いつの間にか、前スレ消えてるので、立てておくよ。
ttp://www.juniper.co.jp/products/integrated/ その他代理店はぐぐれかす。
初代スレ： Netscreenユーザスレ
ttp://pc.2ch.net/test/read.cgi/network/1026471990/
前スレ： Netscreenユーザスレ r2.0
ttp://pc8.2ch.net/test/read.cgi/network/1064890311/
ごしゅじんちゃま乙
982 名前：ねｔｓｃれえｎ 投稿日：2006/09/15(金) 20:26:42 ID:???
今時ISG2000をうちのサービスで使おうと開発検証してんだけど、、、
くだらないバグがいっぱい。
ここまでひどいと本来の機能も疑ってしまうよ。。
メモリチェックくらいやってください。。。リブートしないで。。。
あぁ、前スレ本人か。
やっぱ新品買うべきだったか…。
(発売まだでしたっけ？)
FortGateで悩まされたので興味津々です。
有るのは本体と電源だけです。
これを自宅に設置し、出先からIPSecを使って
自宅のネットワークとVPNを張りたいと思います。
他に購入すべきものは有りますでしょうか？
もし本当に超初心者なら、Netscreen-Remoteも買っておいたら？
そしたら、Webのマニュアル通りに設定できるし
価格を調べたら本体より高いのですが orz
Netscreen 5xt に対応しているフリーのVPNクライアントって有りませんか？
なら XP or OSXなら標準で持っているIPsec-VPN機能を使えば？
PC-Unix系なら、IPsec関係のはごろごろしてるので説明略
検索したら参考になりそうなサイト見つけました。
頑張って設定してみます。ありがとうございました。
僕も初心者っていうか知的障害者に近いくらいなんですが
XPの標準機能でNetScreenに接続する方法、分かりましたらここに簡単にまとめてもらえませんか？
お願いします。
ユーザー/パスワードをダイアログボックスに
入力させるような認証をさせたいのですが
どんな方法がありますか？
ヒントでも頂ければ嬉しいです。
Netscreen-Remoteを起動できるユーザを制限したいってこと？
OSレベルで工夫したほうがいいんじゃないかな？
（ユーザアカウント分けるとか）
あと何だっけ？ActiveDirectoryと連携して
ポリシー書ける機能なかったかな。
個人的にはネットワークの制限は物理機器ごとに
かかればいいと思ってるので、利用者ごとの認証は
その上のアプリでやればいいと思うけど。
XAuth使えば、いいかも～？
Netscreen-Remoteをインストールして、設定してconectしたら、「Successfully connected to My Connections\XXXX」
と出て、接続はできているっぽいのですが、リモートデスクトップなどでサーバにアクセスしようとしても、ホストが
見つからないとなってしまいます。
ほかに何か設定をする必要があるのでしょうか？
自宅のルータでポート転送をしないとだめなのでしょうか。
その場合、WAN側のポート、LAN側のポートの設定をどうすれば良いでしょうか。
もしくは別の部分に原因があるでしょうか。
Enable Perfect Forword Secrecy (PFS)にチェックして、PFS key Groupが選択されています。
また、Enable Replay Detectionにチェック入っています。
これでいいのでしょうか
IPでテストしてみてね。
ポートは何番を使用するのでしょうか。
IPが割り当てられないのであれば
DIPを設定して試してみるといいと思います。
的外れだったらスマン。
ﾌﾟｰ
どうやって渡せば？
NetScreen-100用の4.0系統か5.0系お持ちの方いただけないでしょうか？
こちらの7M板とかにでも・・
ttp://kasamatusan.sakura.ne.jp/ 当方はNetScreen-5GTの全てのOS持ってますのでほしい方いらっしゃればUPします。
中古とかオークションで本体だけ出回っているのかなぁ。。
ｵﾚもそうだから
翌年度は解約すればいいんじゃない
中古で買っている人たちみたいなので、
年間保守サポート契約時に、遡及しないなら
買う人いるかもね。
個人で欲しいものではないけどなぁ。
Routingを追加するとき、
Gatewayのインターフェイスを選択するところで
Ethernet1 と Ethernet1：1 はどう違うんでしょうか？
今中古品を使ってる。金出しても新しいOS欲しいんだがw
ええ、サポート切れてから今までの期間を遡及して払えってこと？
そんな契約あるのか～ちときびしいですね
仮に再保守契約できたとしても、
遡りで新品買うより高くついたりするよ。
代理店によっては別製品だとDLできない罠
まぁ選べばいいわけだがｗ
ttp://download.careplus.jp/netscreen/ からダウンロードするんだけど他の機種のOSは表示されないのよ。
でも5GTのダウンロードページのURL細工したら他のもダウンロード出来たｗ
こういうかんじ（これはNetScreen-5GT ScreenOS for Trend Micro ScreenOS 5.3.0r4-TREND）
ttp://download.careplus.jp/netscreen/download.cgi?id=911&s=シリアルナンバー&r=リファレンスナンバー これのid=のところを色々試して見た結果
NetScreen-5GT ScreenOS upgrade ScreenOS 5.3.0r4
906
ns5xt[1].5.3.0r4.zip
823
ns50ns25[1].5.3.0r4.zip
328
にたどり着いた。
OS欲しいとか言ってた奴ら、安い製品買って上のダウンロード方法試して見れ。
シリアルナンバーがユーザー名、リファレンスナンバーがパスワードになる筈だから
それでログオンしてからね
面白いけど、チャレンジャーですね。
不正アクセス禁止法にモロ掛かりますよ。
まぁ、スルーしてくれるだろうけど。
> OS欲しいとか言ってた奴ら、安い製品買って上のダウンロード方法試して見れ。
これは書かない方が良かったかもね。
まぁ、スルーしてくれるだろうけど。
通報しないでね^^
気のせいかも
プラットホームのは、日立＊＊だよ
Netscreenのwebサーバ、おかしくないか？
むしろアプライアンス製品はそんな契約ばっかりだが
それを許すと新規購入減るからやらんでしょ
逆にそうじゃない製品あるなら聞きたいよ
Java使ってるからじゃないか
動かして無くても微妙だから
もし動かしてたら、レスポンス悪いのはしょうがない
デフォルトがnetscreen/netscreenではないのですか？
シリアルナンバーでログイン・リセットも効きません。
どなたかデフォルトのID/PW、工場出荷リセット用ID/PWご存知の方教えていただけないでしょうか？
netscreen/netscreenでもログインが出来ました。
お騒がせいたしました。
OS入替えてもならん
OSは同じもの使ってる
ただ制限が無くなるだけ、シェアウェアだとおもいなせぇ
これだけ騒いだら、もう十分だろ？
変な販売しなきゃいいのにな
ttp://www.microsoft.com/japan このｻｲﾄから好きなの選んでかえや
ttp://www.emugle.com/details.php?f=FCED9997C81B004C2EEAAB41B5922408 下のDownload the fileをクリックしてダウンロード汁
あまり拡散してないから時間かかるかも
おまい最高
上手くいかない・・・ アドバイス頼む
コマンドラインで実行してみ
ﾃﾞｹﾀTHX
研究室のネットワークを任されたのですが、よくわからないことがあるのでどなたか教えてください。
NS-5GTには、静的なグローバルIPが割り当てられています。
そこをuntrustedとして、内側のLANをtrustedとしてファイアウォール・ルータとして運用しようと思っています。
ルーティングはうまくいっているようなのですが、DNSが引けません。
直接、Windowsの設定でDNSサーバーをグローバルIPのものにすればDNSがひけます。
web UIでDNSの設定をしたのですが、DNSが更新されません。
どこを直せば良いかさっぱりです。
ファームのヴァージョンは？
DNS Proxyは5.2以降だったと思う。
FrotiGateならVIPいじればでけたと思うが、NS5GTはたぶん無理。
ありがとうございます！
明日試してみます。
Firmware Version:
5.2.0r3a.0 (Firewall+VPN)
でした。
DNS Hostに
host netscreenの名前
domain 大学のドメイン
primary 192.168.0.1
secondary 192.168.0.2
DNS Proxy
Domain 大学のドメイン
interface untrust
primary *.*.*.*
seconday *.*.*.*
としてみたのですが、nslookupしても192.168.0.1にDNSサーバーがないと言われます。
どこか間違っていますか？
>nslookup *.*.*.ac.jp
DNS request timed out.
timeout was 2 seconds.
*** Can't find server name for address 192.168.0.1: Timed out
DNS request timed out.
timeout was 2 seconds.
*** Can't find server name for address 192.168.0.2: Timed out
*** Default servers are not available
Server: UnKnown
Address: 192.168.0.1
DNS request timed out.
timeout was 2 seconds.
DNS request timed out.
timeout was 2 seconds.
*** Request to UnKnown timed-out
DNS Proxy = NS-5GTの情報を入力
だったような・・・。
待ち時間中にひまだったんで板荒らしかもしれないけど
利用されている netscreen が Trust - Untrust モードだったら
こんな感じのconfigになると思うめぽ、エスパーじゃないので
84さんの構成等がわからないですが、一応書いてみただお
マニュアルなんてみていないで過去の記憶で書いたので
ミスがあるかもしれないだお、許してほしいだお
set interface trust proxy dns
set dns proxy
set dns proxy enable
set dns server-select domain 大学のドメイン outgoing-interface untrust primary-server 192.168.0.1 secondary-server 192.168.0.2
SCS: SSH client at y.y.y.y has attempted to make an SCS connection to interface untrust
with IP x.x.x.x but failed because SCS is not enabled for that interface.
ってログがよくでるんだが。。。
これって誰かがSSHでいたずら仕掛けてるってこと？
SCSってなんだべ？？
ウチでの使い方は、PPPoEでフレッツにつないでプライベート側をNATしてるだけです。
買い控えしそうな予感
NETBIOSとかのサービスは、カスタムで設定するしかないのでしょうか？
サービスの中には、NETBIOSとかKerberos認証のサービスが無いようでして。
公衆網でVPNやる時にVPNルータが必要。
NATはローカルアドレスをルーティングできないからだめ。
その程度ならNTTのフレッツグループを薦めるよ。PPPoEで接続して専用線のように使える。
普通のBBルータでOK。
マルチセッション張れるやつだと尚OK。他にプロバイダ契約してインターネットも接続できるからね。
フレッツを引けないところやNTT東西またぐ場所ならVPN使うしかないね。
今や1万円を切るVPNルータも多いよ。安定性は知らんけど。
NetScreenはファイヤーウォールだからね。VPNだけで使うのは勿体無いかも。
ヤマハのRTシリーズでIPsec使えるルータ探してごらん。
ttp://www.juniper.co.jp/products/integrated/ns_hsc.html 5GTよりだいぶ安いみたいだが。
>その程度ならNTTのフレッツグループを薦めるよ。PPPoEで接続して専用線のように使える。
そういうわけにはいかないよ。
ローカルIP叩いて直接通信したければ、結局tunnel張らないとだめ。
ビジネスタイプなら別だが、それなりに高いし。
2台で通信できりゃいいならスタティックNATで逃げる手もあるけど。
ScreenOS5.2からBrute Force Attackに対するルールを
作れることを知りました。
最近SSHに対するBrute Force Attackが多いので、NS側
でも対処が出来ればと思ったのですが、set di service で
SSHを見つけることが出来ません。
SSHのBrute Force Attackには対応していないのでしょうか？
> ローカルIP叩いて直接通信したければ、結局tunnel張らないとだめ。
いや、ちゃんとプライベートIP割り当てられるよ。
NTT東のフレッツグループ・ライトだと 10.0.0.0/255.0.0.0だった。（プロは任意のアドレスが使える）
ただ割り当てられたアドレス以外はフレッツグループ網内に投げると破棄されるから、2台以上のPCを繋げられない。
でも>100は2人で使うってんだからそれで十分でしょ。
ルータにPPPoE喋らせる場合でも >スタティックNATで逃げる でもいいし DMZ使ってもいいし。PPPoEブリッジ機能ついてるのもあるしね。
1拠点に2台以上使う場合のみトンネル張らないとダメだね。
ただしフレッツグループ自体が暗号化されたセキュアな通信だから、NetScreenみたいなファイヤーウォールどころかIPsecもいらないよ。
ヤマハのRT57程度のIPIPトンネル張れるやつでOK。
ポリシーベースVPNとルートベースVPNの組合せって可能ですか？
これで、ISP用のPPPoEとグループアクセス用のPPPoEを同じインターフェースに設定して、
インターネットへのアクセス(ISP)と、拠点へのアクセス(グループアクセス)を行なうことって可能ですか？
初歩的な質問でもうしわけないです。
つIPsecVPN
エロイ人教えてください
>フレッツグループ自体が暗号化されたセキュアな通信だから
暗号化はされてないわけだが・・・
NTTのローカル網通るだけなので、必要がないってだけ。
まあ100はモデム直結でPCにpppoeしゃべらせてFGとセッション張ればいいだけだと思うが。
ぶっちゃけ、サポートならアライド
管理画面のセキュリティが厳しくなるだけ？
Untrust Home Work 各セグメントが作成可能
Trust/Untrust/DMZ モード
Trust Untrust DMZ 各セグメントが作成可能
ってこれどう違うの？
みなさんは、そのような場合、何を使ってるんでしょうか？
sawmillとか？
どうすれば良いんでしょうか？
ワイルカード付きのURLで指定できないし
全てのサーバのIPアドレスを調べて登録しようにも
どこにも情報が転がってないし
皆さんどうしています？
update.microsoft.com
download.microsoftupdates.com
windowsupdate.microsoft.com
Microsoftのサポート情報に書いてある。
・・・IPアドレスで書こうとすると、複数IPあるけどｗ
sawmillは使ってるけど
これはログをデータの集まりとしてしか分析できない
誰がいつ何をしてたか、って情報をドリルダウンして可視化するだけ
そもそもDosアタックの原因追究って何よ
激しく遅レスだが…
Home-WorkモードではHomeからWorkへのポリシーがall denyとなっていて変更不可。
元々SOHO等で使用するために家庭と職場でポリシーを分ける為のモードらしい。
ここからチラ裏。
普通Netsceenでポリシーを設定する場合、WebGUIで設定すると思うけど、
コンフィグファイルを直接読み込ませる方法だと、HomeからWorkへのポリシーも普通に設定できた。
その後一度WebGUIからポリシーを削除し、再度設定しようとしてもやはり不可。順序変更だけはできた。
コマンドラインからも同様。
5GT Plus、OSは確か5.0.0r8くらいだった。
レスありがとう。
なるほどそう言う違いだったのね。
チラ裏も大変参考になりました。
ProxyDNS?
