Produits de sécurité
Guide d’installation et de configuration du matériel SSG 5
Juniper Networks, Inc.
1194 North Mathilda Avenue
Sunnyvale, CA 94089
États-Unis
408-745-2000
www.juniper.net
Référence : 530-015647-01-FR, révision 02
2
Copyright Notice
Copyright © 2006 Juniper Networks, Inc. All rights reserved.
Juniper Networks and the Juniper Networks logo are registered trademarks of Juniper Networks, Inc. in the United States and other countries. All other trademarks, service marks, registered trademarks, or registered service marks in this document are the property of Juniper Networks or their respective owners. All specifications are subject to change without notice. Juniper Networks assumes no responsibility for any inaccuracies in this document or for any obligation to update information in this document. Juniper Networks reserves the right to change, modify, transfer, or otherwise revise this publication without notice.
FCC Statement
The following information is for FCC compliance of Class A devices: This equipment has been tested and found to comply with the limits for a Class A digital device, pursuant to part 15 of the FCC rules. These limits are designed to provide reasonable protection against harmful interference when the equipment is operated in a commercial environment. The equipment generates, uses, and can radiate radio-frequency energy and, if not installed and used in accordance with the instruction manual, may cause harmful interference to radio communications. Operation of this equipment in a residential area is likely to cause harmful interference, in which case users will be required to correct the interference at their own expense.
The following information is for FCC compliance of Class B devices: The equipment described in this manual generates and may radiate radio-frequency energy. If it is not installed in accordance with Juniper Networks’ installation instructions, it may cause interference with radio and television reception.
This equipment has been tested and found to comply with the limits for a Class B digital device in accordance with the specifications in part 15 of the FCC rules. These specifications are designed to provide reasonable protection against such interference in a residential installation. However, there is no guarantee that interference will not occur in a particular installation.
If this equipment does cause harmful interference to radio or television reception, which can be determined by turning the equipment off and on, the user is encouraged to try to correct the interference by one or more of the following measures:
Reorient or relocate the receiving antenna.
Increase the separation between the equipment and receiver.
Consult the dealer or an experienced radio/TV technician for help.
Connect the equipment to an outlet on a circuit different from that to which the receiver is connected.
Caution: Changes or modifications to this product could void the user's warranty and authority to operate this device.
Disclaimer
THE SOFTWARE LICENSE AND LIMITED WARRANTY FOR THE ACCOMPANYING PRODUCT ARE SET FORTH IN THE INFORMATION PACKET THAT SHIPPED
WITH THE PRODUCT AND ARE INCORPORATED HEREIN BY THIS REFERENCE. IF YOU ARE UNABLE TO LOCATE THE SOFTWARE LICENSE OR LIMITED
WARRANTY, CONTACT YOUR JUNIPER NETWORKS REPRESENTATIVE FOR A COPY.
Table des matières
5
Conventions de l’interface utilisateur Web ....................................................... 6
Obtention de la documentation et d’une assistance technique......................... 8
9
Émetteur-récepteur radio......................................................................... 14
Œillet du câble de mise à la terre............................................................. 14
Installation et connexion de l’appareil
17
Connexion des câbles d’interface à un appareil ............................................. 19
Connexion de l’appareil à un réseau non sécurisé ................................... 20
Ports série (AUX/Console) ................................................................. 21
Ports de réseau étendu...................................................................... 21
Connexion de l’appareil à un réseau interne ou un poste de travail......... 22
Antennes sans fil............................................................................... 22
23
Utilisation d’une connexion de console ................................................... 24
Utilisation de l’interface utilisateur Web .................................................. 25
Table des matières
3
Guide d’installation et de configuration du matériel SSG 5
Nom et mot de passe de l’administrateur racine ..................................... 29
Interfaces du groupe pont........................................................................ 30
Nom d’hôte et nom de domaine.............................................................. 32
Adresse de l’interface de gestion ............................................................. 32
Configuration de l’interface non sécurisée secondaire ............................. 33
Interface à modem V.92 .......................................................................... 38
Restauration des paramètres par défaut de l’appareil .................................... 40
43
47
51
4 Table des matières
À propos du présent guide
L’appareil Secure Services Gateway (SSG) 5 de Juniper Networks est une plate-forme de routeur et de pare-feu intégrée qui offre des services de pare-feu et de réseau privé virtuel IPSec (Internet Protocol Security) à une succursale ou un point de vente.
Juniper Networks propose six modèles de SSG 5 :
SSG 5 Serial
SSG 5 Serial-WLAN
SSG 5 V.92
SSG 5 V.92-WLAN
SSG 5 ISDN
SSG 5 ISDN-WLAN
Tous les appareils SSG 5 prennent en charge un module hôte USB (universal serial bus). Les appareils proposent également des conversions de protocoles entre les réseaux locaux et les réseaux étendus et trois des modèles prennent en charge les réseaux locaux sans fil.
REMARQUE : les exemples et instructions de configuration du présent document sont basés sur les fonctionnalités d’un appareil exécutant ScreenOS 5.4. Selon la version de
ScreenOS exécutée, il est possible que votre appareil fonctionne différemment.
Pour obtenir la dernière documentation de l’appareil, consultez le site Web de
Juniper Networks Technical Publications à l’adresse http://www.juniper.net/techpubs/hardware . Pour connaître les versions de
ScreenOS actuellement disponibles pour votre appareil, reportez-vous au site Web de l’assistance de Juniper Networks à l’adresse http://www.juniper.net/customers/support/ .
5
Guide d’installation et de configuration du matériel SSG 5
Organisation
Le présent guide présente les sections suivantes :
Chapitre 1, « Présentation matérielle, » détaille le châssis et les composants d’un
appareil SSG 5.
Chapitre 2, « Installation et connexion de l’appareil, » détaille le montage d’un
appareil SSG 5 et sa connexion au réseau.
Chapitre 3, « Configuration de l’appareil, » détaille la configuration et la gestion
d’un appareil SSG 5, ainsi que les procédures d’exécution de tâches de configuration de base.
Chapitre 4, « Entretien de l’appareil, » détaille les procédures d’entretien et de
maintenance des appareils SSG 5.
Annexe A, « Spécifications, » détaille les spécifications système générales des
appareils SSG 5.
Annexe B, « Initial Configuration Wizard, » fournit des informations détaillées
au sujet de l’utilisation de l’Initial Configuration Wizard (Assistant de configuration initiale) avec un appareil SSG 5.
Conventions de l’interface utilisateur Web
Pour procéder à une tâche à l’aide de l’interface utilisateur Web, vous devez d’abord accéder à la boîte de dialogue adaptée, dans laquelle vous pouvez ensuite définir les objets et les paramètres. Un chevron (>) indique la séquence de navigation dans l’interface utilisateur Web, séquence que vous suivez en cliquant sur les options de menu et les liens. L’ensemble d’instructions correspondant à chaque tâche est divisé de la manière suivante : un chemin de navigation et des paramètres de configuration.
La figure suivante indique le chemin vers la boîte de dialogue de configuration des adresses, avec les paramètres de configuration suivants :
Objects > Addresses > List > New : saisissez les informations suivantes, puis cliquez sur OK :
Address Name: addr_1
IP Address/Domain Name:
IP/Netmask: (sélection), 10.2.2.5/32
Zone: Untrust
6 Organisation
Figure 1 : chemin de navigation et paramètres de configuration
Conventions CLI
Les conventions suivantes sont utilisées pour présenter la syntaxe des commandes
CLI dans les exemples et dans le texte.
