Junos
®
OS
安全配置指南
版本
版本 11.4
已出版: 2012-08-06
Copyright © 2012, Juniper Networks, Inc.
Juniper Networks, Inc.
1194 North Mathilda Avenue
Sunnyvale, California 94089
USA
408-745-2000
www.juniper.net
This product includes the Envoy SNMP Engine, developed by Epilogue Technology, an Integrated Systems Company. Copyright © 1986-1997,
Epilogue Technology Corporation. 保留所有权利 This program and its documentation were developed at private expense, and no part of them
is in the public domain.
This product includes memory allocation software developed by Mark Moraes, copyright © 1988, 1989, 1993, University of Toronto.
This product includes FreeBSD software developed by the University of California, Berkeley, and its contributors. All of the documentation
and software included in the 4.4BSD and 4.4BSD-Lite Releases is copyrighted by the Regents of the University of California. 版权© 1979,
1980, 1983, 1986, 1988, 1989, 1991, 1992, 1993, 1994. The Regents of the University of California. 保留所有权利
GateD software copyright © 1995, the Regents of the University. 保留所有权利 Gate Daemon was originated and developed through release
3.0 by Cornell University and its collaborators. Gated is based on Kirton’s EGP, UC Berkeley’s routing daemon (routed), and DCN’s
HELLO routing protocol. Development of Gated has been supported in part by the National Science Foundation. Portions of the GateD
software copyright © 1988, Regents of the University of California. 保留所有权利 Portions of the GateD software copyright © 1991, D.
L. S. Associates.
This product includes software developed by Maker Communications, Inc., copyright © 1996, 1997, Maker Communications, Inc.
Juniper Networks、Junos、Steel-Belted Radius、NetScreen 和 ScreenOS 是 Juniper Networks, Inc. 在美国和其他国家/地区的注册商标。 Juniper
Networks 徽标、Junos 徽标和 JunosE 是 Juniper Networks, Inc 的商标。所有其他商标、服务标志、注册商标或注册服务标志均属其各自所有者的资
产。
Juniper Networks 对本文档中的任何错误不承担任何责任。 Juniper Networks 保留变更、修改、转印或另外修订本出版物而不另行通知的权利。
Juniper Networks 制造或销售的产品或者相关组件可能受到以下 Juniper Networks 拥有或得到授权的一项或多项专利的保护：美国 专利编号 5,473,599、
5,905,725、5,909,440、6,192,051、6,333,650、6,359,479、6,406,312、6,429,706、6,459,579、6,493,347、6,538,518、6,538,899、6,552,918、
6,567,902、6,578,186 和 6,590,785。
Junos OS 安全配置指南
版本 11.4
版权所有 © 2012, Juniper Networks, Inc.
保留所有权利
修订历史记录
2011 年 12 月—R1 Junos OS 11.4
本文档中的信息更新到修订历史记录中列出的日期。
2000 年声明
Juniper Networks 硬件和软件产品都不存在千年虫问题。 目前尚未发现 Junos 操作系统会在 2038 年前出现与时间有关的问题。 但是已知 NTP 应用
程序在 2036 年会出现问题。
软件许可证
您和 Juniper Networks 之间履行的订单、适用范围、任何经销商协议或最终用户购买协议的确认书中包含的软件许可证中介绍了本软件的使用条款。
使用本软件即表示您了解并同意受这些条款的约束。 一般来说，软件许可证限制软件的允许使用方法并可能禁止某些应用。 软件许可证可能会声明许可
证自动终止的条件。 要了解详细信息，请查阅该许可证。 有关完整的产品文档，请访问 Juniper Networks 网站 www.juniper.net/techpubs。
END USER LICENSE AGREEMENT
The Juniper Networks product that is the subject of this technical documentation consists of (or is intended for use with) Juniper
Networks software. Use of such software is subject to the terms and conditions of the End User License Agreement (“EULA”) posted at
http://www.juniper.net/support/eula.html. By downloading, installing or using such software, you agree to the terms and conditions
of that EULA.
Copyright © 2012, Juniper Networks, Inc.ii
简略目录
关于本指南 ......................................................xxxix
第一部分 基于流和基于数据包的处理
第一章 处理概述 ...........................................................3
第二章 基于流的处理 ......................................................11
第三章 IPV6 基于流的处理 ..................................................55
第四章 基于数据包的处理 ...................................................99
第二部分 安全区段和接口
第五章 安全区段和接口 ....................................................127
第三部分 通讯簿和地址集
第六章 通讯簿和地址集 ....................................................149
第四部分 安全策略
第七章 安全策略 .........................................................163
第八章 安全全局策略 ......................................................191
第九章 安全策略时间表 ....................................................199
第十章 安全策略应用 ......................................................205
第五部分 应用层网关
第十一章 ALG ..............................................................231
第十二章 H.323 ALG ........................................................239
第十三章 用于 IKE 和 ESP 的 ALG .............................................271
第十四章 SIP ALG ..........................................................281
第十五章 SCCP ALG .........................................................335
第十六章 MGCP ALG .........................................................355
第十七章 RPC ALG ..........................................................385
第六部分 用户认证
第十八章 防火墙用户认证 ....................................................395
第十九章 Infranet 认证 .....................................................425
iiiCopyright © 2012, Juniper Networks, Inc.
第七部分 虚拟专用网
第二十章 互联网协议安全性 ..................................................453
第二十一章 证书公开密钥密码术 ................................................637
第二十二章 动态 VPN .........................................................663
第二十三章 组 VPN ...........................................................721
第八部分 入侵检测和防护
第二十四章 IDP 策略 .........................................................765
第二十五章 应用级分布式拒绝服务 ..............................................823
第二十六章 IDP 特征数据库 ....................................................835
第二十七章 IDP 应用识别 ......................................................851
第二十八章 IDP SSL 检查 ......................................................859
第二十九章 IDP 服务类别操作 ..................................................865
第三十章 IDP 性能与容量调整 ................................................873
第三十一章 IDP 日志记录 ......................................................875
第九部分 统一威胁管理
第三十二章 统一威胁管理概述 ..................................................891
第三十三章 反垃圾邮件过滤 ....................................................897
第三十四章 完全防病毒保护 ....................................................915
第三十五章 快速防病毒保护 ....................................................971
第三十六章 Sophos 防病毒保护 .................................................991
第三十七章 内容过滤 ........................................................1009
第三十八章 Web 过滤 ........................................................1023
第三十九章 机箱集群中的统一威胁管理支持 ......................................1061
第十部分 攻击检测和防护
第四十章 攻击检测和防护 ...................................................1067
第四十一章 侦查威慑 ........................................................1069
第四十二章 可疑数据包属性 ...................................................1097
第四十三章 拒绝服务攻击 .....................................................1107
第十一部分 应用标识
第四十四章 Junos OS 应用标识 ................................................1141
第四十五章 应用防火墙 ......................................................1167
第四十六章 AppTrack 应用跟踪 ................................................1177
第四十七章 应用服务质量 .....................................................1183
第十二部分 机箱集群
第四十八章 机箱集群 ........................................................1195
Copyright © 2012, Juniper Networks, Inc.iv
Junos OS 安全配置指南
第十三部分 IP 监控
第四十九章 IP 监控 .........................................................1375
第十四部分 网络地址转换
第五十章 网络地址转换 .....................................................1381
第十五部分 GPRS
第五十一章 通用分组无线业务 .................................................1483
第五十二章 流控制传输协议 ...................................................1539
第十六部分 索引
索引 ............................................................1553
vCopyright © 2012, Juniper Networks, Inc.
简略目录