NS5GTの10ユーザ版を知らずに買って、社員30名のところに設置して、
当然10名しか使えなくなってます。
無制限版を即時購入の予定ですが、VPN対抗側もNS5GTの10ユーザ版です。
ここで気になったのですが、対抗側も無制限版にする必要があるのでしょうか？
対抗側のNS5GTの下に10IP以上端末をつなげるなら、
そっちも無制限版に変えないとダメだよ
このような構成でWINXPマシンからnetscreenへPPTPでVPN接続したいのですが、可能ですか？
どこか、参考になるサイト等ありましたら紹介していただけると助かります。
PPTPをサポートしているルータはFortigateとかYamahaになります
IPsecはWinXPで使えますか？
とにかくnetscreen内のLANとVPNが張れればOKなのです。
ただnetscreen remoteっていうソフトがあるので通常はこちらがクライアントソフトになります
128の構成でipsec使用時の注意点としては
どちらかの拠点は固定グローバルIPを持っている必要があります
ぶっちゃけ、FANの音ちょーうるさい
ttp://www.atmarkit.co.jp/news/200705/08/juniper.html ジュニパー、セキュリティを強化した新ソフトでネットワークインフラ全体を可視化
ttp://japan.zdnet.com/news/nw/story/0,2000056190,20348381,00.htm ┃
┃
┃ DMZ:192.168.0.0/24
┃
┏┻━┓.1 .2┏━━━━┓
┃NS25┣━━━━━━━━┫web_sv ┃
┗┳━┛ ┗━━━━┛
┃.3 実IP:192.168.0.2
┃ MIP ：1.1.1.1
┃
┃
┣━━━━┻━━━━━━━━━┫
LAN:192.168.1.0/24
どうしてもわからないので、助けてください・・・。
・LAN内のクライアントからDMZ上のwebサーバが見られません
・外部からwebサーバは閲覧可能
・LANからwebサーバにアクセスを行うと、webサーバのアドレスが1.1.1.1に解決される
・NetScreen25のインターフェイスは全てNATモード
・LAN内からWebサーバへのアクセスポリシーはPermit
外部から見られるのに、内部からは見られないという困った状況になっています。
どなたか力を貸してください。
┃
┃
┃
┃ DMZ:192.168.0.0/24
┏┻━┓.1 .2┏━━━━┓
┃NS25┣━━━━━━━━┫web_sv ┃
┗┳━┛ ┗━━━━┛
┃.3 実IP:192.168.0.2
┃ MIP ：1.1.1.1
┃
┃
┣━━━━┻━━━━━━━━━┫
LAN:192.168.1.0/24
すいません、盛大にズレました。
可能な限り直しましたが、見づらかったらすいません。
LANのサブネットに属するアドレスにするんじゃね？
間違ってたらごめんなさい＞＜
1.1.1.1とか、割り振られてもいないグローバルIP
勝手に使ったらそらうまくいかんでしょう・・・
ルーティングテーブルの経路設定がない悪寒。
機種違うけど、いけるかな。
SSG設定ガイド「はじめてのSSG 5
ttp://www.juniper.co.jp/products_and_services/firewall_slash_ipsec_vpn/datasheets/fsssg5.pdf 91Pageあたり
ああ、1.1.1.1は便宜上の話か失礼
記述がないので1.1.1.1がインターフェース１と仮定すると
ルーティンテーブル設定が間違い
マッピング自体のpermitをポリシーに追加していない
（全部permit設定にしていても、さらに追加が必要）
192.168.0.2にアクセスしたら1.1.1.1に転送という不要な
逆マッピングを追加で設定してしまっている
これぐらいしか思いつきませんな
実IPの192.168.0.2だと見れるでしょ？
インタフェースが全部NATモードっつーのもおかしいけど。
すいません、今朝起きてみてみたらなぜか見られました・・・
何だったんだ一体・・・
メリット、デメリット知りたいのですが。。
ご存知な方教えて下さい。
コンプライアンス大丈夫？ｗｗ
うごくよ。
NSRP-Liteもうごくよ。
んですが、APNICのIP割り当てリストからサブネットを圧縮して1750位
あって、NetScreenのポリシーに書ききれない状況です。
なんか良い方法ないでしょうか？
ciscoと同じ設定だとbackspaceが効きません。
これは仕様でしょうか？それとも設定を変える必要があるのでしょうか？
タイプミスを直せないのでえらく非効率…
根本的な直し方は知らん。
ｵﾚも気になる。
できました！
随分長い間悩んでいたのですが
ScreenOSのマニュアルにもSyngressの本にも載ってないし、
全く情報が無いので困っておりました
(つか不文律かと思い始めていました。
Ctrl+Aや横矢印の事が書いてある場合ですら言及が無いし）。
個人的Netscreen一大不思議が解消してスッキリしました。
ありがとうございました！
DELキーでもダメ？
それで行けるならBSキーでDELを送るみたいなチェックボックスがあったような・・・
アドバイスありがとうございます。
Teratermのキーボード設定"DELを送信するキー"の
Backspaceキーのところのチェックを外したら
単独押下でも削除できるようになりました
(いじった憶えがないのでデフォルト？
Ctrl+BSはこの設定に関わらずBackspace送信でした)。
どーりでNetscreenの文書あたっても載ってない訳だ。
この設定でCiscoも問題ないのでこのまま使用しようと思います。
お騒がせしました。
例えばGUIでHome→Configuration→Report Settings→Syslogに
192.168.1.1 514 local0 local0 Eventlogのみにチェック
192.168.1.1 514 local1 local1 Trafficlogのみにチェック
とやると、強制的に
192.168.1.1 514 local1 local1 Eventlogのみにチェック
に書き換えられてしまうんだが。
ttp://www.netemu.cn/html/32/t-1532.html Netscreenの名が付く機種のは出ないのか
Googleでも見つからないもので。
なんとなく、5.3.0ッぽいけど。
質問は2つ
○５XTのScreenOSのバージョンの確認ができるところをご存知の方ご教授を
○ScreenOS 5.4.0を無理に5XTに突っ込むとどんな素敵なことが起こるんでしょう
WebUIならhomeのFirmware Versionでは？
ttp://download.careplus.jp/netscreen/ 他機種のOSを無理に突っ込むって具体的にどうするの？
ROM焼けるの？
普通のsave softwareでもWEBからファームウェアアップデートなら無理だと思うけど
説明が悪くてすみません。
>174
ありがとうです。
本家サイトだとそんな情報見つかりませんよねぇ。なんでやろ。
私の業務とは関係ないが、社外の人に説明しなければならないことが多いので、
自腹でNetScreenを購入しましたが、なんせ自腹なんでGTとか買えません。
5XTでScreenOS 5.4.0の各動作を検証したかったんですけど。
最悪5.3.0でもよいのですが・・・・
現OSが4.0.0なので、どうにかして5.xに上げられないかと画策中です。
うーーん、無理かなぁ。
Ciscoベースでの話しかしないぞ・・・・
5XTはたぶん新OSはもう開発しないんじゃないかな。
セキュリティフィックスなんかで5.3.0r8とかせいぜい5.3.1とかマイナーバージョン上がることはあるかもしれないけど。
とりあえず5.3入れて5.4の新機能はJuniperのマニュアル
ttp://www.juniper.net/techpubs/software/screenos/screenos5.4.0/index.html で確認すれば？
どうやら、そうなりそうです。
ただ、firmwareが手に入らない・・・
アプライアンスなんてのは、数年で安くなるんだから、
サポートで小金稼ぐんじゃなくて、技術者増やした方が良いと思うんだけどねぇ。
自腹で買ったって書いてるけど中古ってことか?
それなら今ある5XTをオクで売って(2万前後)、最新Firm載ってる5GTを出品してるやつから買えばいいんじゃね
3万前後で5.4系のも頻繁に出てるぞ
新品も10userなら6万しないし登録すれば最新Firm落とせる
やりようはあるんじゃないかな
5XTは>176も書いてるけど、9/1でEOLになるからもう5.4系は期待できない
ちなみに6.0以降、旧Netscreenは非対応(5200/5400の一部除く)で5GTも外れる
今後を考えるならSSGに移行か他ベンダーのにするかだね
LANのIP 192.168.1.0/24
クライアントのIP 192.168.1.100～105
こんな感じで同一NWのアドレス払い出す場合
Xauthでアドレスの払い出し行った際は通信ってうまくいくんかな？
某サイトでは同一NWのアドレス払い出す際は、DIPを使用しないと駄目とあったけど
DIPで100～105の範囲を払い出す設定では、通信が発生するたびにロータリー式に
アドレスが変更されて都度通信が落ちるため、NSへGUI接続できなかったんだが。
好きな番号選んで大丈夫？どーにもわからん。
つか5xpで設定しようとするとエラーになる。
マニュアルよんでもさっぱり。
httpsでウェブ管理画面にログインできないバグがあるけど違う？
httpsでもhttpでも同じ。ローカルセグメントからは入れる。いったんログアウトして
別なPCからNetScreenリモート接続後、WebUIでの症状。 WebUIが表示
できる時点でpoliciesとかその他もろもろ除外できる。 うーん、わからん。
IEでアクセスして、Javascriptとかそっちけい全部オンにしてみたら？
もしくは信頼済みサイトにいれるとか
imegekey.cerってイメージの検証やってくれる訳では
無いんでしょ？
IF VR ZONE
untrust : untrust-vr : Untrust
trust : trust-vr : Trust
上記の様にバインドして
それぞれのIFにipアドレスを振って、
マニュアルに従ってスタティクルートでデフォルトゲートウエイ
(untrsutは外部のルータ、trustはuntrust-vrを指定)を設定し、
それぞれのゾーンとインターフェースでripを有効にしました。
全部anyのポリシーも双方向とも設定しました。
しかしながらルーティングテーブルをみると
untrust-vrのテーブルにはripによる外部ルータの先のアドレスが
載っているにも関わらず、2つのVR間ではripのルート情報はどちらの
vrのテーブルにも載っていません。スタティクルートのみです。
RIPでやり取りするには何が足りないのでしょうか。
zip圧縮されてるから壊れてたらわかるでしょ？
untrust-IF----------untrust-vr
trust-IF----trust-vr
こうなってるんじゃない？
trust-IF----trust-vr----untrust-if-------untrust-if-----untrust-vr-----trust-if
にしないと駄目なんじゃないかな
よくわからないけどね
間違ってたらｽﾏｿ
IF :VR :ZONE
untrust :untrust-vr:untrust
trust :unrust-vr :untrust
untrust :trust-vr :trust
trust :trust-vr :trust
あ～…、お騒がせして済みません。
テンパった上での勘違いでした。
マニュアルにしっかり書いてあるのですが
vrouter間のルーティングは自動で行われないってのが
すっかり頭から抜けていました(まぁ勝手にルートを
アドバタイズするなら2つに分ける意味ないですな)。
結局
・スタティックルートを定義
・片方のルート情報をエクスポート
のどちらかをして、アクセスリストとルートマップを作成して指定する
必要があるらしいのですが、判らないから あ き ら め ま す た 。
マニュアル読んで、洋書立ち読みして、ググって、サイト漁りして、
オクで買ったハードに残っていた設定読んで、商用サイトのコンフィグを拾って
調べた挙げ句、"誰もそんな面倒な事しとらん。trust-vrのみで運用"と結論付けました。
勿論そんな事はないのでしょうが、それ位情報が無い一方でtrust-vrのみがありふれてました。
trust-vrのみにしたらあっさり繋がるし(当たり前か)、FirewallやVPNやら覚えることは
他にいくらでもあるのでしばらく考えない事にします。
長文スマソ
多分、NetScreen販社もユーザの特別な要求が無い限り、わざわざvrouter-trustしか
作成していないと思うよ。
interface、zone、route、vrouter、rip、policyの設定が必要になるからな。
vrouter間の通信はdebugで取れないから検証も面倒なんだよ。
vrouter-trustだけで対応できるなら、それで対応するに越した事無い。
何に使うんだろう・・・
リセールでもしない限りvr分離する必要はなさそうに思う。
NAT環境下でuntrust側にtrust側のルーティングテーブルを見せたく無いとき
以下の様な環境でpingが通らなくて困っております。
--netA---◎-----netB----△-----netC-----■-------
netgear 5xp cisco
PCはnetB上にありデフォルトゲートウエイはnetgear
5xpもデフォルトゲートウエイはnetgear、netB側はuntrust、netC側はtrust(共にrouteモード)
Ciscoのデフォルトゲートウエイは5xp
3つのルータはRIPでテーブルを交換(ciscoのテーブルにnetAがあります)
5xpのポリシーは双方向とも全てanyのみ
この状態で
・Ciscoから5xpのどちらのi/fにもpingはとおるがnetB上の機器へは通らない。
・PCから5xpのuntrust(netB側)にpingはとおるがtrust(netC側)へは通らない。
何が問題なのでしょうか？
ttp://money6.2ch.net/test/read.cgi/employee/1124951178/
各ルータのテーブルが正常になってないんじゃないの？
おちついてもっと状況整理してやってみたら？
netgearのルーティングテーブルにnetCはあるの？
netgearは所謂無線ルータのWGU624で、
WEB管理画面しか無くルーティングテーブルが見えません。
いちおう設定後十分な時間待って確認したのですが
こいつがそもそもアップデートを受信してないとなると
状況に説明がつきますね。
ご指摘ありがとうございました。
ttp://www.amazon.co.jp/Screenos-Cookbook-Stefan-Brunner/dp/0596510039/ref=sr_1_1/250-3655592-7185032?ie=UTF8&s=english-books&qid=1188323144&sr=8-1 Paperback: 704 pages
Publisher: O'Reilly Media, Inc. (December 15, 2007)
Language: English
ISBN-10: 0596510039
ISBN-13: 978-0596510039
どうやら発売1ヶ月延期らしいorz
ttp://www.amazon.com/ScreenOS-Cookbook-Stefan-Brunner/dp/0596510039/ref=sr_1_1/105-1656552-5313212?ie=UTF8&s=books&qid=1190432618&sr=1-1 Paperback: 704 pages
Publisher: O'Reilly Media, Inc. (January 15, 2008)
Language: English
ISBN-10: 0596510039
ISBN-13: 978-0596510039
それの日本語版欲しいな
でたとしても出るころにはJUNOS搭載がメインになってるかもしれんがｗ
日本語で書いてあるとこな。
そろそろ逝かれる時期か？
５台故障したうち、２台は基板上の4425(PowerMosFET)の故障。
他の３台は今のところ原因不明。
原因調べてるが、コンデンサ交換で直るような問題ではないので案外厄介だ。
5XTと5GTは電源周りの回路同じなので、負荷来るとＡＣアダプタが死ぬ前に逝くな。
ttp://d.hatena.ne.jp/keyword/%A5%B0%A5%B0%A5%EC%A5%AB%A5%B9 確認してみて下さい
ttp://juniper.co.jp/support/ns-5xt/ JUNOSオンライントレーニング無償ご提供のご案内
ttp://www.juniper.co.jp/training/technical_education/erij.html > Publisher: O'Reilly Media, Inc. (January 15, 2008)
今日チェックしたら
Publisher: O'Reilly Media, Inc. (February 15, 2008)
ｳﾜｧｧｧｧｧｧﾝ!!!ヽ(`Д´)ノ
どんどんnetscreenのEoSがアナウンスされる状況で
ホントにでるのかねぇ
鼠色のもたまに
CookbookはNetScreenではなくScreenOSだから出るんじゃないかな
SSGでも結局OSはScreenOSでしょ？
Juniperに買収される前のNetScreenは灰色だったのよ
ScreenOSの3の頃からしか知らんからもっと前は違う色だったのかも知れんが。
使う予定だったら早めに仕入れておけって、言われてもあれ高いから何台も仕入れる余裕ねーよ。
すまん、Juniperに買収されて青になった、という意味で言ったつもりじゃなかったんだ。
NetScreen100の灰色は見たことがある。
※青色もある。
今、画像検索でぐぐったら出てきたんで、興味あるなら検索してみて。
Netscreenシリーズはもうそろそろ一通り打ち止めじゃない？
どう考えてもSSGに一本化だろうし。
でもデフォルトログインはnetscreenでOSはScreenOSというｗ
NS25よりSSG140のほうが安かったりするし(標準価格で)、もうNS系は売る気
なさげだしねえ。
さっさとフェードアウトしたいのではないのだろうか
5GTがいつの間にやらIXP425→IXP465になって
SSG5やSSG20と同じになってたのね。
それなら6.0もサポートしてほしいなぁ。
ハイパフォーマンスが必要な用途はASIC路線が続くんじゃ
コストに見合わんのでしょう。
それにしても長生きしたよなぁ、現在のNSシリーズ。
してあった憶えがある。でも長期的にはこんな↓プランなので
ジュニパー、セキュリティ製品向けOS「Screen OS」の「JUNOS」統合を計画
ttp://enterprise.watch.impress.co.jp/cda/topic/2007/07/25/10820.html JUNOSのインターネットプロセッサ(あるいはその後継)でScreenOSが動く、とか
その程度のことではないだろうか
こんど日立に聞いてみよ
CPU処理の時代というか、CPUで無いと処理できないような要件が増えたってことでしょう
既知セッション処理は今まで通りASIC、要件が増えてきたDIやAVのために
速いCPUも入れますよって感じでは
灰色は初期の100だけです
200/500は始めから青かったし、1000は銀のマスクしたニクイ奴です
よく確認しなかった俺がバカだった
ciscoとVPN3000なら、TCPポート指定で通信できる
登録してあるアドレスリストのコメント欄に長い文字列を入力した場合、
半角文字なら31文字以内にしてくれというエラーがでるが
日本語（2バイト文字）だとエラーメッセージが出ずそのまま入力できるが表示がおかしくなる。
販売代理店に問い合わせを行って上位ベンダーにも問い合わせてもらったのだが
マニュアル等には記載がないが2バイト文字は15文字までがサポートされるが、
エラーがでないの使用との回答だった。
使用なので問題を修正したScreenoOSをリリースする予定もないとのこと
それとおかしくなった表示の内容がHTMLのタグのようになるのでSSGの動作に
影響ないか心配なのだが、2バイト文字は15文字までしかサポートしていないので
それ以上入力して問題が発生してもサポートできないとの回答だった。
コメント欄に15文字までしかサポートしないのならそれ以上入力できないように
対応してほしいのだがそれもしないで仕様だからと片付けておいて何かあっても
サポートはできないなんてちょっと傲慢だと思うのだが
どう思います？
RFCに従ってないとか、同じ機能なのに機種によって動作が違うとか、そんな事でも
そういう仕様だと言われたら引き下がるしか無い。
で、そんな事が多発すればもちろん他メーカーの機器にするわけだけど、完璧な
メーカーなんてどこにも無いんだよねぇ。
言われると微妙な気がする
ネーミングのセンスが（ｒｙ
だいたい、どんな機器買っても制限事項はいっぱいあるわけで
一般消費者向け機器じゃないから、制限事項に注意して使うのはあたりまえでしょ？
仕様だって回答貰ったんだからそれで対処しなよ。
俺は普段はL2SW、L3SWがメインなのだがその感覚でいうと考えられない。
殿様商売とみられてる某米国のネットワーク機器ベンダーだって不具合の証拠を
提出すれば日本法人から米国の技術者に問い合わせてくれるのに。
1バイト文字ならエラー表示出してるんだから2バイト文字だってエラー
表示出すくらいOS開発してる技術者なら簡単なんじゃね？
日本法人がユーザからの不具合報告を米国本社に報告するのがめんどいので
仕様だとか適当なこと言ってるとしか思えない。
ここに来てる皆はそうは思わないの？
マジレスすると、あなたが大切なユーザとして認識されてるなら、
プライオリティあげて対応してくれるでしょう。
動作に直接関係ないどーでもいい事でもね。
腹立たしかもしれんけど、そゆこと。
解析に1週間くらいかかるけど、まとまったバグを定期的にアップデートしてくれます。
っつーか、あれでしょ、おかしな挙動を見つけた事がうれしくて、変な使命感に燃えちゃってるだけかとw
さっさと割り切って、もっと他の事に自分のリソース割り当てた方が良いよ。
どうしてもなんとかして欲しいなら、まずはﾊﾞｸﾞとして認めさせる事かな。
これが一番難しいとおもふ。
TACにcaseopenさせるのは簡単だけど、ﾊﾞｸﾞと認めさせて、idもらうの大変でしょ？>SWだって。
代理店の力量にもよりますな。
まあマニュアルにかいておけよって思う事多々あるから分からんでも無いよ。
最近のScreenOSは特に。
ではこの件も報告してもらえませんかね
そうかも。
おかしな挙動見つけたときの興奮と、冷ややかなベンダーの対応のギャップに
気持ちがついていけてなかったかも
そうですね。
マニュアルに追加しますくらいの対応は見せてほしかった
いろいろと注意点が書いてあるけどな
受注した後の対応やるのは誰だと思ってあｑｗせｄｒｆｔｇｙふじこｌｐ；＠：「」
表示がおかしくなるのを試してくれた人はいるのかな？
入力できるのは知ってるけど、アンオフィシャルだと思ってた。
週明け暇ならやってみるよ。
5.4r7と6.0r3あたりでさ。
あなたも暇ならconfigに手書きで日本語コメントかいてロードしてみ。
さて。
フラグメント異常の解析続けますか…
恐れ多いことはできません((('A`)))
表示にすら日本語が使われてないのに
突っ込んで火病なんてねぇ
そもそもマニュアル読みませんとか、お前の仕事は何だっつーの。
と言いたくなるシステム管理者が多い。
既設NetScreenのconfig貰ったら日本語がイッパイ。
販売代理店の話だと5.3だか5.4でサポートされるようになったとか
聞いたような気がするけど俺の記憶違いかな？
よろしく
エンドユーザですがなにか？
英語のマニュアル読むのもユーザからの不具合報告に対応するのも
対応できなかったら上位のベンダーに取り次いだりするのも
おまいの仕事なんじゃないの？
まあ、取り次いでもらった結果冷たい回答がきたのでここに愚痴りにきたのだが
って思うメーカサイド。
仕様はどこかに明記されてて初めて仕様だと思うけど、そもそも読んでくれないとなぁ。
・IP電話アダプタ内蔵ルータのLANポートにNSを接続、UDP500をポートフォワード
・ハブでIP電話アダプタ内蔵ルータとNSを並列に接続
ひかり電話のルータはPPPoEをスルーしてくれるんじゃなかったっけ。
ルータ側でVoIPのQoSとかやってそうだから頭にSW咬ますのはなんとなく
怖くて...