Dans les exemples :
Les informations présentées entre crochets [ ] sont facultatives.
Les informations présentées entre accolades { } sont obligatoires.
Si plusieurs choix sont possibles, ils sont séparés par un trait vertical ( | ). Par exemple : set interface { ethernet1 | ethernet2 | ethernet3 } manage signifie « définir les options de gestion de l’interface ethernet1, ethernet2 ou ethernet3 ».
Les variables sont en italique : set admin user nom1 password xyz
Dans le texte :
Les commandes sont en gras.
Les variables sont en italique.
REMARQUE : lors de la saisie d’un mot-clé, vous pouvez ne saisir que ses premiers caractères à condition qu’ils permettent d’identifier le mot de manière unique. Par exemple, pour entrer la commande set admin user kathleen j12fmt54, il vous suffit de saisir set adm u kath j12fmt54. Vous pouvez utiliser ce système de saisie rapide pour les commandes. Les commandes détaillées dans cette documentation sont cependant proposées dans leur version intégrale.
Conventions CLI
7
Guide d’installation et de configuration du matériel SSG 5
Obtention de la documentation et d’une assistance technique
Pour obtenir de la documentation technique relative à un des produits Juniper
Networks, consultez le site www.juniper.net/techpubs/ .
Si vous souhaitez obtenir une assistance technique, ouvrez un dossier d’assistance à l’aide du lien Case Manager disponible à l’adresse http://www.juniper.net/support/ ou contactez le 1-888-314-JTAC (aux États-Unis) ou le 1-408-745-9500 (hors des
États-Unis).
Si vous trouvez des erreurs ou des omissions dans le présent document, veuillez nous contacter à l’adresse électronique suivante : [email protected]
8 Obtention de la documentation et d’une assistance technique
Chapitre 1
Présentation matérielle
Ce chapitre fournit des descriptions détaillées du châssis et des composants de l’appareil SSG 5. Il présente les sections suivantes :
« Ports et connecteurs d’alimentation », page 9
Ports et connecteurs d’alimentation
Cette section détaille et affiche l’emplacement des connecteurs d’alimentation et des ports intégrés.
Figure 2 : emplacements des ports intégrés
TX/RX
0
LINK TX/RX
1
LINK TX/RX
2
LINK TX/RX
3
LINK TX/RX
4
LINK TX/RX
5
LINK TX/RX
6
LINK
SSG 5
POWER
802.11A
TX /RX
STATUS B /G
WLAN
CD
V.92
V.9 2 CONSOL E
10/100 10/100
10/100 10/100
10/100 10/100
10/100
AUX, RNIS ou V.92
Console
0/0 0/1 0/2 0/3 0/4 0/5 0/6
Le Tableau 1 présente les ports et les connecteurs d’alimentation d’un appareil
SSG 5.
Tableau 1 : ports et connecteurs d’alimentation d’un appareil SSG 5
Port Description Connecteur Vitesse/protocole
0/0-0/6
USB
Console
Permet d’établir une connexion directe avec des postes de travail ou une connexion à un réseau local par l’intermédiaire d’un commutateur ou d’un hub. Cette connexion permet également de gérer l’appareil par l’intermédiaire d’une session
Telnet ou de l’interface utilisateur Web.
Permet d’établir une connexion USB 1.1 avec le système.
Permet d’établir une connexion série avec le système. Utilisé pour la connectivité d’émulation du terminal dans le cadre du lancement de sessions CLI.
RJ-45
S/O
RJ-45
Ethernet 10/100 Mbits/s
Détection automatique du mode duplex et MDI/MDIX automatique
12M (pleine vitesse) ou 1,5M (vitesse réduite)
9 600 bits/s/RS-232C série
Ports et connecteurs d’alimentation
9
Guide d’installation et de configuration du matériel SSG 5
Port
AUX
Modem V.92
RNIS
Description
Antennes A et B
(SSG 5-WLAN)
Permet d’établir une connexion directe avec des postes de travail se trouvant à proximité d’une connexion radio sans fil.
Connecteur Vitesse/protocole
Permet d’établir une connexion série asynchrone
RS-232 secondaire à Internet par l’intermédiaire d’un modem externe.
Permet d’établir une connexion principale ou secondaire à un fournisseur de services via
Internet ou un réseau non sécurisé.
Permet d’utiliser la ligne RNIS comme interface non sécurisée ou secondaire (S/T).
RJ-45
RJ-11
RJ-45
RPSMA
9 600 bits/s – 115 Kbits/s/RS-232C série
9 600 bits/s – 115 Kbits/s/RS-232 série, détection automatique du mode duplex et de la polarité
Canaux B à 64 Kbits/s
Ligne louée à 128 Kbits/s
802.11a (54 Mbits/s sur une bande de signaux radioélectriques de 5 GHz)
802.11b (11 Mbits/s sur une bande de signaux radioélectriques de 2,4 GHz)
802.11g (54 Mbits/s sur une bande de signaux radioélectriques de 2,4 GHz)
802.11 superG (108 Mbits/s sur des bandes de signaux radioélectriques de
2,4 et 5 GHz)
Panneau avant
Cette section détaille les éléments suivants du panneau avant d’un appareil SSG 5 :
DEL d’état système
Les DEL d’état système affichent des informations relatives aux fonctions
essentielles de l’appareil. La Figure 3 illustre la position de chaque DEL d’état sur le
panneau avant de l’appareil SSG 5 V.92-WLAN. Les DEL système varient en fonction de la version de l’appareil SSG 5.
Figure 3 : DEL d’état
Au démarrage du système, la DEL d’alimentation (POWER) se met à clignoter en vert et la DEL d’état (STATUS) change selon la séquence suivante : rouge, vert, clignotant en vert. Le démarrage nécessite environ deux minutes. Si vous souhaitez mettre le système hors tension, puis de nouveau sous tension, nous vous recommandons d’attendre quelques secondes entre l’arrêt et le redémarrage. Le
Tableau 2 présente le type, le nom, la couleur, l’état et la description de chaque DEL
d’état système.
10 Panneau avant
Tableau 2 : descriptions des DEL d’état
Type Nom Couleur État
POWER Vert
STATUS
Appareils
RNIS
CH B1
(CANAL B1)
CH B2
(CANAL B2)
Appareils
V.92
HOOK
(CONNEXION)
Vert
TX/RX
Appareils de réseau
étendu
802.11A
B/G
Rouge
Vert
Rouge
Vert
Vert
Vert
Vert
Vert
Description
Allumée
Éteinte
Allumée
Éteinte
Allumée
Indique que le système est sous tension.
Indique que le système n’est pas sous tension.
Indique que l’appareil ne fonctionne pas normalement.
Indique que l’appareil fonctionne normalement.
Indique que le système est en cours de démarrage ou procède à des diagnostics.
Clignotante Indique que l’appareil fonctionne normalement.
Clignotante Indique qu’une erreur a été détectée.
Allumée Indique que le canal B 1 est actif.
Éteinte Indique que le canal B 1 n’est pas actif.
Allumée
Éteinte
Allumée
Éteinte
Indique que le canal B 2 est actif.
Indique que le canal B 2 n’est pas actif.
Indique que la liaison est active.
Indique que l’interface série n’est pas en fonctionnement.
Clignotante Indique que le trafic est en cours de transfert.
Éteinte Indique que le trafic n’est pas en cours de transfert.
Allumée Indique qu’une connexion sans fil est établie mais qu’il n’y a pas d’activité de liaison.
Clignotante Indique qu’une connexion sans fil est
établie. Le débit en bauds est proportionnel
à l’activité de la liaison.
