-- 作者： xiami8 -- 发布时间： 2008/01/05 02:53pm 背景： 公司原有一台netscreen 5gt-108，做了很多的端口映射也就是vip。经常有外网的入侵状况，同时，网内的arp包比较多，经过监测，多由该防火墙发出。因此想进行优化设置，但是由于本人从未搞过防火墙，也看不懂那些英文，进去一痛乱改，结果所有人无法上网。所以开始了netscreen的研究与学习。 网络情况： 固定公网ip一个，218.25.a.b 子网掩码255.255.255.252 网关218.25.a.c 局域网内网段为192.168.1.x 子网掩码 255.255.255.0 网关 192.168.1.254 研究开始：         在baidu.com及g.cn上都进行了打面积的搜索技术资料，终于找到至爱[url]www.[请不要发广告].net[/url] 。于是在上面进行取经。看到了os升级的文章，反正现在也不用这个防火墙上网了（用一台服务器进行代理上网替代）。索性先升级吧。于是下载了ns5gt(5.3+5.4)。下载地址可以在[url]www.[请不要发广告].net[/url] 里搜索。按照《Netscreen_防火墙初级配置指南》上的说明进行升级，结构成功，非常顺利，该指南的下载同样可以在[url]www.[请不要发广告].net[/url]上搜索。         现在开始用netscreen 5gt-108 来进行上网，实际上就是实现路由的功能。同样按照《Netscreen_防火墙初级配置指南》上的说明进行配置，结构失败。反复试验了n多遍。就是不好用。于是又按照《Netscreen_防火墙初级配置指南》上的说明，进行了初始化。清空了能清空的所有配置。通过web管理防火墙，进入了向导配置页面，结果也是失败。         经过高人指点，最后成功实现路由功能，通过netscreen防火墙上网。前提是未开通vlan，固定公网ip地址线路接入。具体配置如下 1， 设置接口地址 Network > Interfaces >(trust)>Edit Static IP IP Address / Netmask :192.168.1.254/24 Interface mod (nat) 2， 设置路由 Network > Routing > Routing> Destination 选择trust-vr 点New进入到 Network > Routing > Routing Entries > Configuration IP Address/Netmask 0.0.0.0/0 Next Hop Gateway Interface Untrust Gateway ip Address 218.25.a.c 3， 设置策略 Policies 选择From （Trust） To (Untrust) 点 NEW Source Address 192.168.1.0/24 Destination Address Any Service Any 勾选Logging 及 Position at Top 4， 设置dns Network > DNS > Host Primary DNS Server 202.98.5.68 Secondary DNS Server 202.98.0.68 至此，成功上网。经过分析比对，与《Netscreen_防火墙初级配置指南》上唯一的区别就在于第四步，也是困扰我一直无法成功上网就是第四步，经过高人指点，顺利完成。 日后准备对防火墙功能进行研究，成功后再发实战记录。 转自杜松之家： http://www.juniperbbs.net/thread-16042-1-1.html