レスありがとうございます！
RT-200KIはPPPoEパススルー可能なんですね。
レンタルされるルータがこれになることを祈ります。
5GT使ってるんだけど。
思うんですが。
PPPoEのパケット通すなんて頼りない防火壁は使いたくないな...
変動IPアドレスだとns5gtを使うのは機能を十分にいかせないですか？
ns触るのはじめてなんでns独自の用語があってとまどってばかりです．．．
DDNS使って拠点同士ダイナミックIPでもVPN張れるルータもあるみたいだけどNSはDDNS対応してないし、そもそもそんなの不安でしょ。
ってことはFWで許可すれば（許可できる？）PPPoEパススルー出来るって事？
そうかぁ、残念 orz
回答ありがとう。
これは何処の設定をしたらいいんでしょうか．
どっからどこになんのサービスを許可するの？って思った？それはお前しか知らねーよ
それすら思わなかったならNS使うのやめた方がいいんぢゃね？
ﾅﾆでアクセスするかぐらい書けやポゲ。
インターネットから家のNS越しのサーバのhttpdにアクセスしたいんです．
安いルータだと静的NATの項目で設定すると思うのですが，
NS5gtだと何処ように設定したらいいのでしょうか．
MIPのことか？
set interface untrust ip 200.200.200.199 255.255.255.0
set interface trust ip 192.168.0.1 255.255.255.0
set interface untrust mip 200.200.200.200 host 192.168.0.5 netmask 255.255.255.255 vrouter untrust-vr
set policy from untrust to trust any mip(200.200.200.200) http permit log
なぜかデータ部のIPアドレスを気にする必要のないサーバまでMIPで作りたがる奴が多いみたいだが、
誰かに洗脳されているのか？
set interface untrust vip 200.200.200.200 80 http 192.168.0.5
set policy from untrust to trust any vip(200.200.200.200) http permit log
適当に空で作ったから間違ってたらすまん。
だとしたらVIPになるな。
図で示すとこんな感じ
ttp://upload.wikimedia.org/wikipedia/commons/c/cc/Coupleur-accoustique-IMG_0298.JPG Netscreen Remote を使用せず、
OSのL2TP設定なんかでVPN接続って出来るのでしょうか？
出来るよん。
設定が終わったら是非ここに公開してくれ。
米konozamaのScreenOS Cookbookのページに
表紙の画像が出てる。
NSR繋がらなくなったよ orz
接続先のSSG側で
[Root]system-information-00536: Rejected an IKE packet on ethernet0/7 from A.A.A.A:500 to B.B.B.B:500 with cookies nnnnnnnnnnnnnnnn and 0000000000000000 because an initial Phase 1 packet arrived from an unrecognized peer gateway.
となっちまう
フェーズ１で認識されないゲートウェイから接続要求があった？ってことだろ
ルートベースVPNで、動的なIPからではあるけど．．．
その辺は、＠FreeDの頃から同じなわけだし．．．
FOMA定額って、なんだか罠が潜んでるのか？
あ゛っ．．．．
ひょっとして
ttp://www.nttdocomo.co.jp/service/data/foma/flat_rate/notice/index.html のことかいな
VPN通信（トンネリングソフトなど）って書いてあるな．．．．．
（ ´ﾟдﾟ｀）えーーーΣ(｀Д´ )ﾏﾁﾞﾃﾞｽｶ!?
こまったこまったこまった、DoCoMo仕様変更してもらえんだろうか？
VPN許可したら中見えないからプロトコル制限できないんで何でも転送し放題
うちもNS-Remoteでつながないと会社のメールも読めないんで、この糞サービスが発表に
なったときにドコモの定額はあきらめた
定額のまま使いたかったらwillcomかぁぅしか選択肢がないと思う
俺はあきらめてwillcomにしたけど、同番移行で申し込んだのでまだ使えてない
ご愁傷様。俺の犠牲が活かされていなくてうれしいです。
> DoCoMo仕様変更してもらえんだろうか？
仕様変更って？
多分パケットフィルタリング＋ステートフルなフィルタリングを行ってる。
サポートの兄ちゃんが法人向けにVPNは通る様にする案がDocomo社内で上がってるけど
時期等具体的な事は全然未定、って言ってた。
一緒に祈りましょう。
NTTドコモは、月額4,200円～10,500円で、下り最大3.6Mbpsのデータ通信サービスが利用できる料金プラン
「定額データプランHIGH-SPEED」、上り下り64kbpsのデータ通信が可能な「定額データプラン 64K」において、
12月21日よりVPN通信に対応する。合わせて、法人向けの新たな料金プランも発表された。
「定額データプランHIGH-SPEED」と「定額データプラン 64K」は、今秋より導入されたデータ通信サービス向けの定額料金プラン。
これまで利用制限によって、VPN通信に非対応となっていたが、12月21日よりVPN通信の制限については解除される。
定額データプランでは、通信の利用はメールやWebに限定されていたが、VPNで企業内ネットワークに接続すれば制限なく利用できる。
対応プロトコルは、IPsec、PPTP、SSL-VPN。なお、VPNへの対応は自動的に行なわれ、特別な手続きは必要ない。
さらに、法人向けリモートアクセスサービス「ビジネスmopera」においても、新プラン「ビジネスmoperaインターネット
（HIGH-SPEED）VPN 限定タイプ」と「ビジネスmoperaインターネット（64K）VPN限定タイプ」が新設される。
利用料は月額630円と月額315円で、いずれもVPNに利用を限定したものとなる。
ttp://www.docomo.biz/b-mopera/information/news.html?id=66 netscreenの設定変更が反映されるのは即時だと思っていましたが、
どうも接続状態の維持をされるようです。
たとえばPolicyを変えてnetscreen自体をコンソールからリセットしても
接続途中だったクライアントにはそのpolicyが反映されません。
クライアントの再起動しなきゃだめ？でしょうか
即時反映されるものとそうでないものがある。
そんなものか。
clear session
ポート単位での設定変更は可能でしょうか？
１番ポート→untrust側に通信できないようにする。ただし２～４番ポートには相互通信できる。
２番ポート→untrust側(インターネットに接続可能)に通信可能。ポート全開放。
と、したいのですができません。
ご教授お願いします。
それぞれのﾎﾟｰﾄに異なるzoneを設定したら？
ユーザー定義zoneって別zoneにはアクセス不可と思っているのですが。。
できれば設定も教えてください。
set int eth
↑
ここまで書いて気づいた。
5gtは確かに作れないな。すまん。
IPｱﾄﾞﾚｽで対応できないか？
もう少し設定を書いてくれないか（検証環境だよな？）
何の問題もなくすんなりつながった。
一応、メーカーサイトのFAQで確認はしてますが、
WinVista Home BasicのOS環境でNetScreen-Remoteを使う方法はありませんか？
ファイアウォールを切ったり、手動接続を試したり、他のPCを噛ませたり
いろいろ試しましたができませんでした…
ちなみにメインとなる接続媒体はLANではなく、Air-H"でのダイヤルアップです。
(モバイルとして外出先で使用するため)
全く同じ設定を施してるXPProSP2では問題なく繋がるんですが…。
orz
質問自体は切実です。お答えいただける方、いらっしゃったら…
vista対応は9.0のみだけど、9.0使ってるの？
対応してるvistaはHomePremium/Business/Ultimate/Enterpriseのみ
それを承知の上で使いたいという質問？
これは設定したら、ちゃんと機能しているのでしょうか？
機能しているかどうか試す方法があれば、やり方教えてください。
IPアドレスはPCにはnetscreenのdhcp機能使っていますが、
やはりスタティックに割り当てたほうがいいのでしょうか？
でも、IPアドレスを使ってどこでどうやって設定するのかわかりませんorz
ご教授お願いします。
Pcには192.168.0.5/24、デフォルトゲートウェイはnetscreenのトラストIFのアドレスを
割り当てました。
ですが、IPベースのアクセス制御の設定の仕方がわかりません。
どこをどうやって設定するのでしょうか？
知っている方教えてください。
やはりポリシーでつまづいてしまいます。
ファイアウォールOFFのポリシーは、どう設定すればいいのでしょうか？
言い忘れましたが、ルートモードにしています。
policyの設定は、パケットを通すか通さないか？の設定ですよね？
ポート開放のカテゴリは何になるの？
ttp://www.juniper.net/techpubs/software/screenos/screenos5.3.0/translated/#jp51 ログイン3回失敗してみ。
アラートがあがる
メールの設定がうまくできてたらメールも飛んでくる
ちなみにすぐには飛んでこないぞ
最大10分位は待て
例を挙げておく
set policy from Trust to Untrust any any any permit
これでTrustからUntrustへの通信は全て許可される
1つ目のanyはsrc-IP、2つ目のanyはdst-IP、3つ目のanyはポート
助言ありがとうございます。
ログイン失敗したところsyslogにUnexpected error from email server(state=2):501とでます。
ispのsmtpサーバのurlとipアドレス両方ダメでした。なんで？
それと、コマンドレベルのアクセス制御の例ですが、すでにweb-guiで設定しております。
あるソフトに対して、なぜだかポート開放にならない。なぜでしょうか？
windowsのファイアウォールは無効にしてあります。
とりあえず
・お前のやりたい事
・お前の環境
・お前が作ったconfig
を全部書け。
話はそれからだ。
おそらく、IPのみのpolicyさえ躓いている所を見るとﾏﾆｭｱﾙも碌に読んでないだろ？
金払ってNetScreenの講習でも受けたらどうだ？
SSG用だが、NSの基本的な考え方くらいは理解出来る。
ttp://www.juniper.co.jp/products_and_services/firewall_slash_ipsec_vpn/datasheets/fsssg5.pdf 名前を変えて連投する教えてチャソとはね。クズだな
マニュアル読む気がないんでしょ
3.0のころから使い始めてるけど、あのくらいの英語ならなんとか読めるし
今なんて日本語のマニュアルあるのにね
それにしても、そろそろSSGをいじってみたいものだ
LAN側のIF、BPDUを透過してくれると喜んでしまうんだが
uPIMにつないでたし、諸条件は忘れた。bgroup設定してたような。
安価にポート増やせるようになってうれしいんだけど、ループ制御機能が無いし、ALGでひっかかるし、
エッジに使うにはひと手間かかるなーって感じでした。
理由をお聞かせください
営業力日本一は伊達じゃないなｗ
なかったけど工作員だったのか。
既にNS25持ってるから組み合わせて使うなら5GTかＸＴをオク
で買うほうが安く上がりそうだし。
あえてNV200にするメリットが見つからん。
転送したいポートとサービス名を結びつける
Network>interface>VIP
ポートとアドレスを結びつける
Policyでルールを作る
がんばれ
ありがとうございます！
先生に聞けないでこんなところで質問するって事は・・・
変な穴あけて変な通信すんじゃねえぞｗｗ
ttp://www.oreilly.com/catalog/9780596510039/ Amazonだと2月25日発売らすぃ
Junosってまだだっけ？？
通報って、、なんでそんな、、、マジレス
ttp://www.oreilly.com/catalog/9780596514426/ システム管理者に黙ってルータにポートフォワード設定しようとしてるんでしょ？
それは絶対やって欲しくないことだからなあ。
ハッキングのほとんどは内部犯行なのにパスワードをデフォルトのまま変更してないところ多いよな。
ちなみに、研究室内のデータにアクセスするための設定をしているのでやましいことではありません。
パスワードは変えてますし、勝手に悪者扱いされるのは気分悪いです。
・君がシステム管理者だ、なんて情報どこにあった？伝えてない情報は、多くの場合伝わってないよ。
・みんな冗談半分なんで気にすんな。ここにいる人の多くは君と同じ立場(SA)だ。
・host晒してからかわれるのがイヤなら管理者なんだけど、って一言断ればOK。
・あと、本物なら自分のレス番よりhost晒すかトリップいれなよ。レス番なんて詐称出来るんだから。
まぁ俺は=とは思えないけどねー
アホすぎるし、でかい釣り針に見える。
＞研究室内のデータにアクセスするための設定をしているのでやましいことではありません
やましくなくても、そのデータにアクセスできるってことは第三者からもアクセスされる危険があるって事だよ。
悪者扱いはごめんな。でも悪気は無くても悪事になることもあるからな。
まさか秋葉原で買ってきたわけでもあるまい。
ネットスクリーンを導入したいのですが、
ブロードバンドルーターは撤去する必要があるでしょうか？
ネットスクリーンの機種選択の方法がわかりません。
参考になるサイトがあったら教えてください。
よろしくお願いします。
その場合ブロードバンドルーターがIPSecパススルー対応が必要だけど最近のは普通対応してる。
NSのUntrustにはそのBBルータのLAN側アドレスを割り当ててそこにUDP500をNSにポートフォワードしてやればOK。
NS側ではNAT-Traversal機能をONに。NSがESP（プロトコル番号50番）のパケットをUDPパケットにカプセル化してブロードバンドルータ送る。
アクセスをDualUntrust＆ソースルーティングで行う事を検討しています。
それで疑問に思うのですが例えばIPS1（DU1のグローバルアドレス）
から入ってきたパケットがTrustのサーバに到達、帰りのパケットが
ソースルーティングでIPS2（DU2のグローバル）から出されると相手
側のFWやルータで問題が出ますよね？（出と入りのIPが違う）
何か良い解決策はないでしょうか？
VPN解禁当初は良い感じだったんだけど、最近ブチブチ切れるのでVNCが使えません。
WindowsマシンからVPN接続先のNetscreenにpingを打っても50%lossとかそんなんです。
普通にFOMAでmoperaに接続してNetscreen-Remote経由のVPNでは
VNCも問題無いし、pingもほとんどloss無いんですが。
他の方の所ではどんな感じでしょう？
ありがとうございます。
とても参考になりました。
それとも両方？
NS-Remoteのバージョンは？
古いバージョンだったらKB5891を疑ってみるといい
相性問題などありますでしょうか？
前スレではSanDisk（OEM）で駄目だったというような書き込みを見てちょっと心配になってます。
‥‥って、今市場に流れてるのはほとんど1GB以上とかなんですねorz
NS204のPDFなんかには96MB or 128MB or 512MB って書いてありますけど、
ファーム更新で大容量CFに対応したりとかは無いんでしょうか？
5.4.0r8なんですが
管理者netscreenが消せません
どうすればよろしいですか
Renameじゃだめなの？
一番読みたかった4章なので買わなくていいやー（ぉ
オライリーのサンプル(4章)
ttp://www.oreilly.com/catalog/9780596510039/chapter/ch04.pdf ジュニパーの紹介ページのサンプル(6章)
ttp://www.juniper.net/training/jnbooks/screenos_ckbk.pdf 届いたらしばらく質問厨になるかと思いますのでよろしくね！
とりあえず rep2 俺様しおり用に記念カキコ。
どうもソフト処理の機種はなにかきにいらん
と同じ
SCS: SSH client at y.y.y.y has attempted to make an SCS connection to interface untrust
with IP x.x.x.x but failed because SCS is not enabled for that interface.
てのうちでも出た。これは一体。。。？
ひとつのメールの中に４つ以上ファイルがある場合、dropしたいのだが・・・。
set av scan-mgr max-msgs 4
マニュアル読むと、メッセージの合計数が４個以上とある。
これじゃないのかな？？
後、ファイル拡張子に基づくAVスキャンで、
DB上にない拡張子をdropさせたい場合は、Ext-listにかくのか？？
ありますか？
ZyWall IPSec VPN Clientは接続確認しました。
てか無料のクライアントソフトってないですよね？
微妙にスレ違いかもしれませんが、WindowsMobile（WindowsCE）用の「AnthaVPN」も接続できます。
Netscreen＋AnthaVPNで接続してCPS（所謂MetaFrame）を利用してますが、W-Zero3に64ｋの回線速度でも許容範囲内のレスポンスです。
出先からちょっとした作業をするだけなら、必要にして充分だと思ってます。オススメですよ。
Windows 2000/XP Professional、
Windows Vista Business/Enterprise/UltimateについてるIPsec機能は？
NSがルーター配下に設置されてると駄目っぽい
trust、untrustへのトラフィック入出力方向の
考え方は以下の通りで良いでしょうか？
in,outのトラフィック流量が合わなくて
戸惑っています。
LAN-----trust-NS-untrust-----WAN
→in out→
←out ←in
型番の下3桁(NS-5XP-xxx)の意味を教えて下さい
ロット番号的な物で、数字が多い方が
新しい機種（製造）と考えてよいのでしょうか
十の位→意味無し
一の位→同梱ACアダプタor販売地域の分類(日本は7)
Policyでブロックしてるものが無いか確認したら？
Screeningとか
内部でブロックしたトラフィックは反対側には出てこないだろ
cisco 7204VXR
cisco 2651XM
で外とつなげて勉強しているが、普通に使う分には圧倒的に
５GTが素敵だな。
ごっついSSGのことかね... 5とか140とか触ってる感じ今まで通りな感じが。
untrust側はdhcpでispのip取得し、trust側に接続しているpcには静的IP(ローカルIP)で設定している。
普通に、webなどの通信などができるが、pcで自宅サーバを立てて、ブラウザでアクセスすると、
通信できない。「正常に接続できませんでした。」のエラーが出る。
netscreenをはずし、pcとモデムを直接つなげば、完全修飾ドメインで自宅サーバのHPが見ることができる。
ここで疑問。
ポリシーで全ての通信を許可しているのに、なぜ自宅サーバのhttpプロトコルを遮断しているのか。
教えてくださいorz
どうしても自宅サーバを使いたいならこの辺読んで
MIPかVIP使っとけ、タコ。もう、出てくんなよ、カス。
ttp://www.viva-netscreen.net/archives/cat_50031540.html ポートアドレス変換を行う必要があります
untrustのグローバルipとローカルのipが結びついていないのが現状です
「untrustのインターフェイスに80番ポートのあて先のパケットが到達したときは
trustの192.168.*.*の**ポートに転送する」
というルールを追加してください
なおuntrust→trusｔではなく、Untrust>Globalでやってください
インターネットの出入り口に配置するFWは、
SSG140でパフォーマンス的に大丈夫ですか？
公式スペック見ても、よく分かりませんでした。
平均/最大セッション数もピークトラフィック量も分からずに選定できるわけないだろ･･･ｊｋ
機器選べばパフォーマンス的には大丈夫なんじゃね?