Éteinte
Allumée
Indique qu’aucune connexion sans fil n’a été
établie.
Indique qu’une connexion sans fil est établie mais qu’il n’y a pas d’activité de liaison.
Clignotante Indique qu’une connexion sans fil est
établie. Le débit en bauds est proportionnel
à l’activité de la liaison.
Éteinte Indique qu’aucune connexion sans fil n’a été
établie.
Panneau avant
11
Guide d’installation et de configuration du matériel SSG 5
Descriptions des ports
Cette section détaille l’objectif et le fonctionnement des éléments suivants :
Ports Ethernet
Sept ports Ethernet 10/100 permettent d’établir des connexions de réseau local à des hubs, commutateurs, serveurs locaux et postes de travail. Vous pouvez
également utiliser un port Ethernet dans le cadre de la gestion du trafic. Les ports
Ethernet.
Lors de la configuration d’un de ces ports, reportez-vous au nom d’interface correspondant à l’emplacement du port. Les noms d’interface des ports sont numérotés, de gauche à droite sur le panneau avant, de ethernet0/0 à ethernet0/6.
La Figure 4 affiche l’emplacement des DEL de chaque port Ethernet.
Figure 4 : DEL de liaison d’activité
TX/RX
LINK (LIAISON)
Le Tableau 3 détaille les DEL des ports Ethernet.
Tableau 3 : DEL des ports Ethernet
Nom Couleur État
LINK
TX/RX
Vert
Vert
Allumée
Éteinte
Clignotante
Éteinte
Description
Le port est en ligne.
Le port est hors ligne.
Le trafic est en cours de transfert. Le débit en bauds est proportionnel à l’activité de la liaison.
Il est possible que le port soit actif, il ne reçoit cependant pas de données.
Port Console
Le port Console est un port série RJ-45 câblé comme un équipement de terminaison de circuit de données et qui peut être utilisé dans le cadre de l’administration locale. Utilisez un câble direct lors de la connexion à un terminal et un câble de raccords croisés lors de la connexion à un autre équipement de terminaison de circuit de données. Un adaptateur RJ-45/DB-9 est fourni.
Reportez-vous à la section « Connecteurs », page 49 pour les schémas de brochage
des connecteurs RJ-45.
12 Descriptions des ports
Port AUX
Le port auxiliaire (AUX) est un port série RJ-45 câblé comme un équipement terminal de traitement de données et qui peut être connecté à un modem de manière à permettre l’administration à distance. Nous ne vous recommandons pas d’utiliser ce port dans le cadre de l’administration à distance normale. Le port AUX est généralement attribué à l’interface série secondaire. Le débit en bauds peut être compris entre 9 600 et 115 200 bits/s et nécessite un contrôle de flux matériel.
Utilisez un câble direct lors de la connexion à un modem et un câble de raccords croisés lors de la connexion à un autre équipement terminal de traitement de données.
Reportez-vous à la section « Connecteurs », page 49 pour les schémas de brochage
des connecteurs RJ-45.
Panneau arrière
Cette section détaille les éléments suivants du panneau arrière d’un appareil SSG 5 :
Œillet du câble de mise à la terre
REMARQUE : seuls les appareils SSG 5-WLAN disposent de connecteurs à antenne.
Figure 5 : panneau arrière d’un appareil SSG 5
Antenne B
Œillet du câble de mise à la terre
Module hôte USB
Antenne A
B
DC POWER
5V 4 A
Adaptateur
électrique
SD F L ASH
L OCK
RESET
USB
A
Trou d’épingle de réinitialisation
Adaptateur électrique
La DEL POWER située sur le panneau avant de l’appareil est allumée en vert ou
éteinte. L’allumage en vert indique un fonctionnement correct, l’extinction de la
DEL indique une anomalie de l’adaptateur électrique ou que l’appareil est éteint.
Panneau arrière
13
Guide d’installation et de configuration du matériel SSG 5
Émetteur-récepteur radio
Les appareils SSG 5-WLAN disposent de deux émetteurs-récepteurs radio à connectivité sans fil, qui prennent en charge les normes 802.11a/b/g. Le premier
émetteur-récepteur (WLAN 0) utilise la bande de signaux radioélectriques de
2,4 GHz, qui prend en charge la norme 802.11b à 11 Mbit/s et la norme 802.11g à
54 Mbit/s. Le deuxième émetteur-récepteur (WLAN 1) utilise la bande de signaux radioélectriques de 5 GHz, qui prend en charge la norme 802.11a à 54 Mbit/s. Les deux bandes de signaux radioélectriques peuvent fonctionner simultanément. Pour plus d’informations au sujet de la configuration de la bande de signaux
radioélectriques sans fil, reportez-vous à la section « Configuration sans fil de base », page 33.
Œillet du câble de mise à la terre
L’arrière du châssis est équipé d’un œillet de mise à la terre qui permet de relier
l’appareil à la terre (reportez-vous à la Figure 5).
Pour mettre l’appareil à la terre avant de raccorder l’alimentation, vous devez connecter un câble de mise à la terre à la terre, puis fixer le câble à l’œillet situé à l’arrière du châssis.
Types d’antennes
Les appareils SSG 5-WLAN prennent en charge trois types d’antennes radio spéciales :
Antennes de diversité — les antennes de diversité présentent une couverture bidirectionnelle de 2 dBi et un niveau relativement uniforme d’intensité du signal au sein de la zone de couverture. Elles sont adaptées à la plupart des installations. Ce type d’antennes est livré avec l’appareil.
Antenne omnidirectionnelle externe — l’antenne externe dispose d’une couverture omnidirectionnelle de 2 dBi. Contrairement aux antennes de diversité, qui fonctionnent par paire, l’antenne externe supprime l’effet d’écho qui est parfois généré par des caractéristiques de réception du signal légèrement retardées lors de l’utilisation de deux antennes.
Antenne directionnelle externe — l’antenne directionnelle externe dispose d’une couverture unidirectionnelle de 2 dBi et est adaptée aux lieux tels que les couloirs et les murs extérieurs (avec l’antenne orientée vers l’intérieur).
Port USB
Le port USB situé sur le panneau arrière de l’appareil SSG 5 accepte les périphériques de stockage USB (universal serial bus) ou les adaptateurs de périphériques de stockage USB avec disque CompactFlash intégré, comme indiqué dans la Spécification CompactFlash publiée par la CompactFlash Association.
Lorsque le périphérique de stockage USB est installé et configuré, il sert automatiquement d’appareil de démarrage secondaire en cas d’anomalie du disque
CompactFlash principal lors du démarrage.
14 Panneau arrière
Le port USB permet de transférer des fichiers, tels que des configurations de l’appareil ou des certifications utilisateur, et de mettre les images des versions à jour entre un périphérique de stockage USB externe et l’emplacement de stockage Flash interne, situé dans l’appareil de sécurité. Le port USB prend en charge la spécification USB 1.1 lorsque le transfert de fichiers a lieu à faible vitesse (1,5M) ou
à vitesse élevée (12M).
Procédez comme suit pour transférer des fichiers entre le périphérique de stockage
USB et l’appareil SSG 5 :
1.
Insérez le périphérique de stockage USB dans le port USB de l’appareil de sécurité.
2.
Enregistrez les fichiers du périphérique de stockage USB dans l’emplacement de stockage Flash interne de l’appareil à l’aide de la commande CLI save
{software | config | image-key} from usb nomdefichier to flash.
3.
Avant de retirer le périphérique de stockage USB, arrêtez le port USB à l’aide de la commande CLI exec usb-device stop.
