15:42 - 15:43 (00:00)
root      ftp          10.200.25.107          Aug 12 15:28 - 15:28 (00:00)
root      ftp          10.200.25.107          Aug 12 15:22 - 15:23 (00:00)
root      ftp          10.200.25.107          Aug 12 15:03 - 15:04 (00:00)
root      ftp          10.200.25.107          Aug 12 11:48 - 11:49 (00:00)
root      ftp          10.200.25.107          Aug 12 11:36 - 11:37 (00:00)
root      ftp          10.200.25.107          Aug 12 11:00 - 11:01 (00:00)
root      ftp          10.200.25.107          Aug 12 10:57 - 10:57 (00:00)
root      ftp          10.200.25.107          Aug 12 10:53 - 10:54 (00:00)
root      ftp          10.200.25.107          Aug 12 10:51 - 10:51 (00:00)
root      ftp          10.200.25.107          Aug 12 10:48 - 10:49 (00:00)
root      ftp          10.200.25.107          Aug 12 10:41 - 10:41 (00:00)
root      ftp          10.200.25.107          Aug 12 10:37 - 10:37 (00:00)
root      ftp          10.200.25.107          Aug 12 10:34 - 10:34 (00:00)
root      ftp          10.200.25.107          Aug 12 10:32 - 10:33 (00:00)
root      ftp          10.200.25.107          Aug 12 10:25 - 10:26 (00:00)
root      ftp          10.200.25.107          Aug 12 10:18 - 10:18 (00:00)
root      ftp          10.200.25.107          Aug 12 10:15 - 10:16 (00:00)
root      ftp          10.200.25.107          Aug 12 10:02 - 10:03 (00:00)
root      ftp          10.200.25.107          Aug 12 09:44 - 09:44 (00:00)
root      pts/14       AIX432                 Aug 12 09:36 - 09:40 (00:03)
root      pts/12       AIX432                 Aug 12 09:27 - 09:28 (00:00)
root      pts/6        10.200.51.202          Aug 12 08:56 - 19:31 (10:34)
root      ftp          10.200.25.107          Aug 12 08:27 - 09:02 (1+00:34)
root      ftp          10.200.25.107          Aug 11 18:41 - 18:42 (00:00)
root      ftp          10.200.25.107          Aug 11 18:36 - 18:36 (00:00)
root      ftp          10.200.25.107          Aug 11 18:31 - 18:31 (00:00)
root      ftp          10.200.25.107          Aug 11 18:28 - 18:29 (00:00)
root      ftp          10.200.25.107          Aug 11 18:25 - 18:26 (00:00)
root      ftp          10.200.25.107          Aug 11 18:22 - 18:23 (00:00)
root      ftp          10.200.25.107          Aug 11 18:20 - 18:20 (00:00)
root      ftp          10.200.25.107          Aug 11 18:11 - 18:12 (00:00)
root      ftp          10.200.25.107          Aug 11 18:08 - 18:09 (00:00)
root      ftp          10.200.25.107          Aug 11 18:06 - 18:06 (00:00)
root      ftp          10.200.25.107          Aug 11 18:04 - 08:27 (14:22)
root      ftp          172.20.20.60           Aug 11 17:33 - 17:36 (00:02)
root      ftp          172.20.20.60           Aug 11 17:27 - 17:32 (00:05)
root      pts/11       10.200.51.202          Aug 11 15:18 - 18:04 (02:45)
root      pts/10       10.200.51.202          Aug 11 15:16 - 18:04 (02:47)
root      pts/8        10.200.51.6            Aug 11 15:10 - 15:10 (4+00:00)
root      pts/5        10.200.51.6            Aug 11 15:09 - 08:50 (17:41)
root      pts/6        172.20.20.70           Aug 11 14:58 - 17:35 (02:37)
root      pts/1        172.20.20.71           Aug 11 14:45   still logged in.
root      ftp          172.20.20.60           Aug 07 17:47 - 18:03 (00:15)
root      pts/18       10.200.30.25           Aug 07 15:43 - 20:37 (04:54)
root      pts/16       10.200.30.25           Aug 06 10:10 - 13:50 (03:40)
root      pts/12       10.200.30.25           Aug 06 09:46 - 14:05 (04:19)
root      pts/18       10.200.30.25           Aug 05 17:33 - 20:34 (03:01)
root      pts/16       10.200.30.25           Aug 05 17:06 - 20:34 (03:28)
root      pts/16       10.200.30.25           Aug 05 16:53 - 16:57 (00:04)
root      pts/21       10.200.30.25           Aug 05 16:47 - 16:58 (00:11)
root      ftp          10.200.30.25           Aug 05 16:45 - 17:31 (00:45)

wtmp begins Aug 05 08:32

获取关于重新启动系统和关闭的信息：

AIX53/ #last reboot
reboot    ~                                   Jul 28 18:23
reboot    ~                                   Jun 29 12:53
reboot    ~                                   Mar 20 16:10
reboot    ~                                   Mar 12 15:03
reboot    ~                                   Jan 17 21:11
reboot    ~                                   Jan 16 21:20

wtmp begins Jan 06 22:35

在AIX 5.3主机上安装Openssh

IT技术随笔 — Tue, 12 Aug 2008 17:50:51 +0800

1、软件下载：

openssl（9.8.602）：http://www.namipan.com/d/96e7fddd00c8ead33336f20846611565c4e7d41f23fe6500

openssh（4.7_new5302）：http://www.namipan.com/d/3af216b357d0fbc71320a55e7d087d1e3fa76259efdb4e00