でけた！でも説明が結構違ってたので
自分で考えた。できた感想は、これは普通ではわからん！
インターネット回線がギガビットで、100人がみんなbittorrentを使うと考えて、
ISG-2000あたりでいいんじゃね？
インターネット回線がギガビットで、100人がみんなbittorrentを使うとしても、
SSG140で十分です。
客先で時々つながらないとか言われて覗いてみたら上限に当たってて
わろたことがあったな。
「timeout？よくわからないから、取り敢えずneverで」とかやってたんだろーかw
見た目のコンパクトさに油断したぜorz
SSG5の方が煩いかな？
5XTは予想外に音してたがｗ
ttp://securepoint.com/lists/html/NetScreen/2007-01/msg00014.html 用途考えたら別に問題無いと思うが
スーパーチャージャーﾜﾛﾀ
**********.com/files/108108249/ScreenOS.Cookbook.Feb.2008.chm
ファームウエアが突然死したと思います。
tftpを利用して ファームウエアを更新すれば
直ると思います、ファームウエアーのイメージ
がなければ修復は出来ないと思います。
VIPでのPPTPサーバ運用に支障がでました。
症状としてはサーバからのレスポンスを通せず接続に失敗するようです。
みなさんお気をつけください。
ありがとうございます。
イメージが飛んでるのでtftp接続出来ません。つまり復旧不可能ってことですね。
嗚呼
ファームアップに失敗したとは本体の事でしょ？
tftpサーバ上にはイメージファイルが残ってるんでしょ？
>402が書いてるのはDisaster Recoveryのために
loader(起動時の"Hit any key to run loader"ってやつ）で
tftpサーバからイメージファイルを取得しろ、って事じゃないの？
勘違いだったらスマソ
レンジ（例えば10000-10100）みたいなCustomルール
を使う事ってできないのか？
どうやら最初の10000しかVIPされてないようなんだが。
10000制限があるような機材だとすれば
どうやってその上限を超えるか？
こたえは、その上の機材を買うしかないでしょ？
ちなみにセッションに余裕のある上位機種で
セッション以内で制限をかけることは可能だけど
ふつうはNetscreen側では行わないで別の機材で行うものです。
VIPの話しをしてるんだし。
set vip multi-port
それってカスタムルールで作った複数のルールをまとめるだけじゃね？
範囲指定のカスタムルールって有効になるのか？俺やったことないけど。
ありがとうございます！
やってみます！
購入元に聞いてみたけど、単品だと出ないとか困った話です。
アダプタの流用ってできないものなのでしょうか。その辺にある9Vセンタープラスのアダプタを当ててみましたが、
プラグの径がちょっと合わないみたいで...
あれ、なんていうサイズ？
（EIAJ規格）
ちょっと高いけど、可変式のアダプタが売ってるよ。
ん、よくみたら本体側には、
9-12V
なんて書いてありました。12Vでもいいんですね。
もういっぺん当たってみます。
こわれたときにふつうに代理店にいったら送ってもらったよ
もちろんサポート契約結んでるけど
ポリシーにTrust→Untrustのhttpプロトコルを追加し、NAT-dstをTrust側のSquidサーバに
向けたがダメで、SquidサーバをUntrust側に設置すればOKでした。
しかしSquidはTrust側に設置したいです。
試しにNetScreenのUntrust側NICにVIPを追加してTrust側のSquidサーバに
転送すればOKでした。
アドレス帳かルーティングテーブルの設定で解決できるのでしょうか？
# もちろんUntrustにプロキシを公開してはダメなのでNGですが。
識者の皆様教えてください。
logになんて出てる？
みんな何見てるの？
つーか翻訳版なんて有っても頼り無くて見る気にならんよ
マニュアル程度の英語なら英語分からなくても読めるようになるから、頑張りなって
ホレ↓
ttp://www.juniper.net/techpubs/software/screenos/translated.html 某解説サイト管理人が書いた解説本は高い割に
スカスカでマニュアル以上の事は書いてないのでお勧めしない。
ありがおー。
YAMAHA嫌いだからがんばって勉強するおー！
以下、教えてください。
1.手動でプライマリバックアップからマスターへ切り戻す方法について
exec failover revert でよろしいでしょうか？
ただ、概念と用例を参照すると、このコマンドは、
インタフェースフェールオーバーのみを対象として
おり、デバイスフェールオーバーは対象としていない
ように見受けられるのですが、いかがでしょうか。
コマンドが使えないのであれば、最悪、ケーブルの
抜線によりインタフェース障害を発生させ、
デバイスフェールオーバーを発生させることを
考えています。
2.トラックIP障害によるデバイスフェールオーバーについて
フェールオーバーの猶予時間（デフォルトで30秒）
は、トラックIP障害によるデバイスフェール
オーバーにも適用されるのでしょうか。それとも、
トラックIP障害が発生した時点（デフォルトで1秒
間隔で3回）で、デバイスフェールオーバーが発生し、
フェールオーバーの猶予時間は、インタフェース
フェールオーバーにのみ適用されるのでしょうか。
よろしくお願いします。
まず試してみろと言いたいのだが。
マルチやって恥ずかしくないの？
トラックIP障害によるインターフェースフェールオーバーの場合は、トラックIP障害検知時間に加え、猶予時間が適用されることはマニュアルから理解しました。
しかし、トラックIP障害によるデバイスフェールオーバーの場合は、トラックIP障害検知時間に加え、猶予時間も適用されるのかについては、マニュアルからは理解できなかった次第です。
よろしくお願いします。
これはひどいコピペ
ttp://pc11.2ch.net/test/read.cgi/hack/1219928849/511
ttp://bbs.viva-netscreen.net/index.php?mode=thread&id=1642 後継機は何を買ったらいいんでしょうか？
製品ラインナップとしてはだいたいこう。性能はそれぞれ上がってるけど。
NS5系→SSG5系
NS25→SSG140
NS50→SSG300系
NS20x→SSG500系
ただし、1Uサイズに収まるはSSG320Mまで。SSG340Mは1.5Uで、SSG500系は2Uになってるから、
リプレースの際には注意な。ついでに奥行きも大きくなってる。
SSG140以上は拡張スロットでI/Fを増やせるが、SSG140はスロットが本体後部なのでちょっと
使いづらいかもだ。
いまさらではありますが、
昔、秋月電子で買った 12V2AのACアダプタで 5GT動いたよ。
Model No:NT24-1S1220
ttp://akizukidenshi.com/catalog/items2.php?q=%22M-00026%22&s=popularity&p=1&r=1&page=&cl=1 日本の代理店でファーム落とせるようになるのはまだ先かな。。。
まぁメモリのこと勘案して機能削るだけで済むんだろうけど
5GTで6.2が出るとは思わなんだ
netscreen系はEOLのアナウンス→やっぱ延長って流れだけど
そんなに保守契約でもうけてるの？それともSSGが売れてない？
5GT保守料は薄利で美味しいとはおもえんし、5.4安定運用中のものを6.2に
上げるとは考え難いが、、、
これで5GTの5.4もEOE、EOLの延長はなくなるんじゃないのかな
結局アップトゥデートな環境を使いたければ
→SSGに行く(但し標準出荷は6.0系、5.4の扱いは5GTと変わらず)
→5GTのまま6.2(但しDI,AVは使えず)
ってことでむしろ客を追い立てる戦略かｗ
まぁリリースノート見ると
This release incorporates bug fixes from ScreenOS maintenance releases up to 6.1r3,
6.0r7, 5.4r10, and 5.3r10.
なんてあるから新機能を使わない限りそんなに酷くないかも＞6.2
対するポートスキャンなどのログが残ったんだけど、
NSだとポリシーをどう設定してもNSのインタフェース自身に対する
トラフィックログが残らないのだが、なんか方法ないでしょうか？
クライアントの設定を変える以外の方法で回避する方法ないのかなぁ？
Self-log の設定かな
ポリシーは無理だけど、ポート毎にプロトコル単位で許可/拒否の設定が出来た気が。
NS25にはない、とかなんでしょうか？
ttp://xs134.xs.to/xs134/08500/screenos62-2812.png 海外のサイトに落ちてるが、さすがに怖いな。
Ciscoよか全然安心できるが？
あとその手の話に関して海外は
場所さえ選べば驚くほど無問題＆親切。
特に資格系は不思議なヌクモリティすら漂う。
レベルアップしないと厳しいからなのかね
25とか50とか200シリーズとか対応する気ないのかね。
,439
・ASICを使ってない
・SSGと同系列(ARM)のCPUを使ってる
のは5GTのみ
5GT(IXP425→IXP465)、SSG5/20(IXP465)
だから容易に移植できると思われ。
だけどもメモリが128MB(固定)しかないから機能が限られる。
(SSG5も128MBのモデルがあるが拡張可能だし、そこはセールスの都合だろう)
そして5GTのEOE(2012.5)までのリリースの対象を6.2にすれば、
ASIC非搭載の5.4のサポートは2009年7月で終わらせられる(つもりじゃなかと思う)。
新機能をアピールしつつ、でもDIやAVとか使えなくすることで
実質的には早期のフェードアウト＆SSGへのリプレースを促すつもりでは？
かなり他社に追い上げられてきた感じだね・・・
ここで聞くの？
UTM機能が多いから。
ただFWとしてみた時は対応の速度や情報量を考えるとNS系のが
世界的シェアの多さもあいまって安心感が強い。
リビジョンが上がる速度考えてもね。
どっちがいいかによるんじゃない？
用意されていますが、ポート単位でネットワークを切ってルーターのように動かすことは可能なのでしょうか？
5GTは知らないがポートの数だけZONEがあればいいだけじゃないのか？
うちは25だけど4つのポートそれぞれZONEを
Trust、DMZ、DMZ2、Untrustと切ってるけど。
代わりに、ポートの分け方を指定するモードを選べる。(CombinedとHome-Work)
ただし、
＞Home-WorkポートモードとCombinedポートモードの場合、
＞HomeゾーンからWorkゾーンにアクセスできません。
という厳しい使用制限あり。
Extendedライセンスを買えばちゃんとしたDMZをもてるが、これでも
「ポートの分け方を指定するモード」であることに変わりなく、自由に
ポートを分けるのは無理だったと記憶している。
SSG-5ではゾーンを8つとか作れるし、さらにブリッジグループも使えるから
ポートの割り振りが普通に出来るよ。
○仕様制限
だな。失礼。
ScreenOS6入れたら出来るようになったり・・・しないか？ｗ
中古で購入したNetScreenを初期化しようと思い
unset allを実行しようと思ったら
unknown keyword all と表示され
コマンドを受け付けてくれません。
本体のリセットスイッチも硬くて押せない状態です
どうしたらよいでしょうか？
よろしくお願いします
全部のコマンドをunsetで消したら？(w
ちょっとは動く→押してLEDの色が変わるなら正しい状態。
むしろ変に力入れるな
ピンホール押下はコンソール出力を見ながらが楽
シリアル番号ではだめ？
NetScreen初心者です。
中古で購入したNetScreenを初期化しようと思い
unset allを実行しようと思ったら
unknown keyword all と表示され
コマンドを受け付けてくれません。
本体のリセットスイッチも硬くて押せない状態です
どうしたらよいでしょうか？
よろしくお願いします
[1868] 初心者 (2009/01/11 Sun 06:09)
大抵のマルチはアッチとこのスレでクラスタ構成
どちらにも教えるｸｿがいるから、クラスタマルチ様は大成功だな
というかあの文体でマルチを見抜けない輩は2ちゃんに向いてないｗ
NOKIA のチェックポイントのアプライアンスのほうは、あまりにもルールが複雑で
Netscreenでは代替不可だわ
サイドワインダーとかみたいにサーキットプロキシ張れるタイプと置き換えるのがめんどい。
設定変更しようと思ってるんだけど、
設定を元に戻せるように、今の設定をバックアップしてから
設定変更をしようと思うんだけど、
方法としてはどうやってやってらいいのかな？
１．事前ログ採取
テラタームで
ログを取りながら
get configを実行
２．設定変更
３．切り戻し
事前のログを投入して
save
これでいいのかな？
戻すときもwebからやってる
fwのうｐはtftp使うけど
知らなかった
どうやってやるの？
fwのうｐ？
VerUPのこと？
3Cデーモンとか？
これは確かにヒドイ
釣りかね?w
>474
マニュアルDLして読むかググれ
こうだろお前ら。
それでいいよ。
違うよ
お前には無理
あきらめて業者に頼め
DSのWi-Fiに繋がらないんだ。
無線APには問題は無いようなんだが、
問題があるとしたらFWとしか。
ちなみにUDP全ポートをVIPで一台にマッピングしたいんだが、
全部ってのはカスタムで可能？
どっかのサイトでVIPマップは1024個までとか見た気がする。
その辺はここで聞くより某サイトの掲示板にでも質問上げた方が早いと思うぞ。
うちではVIPなんか設定しなくてもDSのWi-Fiに繋がってるぜ
疑うならやはり無線APかと
DSは"IEEE802.11b"じゃなくて"IEEE802.11"なので、APによっては設定が必要
そもそもFirewallでダイナミックを使ってるとこを見たとこないし、
あるベンダーのFirewallセキュリティチェックとかいうのには
"ダイナミックルーティングを使用していないこと"とかいうチェックがあるべさ。
何故にFirewallではダイナミックルーティング使ってないんだべさ。
使う必要がないからとかそんな感じの理由なんだべか。
Firewall Specialistの皆さん、是非教えてはもらえないだべか。
俺はやだけど
神様、ありがたいお告げをありがとうごぜぇますだ！！
保証は無いけんども、ルート情報をフィルタしつつ内部と外部で
ルーティングプロトコルを分けて対策すれば良さ気になるべさ。
もうちょっと悩んでみるべよ。
利用者が少なければバグも多いだろうし、小細工したい時もルータ程には融通利かないだろうし
bでもgでもインターネットには繋がるぞい。
ただうちもNetscreen経由でのWiFi対戦はダメだなあ。
Log見るとAge Outしてる。
IPSecVPNつくって支所間通信してますが、
あまりにも問題が無く、ノータッチすぎてなんか色々忘れてて怖いです。
皆さん、導入済み製品の勉強とか定期的にやってます？
皆様NEばっかりで自社製品余裕でしたってことかしら
ダイナミックルーティングを使わないといけないようなポイントにFW置く事が
あんまりないと思うんだが。
基本的に内部の別セグメントとの接続ポイントはルータがやるだろうし、
外部との間でダイナミックルーティングする必要性がないと思うし。
FWの一歩手前には通常ルータかL3いてそいつからスタティックで
FWに対するルートがある、また折り返す通信はとりあえずそのルータか
L3に対してデフォルトルートで返す、みたいな構造が多いんじゃね？
必要な時に必要な内容だけ勉強すればいいんじゃねーの？
基礎知識はそう簡単に抜けないんだから、後は細かいとこだけ
復習すればいいだけだと思うが。
設定が反映されないけど、
Netscreenの場合、GUIで設定変更したときは、
reloadしないと設定反映されないの？
Ciscoのくだりとか何を言っているのかさっぱりわからないが
reloadは不要
running config書き換えた時点で有効になるから
使ったことないけどPIXとかってreload必要なん?
そんなFirewall使えねぇしそもそも売れねぇだろ
それともがパーなだけ?
Ciscoもさわったことねーの？
おまえニート？
なんかアライドのスイッチで再起動しないと設定が有効にならないとか言われて
買い控えた機器はあったけどね。
=491
パー扱いされたからってキレるなよｗ
の言うとおりCiscoには設定反映の為のリロード操作なんていらねーよ。
お前も勘違いしてる気がするぞ(w
write memoryしなくてもconfig打った時点で設定反映されるだろ
反映はされるよ。保存はされないけど。は反映じゃなくて保存のこと言ってるのかと。
つーかいちいち再起動しないと反映されないとかブロードバンドルータじゃないんだから
そんなの聞いたことないぞ。
write memoryしないでreloadしたら保存もされないと思うんだけど
そりゃそうだ。
あ、今更ながらレス番間違ってら。
× =491
○ =491
申し訳ないよ。
しかし、反映と保存、reloadとwri memを双方共に間違えたって解釈は流石に無理があるだろう・・ｗｗ
もし合ってたとしてもパーなことに変わりはないし・・ｗｗ
もっと広い心を持てよ
ああ、でも顧客の担当者が小利口になるのは困るな
やっぱり初心者には厳しくいこうぜ！
糞ルータだからだが
system bsu_resource とかは再起動必要だけど、IFとかVLANいじるような設定は不要
同じ会社でもこんなに違うのか?