4.
Vous pouvez désormais retirer le périphérique de stockage USB en toute sécurité.
Si vous souhaitez supprimer un fichier du périphérique de stockage USB, utilisez la commande CLI delete file usb:/nomdefichier.
Si vous souhaitez afficher les informations relatives aux fichiers enregistrés sur le périphérique de stockage USB ou au niveau de l’emplacement de stockage Flash interne, utilisez la commande CLI get file.
Panneau arrière
15
Guide d’installation et de configuration du matériel SSG 5
16 Panneau arrière
Chapitre 2
Installation et connexion de l’appareil
Ce chapitre détaille la procédure de montage de l’appareil SSG 5 et de connexion des câbles et de l’alimentation à l’appareil. Ce chapitre présente les sections suivantes :
« Installation de l’équipement », page 18
« Connexion des câbles d’interface à un appareil », page 19
« Connexion de l’alimentation », page 20
« Connexion de l’appareil à un réseau », page 20
REMARQUE : pour les instructions et consignes de sécurité, reportez-vous au manuel
Juniper Networks Security Products Safety Guide. Avant de travailler sur les
équipements, vous devez vous renseigner au sujet des risques présentés par les circuits électriques et vous familiariser avec les pratiques standard de prévention des accidents.
17
Guide d’installation et de configuration du matériel SSG 5
Avant-propos
L’emplacement du châssis, la disposition de l’équipement de montage et la sécurité de votre local électrique sont essentiels au bon fonctionnement du système.
AVERTISSEMENT : pour empêcher tout abus ou toute intrusion de personnes non autorisées, installez l’appareil SSG 5 dans un environnement sécurisé.
Afin de prévenir toute blessure corporelle et d’éviter toute défaillance ou panne du matériel, prennez les précautions suivantes :
Avant installation, vérifiez toujours que le bloc d’alimentation n’est raccordé à aucune source d’alimentation.
Assurez-vous que la pièce dans laquelle vous utilisez l’appareil présente une ventilation adaptée et que la température de la pièce ne dépasse pas
40 °C
(104 °F)
.
Ne placez pas l’appareil dans une baie d’installation de matériel qui obstrue les orifices d’entrée et d’échappement de l’air. Assurez-vous que les baies fermées disposent de ventilateurs et de fentes sur les côtés.
Rectifiez les situations à risques suivantes avant toute installation : sols humides ou mouillés, fuites, câbles d’alimentation non mis à la terre ou dénudés ou absence de mise à la terre de sécurité.
Installation de l’équipement
Vous pouvez installer les appareils SSG 5 de manière frontale, sur un mur ou sur un bureau. Les kits de montage sont disponibles séparément.
Dans le cadre de l’installation d’un appareil SSG 5, un tournevis cruciforme numéro
2 (non fourni) et des vis compatibles avec la baie de matériel (incluses dans le kit) sont nécessaires.
REMARQUE : lors de l’installation d’un appareil, assurez-vous qu’il se trouve à portée de la prise
électrique.
Procédez comme suit pour installer un appareil SSG 5 dans une baie :
1.
Dévissez les supports de montage du plateau à l’aide d’un tournevis cruciforme.
REMARQUE : les utilisateurs de l’appareil SSG 5-WLAN disposant d’antennes en option doivent retirer les antennes existantes, puis raccorder la nouvelle antenne via l’orifice latéral.
2.
Alignez la partie inférieure de l’appareil sur les orifices de base du plateau.
3.
Tirez l’appareil pour l’enclencher dans les orifices de base du plateau.
18 Avant-propos
4.
Fixez les supports de montage sur l’appareil et le plateau à l’aide des vis.
5.
Placez le bloc d’alimentation dans le support de bloc d’alimentation, puis branchez l’adaptateur électrique dans l’appareil.
6.
Pour installer un deuxième appareil SSG 5, répétez les étapes 1 à 5, puis poursuivez.
Figure 6 : montage en baie de l’appareil SSG 5
Support de bloc d’alimentation
Support de bloc d’alimentation
7.
Installez le plateau sur la baie à l’aide des vis fournies.
8.
Branchez le bloc d’alimentation dans la prise électrique.
Procédez comme suit pour installer un appareil SSG 5 sur un bureau :
1.
Fixez le support du bureau sur le côté de l’appareil. Nous vous recommandons d’utiliser le côté situé le plus près de l’adaptateur électrique.
2.
Placez l’appareil installé sur le bureau.
Figure 7 : installation de l’appareil SSG 5 sur un bureau
3.
Branchez l’adaptateur électrique et raccordez le bloc d’alimentation à une prise
électrique.
Connexion des câbles d’interface à un appareil
Procédez comme suit pour connecter les câbles d’interface à l’appareil :
1.
Préparez une certaine longueur du type de câble utilisé par l’interface.
2.
Insérez le connecteur de câble dans le port de connecteur de câble de l’appareil.
3.
Disposez le câble de la manière suivante afin d’éviter qu’il ne se détache ou qu’il ne développe des points de tension :
Connexion des câbles d’interface à un appareil
19
Guide d’installation et de configuration du matériel SSG 5 a.
Fixez le câble de manière à ce qu’il ne soutienne pas son propre poids lorsqu’il est suspendu.
b.
Placez le surplus de câble dans une boucle bien enroulée de manière à ce que le câble ne soit pas gênant.
c.
Placez des éléments de fixation sur la boucle de manière à ce qu’elle conserve sa forme.
Connexion de l’alimentation
Procédez comme suit pour raccorder l’appareil à l’alimentation :
1.
Insérez la fiche CC située à l’extrémité du câble d’alimentation dans la prise d’alimentation CC située à l’arrière de l’appareil.
2.
Branchez la fiche CA située à l’autre extrémité du câble d’alimentation dans une source d’alimentation CA.
AVERTISSEMENT : nous vous recommandons d’installer un dispositif de protection contre les surtensions sur votre branchement électrique.
Connexion de l’appareil à un réseau
Lorsqu’ils sont placés entre les réseaux internes et le réseau non sécurisé, les appareils SSG 5 assurent des fonctions de pare-feu et de sécurité générale conçues pour les réseaux. Cette section détaille les éléments suivants :
Connexion de l’appareil à un réseau non sécurisé
Connexion de l’appareil à un réseau interne ou un poste de travail
Connexion de l’appareil à un réseau non sécurisé
Vous pouvez connecter l’appareil SSG 5 à un réseau non sécurisé de l’une des manières suivantes :
La Figure 8 présente l’appareil SSG 5 avec les connexions de câblage réseau de base
lorsque les ports Ethernet 10/100 sont reliés de la manière suivante :
Le port portant la mention 0/0 (interface ethernet0/0) est connecté au réseau non sécurisé.
Le port portant la mention 0/1 (interface ethernet0/1) est connecté à un poste de travail de la zone de sécurité DMZ.
20 Connexion de l’alimentation
Le port portant la mention 0/2 (interface bgroup0) est connecté à un poste de travail de la zone de sécurité Trust.
Le port Console est connecté à un terminal série afin de permettre l’accès aux fonctions de gestion.
Figure 8 : exemple de mise en réseau de base
Callouts
Zone
Untrust
SSG 5
POWER
STATUS
802.11A
B /G
WLAN
TX /RX
CD
V.92
V.9 2
CONSOL E
TX/RX
0
LINK TX/RX
1
LINK TX/RX
2
LINK TX/RX
3
LINK TX/RX
4
LINK TX/RX
5
LINK TX/RX
6
LINK
10/100 10/100 10/100 10/100 10/100 10/100 10/100
Console
DMZ
Zone
Trust
Ports Ethernet
Afin d’établir une connexion à haut débit, reliez le port Ethernet portant la mention
0/0 d’un appareil SSG 5 au routeur externe à l’aide du câble Ethernet fourni.