以上两个软件包均为installp格式，只能在5.2/5.3/6.1上安装。跟早期的aix版本（比如：4.3/5.1)的openssl为RPM格式不同。

2、安装步骤

1)把安装包ftp到目标主机

AIX53:/tmp/openssl#ls -l
total 13064
-rw-r----- 1 root system 6684195 Aug 12 16:52 openssl.9.8.602.tar.Z
AIX53:/tmp/openssl#cd ../openssh
AIX53:/tmp/openssh#ls -l
total 10096
-rw-r----- 1 root system 5168111 Aug 12 16:52 openssh-4.7_new5302.tar.z

2）解压

AIX53:/tmp/openssl#uncompress openssl.9.8.602.tar.Z
AIX53:/tmp/openssl#tar xvf openssl.9.8.602.tar

AIX53:/tmp/openssh#gunzip openssh-4.7_new5302.tar.z
AIX53:/tmp/openssh#tar xvf openssh-4.7_new5302.tar

3）安装

必须先安装openssl，然后再安装openssh。

安装openssl：

geninstall -I "a -cgNQqwXY -J" -Z -d /tmp/openssl -f File 2>&1

安装成功后的提示：

安装openssh：

geninstall -I "a -cgNQqwXY -J" -Z -d /tmp/openssh -f File 2>&1

安装成功后的提示：

当然，也可以使用smit install来安装。

3、运行ssh服务

默认安装好后系统自动启用ssh服务：

AIX53:/#lssrc -a | grep ssh
sshd ssh 979088 active

如果是inactive，可通过以下命令启动ssh服务：

AIX53:/#startsrc -s sshd

停止ssh服务：

AIX53:/#stopsrc -s sshd

4、管理

sshd命令位于/usr/sbin目录

配置文件位于/etc/ssh目录：

AIX53:/#ls -l /etc/ssh
total 336
-rw-------   1 root     system       132839 Aug 12 16:33 moduli
-rw-r--r--   1 root     system         1482 Aug 12 16:33 ssh_config
-rw-------   1 root     system          668 Aug 12 16:33 ssh_host_dsa_key
-rw-r--r--   1 root     system          590 Aug 12 16:33 ssh_host_dsa_key.pub
-rw-------   1 root     system          963 Aug 12 16:33 ssh_host_key
-rw-r--r--   1 root     system          627 Aug 12 16:33 ssh_host_key.pub
-rw-------   1 root     system         1675 Aug 12 16:33 ssh_host_rsa_key
-rw-r--r--   1 root     system          382 Aug 12 16:33 ssh_host_rsa_key.pub
-rw-r--r--   1 root     system         2341 Aug 12 16:33 ssh_prng_cmds
-rw-r--r--   1 root     system         3219 Aug 12 16:33 sshd_config

不管什么时候调整了/etc/ssh/sshd.config文件，ssh都需要停掉并重新启动。

openssl IBM官方网站下载：https://www14.software.ibm.com/webapp/iwm/web/reg/download.do?source=aixbp&S_PKG=openssl&lang=en_US#