WithITとか再起動多かった。
変えることなんてそんなないからまぁ許容範囲ではある
例えばFirewallでもルータモードと透過モード(ブリッジモード)の
切り替えなんかはreload相当の行為必要なものもあるんじゃないか?
ポリシー(フィルタ)1個追加とかでreloadとかなら全くもって使えない
つFirebox
10年くらい前に使ってたけど、NetScreenに変えちゃったよ
Fireboxって今でもポリシーに対象IP追加とかの日常的作業で再起動要るの？
日本語マニュアルあるし
FW-1とかもう無理
レンジ指定できないとか動画配信サーバとか内側に置けないじゃん・・・
Withは二度と触りたくない。
CiscoとアライドとCabletronのダメなとこを抽出したみたいだ。
やっすいMDN接続ルータとして結構頑張ってくれたんだけどな
応援にかり出されて数年前に触った奴は再起動はいらなかった記憶が。
昔のFireboxと全然違ったんで、買収したRapidStream系列の製品だと思うけど。
例によって設定ツールが使いにくかったw
流用が出来なくて困ってる、なんてところ多そうだ。
今時設定ツールがないと使えないってところ自体に問題があるが。
FW-1やサイドワインダーもそうだけど。
ttp://pc11.2ch.net/test/read.cgi/network/1098713372/
それよりアライドは早くScreenOSの5.4r12と5GT用の6.2r1出せよ
保守入ってる意味ねーだろが
SASか住商にしとくべきだった
でもどっかのブログに保守入ってる住商から自己責任で6.2もらったって書いてあったから
こっちから要求しないとくれないのかもしれんね
あれは海外のお得意様に言われて特注で作ったものだと聞いてる
日本で出ることはない
おそらく海外でも、その客にしか出さないんじゃないかな？
仲良くってのは取引あるからいいとして、とりあえずアライドの営業通して聞いてみるわ
情報ありがとう
Juniperの営業に聞いてみるか・・・ こういう時に一次店は強い。
まさかなと思って見たら、5.4r12のリリースで吹いた
さすがに5GTの6.2は無かった
untrustとtrustをブリッジさせて一つのセグメントにしたい場合、
WebUIとCLIはそれぞれどんな設定を入れるんでしょうか？
ゾーン分けないで同一セグメントで口二つにしたらいいだけじゃ・・・
それならマニュアル見ろってことだけど。
アンチウイルスを稼動させるが、大丈夫だろうか～
AVは比較的歴史あるからまだいいかもしれんけどロクなはまりかたしないから気をつけてな。
まあメーカも認めていることなんだけどさ
コンテンツキャッシュをするとはいえ、もうちょっとなんとかならんものか。
128MBなら高いかな
一応256版だけど、保守契約もオプションも無いからやれることは128版と変わらない予感。
会社で調べたら128版の仕切りが6万円台だった・・・
Windowsサーバーを外向けに立てました
外部からリモートデスクトップ接続で管理する予定です。
NetscreenのVIPでグローバルアドレスとWindowsサーバーを
リモートデスクトップポート(3389）で紐つけしましたが
外部からリモートデスクトップ接続できません。
サービスはカスタムで登録しました
TCP Src0-65535 Dst3389-3389
UDP Src0-65535 Dst3389-3389
ポリシーも設定しました。
TCP3389だけでおｋ
たしかバグでTCPとUDP一緒にサービスにまとめると
どちらも機能しない、とか聞いた事あるけど
サービスでUDPの設定を消しましたが、接続できません
ローカルIPでリモートデスクトップ接続ができるので
Netscreen側の問題だとおもうのですが
CLIで
set vip multi-port
をしたんですが、これunsetしたほうがいいですか？
となると、通信ログはどうなっての？
どっかのポリシーにはかすってるだろ？
set policy id 1 from "Trust" to "Untrust" "Any" "Any" "ANY" permit log
set policy id 1
exit
set policy id 2 from "Untrust" to "Trust" "Any" "VIP(untrust)" "RemoteDeskTop" permit
set policy id 2
exit
それと、VIPの設定のコンフィグになります
set interface untrust vip untrust 3389 "RemoteDeskTop" 192.168.1.4
何が問題かわかんないです＞＜
unset allで一からやり直したほうがいいんでしょうか・・
ちゃんと通信は流れてるのか、止めてるのか見ないと解らんべ？
用途としてはファイアウォール(ステートフルインスペクション)のみで、
ポリシーもtrust>untrustのALL許可だけ設定する予定なのですが、スループットが気になりまして相談した次第です。
このような単純なポリシーでも、カタログの75Mbpsがボトルネックになりますか？
回線は100Mリンクのベストエフォート回線です。実測90Mbps程の良好な速度が出ます。
宜しくお願いします
高いもんじゃないし
心配ならNS25買ったら？
ヤフオクだと5GTと大した差も無く買えると思うけど
リモートデスクトップ接続を試みたら、ポリシーログが全く取れていませんでした。
545さんのご指摘の通り設定がおかしいんですかね・・
(´･ω･`)
どのタイミングでログ確認したかわかりませんが、
ログが記録されるのはセッション終了時、もしくは、タイムアウト時です。
通信初めてすぐに確認したのならなくて当然ですよ？
ポリシーのオプションにセッション開始時にログをはくチェックボックスがあるので
それを有効にしてみるといいです。
Ｎetscreen25か・・・・先日ぶらついてたら9800円で”ジャンク扱い”であったなぁ～
ジャンク扱いの理由は、わからんからだってさ。
当然ScreenOSのverも不明。
電源は店の使っていいから自分で調べろって・・・
都合よくコンソールケーブルなんて持ち歩いてねぇよ。
2台で9800円なら勢いで逝ったんだけどなぁ～1台は動くと信じて。
最近は無いけど、以前は何の準備も知識もなしに
Netscreen50だか25だか204だかと、cisco機器に囲まれた案件に突っ込まれたからなぁ～
今後の為に勉強用に1台は欲しいと言えば欲しい今日この頃。
客先機器を触る前に勉強しろって・・・就業数日前に言われて実機もなしにどーしろと？
ポリシーのloggingにチェックを入れたらログを出し始めました。
以下が失敗したときのログです。IPはログの項目名に置き換えています
2009-05-08 05:09:11 Source Address:49169 Destination Address:3389 Translated Source Address:2794 TranslatedDestinaionAddress:3389 TCP PORT 3389 21 sec. 206 0 Close - AGE OUT
の言う通りかも。
554さんの言う通り鯖のデフォゲが間違っていました。
皆さんありがとうございました。m(__)m
ttp://enterprise.watch.impress.co.jp/docs/news/20090512_168344.html SRXとSSGシリーズの違いがわからんのだが。
記事を読む限り、SSGと領域が重なりすぎる気がする
ちょっと前のプレゼンなんかだと320・350が
JUNOSも動く(だかハードは共通だか)って言ってなかったけ？
これでSSGも終わりか
SSGはScreenOS、SRXはJUNOS。
買収したNetScreenをいつまでも開発してる訳にもいかないからな。
ScreenOSとしての機能を盛り込みつつJUNOSへの移行を進める為に
レンジの重なる製品を持ってきたんだろう。このスレもr3.0で終わりか。
SRX100もJUNOSだったら、x86とFreeBSDで作られているんだろうか。
そうじゃなかったら思想に反するｗ
昔使ったCiscoのIOSっぽい文法のFWアプライアンスでポリシーの書き方があまりにも使いにくかったので、
ちょっと不安なんだけど
まともに動くのかがよくわからなくて
正直勧めないけどｗ
ttp://page9.auctions.yahoo.co.jp/jp/auction/k113595876 ttp://www.juniper.net/techpubs/software/screenos/screenos6.2.0/ 一部顧客向けに6.2を出してる。過去ログくらい嫁。
エラいぼったくられそうで怖いです
こうすれば1ライセンスしかつかわんのでは？
しかし通過クライアント数でライセンスとは時代遅れに思える
そうベラボーに高くも無いぞ、最近のヤフオクだと
実際時代遅れの機械ですしねｗ
しかし趣味で自宅使用には値段も安くなっていい感じです
>572
ごもっともです…
けど実験環境でVMwareとか複数たてると枯渇しそうで怖いです
>573
なるほど そうですね
今回は自宅利用で消費電力の心配もあって5GTを買うことになると思いますが、
ちょっと規模が大きくなったらそっちを買って見ます
パフォーマンスが悪いような気がするんだが
ちょっと5GTとかSSG系とはハードウェア構造も違うしソフトもそれに合わせてちょっと違う。
SSG系はソフト処理
だからNS系のCPUスペックはショボイ
実用上はさほど問題ない。
ネットワークシミュレータとかで、極めて短時間に大量のセッションの開設・切断を行うような状況を模擬
すると、CPU負荷がもりもり上がってスループットが早々に頭打ちになるが。
逆にFTPででかいファイルを送受信するような状況を模擬すると、カタログスペックに近い値が出る。
NS-25/50、ただし代理店または時期による？
仕事でアライドから仕入れた25*2台はファン付いてた
個人的にオクで買った25と50*2台には付いてなかった
前どっかのスレにも同じこと書いた記憶ががが
Thx
それでなのか
ファンなしっぽい記述があったり、ファンがある記述があったりで
チソプソだった
ファン無しでリリース→なんか熱暴走多発してね？→ファンつき改善版リリース
って感じなのかな。
ファンなしでリリース→大半ユーザが空調なしで運用→熱問題が出てくる→ファンを付けておこう
沢山のユーザを見てきたが、サーバがない部屋の場合空調がないことが多い。
メインはデータセンターにおいてるからそんな問題おきたことないわ
多数のユーザ見てて、そんな部屋が無い場所が多い、って話をしてる時に何言ってんだ？
俺の行った現場で一番酷かったのは、倉庫の一角にミニラックが置かれてるだけで
ネットワーク機器が全て埃まみれだったところだな。あれいつか火災起きるぞ・・・
支店とかだと専用スペースが作れないから、適当な場所に設置されてるケース多いよな
ネットワーク機器の設備投資をケチるユーザ多いよな
普段は空気扱いなのにいざ止まると怒涛のようにry
dialerI/F を作成したのですが ppp の設定のところで
keepalive のチェックボックスを外したいのですが
チェックを外して apply をクリックしてもチェックが外れません。
また、CLI にて unset interface dialer.1 keepalive とすると
webui で確認するとチェックは外れるのですが
CLI で get conf しても、設定したはずの unset interface dialer.1 keepalive の行がみつかりません。
なので、save して ssg をリブートすると
またチェックが入った状態になってしまいます。
課金状態になるのを防ぎたいので keepalive の設定は外したいのですが・・
juniper のサポートにも問い合わせ中なのですが
どなたが同様の症状になられた方はいませんでしょうか。
screenos のバージョンは 6.0.0r8.0 です。
ssg5 は ss5-sh-bt を使用しています。
よろしくおねがいします。
そもそも screenos は ras server の機能がないらしく
ins 着信ができないということでした。
構成から見直してきますorz
知ってる情報があれば教えてください。
▼環境
・Bフレッツ+PPPoE+Netscreen25
固定1IP
・フレッツADSL+PPPoE+Netscreen25
固定16IP
上記共にNetscreenのファームバージョン：5.4.0r13.0 (Firewall+VPN)
▼現象
上記環境にて見れないサイトが存在する。
見れないサイトは上記2回線ともに同一サイトで、
別回線(イーモバ等)では閲覧可能。
Bフレッツ及びプロバイダに連絡をしたが、異常は見られないとの回答。
見れないサイトの会社に連絡したが、閲覧規制は掛けてないとの回答。
Trust側からはping,trace,名前引きは可能。
Trust側からのポリシーはALL開放でも閲覧不可。
▼やったこと
NetscreenのWebUIにて以下を実施したが、変わらず。
Network→Interfaces→Untrust→Edit→
Maximum Transfer Unit(MTU) Admin MTUの値を1454に変更。
>594
自己レス
ポリシー設定内ののApplicationをNoneからIGNOREに変更したら
閲覧できた。
それって ISR的にシスコルーターの２６５１とかに合うんすか？
ISR的に合う、合わないみたいなリストがネット上に見つからないんで・・・TT
どの性能や機能を比較して相当品だと考えればいいのかが分かんねぇよ。
あと、2651はISRじゃねぇ。
1841 とか 2851 ならどうよ？
2651がISRってｗｗ
そんな貴方様は、国産のSi-Rあたりでもご検討下さいｗ
一緒に使えない？？
あれ、そもそも比較してるんじゃなかったの？
「ISR的に」って、どーいうことでしょうか？
誰にでも分かる日本語でプリーズ。
モスバーガーのきれいな食い方みたいな。
複数ベンダでネットワークを組むならそれなりにそれぞれの用語の意味を理解してから
やるべきだし（まさにISRとかCisco用語だしな）、それが無理っつーならSIerに頼む。
自分で勉強出来ない技術は金で買うんだよ。
たまにこういう香具師が飛び込みで泣きついてくるが、たいてい自我だけ無駄に強くて
間違いばっか言うし指摘したら俺は客だぞだとキレるし金にもならんのでうちではお引取り願ってる。
じゃあ勉強出来なくて金も無いユーザはどうすればいいんだっ
コンシューマ向けのブロードバンドルータで我慢しる！
どーせ広帯域なんて要らないだろーから、十分だぞ。
それでも尚、耐障害性が．．．とかボヤくなら金を積め。
ISR=Integrated Services Router
全く同じ型のものが見つかりませんので
下二桁（05）の数字が異なってもSoftware Version
（今は4.0.0r6.0）が同じならば
設定ファイルを流し込んでも同じ物として動作ものなのでしょうか？よろしくお願いします
ttp://jvn.jp/cert/JVNVU943657/ 今日その対応ばっかだったわ
Netscreenに限らず
設定は完全に復元できるものなのでしょうか？
（他のメーカーだとうまくいかない場合があるので）
よろしくお願いします
SSG140のUIってSSG5と同じ？？
ハードだけなら販売してくれるって言ってたよ。
おや 第三四半期に出るとかいってなかったっけ？
ハードだけってのは、年間サポートなしで機材はそのままACアダプタ等々含めて一式ってこと？
なんとなく国別にACアダプタが違う気がしないでもないけど、対応電圧広いアダプタで
統一してあるのかどうなのか
600USDなら、SSG-5とほぼ変わらないな
国内はまだ未発売で、年末くらいじゃないか？とのこと。
海外数店舗探して、SRX100B売ってくれるところの最安値は560USDだった。
USなのでコンセント、最近のアダプタなので電圧は問題ないとおもう（？）
海外だと J-CARE CORE Support 販売してくれるところは見つけられなかった。
搭載されてるJUNOS9.6じゃ未実装とかあるしサポートはほしいね。
Thx
んだね
しばらく様子見か
Case上げたいのに上げれねぇｗｗｗ
Netscreen remoteのファイアーウォール機能の設定はどこをいじればいいのでしょう？
クライアント側からサーバーは行けるのに、逆はPINGすら通りません。
バージョンは9.0r3です。
Windowsファイアウォールで弾かれていたとかいうオチだったりしない？
クライアントがwindows 2000かつ、ウイルス対策ソフトのファイアーウォールも
オフにしてあります。
Netscreen Remoteのログに「Inbound packet failed validation *.*.*.* ->
192.168.24.3」と出ていてpingを弾いているようなのです。
となればNetscreen Remoteの仕業かと思うのですが。
ロジステック
SRX100B(初年度サポート) ８８ｋ
SRX210B(初年度サポート）１３８ｋ
ぷらっとオンライン
SRX210B(初年度サポート）１４８ｋ
NTT-X
SRX210B(初年度サポート）１３４ｋ
SRX100B-SL ８５ｋ￥
ロジステックには次年度サポートの価格も載ってる。
サポートは、ぷらっとが日立システム、他は住商情報か（？）
あと納期はかかるみたいなので注意
ネットではScreenOSがなくなってJUNOSに統合されるという記事もみるのだけれど…
ScreenOSは先が短いだろうし、これからならJUNOSなのでは？
ScreenOSを使う機械はフェードアウトしてくでしょ。
JUNOS自体はキャリアルータ用OSとして鉄板。
このSRX100-SLっていういっちゃん安いの買えば
OSPFとかBGPとかMPLSとIPv6とかBFDとかバーチャルルーターとか
NetscreenなSPIとかDeepInpectionとか全部使えるの？
公式のデータシートに機能マトリックスあった。
BGPのRRは上位モデルだけサポートだけど、
それ以外には制限らしい制限は無いね。
早速SRX100ポチってみた。
年内は認定資格のキャンペーンやってるし、
これを機会に受けてみようと思う。
試験が100%割引で受けられるキャンペーン面白そうだけど、JUNOS使ったことないうえに
教材が9割がた英語というのもきつい。CCNAは持ってるから、その知識の延長で
なんとかなるかな。
ttp://yutori7.2ch.net/test/read.cgi/news4vip/1256707678/
431640624999999
たまにBフレが切れて再接続した際に、インターフェイスのIPが変わってしまいます。
動的IPなため仕方ないのですが、インターフェイスに記述していたVIPの定義も消えてしまいます。
おそらくIPに紐づいていたからだとは思うんですが。
動的IPでVIPを使う方法はあるのでしょうか？
契約的に固定IPは取れません。。。
ttp://page12.auctions.yahoo.co.jp/jp/auction/p164780363 ttp://page6.auctions.yahoo.co.jp/jp/auction/f85868281 3,000円で落札したものを20,000円で出品ってｗ
どう感違いだったんだ？
確認なのですが、SSG5 (ScreenOS 6.1)と、Netscreen 5GT (Screen OS VPN 5.4.0r10.0)って、
接続可能なのでしょうか？
必要としている機能は、単純なFile copy程度です。
IP-VPN？
どっちでも難なく出来るけど。
IP-VPNでの接続のことでした。
ありがとうございます！
IP-VPNの場合、相互に接続設定さえ揃えれば異なるベンダでも
接続は可能。まあベンダとかに頼むとイヤがるけどな。
どういったケースで重宝するんでしょうか？
ジュニパーくらいしか推奨して無いような感じもしますが・・・
たまーに使うけど。
言うほど出番はないかな。
接続するだけなら問題ないが、セッションタイムアウト後のrekey処理がうまく回らず、その他諸々で
再接続ができなくなるとかの豪快な相性問題に遭遇することも希にあるからね。
そうなったら解析が大変で、「なぜつながらなくなったか説明しろ」といわれたくないから、正直避けたいw