L’appareil détecte automatiquement les paramètres de vitesse, du mode duplex et
MDI/MDIX corrects.
Ports série (AUX/Console)
Vous pouvez vous connecter au réseau non sécurisé à l’aide d’un câble série RJ-45 direct et d’un modem externe.
AVERTISSEMENT : veillez à ne pas connecter par inadvertance les ports Console,
AUX ou Ethernet de l’appareil à la prise de téléphone.
Ports de réseau étendu
1.
Préparez une certaine longueur du type de câble utilisé par l’interface.
2.
Insérez le connecteur de câble dans le port de connecteur de câble de l’appareil.
3.
Disposez le câble de la manière suivante afin d’éviter qu’il ne se détache ou qu’il ne développe des points de tension : a.
Fixez le câble de manière à ce qu’il ne soutienne pas son propre poids lorsqu’il est suspendu.
b.
Placez le surplus de câble dans une boucle bien enroulée de manière à ce que le câble ne soit pas gênant.
c.
Utilisez des éléments de fixation pour maintenir la forme des boucles de câble.
Connexion de l’appareil à un réseau
21
Guide d’installation et de configuration du matériel SSG 5
Connexion de l’appareil à un réseau interne ou un poste de travail
Vous pouvez connecter votre réseau local ou votre poste de travail à l’aide des interfaces Ethernet et/ou sans fil.
Ports Ethernet
Les appareils SSG 5 disposent de sept ports Ethernet. Vous pouvez utiliser un ou plusieurs de ces ports pour connecter l’appareil à des réseaux locaux via des commutateurs ou des hubs. Vous pouvez également connecter directement l’un ou tous les ports aux postes de travail et éliminer ainsi la nécessité d’utiliser un hub ou un commutateur. Pour connecter les ports Ethernet à d’autres appareils, vous pouvez utiliser des câbles de raccord croisés ou des câbles directs. Reportez-vous à
la section « Paramètres par défaut de l’appareil », page 27 pour consulter les liaisons
interface/zone par défaut.
Antennes sans fil
Si vous utilisez l’interface sans fil, vous devez connecter les antennes fournies à l’appareil. Si vous disposez des antennes de diversité 2 dB standard, fixez-les sur les montants A et B situés à l’arrière de l’appareil à l’aide de vis. Courbez les antennes au niveau des coudes, en veillant à ne pas appuyer sur les répartiteurs de câblage.
Figure 9 : emplacement des antennes de l’appareil SSG 5-WLAN
Antenne B Antenne A
L OCK
B
DC POWER
5V 4 A
Répartiteur de câblage
SD F L ASH RESET
USB
A
Répartiteur de câblage
Si vous utilisez l’antenne externe en option, suivez les instructions de connexion fournies avec l’antenne.
22 Connexion de l’appareil à un réseau
Chapitre 3
Configuration de l’appareil
Le logiciel ScreenOS est installé de manière préalable dans les appareils SSG 5. Lors de la mise sous tension de l’appareil, ce dernier est prêt à être configuré. L’appareil dispose d’une configuration par défaut définie en usine qui permet de procéder à la connexion initiale de l’appareil. Une configuration supplémentaire adaptée à vos exigences réseau spécifiques est cependant nécessaire.
Ce chapitre présente les sections suivantes :
« Accès à l’appareil », page 24
« Paramètres par défaut de l’appareil », page 27
« Configuration de base de l’appareil », page 29
« Configuration sans fil de base », page 33
« Configuration du réseau étendu », page 37
« Protections pare-feu de base », page 39
« Vérification de la connectivité externe », page 39
« Restauration des paramètres par défaut de l’appareil », page 40
REMARQUE : une fois l’appareil configuré et la connectivité vérifiée via le réseau distant, vous devez enregistrer le produit à l’adresse www.juniper.net/support/ de manière à ce que certains services ScreenOS, tels que le service de signatures Deep Inspection et l’antivirus (disponibles séparément), puissent être activés dans l’appareil. Une fois votre produit enregistré, utilisez l’interface utilisateur Web pour obtenir un abonnement au service de votre choix. Pour plus d’informations au sujet de l’enregistrement de votre produit et de l’obtention d’abonnements pour des services spécifiques, reportez-vous au volume Fundamentals du manuel Concepts
& Examples ScreenOS Reference Guide correspondant à la version de ScreenOS exécutée dans l’appareil.
23
Guide d’installation et de configuration du matériel SSG 5
Accès à l’appareil
Vous pouvez configurer et gérer un appareil SSG 5 de différentes manières :
Console : le port Console de l’appareil permet d’accéder à l’unité par l’intermédiaire d’un câble série connecté à votre poste de travail ou terminal.
Pour configurer l’appareil, saisissez des commandes CLI (interface de ligne de commande) ScreenOS sur votre terminal ou dans un programme d’émulation de terminal exécuté sur votre poste de travail.
Interface utilisateur Web : l’interface utilisateur Web de ScreenOS est une interface graphique disponible par l’intermédiaire d’un navigateur. Dans le cadre de l’utilisation initiale de l’interface utilisateur Web, le poste de travail sur lequel vous exécutez le navigateur doit être situé dans le même sous-réseau que l’appareil. Vous pouvez également accéder à l’interface utilisateur Web par l’intermédiaire d’un serveur sécurisé utilisant le protocole (SSL) avec un protocole HTTP sécurisé (S-HTTP).
Telnet/SSH : Telnet et SSH sont des applications permettant d’accéder à des appareils par l’intermédiaire d’un réseau IP. Pour configurer l’appareil, saisissez des commandes CLI (interface de ligne de commande) ScreenOS dans une session Telnet depuis votre poste de travail. Pour plus d’informations, reportez-vous au volume Administration du manuel Concepts & Examples
ScreenOS Reference Guide.
NetScreen-Security Manager : NetScreen-Security Manager est une application de gestion de Juniper Networks à l’échelle des entreprises qui permet de contrôler et de gérer les appareils de réseau privé virtuel IPSec/de pare-feu de
Juniper Networks. Pour obtenir des instructions relatives à la procédure de gestion de l’appareil à l’aide de NetScreen-Security Manager, reportez-vous au manuel NetScreen-Security Manager Administrator’s Guide.
Utilisation d’une connexion de console
REMARQUE : utilisez un câble série RJ-45 direct de catégorie 5 avec un connecteur RJ-45 mâle lors de la connexion au port Console de l’appareil.
Procédez comme suit pour établir une connexion de console :
1.
Connectez la fiche femelle de l’adaptateur DB-9 fourni au port série de votre poste de travail (veillez à ce que le connecteur DB-9 soit inséré correctement et
fermement). La Figure10 illustre le type de connecteur DB-9 nécessaire.
24 Accès à l’appareil
Figure 10 : adaptateur DB-9
Prise RJ-45
Câble RJ-45
Adaptateur
DB-9
2.
Connectez la fiche mâle du câble série RJ-45 de catégorie 5 au port Console de l’appareil SSG 5 (veillez à ce que l’autre fiche du câble de catégorie 5 soit insérée correctement et fermement dans l’adaptateur DB-9).
3.
Lancez un programme d’émulation de terminal série sur votre poste de travail.
Les paramètres nécessaires au lancement d’une session de console sont les suivants :
Débit (en bauds) : 9600
Parité : aucune
Bits de données : 8
Bit d’arrêt : 1
Contrôle de flux : aucun
4.