openssh下载：

http://sourceforge.net/projects/openssh-aix

AIX rcp跨主机远程拷贝数据

IT技术随笔 — Tue, 12 Aug 2008 11:06:37 +0800

rcp用途：在本地主机和远程主机之间或者两个远程主机之间传输文件。详细用法可man rcp查看。

现在要把主机10.200.5.200的/tmp/work.sh（属主为root用户）拷贝到远程主机180.200.3.100的/tmp，配置过程如下：

1、在两台主机的/etc/hosts文件添加对方ip<--->hostname映射

在10.200.5.200的/etc/hosts添加一行内容：180.200.3.100 AIX432

在180.200.3.100的/etc/hosts添加一行内容：10.200.5.200 AIX53

2、在两台主机的root用户家目录中的.rhosts文件中添加以下内容：

10.200.5.200的root $HOME/.rhosts中添加：AIX432 root

180.200.3.100的root $HOME/.rohosts中添加：AIX53 root

3、通过rcp执行远程复制

在10.200.5.200主机以root用户执行以下命令：

AIX53# rcp /tmp/work.sh AIX432:/tmp #此时要确保AIX432主机/tmp目录下没有work.sh文件，如果有，将被自动覆盖。

如果要把10.200.5.200上的一个目录（包括子目录及其文件）复制到远程主机，可通过rcp命令参数：-r

关于/etc/hosts.equiv和$HOME/.rhosts文件的区别如下：

首先这两个文件都是和主机间的信任关系相关的，也就是允许另外一台机器上的用户不用输密码就可以rlogin到本机。但是，这两个文件之间的区别在哪里呢？
总结一下：
1.首先这两个文件里面的有效格式是一样的，也就是都可以是下面的格式
主机名
主机名用户名
+
2.首先明确如果有远程主机想rlogin到本机，本机都要做什么
1）rlogind检查本机/etc/passwd中是否有远程的用户名，没有则拒绝访问
2）如果本机/etc/passwd中有远程的用户名，并且该用户名不是root，则先检查/etc/hosts.equiv，看看里面是否存在远程主机名，如果存在，则允许访问。
如果是root，则跳过对etc/hosts.equiv的检查，只检查“～home/.rhosts”。
3）/etc/hosts.equiv中只有远程主机名的话，表示允许远程主机上的所有非root用户可以登录本地主机，并且不需要密码
/etc/hosts.equiv 文件中如果加入了一台远程主机和一个用户，在远程主机上的那个用户（非root用户）就可以用rlogin登录本地机上的所有非root账号，而且不需要密码。
4）$HOME/.rhosts文件中如果是远程主机名的话，则只信任由远程主机上与.rhosts属主同名的用户。
$HOME/.rhosts文件中如果是远程主机名+用户名的话，则远程主机上对应的那些用户都可以登录过来到本地主机，但是在本地主机上显示的用户权限是对应$HOME的那个本地用户

粉色内容摘自：http://blog.chinaunix.net/u1/49473/showart_487975.html

通过Juniper VPN远程访问Windows主机共享目录

IT技术随笔 — Sun, 10 Aug 2008 19:20:12 +0800

如果你是通过远程VPN接入到某一个网络，同时想通过以下方式远程访问Windows主机共享目录：

此时必须满足两个条件：

1、防火墙上已放开对TCP端口（445）的访问权限；

2、远程Windows主机的445服务端口已处于监听状态。

以下表示已能正常访问远程Windows主机共享目录：

以下是Policy Log：

Juniper ScreenOS 基于策略的目的地址转换实验案例

IT技术随笔 — Sun, 10 Aug 2008 18:58:38 +0800

设备型号及ScreenOS版本

Juniper SSG-550M：Hardware Version: 0000(0)-(00), FPGA checksum: 00000000, VLAN1 IP (0.0.0.0)

Software Version: 6.0.0r4.0, Type: Firewall+VPN

完整内容请点击下载（PDF格式）：Juniper ScreenOS 基于策略的目的地址转换实验案例

Juniper SSG-550M防火墙是否支持带通配符域名(*.sohu.com)过滤

IT技术随笔 — Wed, 6 Aug 2008 11:33:31 +0800

平台：

SSG550A-> get sys

Product Name: SSG-550M

Serial Number: JN1101EBxxxx, Control Number: 00000000

Hardware Version: 0000(0)-(00), FPGA checksum: 00000000, VLAN1 IP (0.0.0.0)

Software Version: 6.0.0r4.0, Type: Firewall+VPN

Feature: AV-K

Compiled by build_master at: Fri Jan 11 17:10:48 PST 2008

Base Mac: 001f.122e.1000

File Name: ssg500.6.0.0r4.0, Checksum: be2aa935

, Total Memory: 1024MB

定义一个带通配符的域名地址本：

定义一个策略：

验证：新开一个IE浏览器，分别输入www.sohu.com和http://k968888.blog.sohu.com 回车，看是否能打开网页：

实验证明能正常访问网页，如下：

现改为单个域名进行实验：

新开一个IE浏览器窗口，输入www.sohu.com回车，返回结果如下：

说明已经不能正常访问www.sohu.com，查看Policy Log，证明访问已被deny：

结论：Juniper 防火墙目前不支持带有通配符（如*.sohu.com）的域名过滤，但支持单域名（如：www.sohu.com）过滤。

在Juniper SSG550M防火墙禁止MSN登陆实验

IT技术随笔 — Tue, 5 Aug 2008 19:01:13 +0800

平台：

SSG550A-> get sys

Product Name: SSG-550M

Serial Number: JN1101EBxxxx, Control Number: 00000000

Hardware Version: 0000(0)-(00), FPGA checksum: 00000000, VLAN1 IP (0.0.0.0)

Software Version: 6.0.0r4.0, Type: Firewall+VPN

Feature: AV-K

Compiled by build_master at: Fri Jan 11 17:10:48 PST 2008

Base Mac: 001f.122e.1000

File Name: ssg500.6.0.0r4.0, Checksum: be2aa935

, Total Memory: 1024MB

禁止之前先查看MSN成功登陆时的Policy Log，如下：

从上面可看出，MSN使用TCP PORT：1863作为（登陆）服务端口。

因为MSN使用1863服务端口，我们建一条策略把这个服务端口deny掉：试验结果表明，可以成功禁止止MSN登陆，MSN一直处于以下登陆状态：

查看Policy Log进一步证明了Policy已生效：