まあSSG/NetScreenのIPsecでは、そこまで酷い相性にあったことはないけど‥
起動に１０分かかるとかいてあるな。。。
GoogleのOS見習えって感じだなｗ
ありが㌧。やっぱソース毎に振り分けるなんてあんまないですよねー。
つか興味はあるのでレポよろ
と思っていたがこれを観ると起動に10分かかるのは異常ですねー
ttp://www.youtube.com/watch?v=_9wmJkjDBqs でも実体験から言わせてもらうと やっぱりJunOSって起動が遅いよね
SRXに置き換わるというのに、無駄な投資しちまったな・・・
3,4年はもつでしょwww
Junosがわかる技術者がそんなにいるとは思えないし
Netscreenの概念がわからない人にはSRXなぞ設定でないwww
はやくこの世からScreenOS抹消してくれ
>641は合格したのかねぇ
全て置き換えられるとは思えないけどなあ
開発がマトモなら誰でも問題だと気づくはずだが・・・
つかJunOSってGUI無いのか。
Juniper製品はNetScreenとSSGしか触ってなかったが、こりゃScreenOSの寿命も
少し伸びそうだな。
合計で１０分です。今後徐々に改善予定らしい。
JUNOS9.6はそんな有り様で、JUNOS10.0で若干改善したらしい。。。が？
realtime-kernelらしいですが、ログインプロンプト前にルーティング
エンジンが実質動いているかまではしらべてません。
なおWeb(GUI)設定画面は工場出荷オンされています。ScrennOSとくらべると
自分は取っ付きにくくて、CLI併用がいいかと思いますが。
殆どの設定がGUI上から可能なのならば、余程使いづらいGUIで無い限りは
慣れの問題な気もするけど
ファイルサーバ上のExcelのファイルとか開いてしばらくすると
保存ができなくなる（セッションがきれてる？）
どんなところを見直せばよいんだろうか？
ログインプロンプトまで４分なら許容範囲内だな
漏れもポチるとするか
情報ありが㌧
高速化したといわれる10.0での動作デモを見たことがあるが、一つの変更操作に
5秒以上待たされる感じだった。ありゃストレス溜まるんじゃないかね。
次期バージョンではさらなる高速化を図る予定らしいが‥
結構洗練されてるのかと思ったぜ
１ヵ所変更も１００ヵ所同時変更も５秒かかるでしょ
まさかJWEB？
CiscoでSDM使うようなﾍﾀﾚlkjgfﾀﾞｲｾfﾀﾞsﾌｧf...ｶﾞﾌｺﾞﾌｯ
ｎｅｔwork->interfaces->trustでntp serverというチェックがあるので入れてみたのですが、動作している感じがないので…
問題は２拠点とも動的IPな事です。
ネットを検索すると、最低でもどちらかは固定ＩＰ必須、みたいな書き方をされてますが、DDNSではダメなんでしょうか。
手元の5GTのWeb画面を見ると VPNs > AutoKey IKE > New の Remote GatewayのStatic IPの横の
アドレスいれるボックスに Address/Hostnameと書いてるのでいけそうな気がするのですが…。
DDNSのIPの更新自体は他のマシンから行います。
5.4系、6.2系ではNTP使えているが．．．
Date/Timeには上位ntpを見に行く設定になってるよね？
ttp://www.hitachi-system.co.jp/juniper/faq/ssg_netscreen.html#05_21 ns5gt.6.2は住商など幾つかの代理店サポートは配布中のようだが、、、
11月納品予定だったのが本日時点で未納
つかUS発送すら済んでないらしい
みんな同じ？
Juniperの出荷自体が遅れてるのか販売代理店が糞なのか
諸事情でJUNOS 10.0R2.xx待ちとか、、、だったりしてな。
発注店経由で代理店に納期目処聞いてみた？
タイミングによっては納期3ヶ月かかるといわれた。
実際は1.5ヶ月で入ってきた。
開発元の最新版もVistaSP1対応までで終わってるし。
良くてパッチ提供程度だろう。
ま、7はVistaSP3みたいなもんで、Vista向けパッケージの大半が適用出来るから、
自己責任でやれば入るんじゃない？
同じJuniperのOdysseyはVista対応版が7で動くし。サポート外だが。
ttp://forums.juniper.net/t5/SRX-Services-Gateway/SSG-vs-SRX/td-p/31111 バグが多いなんて何処に書いてあるんだ？
Web-GUIの作り込みが総じて甘いというのと、
ブート時間が長いとは言ってるが。
OSも11月の頭に出た10.0R1.8でR2も載ってない
販売代理店は住商だったから
企業向けの案件に優先的に回された臭いな
これ使って勉強するつもりだった
受験料無料の資格受験も間に合わねーしSHIT
とりあえず10.0R2にアップデートだけして
年明けからいろいろ弄って勉強してみるわ
だが、定額給付金には間に合わなかった！
PPPoEでグローバルアドレスをもらってるIFが有るんだけど、例えば
そのグローバルアドレスの80番にアクセスがあったら、内側にいる
サーバ（192.168.1.100）の80番に転送したい。VIPを使えば出来る
んだけど、もう一個用件があってサーバ側ではNS5GTのLANIF
（192.168.1.1）からの接続になるようにしたいんですがそんなこと
は可能でしょうか？
要はデフォルトルートと違う方向にパケットを返したいんだけど、
グローバルからの接続となるとデフォルトルートの方にパケット
が行っちゃうので困るのです。同じセグメントからの接続となると
そのIP（ここではNS5GTのLANIF）にパケットを返してくれるので、
NS5GTが内部でうまく処理してくれたら…と考えているのです。
インターフェースの編集画面(上側)にあるよ
DIP作ったらポリシーで適用ね
試してみたんですが、Incoming DIPはH323やSIP、VOIPでしか使えないと
エラーが出てしまいますorz
要はその通信だけNS5GTでNATしてあげればいいのよね
ポリシーのNAT機能だけで対応できないかなぁ
ScreenOSのバージョンによるのかな？
バージョンいくつですか
Untrust->Global PolicyのAdvancedのNAT > Source Translationで
(DIP on) None Use Egress Interface IPを選択ね
本当にありがとうございました（T-T）
仰る通りの方法で無事、接続することが出来ました。
無事、年が越せそうです。
ポリシーでアクションのところが青くなりました。
ところで透過モード＊HAのあまりやりたくない構成で組むんだけど、
検証で注意すべき点てとこだろ。
作文能力を見直してから出直してくださいｗ
あと、NS50なんてオクで仕入れた方が安いですよ
誤字程度にいちいち反応するなよ、ちょん。
5年だから、末期に買ってるならまだ残ってると思われ。
OS4系なら終わってるはずだけど
設定があれば教えてください。宜しくお願いします。
送られてきた物は、9.5でたしかにブートプロンプトまでは、7分の罠（藁
あまりに醜いので代理店に、最新OS提供してもらい。
たしか、10.0？をインストール。
ブートプロンプトまでは、3分少々・・・リリースから半年って聞いてるけど、
あと半年ったら1分半いける？（藁
OSインストールはCLIでやったけど、他はGUIで設定。
設定自体は、FWの設定ぐらいだったけどSSGとあんまり変わんなくて拍子ぬけ。
こんなもんですか？
JUNOS触ったことないけど、MIPとかVIPの設定面倒だった？
本拠点＋6拠点でNS50@3台、NS5GT@4台で使ってて先月本拠16IPをSSG320Mに換えたんだが
SRX240（レール込）のほうが2万くらい安いし性能も上っぽいから迷ったが
設定あまり変わらないならSRXにしとけばよかったな、320Mは重さのわりにマウンタが4点ネジ金具だけで笑た
320M用のJUNOSってどこで手に入れるんだろうな…日立のページにはScreenOSしかない
SSG 520M/550M = J4350/J6350
ttp://www.juniper.net/jp/jp/products-services/security/ssg-series/ssg320m/ JUNOSへの転換 ○
らしいよ
NSしか持ってないからやったことないけど
今回、NATで使ったのはDIP(SRXではSrc NATらしい)だけなので、VIP、MIPの設定は見てないな。
DIPの設定は、難しくなかった。 逆にScreenOS以外で使えるNATのイメージに近い感じ。
VIPはDst NAT、MIPはStatic NATに呼び名がSRXでは変わっているぐらいでそんなに抵抗ないかと。個人的には。
通常？右タブでドリルダウンしていくコンフィグの他に、CLIライクに直接編集できるのとか、
設定ディレクトリがツリー上になり設定できるのもあったよ。
GUIの設定の方法としては、3パターンって感じ？
あと変ってるなーって思ったのは、JUNOSのCLIでは当たり前なのだけど、GUIにもCommitシステムが導入されてたよ。
設定変更するとウィンドウの上の方でチカチカひかって笑えた
GUIなのに設定コンフィグとActiveコンフィグの差分とかみれて、オペチョンが減りそうだと思った（藁
netscreen remoteでVPN接続した場合、内部から外部のPCを
VNCなどでリモート接続できるのでしょうか？
外部から内部はできると思うのですが、逆の場合はどうでしょうか？
VPN接続できてればOK
なるほど、差分見れるのはいいね～
過去レス見たら起動遅いって書いてるね・・ あとどうでもいいけど公式の写真は筺体前面黒いのに
実際は青いままだ！
黒い理由は、よくわからないけど、なんか昨年末にかけてロゴがかわったよね？たしか・・・
それをぼかそうっていう理由もあるんじゃないかな？ データーシートの写真は。
青箱が黒くなったら、Bro○○Dと区別かつかなくなっちゃうね（笑
SRXの650で今のフルルート(約30万ルート)食えるって聞いたんだけど、本当ですか？
問題が起こったときの切り分けとかどうするんだ？
あくまでファイアウォールはスタティックルートで上のルータでダイナミックルーティングさせたいわ
ファームが4.0なのでせめて5系にあげたいんですが、どっかに転がってませんかね？
保守契約とかしてないと入手できないんでしょうか…。
アライドやヤマハなら普通に公式サイトから落とせるもんで…
とりあえずもう一台5XTをもっててそっちがファーム5.3だったので
ここを参考にファーム引っこ抜いてアップデートできました。
ttp://iga2.net/worklog/2009/12/netscreen-ferm.html ライセンス的にはアウトなんですかねー。
まぁ個人的にローカルで実験するだけの環境なんで…。
物理接続は以下のような感じです。
PC1------ NS1----------------NS2------PC2
trust untrust untrust trust
各種設定等は以下のような感じです。
PC1 : 192.168.1.200/24
NS1 trust : 192.168.1.1/24
NS1 untrust : 200.1.1.1/24
NS1 tunnel.1 : 10.10.1.1/30
NS1 routing : 192.168.2.0/24 -> tunnel.1
PC2 : 192.168.2.200/24
NS1 trust : 192.168.2.1/24
NS1 untrust : 200.1.1.2/24
NS1 tunnel.1 : 10.10.1.2/30
NS1 routing : 192.168.1.0/24 -> tunnel.1
設定は以下サイトを参考にそのまま行ったつもりです
ttp://www.viva-netscreen.net/archives/cat_50017502.html 状態としては、NS1、NS2ともVPNs>Monitor StatusはSA Status:Activeになっているので、VPN自体は繋がっていると思います。
しかしpingを打ってみると以下のような感じになり、VPN先のルーターまでは繋がるのですがその先に行けません。（逆方向も同じ）
PC1 -> NS2 OK
PC1 -> PC2 NG
NS2 -> PC2 OK
何か設定がたりないのだと思いますが、ご助言頂けないでしょうか。
その他必要な情報がありましたら言って頂けると助かります。
宜しくお願いいたします。
問題ないんじゃないかな
保守契約結んでるお客さんに渡るファイルは
全部同じバイナリなわけだし
PCにデフォゲが設定されてないとかって寒いオチはないですよね？
トンネルインターフェースはTrustゾーンが割当たっているんですか？
NS2上で見たとき、Trust→Trustの通信ですか？
Trustの同一ゾーン通信ならデフォルトで通るけど、違うならポリシー確認を。
念のための確認
IP表のPC2以下はNS2の間違いですよね？
PC1→NS2はNS2のどこ宛？Trust(192.168.2.1)でいいの？
みんなエスパーじゃないから質問するときは鬱陶しいぐらい余分に情報書いてくれた方が
答える方としては嬉しいです
解決しました。が、原因はWindows7の微妙に高度なFWという情けない原因でした。
大変お騒がせ致しました…。
どうも7のFWは同セグメントのpingは通しても異なるセグメントのpingは止めるようでして…。
なんにせよお答えいただいた皆さま、ありがとうございました。
確かに、ルーティングは、ルーター。ポリシーはFWで箱を分けたいよね。
お守する側としては、その方が楽だし。
でも最近は、客の財布事情が厳しいから、たとえば、3階層あるネットワークを、2階層で、さらによくなりますよ。とか、いうように、集約、集約がはやりな風潮があるわけで。
そんな流れを受けて、頭のボーダールータ（ゲートウェイルータ）とコアに微妙にポリシーングしてるFWを一緒にできないの？
とかっていう話もちらほらあるわけで。
VMが売れてる背景も、若干用途は違えど、集約の方向を見せないとなかなか客には受けが良くない今日この頃。
箱を分けてしか扱えないベンダは死ねばいいｗｗ
SRXが最強の間違い
ギガビット以上のルータは全部ASIC積んでハードウェアでやってるじゃん
もういちどjuniperのRouting Configuration Guideを読み直さないと。
ファームウェアを10.0r2.10にしないとpp0.0でのNATもできないし。
んでkbの対策関連articleはログインしないと見られなくなってる。
Accounting Profileを使用しない方法でCLIで設定するべし。
SRXはどうか知らないけど、EXはスイッチなんだからASIC積んでるでしょ。
見積もり取ってみたら糞高杉ワロタ
もはやスレ違いスマン
SRXは100,210,240は無いんじゃないの
EXはPowerPCでブランチSRXはMIPSデュアルコアだっけ？
嘘ではないにしろシングルトレインって何の話だと
思わなくもない…
おお、サンクス。 うちのは見事に"10.0R1.8"。
保守のソフバンのページにはJunosのアップデートが無いので、JuniperのUserAccountを取ってイメージを取得してみるわ。
kbの記事はKB10565。がんばってね
つべに何故かこんなのがあったり
ttp://www.youtube.com/watch?v=7rFbH5X-NYA 他にも素人が作ったとは思えないdisってるビデオあり
ttp://www.youtube.com/watch?v=c5MknPvVjUc こちらは以前みかけたときは"Lawful intercept"なんて言葉つかってるから
作ったのはCiscoじゃねーか？みたいなコメントがあった憶えがあるんだけど
現在は消えている
ttp://www.youtube.com/watch?v=WTQzR3mtZ80 そろそろ入れ替えたいのですが、ネットワーク構築時のメンバーが
誰も残っていないため、VPN等のコンフィグがそのまま使える機種が
あれば助かるのですが・・・
Jの営業来たとき聞いてみたらSRX100に移行してください、って。
configはSIに金払って移してもらうしかないだろうな。
いずれにせよ、移行作業と検証は必要だと思いますので
この機会に、ヤマハかアライドにしようということになりそうです。
VPNの各拠点分買わないといけないのでそれなりの出費に
なりますが、長期的にみたらそのほうが得策だという判断です。
Si-Rも使いやすくてオススメ
アライドと違ってちゃんと日本語のWeb管理画面使えるし
こんなものもあるんだけどね
ScreenOS to JUNOS Software with Enhanced Services Migration Tool (S2JES)
ttps://i2j.juniper.net/s2jes/index.jsp ほへー面白いツールがあるな。
Change LogもKnown Issuesも空だから出来立てほやほやか。
でもこれ代理店ログイン必須だからEnd Userでは使えないな。
フレッツ光の固定グローバルIP8個のプランで
SSG5をルータなしでメディコンにつなぎ、
MIPでサーバ2台を公開しようと考えていたのですが、
調べたところ、SSGはUnnumberdに非対応だと分かりました。
固定IPが1個の時は、SSGにPPPoEの設定をして
IPを取得すれば良かったはずなんですが、
IP8個の場合は、残りのIPの取得はどうすれば良いのでしょうか？
1.SSGとメディコンの間にルータを入れないとIPの取得が無理
2.PPPoEの設定をすれば残りのIPの取得もOKでMIP可能。
3.上記以外で、無理やり設定出来る。
答えは1～3のどれになるのでしょうか？
「分からないなら使うな」が正解かも知れませんが。。。
どうぞ宜しくお願いします。
’2’の方法があるみたい。
ttp://www.hitachi-system.co.jp/juniper/faq/ssg_netscreen.html#01_3 海外UTMはどこもこんな感じでしょう。
まぁ、Unnumberd に正式対応してるのなんて国産ルータくらいだろうけど。
出来ることなら’1’でやるのをお勧めするよ。
ありがとうございます。助かりました。
やっぱりIPが取得できているのかどうかでトラブルのを防ぐためには
間にルータかましたほうが安全ですよね。
問題はどのルータを使うか・・・
せっかくSSG入れるのに安っいルータをはさむというのも何だなぁ～。
PPPoEを使っているのが日本くらいだっていう意味が
やっと理解できました。
外国産は全然Unnumberdに対応してないよ・・・。
PPPoEって事実上日本ローカルの規格だから、不具合見つかっても
すぐには直してくれないってJの中の人が言ってた＠去年のInterop
ありがとうございます。
勉強になりました。
日本のローカル規格って、どうしてこんなに多いんでしょう？
フレッツ光を使う限り、PPPoE以外選択できないじゃないか～。
NTTがメシを食べて行くためじゃないですかね？
本当
アップデートで対応予定だってさ
Thx
厳密にはunnumbered対応でないけどOK。
ttp://www.hitachi-system.co.jp/juniper/faq/netscreen.html#01_5 ファイアウォールとしてはACLぐらいしかできなくなっちゃうけど、普通にうごかすっだけだったら可能。
set security forwarding-option faminly inet6 mode packet-based
あと、selective stateless packat-based service というのもある。いろいろ制限事項あるので要注意だけど、IPv6一応動作可能。
ttp://www.jnpr.net/techpubs/software/junos-security/junos-security96/junos-security-admin-guide/config-selective-stateless-chap.html ttp://www.viva-netscreen.net/archives/50166335.html これじゃだめなん
朝鮮総連に不利なものが映っている為か何度も削除されているので皆さんお早めにご覧ください。
多くの日本人拉致被害者を返さない北朝鮮に怒りの鉄槌を!