Si vous n’avez pas encore modifié les nom d’utilisateur et mot de passe par défaut, saisissez netscreen aux invites de connexion et de mot de passe
(n’utilisez que des lettres minuscules, les champs du nom de connexion et du mot de passe respectent tous deux la casse).
Pour obtenir des informations relatives à la configuration de l’appareil à l’aide des commandes CLI, reportez-vous au manuel Concepts & Examples ScreenOS
Reference Guide.
5.
(Facultatif) Par défaut, la session de la console arrive à expiration et s’arrête automatiquement après 10 minutes d’inactivité. Pour désactiver le délai d’expiration, saisissez set console timeout 0.
Utilisation de l’interface utilisateur Web
Dans le cadre de l’utilisation de l’interface utilisateur Web, le poste de travail à partir duquel vous gérez l’appareil doit initialement être situé dans le même sous-réseau que l’appareil. Procédez comme suit pour accéder à l’appareil à l’aide de l’interface utilisateur Web :
1.
Connectez le poste de travail au port 0/2 — 0/6 (interface bgroup0 de la zone
Trust) de l’appareil.
2.
Assurez-vous que le poste de travail est configuré pour le protocole DHCP
(Dynamic Host Configuration Protocol) ou est configuré de manière statique avec une adresse IP du sous-réseau 192.168.1.0/24.
Accès à l’appareil
25
Guide d’installation et de configuration du matériel SSG 5
3.
Lancez le navigateur, saisissez l’adresse IP de l’interface bgroup0 (l’adresse IP par défaut est 192.168.1.1/24), puis appuyez sur Entrée.
REMARQUE : si vous accédez pour la première fois à l’appareil par l’intermédiaire de l’interface utilisateur Web, l’Initial Configuration Wizard (Assistant de configuration initiale) apparaît. Si vous souhaitez configurer l’appareil à l’aide de l’Initial Configuration
Wizard, reportez-vous à la section « Initial Configuration Wizard », page 51.
L’interface utilisateur Web affiche l’invite de connexion représentée à la
Figure 11 : invite de connexion de l’interface utilisateur Web
4.
Si vous n’avez pas encore modifié les nom d’administrateur et mot de passe par défaut, saisissez netscreen aux invites de connexion et de mot de passe
(n’utilisez que des lettres minuscules, les champs du nom de connexion et du mot de passe respectent tous deux la casse).
Utilisation de Telnet
Procédez comme suit pour établir une connexion Telnet :
1.
Connectez le poste de travail au port 0/2 — 0/6 (interface bgroup0 de la zone
Trust) de l’appareil.
2.
Assurez-vous que le poste de travail est configuré pour le protocole DHCP ou est configuré de manière statique avec une adresse IP du sous-réseau
192.168.1.0/24.
3.
Démarrez une application cliente Telnet sur l’adresse IP de l’interface bgroup0
(l’adresse IP par défaut est 192.168.1.1). Saisissez, par exemple, telnet
192.168.1.1
.
L’application Telnet affiche l’invite de connexion.
4.
Si vous n’avez pas encore modifié les nom d’utilisateur et mot de passe par défaut, saisissez netscreen aux invites de connexion et de mot de passe
(n’utilisez que des lettres minuscules, les champs du nom de connexion et du mot de passe respectent tous deux la casse).
5.
(Facultatif) Par défaut, la session de la console arrive à expiration et s’arrête automatiquement après 10 minutes d’inactivité. Pour désactiver le délai d’expiration, saisissez set console timeout 0.
26 Accès à l’appareil
Paramètres par défaut de l’appareil
Cette section détaille les paramètres par défaut et le fonctionnement d’un appareil
SSG 5.
Le Tableau 4 présente les liaisons de zones par défaut des ports des appareils.
Tableau 4 : interface physique par défaut des liaisons de zones
Mention attribuée au port Interface
Ports Ethernet 10/100 :
0/0
0/1
0/2
0/3
0/4
0/5
0/6
AUX
Ports de réseau étendu :
RNIS
V.92
ethernet0/0 ethernet0/1 bgroup0 (ethernet0/2) bgroup0 (ethernet0/3) bgroup0 (ethernet0/4) bgroup0 (ethernet0/5) bgroup0 (ethernet0/6) serial0/0 bri0/0 serial0/0
Zone
Untrust
Null
Untrust
DMZ
Trust
Trust
Trust
Trust
Trust
Null
Le groupe pont (bgroup) permet aux utilisateurs réseau de commuter entre le trafic câblé et le trafic sans fil sans devoir reconfigurer ou redémarrer l’appareil. Par défaut, les interfaces ethernet0/2 — ethernet0/6, portant les mentions ports 0/2 —
0/6 sur l’appareil, sont regroupées en tant qu’interface bgroup0, disposent de l’adresse IP 192.168.1.1/24 et sont reliées à la zone de sécurité Trust. Vous pouvez configurer un maximum de quatre groupes bgroup.
Si vous souhaitez placer une interface Ethernet ou sans fil dans un groupe bgroup, vous devez d’abord vous assurer que l’interface Ethernet ou sans fil se trouve dans la zone de sécurité Null. Si vous retirez l’interface Ethernet ou sans fil du groupe bgroup, elle est placée dans la zone de sécurité Null. Une fois attribuée à la zone de sécurité Null, l’interface Ethernet peut être reliée à une zone de sécurité et une autre adresse ID peut lui être attribuée.
Paramètres par défaut de l’appareil
27
Guide d’installation et de configuration du matériel SSG 5
Pour retirer l’interface ethernet0/3 du groupe bgroup0 et la placer dans la zone Trust avec l’adresse IP statique 192.168.3.1/24, utilisez l’interface utilisateur Web ou les commandes CLI de la manière suivante :
WebUI
Network > Interfaces > List > Edit (bgroup0) > Bind Port : désélectionnez
ethernet0/3, puis cliquez sur Apply.
List > Edit (ethernet0/3) : saisissez les informations suivantes, puis cliquez sur
Apply :
Zone Name: Trust (sélection)
IP Address/Netmask: 192.168.3.1/24
CLI
unset interface bgroup0 port ethernet0/3 set interface ethernet0/3 zone trust set interface ethernet0/3 ip 192.168.3.1/24 save
Tableau 5 : liaisons des interfaces sans fil et des interfaces logiques
SSG 5-WLAN Interface Zone
Interface sans fil
Définit une interface sans fil qui peut
être configurée de manière à fonctionner sur des bandes de signaux radioélectriques de 2,4 G et/ou 5 G.
wireless0/0 (l’adresse IP par défaut est
192.168.2.1/24) wireless0/1-0/3.
Trust
Null
Interfaces logiques
Interface de couche 2
Interfaces tunnel vlan1 fait référence aux interfaces logiques utilisées pour la gestion et l’arrêt de trafic du réseau privé virtuel lorsque l’appareil est en mode transparent.
S/O tunnel.n fait référence à une interface tunnel logique. Cette interface est destinée au trafic de réseau privé virtuel.
S/O
Vous pouvez modifier l’adresse IP par défaut de l’interface bgroup0 conformément aux adresses de votre réseau local et de votre réseau local sans fil. Pour configurer
REMARQUE : l’interface bgroup ne fonctionne pas en mode transparent lorsqu’elle inclut une interface sans fil.
Pour obtenir des informations supplémentaires au sujet du groupe bgroup et des exemples, reportez-vous au manuel Concepts & Examples ScreenOS Reference Guide.
Aucune autre adresse IP par défaut n’est configurée sur les autres interfaces
Ethernet ou sans fil de l’appareil. Vous devez définir les adresses IP des autres interfaces, interfaces de réseau étendu incluses.
28 Paramètres par défaut de l’appareil
Configuration de base de l’appareil
Cette section détaille les paramètres de configuration de base suivants :
Nom et mot de passe de l’administrateur racine
Adresse de l’interface de gestion
Configuration de l’interface non sécurisée secondaire
Nom et mot de passe de l’administrateur racine
L’administrateur racine dispose de tous les droits nécessaires à la configuration des appareils SSG 5. Nous vous recommandons de modifier immédiatement le nom et le mot de passe par défaut de l’administrateur racine (tous deux netscreen).
Pour modifier le nom et le mot de passe de l’administrateur racine, utilisez l’interface utilisateur Web ou les commandes CLI de la manière suivante :
WebUI
Configuration > Admin > Administrators > Edit (pour le nom de l’administrateur) : saisissez les informations suivantes, puis cliquez sur OK :
Administrator Name:
Old Password: netscreen
New Password:
Confirm New Password:
REMARQUE : les mots de passe ne sont pas affichés dans l’interface utilisateur Web.
CLI
set admin name nom set admin password motdepasse save
Configuration de base de l’appareil
29
Guide d’installation et de configuration du matériel SSG 5
Date et heure
L’heure définie dans un appareil SSG 5 affecte des événements tels que la configuration des tunnels de réseau privé virtuel. Le moyen le plus simple pour régler la date et l’heure de l’appareil consiste à utiliser l’interface utilisateur Web pour synchroniser l’horloge système de l’appareil sur l’horloge du poste de travail.
Pour configurer la date et l’heure d’un appareil, utilisez l’interface utilisateur Web ou les commandes CLI de la manière suivante :
WebUI
1.
Configuration > Date/Time : cliquez sur le bouton Sync Clock with Client.
Un message contextuel s’affiche, invitant à préciser si l’option de passage à l’heure d’été a été activée au niveau de l’horloge de votre poste de travail.
2.
Cliquez sur Yes pour synchroniser l’horloge système et la régler en tenant compte de l’heure d’été ou sur No pour synchroniser l’horloge système sans tenir compte de l’heure d’été.
Vous pouvez également utiliser la commande CLI set clock dans une session Telnet ou de console afin de saisir manuellement la date et l’heure de l’appareil.
Interfaces du groupe pont
Par défaut, l’appareil SSG 5 dispose des interfaces Ethernet ethernet0/2—ethernet0/4, regroupées dans la zone de sécurité Trust. Le fait de regrouper les interfaces les place dans un sous-réseau. Vous pouvez retirer une interface d’un groupe et l’affecter à une autre zone de sécurité. Avant d’être affectées à un groupe, les interfaces doivent se trouver dans la zone de sécurité Null.
Pour placer une interface regroupée dans la zone de sécurité Null, utilisez la commande CLI unset interface interface port interface.
Les appareils SSG 5-WLAN permettent de regrouper des interfaces Ethernet et sans fil dans un même sous-réseau.
REMARQUE : seules les interfaces Ethernet et sans fil peuvent être placées dans un groupe bgroup.
Pour configurer un groupe disposant d’interfaces Ethernet et sans fil, utilisez l’interface utilisateur Web ou les commandes CLI de la manière suivante :
WebUI
Network > Interfaces > List > Edit (bgroup0) > Bind Port : désélectionnez
ethernet0/3 et ethernet0/4, puis cliquez sur Apply.
Edit (bgroup1) > Bind Port : sélectionnez ethernet0/3, ethernet0/4 et
wireless0/2, puis cliquez sur Apply.
>Basic : saisissez les informations suivantes, puis cliquez sur Apply :
Zone Name: DMZ (sélection)
IP Address/Netmask: 10.0.0.1/24
30 Configuration de base de l’appareil
CLI
unset interface bgroup0 port ethernet0/3 unset interface bgroup0 port ethernet0/4 set interface bgroup1 port ethernet0/3 set interface bgroup1 port ethernet0/4 set interface bgroup1 port wireless0/2 set interface bgroup1 zone DMZ set interface bgroup1 ip 10.0.0.1/24 save
Accès administratif
Par défaut, tous les utilisateurs connectés à votre réseau peuvent gérer l’appareil dès lors qu’ils en connaissent le nom de connexion et le mot de passe. Pour configurer l’appareil de manière à ce qu’il ne puisse être géré qu’à partir d’un hôte spécifique du réseau, utilisez l’interface utilisateur Web ou les commandes CLI de la manière suivante :
WebUI
Configuration > Admin > Permitted IPs : saisissez les informations suivantes, puis cliquez sur Add :
IP Address/Netmask: adr_ip/masque
CLI
set admin manager-ip adr_ip/masque save
Services de gestion
ScreenOS propose des services de configuration et de gestion de l’appareil, tels que
SNMP, SSL et SSH, que vous pouvez activer en fonction de l’interface. Pour configurer les services de gestion de l’appareil, utilisez l’interface utilisateur Web ou les commandes CLI de la manière suivante :
WebUI
Network > Interfaces > List > Edit (pour l’interface ethernet0/0) : sous
Management Services, activez les services de gestion à utiliser dans l’interface, puis cliquez sur Apply.
CLI
set interface ethernet0/0 manage web unset interface ethernet0/0 manage snmp save
Configuration de base de l’appareil
31
Guide d’installation et de configuration du matériel SSG 5
Nom d’hôte et nom de domaine
Le nom de domaine définit le réseau ou le sous-réseau auquel appartient l’appareil tandis que le nom d’hôte fait référence à un appareil spécifique. Le nom d’hôte et le nom de domaine permettent d’identifier ensemble de manière unique l’appareil au sein du réseau. Pour configurer le nom d’hôte et le nom de domaine d’un appareil, utilisez l’interface utilisateur Web ou les commandes CLI de la manière suivante :
WebUI
Network > DNS > Host : saisissez les informations suivantes, puis cliquez sur
Apply :
Host Name: nom
Domain Name: nom
CLI
set hostname nom set domain nom save
Route par défaut
La route par défaut est une route statique utilisée pour diriger les paquets adressés à des réseaux qui ne figurent pas de manière explicite dans le tableau de routage. Si un paquet arrive dans l’appareil et dispose d’une adresse pour laquelle l’appareil ne dispose d’aucune information de routage, ce dernier envoie le paquet à la destination définie par la route par défaut. Pour configurer la route par défaut de l’appareil, utilisez l’interface utilisateur Web ou les commandes CLI de la manière suivante :
WebUI
Network > Routing > Destination > New (trust-vr) : saisissez les informations suivantes, puis cliquez sur OK :
IP Address/Netmask: 0.0.0.0/0.0.0.0
Next Hop
Gateway: (sélection)
Interface: ethernet0/2 (sélection)
Gateway IP Address: adr_ip
CLI set route 0.0.0.0/0 interface ethernet0/2 gateway adr_ip save
Adresse de l’interface de gestion
L’interface Trust dispose de l’adresse IP par défaut 192.168.1.1/24 et est configurée pour les services de gestion. Si vous connectez les ports 0/2—0/4 de l’appareil à un poste de travail, vous pouvez configurer l’appareil à partir d’un poste de travail du sous-réseau 192.168.1.1/24, à l’aide d’un service de gestion tel que Telnet.
Vous pouvez modifier l’adresse IP par défaut de l’interface Trust. Vous pouvez, par exemple, modifier l’interface conformément aux adresses IP qui existent déjà sur le réseau local.