ttp://www.nicovideo.jp/watch/sm9987419 ttp://www.nicovideo.jp/watch/sm9987542 ttp://www.nicovideo.jp/watch/sm9987731 ttp://www.nicovideo.jp/watch/sm9987783 ttp://www.nicovideo.jp/watch/sm9999806 ttp://www.nicovideo.jp/watch/sm10000115 ttp://www.nicovideo.jp/watch/sm9974521 ttp://www.nicovideo.jp/watch/sm9974590 (youtube編)
ttp://www.youtube.com/watch?v=OJjb-Hozk1E ttp://www.youtube.com/watch?v=w13PL2T3Oi8 ttp://www.youtube.com/watch?v=vm-qwbqtxN0 ttp://www.youtube.com/watch?v=R9479yht3x8 ttp://www.youtube.com/watch?v=Jonm2SGmu2Y ttp://www.youtube.com/watch?v=y52UEKLoanM ttp://www.youtube.com/watch?v=3FPGfqjacQg そして恐ろしいのが、日本テレビお昼２時から全国で放送されている
ミヤネ屋という番組で朝鮮学校無償化問題について取り上げており
京都の朝鮮学校に突撃取材をしていたのですが、上の動画で在特会・
主権関西の抗議活動参加者に暴言・暴力などを浴びせていた朝鮮総連
幹部のお爺さんが朝鮮学校の校長として登場していました。
上の動画と以下のミヤネ屋の報道を見比べてみてください。
ttp://www.youtube.com/watch?v=V_QTNhSA-PY&feature=player_embedded 主権回復を目指す会
ttp://www.shukenkaifuku.com/ 一度使ったらリブート多発でイマイチの印象。
どこのベンダも6.1r7推奨ばっかし。
設定か環境が腐ってるとかさｗ
サポート受けられるなら自分で安定するVer探して使えばいいのでは？
自分で検証する必要なし
新Verは、最低でもr5までは待つべし
ミーハーなもんでw
SrcNatって出来ないのでしょうか？
困った・・・。
SSGが販売停止になる前に触っておきたいんだが。
石がMIPSデュアルコアの謎のアーキテクチャなんで無理
ttp://forums.juniper.net/ Ｊ系oliveつーのも別にあるっぽい
自分で作ったゾーンでVIPの設定がしたいんだけど、VIPの設定が出てこない。
でもまともに動くのはr3から。
さんくす。
そうかー、ScreenOS6.0以降か
手元にあるのがNS25なので諦めることにする。
NS25にもScreenOS6.0以降が入るといいのにな。
色々入手できて幸せでした
Juniperのサイトリニューアル後は誰でもダウンロードできるようになったんじゃないの？
仰る通りで。
アカウント作ったらダウンロード出来ました。
サイトリニューアルのタイミングでアカウントを無効化されたみたいで、パスワードを変更してもログイン不可。
どうせ使えないならアカウントを削除しようと思ったら、そのためのメニューが見当たらない・・・
Cisco Systems、Hewlett-Packard、Sun Microsystemsとかもそうなんですけど、
どうやらメリケンはアカウントの削除というのを想定していないみたいなんですよね。
FortiClientでSSGにClientVPN接続設定方法をご存知の方
教えていただけないでしょうか？
NetScreen-Remoteの代わりにFortiClientを使用してNetScreen5gtに
ダイアルアップ接続しようとしたのですが、Phase1の認証で失敗。
「because an initial Phase1 packet arrived from unrecognized peer gateway」
とのエラーログが出力されて、Rejectされてしまいます。
Cookiesの値が違っているので、設定がまずいのかもしれないのですが
設定のチェック場所をご教示いただけないでしょうか？
ScreenOS5.4.0ｒ.15
FortiClient4.1.2
認証方法はNS、Forti共にGroup2の3des-shaを
Phase1、Phase2共に使っています。
Preshardキーも合わせたつもり。
ユーザ認証はXAuth。
IdentityってFrotiClientには設定する場所がないのですが
これが原因なのでしょうか？
Outgoing Interfaceが間違っているのでは？
ありがとうございます。
Outgoing InterfaceはUntrustに設定してあります。
これで合っていると思うのですが。
さすがにシリアル登録しないとファームは落とせないのね・・・
過去のものもあって重宝したけど。検証にもってこいだ
Juniper本家には6.3台がアップされてんだが、勝手にアップデートしてサポートうけられんのかなｗ
普通に落とせるかと。
シリアル無しで新たにJuniperに登録すれば、ダウンロード出来るのでは？
代理店の方だと、検証の関係上常に最新版を落とせるわけではないので
そういう意味では本家使ったほうが幅は広がるよな
と言うか試してないだけだけど。
期間限定だった。
少なくとも以前はそうだったが最近は試してないので変わったかも。
ファームはダウンロードできなかった。
Download Software の項目は全てAccess Denied。
Register New ProductすらAccess Deniedになって、どうしろっつーんだｗ
試しに別アカウントを登録して、その際に手持ちのSSG5のシリアル登録したら
ScreenOSは自由に落とせるようになった。
結論、シリアル登録しないとダメだと思うが。
ttp://www.juniper.net/customers/support/softserv.jsp 落とそうとしてるのはここからだよな？
とりあえず日本語サイト行くのはやめて、英語サイトに行こうぜ
set envar ipv6=yes
で有効にできない？
ありがとう。標準じゃ有効になってないんだね。
設定して再起動したら項目出てきた。
他のスレでフレッツドットネットの話題が上がっていて
俺のNS5GTでも使えるのかなぁと調べていたけど
そもそもIPv6の項目が一つも無くて凹んでたｗ
ttp://flets.com/dotnet/setup_router.html ここに載ってないけどNS5GTでも使えるかな？
5GTは6．x系がポツンと出てた気がするけど、海外の某客がゴネたから出たもんだし
実質5.4まででしょ？
となると、非サポートの製品になると思うけどねー
SSG-5シリアル入れても駄目だ
ひょっとして代理店同様年間サポートライセンスの
期間が切れたら無理？
みんなの話し振りからして、シリアルさえ入れれば
対応するScreenOSのVerは無期限＆自由に
落とせるように改善されたのかと思ってた
あーSSGか。netscreenのscreenOS落とせるか試してみたら？
いらんだろうけど、そっちが出来てSSGがダメなら仕様だろうね。
SRXのシリアルで登録しているけど、SSG5のScreenOS 6.3.0r3はダウンロードできたよ。
JUNOSのほうはSRXのサポート契約が有効になってからダウンロードできるようになったけど。
dipの拡張interface設定について教えて欲しいことがあります。
set interface ethernet1 ext ip A 255.255.255.0 dip 2 B
set interface ethernet1 ext ip A 255.255.255.0 dip 3 C
A:許可IP
B:割り当てIP
C:割り当てIP
上記のようにethernet1に拡張interfaceを設定したいのですが、
同interface、同許可IPに対し、異なる割り当てIP、異なるdip idで問題なく設定、使用できるのでしょうか。
IPVPN使ってて、フレッツVPNワイドも同時に使えるのか？
VPNワイドって別セッションになるんだっけ？
ただ海外製品は全般的にPPPoEの実装自体がこなれてない感じがしてて
できるだけ使わないようにしてる。
そもそもJUNOS自体がまだまだ枯れていない。
Fortigateがやっとまともに？動くようになった感じがする。動かすノウハウがたまってきたとも言うが。
5GTの下に数十台程度のサーバーが繋がっています。
帯域はそれほど使わないと思いますが、セッション数の上限が4000というのがネックになりそうな事案が出ました。
ファイヤーウォールとしての機能を使おうとするとNetScreenがセッション管理しないといけなくなりそうですが、
特定のIP向けのパケットは全通過、みたいにしたらセッションを管理する必要が原理的にはできそうな気がしますが
そんな設定をしたところで無意味でしょうか。
無論NATは使っていません。
やはりちゃんとしたルーターを買ったほうがいいのでしょうかね…。
アドバイスお願いいたします。
無意味だね。
特定のIP全通過ってのは、「全ての通信を許可する」というFirewall制御であって、
セッション管理をするという点では他のルールと何も変わらん。つかこれ常識。
5GTはSOHOや支店などの小規模拠点向けだからなー
一応、後継のSSG5なら最大セッション数が8000に増えてるから、こいつへの
リプレースを検討してみてはどうだろうか。コンフィグはほぼそのまま使える。
セッション数を8000に増やすExtendedライセンスが10万、
1年間の保守定価が3万(センドバック修理＋ソフトウェアサポート)。
代理店で値引きしてもらって初年度保守込み20万ってとこかね。
ありがとうございます。やはりそうですか。
他の手法を検討します。
SSG5もアリだとは思いますが、今後の事を考えると倍に増やしたところで…というところで詰まっております。
チャレンジでSRXの最下位機種は？このスレの住人がすすめるかはわからんが。
その上のシャーシ型はさわったこと無いからわからない。
安鯖2台で冗長化(ホットスタンバイ)、メモリ増設してもリーマンの小遣い程度の費用で収まる。
セッション数も余裕の万単位。
2～3ポートくらいの家庭/SOHO用ならそれでもいいけど、
16ポートとか32ポートとかは普通のPCじゃできんでしょ
できたら少しずつSSG化できるんだけどなー。。。
の5GTの代替って事な。
元々、L2、L3のS/Wがあるんだろ。
ところで、JunosPulseって何？
ttp://www-jnet.juniper.net/jp/jp/products-services/security/ssg-series/ssg5/ ↑公式だと最大8000、ライセンス追加で16000
ttp://www.allied-telesis.co.jp/products/list/juniper/ns/product/index.html ↑ここだと最大4000
あと128MB版でもスループットとかセッション数とかのスペックは一緒なのかな。
UTM機能とISDNの有無の違いのように見えるけど。
SAや将来Junosに乗る予定のVPNSoftware。
因みにNSやSSGでは使えんかった。SRXとSAは通信確認したよ。
NCPはNSとSSGだな。
ttp://www-jnet.juniper.net/jp/jp/local/pdf/datasheets/1000176-jp.pdf こいつが一番正しいかな
VPNだよね。いける。
ありが㌧
ベンダに確認しようと思った時には既に営業時間外だったから助かったぜ
外部への回線が2系統あって、
DMZのデフォルトゲートウェイは、ethernet0/2のこのIP
Trsutのデフォルトゲートウェイは、ethernet1/2のこのIP
みたいに振り分ける設定って、そもそも可能なものですか？？
可能ですよ
ちなみに固定IP引いて公開サーバー運営してます。
ttp://www.ncp-e.com/en/downloads/software.html 無料だしな
Shrewって初めて聞いたけどこれもサポートしてくれるの？
ttp://www.shrew.net/support/wiki/HowtoJuniperSsg ほれっ
これってPPPoEのマルチセッションはできないのでしょうか？
Bフレッツ1本で2つのプロバイダに同時に繋ぐとかをやりたいのですが…。
interfaceの設定でsub-IFとして追加してuntrust.1という感じで登録して
Routingの設定で優先順位決めて好きにルーティングさせればいい
PPPoEの登録追加も忘れずにね
なるほど！！
できましたありがとうございます！
PPPoEで固定IP8で接続しています。
untrust側にだけグローバルIPがあり、trust側はローカルIPを振り、
通常のインターネット接続はNAT経由、サーバーの公開はVIPで行っています。
今回、trust側に置いたサーバーから外部向けにとある通信をする時に、接続ごとに接続元
グローバルIPがランダムに分散できるように（相手のサーバーからは複数のホストから接続があるように）
したいという要件があります。
この設定自体は、untrustのDIPに複数IPを設定し、policiesにそのDIPを設定する事で実現できました。
しかし、VIPやuntrustのI/Fに割り当てているIPアドレスをDIPに設定することはできないようでした。
技術的に考えれば、untrust→trustの通信であればVIPに設定しているIPをDIPに設定できないのはわかりますが、
NAT環境下のtrust→untrustの通信であればVIPで既に使っているIPをDIPに設定しても問題ないように思います。
これはNetScreenの仕様という事であきらめるしかないのでしょうか。
IP8(実質つかえるのは5個ですが)をフルに使って分散したかったのですが…。
よろしくお願いいたします。
できないね、MIP設定してる状態でDIP設定しようとすると「###Invalid dip parameter」ってなる
というかマニュアルに
Important: Be sure to exclude the following IP addresses from a DIP pool:
?The WebUI management IP address
?The interface and gateway IP addresses
?Any virtual IP (VIP) and mapped IP (MIP) addresses
って書かれてるし仕様だろう、メーカーに聞かないと理由まではわからんね
やはりそうなんですね…。
わかりましたありがとうございます！！
NetScreen50 ScreenOS5.4R13 を使用しております。
プロバイダー側はCATVでPPPoE無しのDHCPにてIP1個割り当てとなっております。
現在は、TrustゾーンのFTPサーバを公開するのにVIPでNATしております。
これをVIPやMIPを使用せずにポリシーだけでNATさせたいのですが可能でしょうか？
Ehternet1 Trust 192.168.0.1 NAT
Ehternet3 Untrust DHCP Route
FTP server 192.168.0.200
set address "Trust" "Server Network" 192.168.0.0 255.255.255.0 "Server Network"
set address "Trust" "Server" 192.168.0.200 255.255.255.255 "Server"
set service "FTPoverSSL" protocol tcp src-port 0-65535 dst-port 990-990
set service "FTP_Passive" protocol tcp src-port 0-65535 dst-port 45000-45050
set policy id 2 name "FTPoverSSL" from "Untrust" to "Trust" "Any" "Server Network" "FTP_Passive" nat dst ip 192.168.0.200 permit log no-session-backup
set policy id 2
set service "FTPoverSSL"
としても接続できず、以下のように
set policy id 2 name "FTPoverSSL" from "Untrust" to "Trust" "Any" "Server" "FTP_Passive" nat dst ip 192.168.0.200 permit log no-session-backup
Distination AddressをサーバのIPにしてみても接続出来ない状態です。
またEhternet1 Trust 192.168.0.1 NATをRouteに変えて上記のポリシーの組み合わ
せを試してみましたが駄目な状態です。
そもそもDestination AddrssにEthernet 3を指定出来ない時点で間違っている気が
してるのですが…
よろしくお願い致します。
いろいろやってみたけど、VIP使わないと無理っぽいですね。
ところでVIPを使用しない理由は何でしょう？
VIP使わないのは、個別にNATポリシーを書いて各サービス単位で
トラフィックシェービングを掛けたいのが理由です。
VIP使って複数のポリシーを書けば、それぞれのポリシーでTrafficShaping
できませんでしたっけ。
VIPだと制約を受けるのかな。
そういえば、VIPを使ってPassiveモードの転送に対応するには
set vip multi-port
でPassiveモードのデータコネクションを含むvipを作るべきなのか。
それとも、VIPにはFTPだけで、ALG頼みでもいけたんでしたっけ？
ありがとうございます。やっと思った事が出来るようになりました。
set policy id 2 name "VIP" from "Untrust" to "Trust" "Any" "VIP(ethernet3)" "ANY" permit log
上の様に普通に、VIPポリシーは１個だけ書くものとばかり思っていたもので、
その発想はありませんでした…OTL
サービス毎にVIPポリシーを書いて、各VIPポリシーでトラフィックシェービング
する事が出来るようになりました。
が、いまいちトラフィックシェービングが効いてるのかどうかちょっと不明では
ありますが…。もう少し負荷掛けて見ないと判らないかも。
set vip multi-portはの言われてる通り標準のサービスを指定すると、
特に設定も無くデフォルトでやってくれましたね。
カスタムサービス作る時に個別指定させてくれると便利なんですけど。
L2モードで動かしており、同じセグメントを２つに分断しております。
untrust側からtrust側にあるネットワーク機器をSNMPで監視したいのですが、
Policiesでuntrust→trustのSNMP通信を許可したのですが通信できませんでした。
よくよく調べてみると、untrust側からtrust側のARPが成功していませんでした。
untrustからtrustへのARP通信を許可する必要があるとおもいますが、Policiesの
ServiceにはARPは見当たりません…。
この通信を可能にする方法はあるのでしょうか。
よろしくお願いいたします。
set interface vlan1 bypass-non-ipかな？
あんまり自身ないけど
fw3 === fw4
| (VIP) |
| |
| |
sw1=== sw2
| |
| |
fw1 === fw2
fw3,4⇒JuniperSSG520
fw1,2⇒JuniperSSG140
◆fw1がMasterの時、
・fw1(M)からfw3-4のVIPへのpingOK
・fw2(B)からfw3-4のVIPへのpingNG
◆fw2がMasterの時
・fw1(B)からfw3-4のVIPへのpingOK
・fw2(M)からfw3-4のVIPへのpingNG
Masterのfwから対向のfwのVIPにpingが通らない状態です。
fw1,fw2の設定に問題があるような気がするのですが、サッパリです。。。
状況が分からん。853のその説明は
「fw1はMaster/backupに関わらず、対向VIPへpingが通っている」で
「fw2はpingを全部応答がない」、です。とりあえず、
firewall設定のicmp部分とか、pingのソースアドレスを指定してみるとか？
◆fw1がMasterの時、
・fw1(M)からfw3-4のVIPへのpingNG
・fw2(B)からfw3-4のVIPへのpingOK
◆fw2がMasterの時
・fw1(B)からfw3-4のVIPへのpingOK
・fw2(M)からfw3-4のVIPへのpingNG
でした。
もう少し状況を整理してみます。。。
VIPとManage宛てにpingね。
後、ちゃんとConfigがsyncしてるか確認してみて
もう1個、こいつは関係ないと思うがNSRPのIDをFW1と2別にしてみるとか
853です。
＞切り分けとして各ManageにVip以外のIP振ってみて
fw3,fw4は本番稼働中のため、平日の実施は厳しいですね。
（現在、fw1,fw2は切り離してます）
fw3,fw4の代替機を準備して再現させようかと考えています。
＞後、ちゃんとConfigがsyncしてるか確認してみて
Configはsyncされていました。
＞こいつは関係ないと思うがNSRPのIDをFW1と2別にしてみるとか
NSRPのIDも含めて、もう少しConfigを確認してみます。
誤）
正）
NSRPってM/Bで共有IP持つんじゃなかったっけ？
もしそうなら、Bから打ったpingのreplyはMに返ってくるだろうから、
「Bから打った時は応答がない」のが正なんじゃないかな、と。
もう一台購入してHA構成ができないか検討しています。
資料等を読むと、HAを構成する２台は同じライセンスを
適用してある必要があると書いています。
現在運用しているNS204には、前の所有者が適用したディープインスペクション
やらURLフィルタリングのライセンスが適用されています。
しかし現在の用途ではこれらは不要で、NS204本来の機能で事足ります。
このような場合、追加ライセンスを投入していないNS204を買ってきてHA構成を
することはできるのでしょうか。
一度追加したライセンスを削除？するような事は可能なのでしょうか。
よろしくお願いいたします。
Ver.5.3.0r10に上げたい
けどGUIからdouble-checkだかというエラーが出る
これはVer5系に上げる前にどのVer.まで上げろってことなの？
自分が5XTで4系→5.3系にあげたときは特に問題なかったけど。
CUIからやってみたら？
そしてそれはほんとうに5XTのファーム？ おなじScreenOSでも機種ごとにバイナリあるよ。
失敗です・・・・・・
statusランプ点灯状態・・・
5XTのファームで間違いないです
気になったのは
!!!!!!!@!!!!!
こんな感じになったのが気になる
一応Successまではいったがリセットかけたら上記の状態・・・
しかもオスメスのシリアルケーブルなんてもってねーYO
とりあえずAPCのケーブル使ってみたけど駄目だった・・・
おとなしくストレート買ってこようかな・・・
ttp://www.juniperforum.com/index.php?topic=1152.0 ・imagekeyが偽物と判定している
・本当に壊れている
あたりじゃないのかな
imagekeyが何かはコッチ参照↓
ttp://jscom.jp/support/products/juniper/screenos/kb/00038 症状は違うと思います
憶測なのはまだコンソールから今の常態見れてないからです・・・
別の5xtから吸上げたやつだから壊れてないと思うけどな
TrustのDIPの設定するじゃん？
IPアドレスの範囲を入力するやん？
これって意味あるの？
設定なしでも通常通り使用できた
違いはNAPTの変換後のソースアドレスが
指定した範囲のIPアドレスになるか
TrustのIPアドレスになるか
ちなみに範囲を設定すると
ころころソースアドレスが変わるから困る
複数トンネルの場合はDIP必須？
5XTじゃなくて5GTの場合だが、4.0からいきなり5.3へは上げれなかったと思う
確か4.xの最終版に一旦上げてから、5.xに上げた記憶が…
どの機種でも5.0.0r11にしてからじゃなかったっけ？
5.0台入れたらブートローダー書き換えてバージョン上がった覚えがある
5xtは5.4出てないから載ってないけどこれかも
4.0.3r2→4.0.3r9→5.3.0r10って感じであげなきゃダメ。
これでうまくいかなかったら、4.0.3r2→4.0.3r9→5.0.0r1→って感じで
やってかないとLoderの更新されなかったはず。
そんなバージョン持ってない・・・
あきらめよう・・
いろいろありがとう！！
シリアル登録すると販社通さずに落とせるよ。
俺持ってるSSGのシリアルでアカウントこしらえたらNetScreenの他の
機種のScreenOSも落とし放題になって逆に不安になったくらい。
もうJuniper的にScreenOSとかどうでもよくなってる可能性が高い気も
するけど。
4.0.0r11から直接5.0.0r11にしてるので
たぶん4.0.3r9はいらない気がする。
これはすごいｗｗｗ
よーしパパ、もってるNetScreenのOS全部アップデートしちゃうぞおおおお
サンクス！！
それを読めばいい
名前解決できてない・・・
Windowsだと問題ない
NSはDNS Proxy有効にしてプライマリ、セカンダリにそれぞれ
ISPのDNSサーバ設定してある
なぜ？
ifconfig eth0 up
SSG-5（extendモデルではない）は、PPOEマルチセッション機能を持っているんでしょうか
よろしくお願いします。
ありがとうございました
ちょっくら質問なんだけど、
XPかGTでの話
ALGでSIPを通そうとしてるんだけど、
外からのRTCPだけ通らないんだけど、なんかお呪いかなんかあるの？
よろしくです
バグ情報くれる人いるかもよ？
たしかに。
基本的すぐる
スマン
GT：5.4.0r6.0
XT：5.0.3
XT は電源が無いために今起動できない状態で正確なバージョンが不明
最低限GTでの情報があれば、助かる
博士のところに行くかなぁ。
そこで一旦止めるべくログアウトしたときに変な改行の連続があったが
あまり気にせず電源落としたらそれっきり。
パワーのLEDはつくけど他のLED、コンソールは完全に沈黙。
いちおう中を開けてみたけど素人にわかるような異変無し。
32768って書いてある恐らく水晶発振子とトロイダルコイルのまわりに
謎の半透明の塊があるけど吹き出物ではなさそうだし…
なんか手だてありますかね？
俺も素人だけど・・・
半透明は固定用のシリコンだべ
コンソールが動いていないならOS入れなおしも出来ないかな。
普通は、H/Wリセット
ttp://www.viva-netscreen.net/archives/cat_50023077.html ここに載っているインターフェイスのＨＡ（redundant？）っていつのNetScreen/SSGからできたんでしょうか。
NetScreen5XT、5GTとかでもできるのか、SSGからなのか、はたまたScreenOS次第なのか…
ご存じの方いらっしゃいましたらお願いします。
違いはセッションを引き継ぐか否か。
5GTはExtライセンス買わないとダメだったはず。
は、NSRPではなく、物理I/Fの冗長構成(bondingみたいな)のことを
言っているのでは
何がしたいかというと、透過型プロキシを設置したいのですが、http以外のプロトコルは従来どおりの経路で通信したいのです。
PCには従来どおりのGW(NetScreen)のアドレス、そしてNetScreen側でhttpだけ透過型プロキシにフォワード…的な。
こんな考え方は邪道なんでしょうか…。
Transparentモード＋カスタムサービス＋ソースで
policyに引っ掛けてdst-natじゃ駄目なの？
返答ありがとうございます。
dstのIPアドレスを変えてしまうと最終的な行き先(Webサイト)がわからなくなってしまわないでしょうか？
IPパケットはそのままで転送先MACアドレスだけ書き換わるようなのが理想です。
ライセンスがややこしいから？
試した訳じゃないけど、PBRでできそう。
ttp://www.slideshare.net/BartJansens/netscreen-policy-based-routing 珍しい構成かと思ったらスライド内の想定する用途がそのままずばりだった。。
NSの中古が出回ってないって何処の世界の話だ？
ネットワーク系の中古屋にもヤフオクにも山ほどあるぞ。
でも、先月ぐらいにISG2000が出てたから侮れない
あー PBRがポリシーベースルーティングでしたか
いけそうな気がします！
他にウチで使ってるL3スイッチでできそうだったのでそちらでやろうと思ってましたが、
選択肢が広がりました。ありがとうございます！！
これを無効にすることってできないのでしょうか。
どうもDI？が有効になっていると使えるセッション数が半分になってしまうようなので…。
投入済みライセンスバックアップ
ns204-> get license-key (結果を保存)
投入済みライセンスキー全削除
ns204-> delete file flash:/license.key
advancedライセンスのみ投入
ns204-> exec license-key advanced_key=ライセンスキー
再起動
ns204-> reset
こんな感じでいけました。
以上ご報告まで。
報告、大儀であった。
野良ISG2000にどんだけ需要があるんだろーとかおもうけど、
やはり十分に安ければ需要はあるのかね？
金の無い中小企業なんだろうけど、
保守契約無しで使いこなせんのか？
中小企業の社内SEってロースキルの印象しかない
そんなの余計なお世話だし、あくまでもアンタの印象だろ。
大企業の情シスよりも、意外にスキルが高い場合がある。
つーか、情シス自体が客相手の部門よりスキル低いんだろうけど。
零細から超大企業までいろんな規模の社内SEと接してきたけど、
会社の規模の大小と社内SEのレベルの上下には逆相関関係が
見られると思う。
大企業ほど正社員の情シス部門は企画立案に大きく片寄り、
実際に手を動かすのは業者や子会社になることが多い。
逆に中小の場合、情シスの人間が自ら手を動かす傾向が
見られる。少人数で業務をこなすため必然的にLayer0から7まで
すべてを把握し精通している人も珍しくはない。
ただし必ずそうだということではなく、中小の場合は総務の
おじさんが片手間にやるケースも多いし、大企業でも
技術系の会社であれば下手なSIerが太刀打ちできない
情シス員も多い。
ただ、[SI|NI]erの情シス員はカスが多いような気がする。
エースは金を稼げるので、自社の社内SEをやらせるのは
もったいない(笑)。
どっちかってーと営業に近いものだからな
売り込みに必要な技術的なプレゼンや、エンドユーザとの折衝や調整とか
SEというよりPMに近い
実際の細かい設計や構築はそれより下で、検証はその下、運用監視がさらにその下と
IT業界はどこも似たような構造でそ
大手の社内SEはというポジションは、ある意味で垂涎の的とも言えなくもないけどねｗ
レイヤー８って奴か。
中小企業の規模ではないと思うが
数万人レベルじゃね。
それ未満は小企業、零細企業・・・。中企業って呼ばれるのはハードル高いな（ｗ
しかし、数千人規模の企業だとJuniper、Ciscoは普通に使ってるよ。
300人でもPCの台数が多ければ、家庭用の機器だと確実に落ちるだろう。
Ciscoでも10万しないクラスのルーターあるし
ウチも社員数十人の規模だけど保守切れの5GTをいまだに…ｹﾞﾌﾝｹﾞﾌﾝ
あ、およびでないって？ｽﾏｿ
瞬時に他のDHCPサーバを見つけてアラートを出してきて、ちょっと感動
そんな機能あったんだ？
たまに社内で勝手DHCPサーバ建てるアホがいるけど原因が5GTだったことも何回かある。
SoftbankのケータイWiFi通せってボスがいうのよorz
頑張れ山口産業。
確か出来なかったハズ。
thx
6.2にしても無理なんだろうか？
いい加減新しいのに買い換えてほしい・・・
気になったので調べてみた
ttp://www.allied-telesis.co.jp/products/list/juniper/ns/product/pdf/low_end.pdf この資料ではできるって書いてる（IPSecパススルー：○）なぁ。
やり方はしらん（ｷﾘｯ
すまん、PPPoEパススルーだったかも知れん。出来ないの。
Objects > Services > Custom で
UDP 500 UDP 4500
TCP 50
のポリシー作成
From Trust To Untrust に適用したら
SBのケータイWiFiが通りました。
大儀であった
それは、サービス「IKE-NAT」をつかっても同じように出来ると思うよ。
あと、TCP50じゃなくて、プロトコル番号50だと思う。
一応、メーカのナリッジベースにあるので貼っておきます。
もうつながってるので蛇足ですが。
ttp://kb.juniper.net/InfoCenter/index?page=content&id=KB9243 パススルーじゃないけど、Bridge GroupをUntrust側につかえば
代用ってことになるんじゃないかと思う。
5GTが前提なら、TrustとUntrustのポートを
ひっくり返して使うような感じ？
本当にできるのかどうかは知らない。
仰せのとおり、TCP50では無かったですね。
ポリシーからTCP50を省いても通信出来ました。
結論：SBのケータイＷｉＦｉに対応するには「From Trust To UntrustにUDP500 UDP4500」を通す
これで、ケースクローズいたします。
IPじゃないプロトコルを通す様にすればいいんじゃね？
6.2.0r8のSSG140NSRP環境にてバックアップ側SSGから自身の実IPにPINGが飛びません。
アクティブ側からバックアップ側の実IPへも飛びませんでしたが、フェイルオーバーさせると自身の実IPへのPINGが通るようになりました。
どうもバックアップになっているときでのみの事象のようです。
なおフェイルオーバーやコンフィグ同期は正常に行えており、インターフェースへのPINGも許可しています。
原因として考えられることがありましたら教えていただけないでしょうか。
よろしくお願いします。
自身の実IPってmanage-ip？
IPsecでXauth使えばいけるんじゃね？
表現が悪かったですね。
そうです、Manage-IPです。
昔NETSCREENでNSRP組んだ時は何も意識せずに出来ていたと記憶しているのですが…。
NetScreenから離れて久しいので間違ってたらごめんね
set flow mac-cache mgt
試してみて
答えれる範囲なら答えるよん。
仕様
SAのCoreでWebアクセスしてDigest認証でエラーが発生するんだけど
回避する方法ないかな？
と聞きたかったんだけど。。Basic認証に変えて回避しました。。orz
マスター側からはPINGが通るようになりました。ありがとうございます。
ただバックアップ機から自身のManage-IPには相変わらず飛びませんでした。。
自身のManage-IPに飛ばないのは仕様だったんですね。
昔の記憶は勘違いだったみたいです。
お二方ともありがとうございました。
追加のライセンス購入が必要になるのでしょうか？
Hardware Version: 4010(0)
Firmware Version: 5.4.0r3a.0 (Firewall+VPN)
元気ダセ、DTI。
ポリシーでhttp/httpsのをログ取ればいいだろ
「Webのアクセスログ」っつったらURLの事を指すのが普通だろ。
バーチャルホストが当たり前の世の中でIPだけ取ってどんな役に立つってんだ。
無いな確か。
やっぱSSGやSRXに置き換えないと駄目ですかね？
外に出ていくアクセスなら、プロキシでも導入すればいい
製品によるかと。
netscreenは落とせる。
SSGはダメっぽい。
あとシリアルはいらん。
今は知らん。
ScreenOSは自由に落とせたと思った。
今のことは知らん
juniperで会員登録してシリアルいれたら落とし放題
新規案件でSSG140使おうと思ったけど、今時だとFortiGateのほうがいいのかな。
最初は全然安定しなくて、安定したと思ったら進歩がなくて
止まっているように思えるのだが・・・
発展はアリマセンヨ
netscreenからスピンアウトして作った会社にしてはこんなものかって感じだ。
あれってどうなん？
最初にそのシリアルでユーザー登録した人のみが所有者として見なされるのではないだろうか
超ピーキーで使えない
admin権限ユーザが謎のロックアウト(2人以上作らないと危険)等のバグ満載
コンフィグのインポートはxmlのみ
多分運用保守だけで死ぬ
Fortigateはコンフィグやがコマンドが長いのがなー
show系だけでもget、diagnoseとか分かれててイマイチ直感的でない
次は何を導入したらいいんだろ
アドレス体系で使用したいのですが、トランスペアレントモードでVPNって
可能ですか？
もし分りやすいサイト等あれば教えてください。:)
iDCが提供する回線は上位ルーターとの通信用に異なるIPアドレスをそれぞれ
割り当てられた線が２本来ます。
推奨の環境としては、２台のCatalyst3560でそれぞれの線を受けて間はHSRP、
その下に２台のSSGを置いて間をNSRPで接続…みたいな感じのようです。
丁度以下の図のような感じです。
ttp://www.impressrd.jp/idc/files/images/idc2008sp/sg/bitisle_05.jpg これって3560を使わないで直接SSGで受けられないんでしょうか。
HA構成のとき、それぞれのUntrustのI/FでIPアドレスを別にできないかという感じですかね。
説明がわかりにくくてすみませんが、助言をいただけると助かります。
ならUntrust側はNSRPじゃなくてルーティングプロトコルで切り替える事になるけど、それでいいなら。
(Trust側)NSRPの切替条件にUntrust側のI/Fかネットワークを入れておけば上手く行くかな？
手元に資料がないから出来るはずとしか言えないが。
引退した身なのでうろ覚えでスマン。
ありがとうございます。
そうです、別のセグメントの線が２本来ます。上位スイッチではマスター側の障害検知でスタティックルートをスレーブ側に変えるそうです。
例えばその場合、マスター側のSSGに障害が発生した場合セッション情報は引き継げるんでしょうか？
>Untrust側はNSRPじゃなくてルーティングプロトコルで切り替える事になるけど、それでいいなら。
のあたりがイマイチ想像できません。うーん全体的に理解が不足してるorz
このロードバランサはラドウェアのリンクプルーフみたいにDNSも担ってくれる製品を想定していますか？
L3SWとFW間が仮にグローバルIPアドレスとして、2ISPに申請しますか？
上記2点でL3SWが要るか判る気がします。
この図は例として出したもので、ファイヤーウォールより上位の部分だけ見ていただければと思います。
確かに構成としてはファイヤーウォールのtrust側はグローバルIPとなります。
2ISPという事ですが、マルチホーミングのような大掛かりなものではないです。（多分）
WAN線２本ですが提供してる業者は同じ(同一AS内）ですし、２本はActive/Standbyとなります。
iDC業者側の上位スイッチで、Active側ポートがリンクダウンした場合、Standby側にスタティックルートを書き換えるという事でした。