32 Configuration de base de l’appareil
Configuration de l’interface non sécurisée secondaire
L’appareil SSG 5 permet de configurer une interface secondaire en cas de défaillance de l’interface non sécurisée. Procédez comme suit pour définir une interface secondaire, utilisée en cas de défaillance de l’interface non sécurisée :
1.
Placez l’interface secondaire dans la zone de sécurité Null à l’aide de la commande CLI unset interface interface [ port interface ].
2.
Reliez l’interface secondaire à la même zone de sécurité que l’interface principale à l’aide de la commande CLI set interface interface zone nom_zone.
REMARQUE : l’interface principale et l’interface secondaire doivent se trouver dans la même zone de sécurité. L’interface principale ne dispose que d’une seule interface secondaire et l’interface secondaire que d’une seule interface principale.
Pour définir l’interface ethernet0/4 comme interface secondaire de l’interface ethernet0/0, utilisez l’interface utilisateur Web ou les commandes CLI de la manière suivante :
WebUI
Network > Interfaces > Backup > : saisissez les informations suivantes, puis cliquez sur Apply.
Primary: ethernet0/0
Backup: ethernet0/4
Type: track-ip (sélection)
CLI
unset interface bgroup0 port ethernet0/4 set interface ethernet0/4 zone untrust set interface ethernet0/0 backup interface ethernet0/4 type track-ip save
Configuration sans fil de base
Cette section fournit des informations relatives à la configuration de l’interface sans fil de l’appareil SSG 5-WLAN. Les réseaux sans fil sont désignés par des noms SSID
(Service Set Identifiers). La définition des SSID permet de disposer de plusieurs réseaux sans fil au même emplacement sans que ceux-ci n’interfèrent les uns avec les autres. Un nom SSID peut compter un maximum de 32 caractères. Si le nom
SSID inclut une espace, la chaîne de caractères doit être placée entre guillemets.
Une fois le nom SSID défini, vous pouvez configurer d’autres attributs SSID. Pour bénéficier des capacités de réseau local sans fil de l’appareil, vous devez configurer au moins un SSID et le relier à une interface sans fil.
L’appareil SSG 5-WLAN permet de créer un maximum de 16 SSID. Cependant, seuls quatre peuvent être utilisés simultanément. Vous pouvez configurer l’appareil de manière à ce que les quatre SSID soient utilisés dans le même émetteur-récepteur ou répartir l’utilisation entre les deux émetteurs-récepteurs (trois SSID attribués au
Configuration sans fil de base
33
Guide d’installation et de configuration du matériel SSG 5 réseau local sans fil 0 et un SSID attribué au réseau local sans fil 1, par exemple).
Utilisez la commande CLI set interface interface_sans_fil wlan { 0 | 1 | both } pour
régler les émetteurs-récepteurs radio de l’appareil SSG 5-WLAN. La Figure 12
présente la configuration par défaut de l’appareil SSG 5-WLAN.
Une fois un SSID défini sur l’interface wireless0/0, vous pouvez accéder à l’appareil
à l’aide de l’adresse IP par défaut de l’interface wireless0/0 (voir les étapes de la
section « Accès à l’appareil », page 24).
REMARQUE : si vous utilisez l’appareil SSG 5-WLAN dans un pays autre que les États-Unis, le
Japon, le Canada, la Chine, Taïwan, la Corée, Israël ou Singapour, vous devez utiliser la commande CLI set wlan country-code ou la définir dans la page
Wireless > General Settings de l’interface utilisateur WebUI avant de pouvoir
établir une connexion du type réseau local sans fil. Cette commande définit la plage de canaux disponibles et le niveau de puissance émise.
Si le code de votre région est ETSI, vous devez définir le code national adapté aux réglementations locales en matière de spectre des radiofréquences.
Figure 12 : configuration par défaut de l’appareil SSG 5-WLAN
Callouts wireless0/0
SSG 5
POWER
802.11A
TX /RX
STATUS B /G
WLAN
CD
V.92
V.9 2
CONSOL E
TX/RX
0
LINK TX/RX
1
LINK TX/RX
2
LINK TX/RX
3
LINK TX/RX
4
LINK TX/RX
5
LINK TX/RX
6
LINK
10/100 10/100 10/100 10/100 10/100 10/100 10/100
Console
Zone
Trust
L’interface wireless0/0 est configurée par défaut avec l’adresse IP 192.168.2.1/24.
Tous les clients sans fil qui doivent se connecter à la zone Trust doivent disposer d’une adresse IP au sein du sous-réseau sans fil. Vous pouvez également configurer l’appareil de manière à ce qu’il utilise le protocole DHCP pour attribuer automatiquement à vos appareils des adresses IP au sein du sous-réseau
192.168.2.1/24.
Par défaut, les interfaces wireless0/1 – wireless0/3 sont définies comme Null et ne disposent d’aucune adresse IP. Si vous souhaitez utiliser une des autres interfaces sans fil, vous devez configurer une adresse IP pour l’interface, lui attribuer un SSID
et la relier à une zone de sécurité. Le Tableau 6 présente les méthodes de
chiffrement et d’authentification sans fil.
34 Configuration sans fil de base
Tableau 6 : options de chiffrement et d’authentification sans fil
Authentification Chiffrement
Ouverte
Clé partagée
WPA-PSK
WPA
WPA2-PSK
WPA2
WPA-Auto-PSK
WPA-Auto
802.1x
Permet à n’importe quel client sans fil d’accéder à l’appareil.
Clé partagée WEP
AES/TKIP avec une clé partagée au préalable
AES/TKIP avec une clé du serveur RADIUS
Compatible 802.11i avec une clé partagée au préalable
Compatible 802.11i avec un serveur RADIUS
Type WPA ou WPA2 avec une clé partagée au préalable
Type WPA ou WPA2 avec un serveur RADIUS
WEP avec une clé du serveur RADIUS
Pour obtenir des exemples de configuration, ainsi que des informations sur les attributs SSID et les commandes CLI relatives aux configurations de sécurité sans fil, reportez-vous au manuel Concepts & Examples ScreenOS Reference Guide.
Pour configurer une interface sans fil dans le cadre de la connectivité de base, utilisez l’interface utilisateur Web ou les commandes CLI de la manière suivante :
WebUI
1.
Définissez le code national et l’adresse IP du réseau local sans fil.
Wireless > General Settings > sélectionnez les éléments suivants, puis cliquez sur Apply :
Country code: sélection de votre code
IP Address/Netmask: adr_ip/masque_réseau
2.
Définissez le SSID.
Wireless > SSID > New : saisissez les informations suivantes, puis cliquez sur
OK :
SSID:
Authentication:
Encryption:
Wireless Interface Binding:
3.
(Facultatif) Définissez la clé WEP.
SSID > WEP Keys : sélectionnez l’identifiant de la clé, puis cliquez sur Apply.
4.
Définissez le mode du réseau local sans fil.
Network > Interfaces > List > Edit (interface sans fil) : sélectionnez Both pour le mode du réseau local sans fil, puis cliquez sur Apply.
5.
Activez les modifications apportées à l’interface sans fil.
Wireless > General Settings > cliquez sur Activate Changes.
Configuration sans fil de base
35
Guide d’installation et de configuration du matériel SSG 5
CLI
1.
Définissez le code national et l’adresse IP du réseau local sans fil.
set wlan country-code { code_id } set interface interface_sansfil ip adr_ip/masque_réseau
2.
Définissez le SSID.
set ssid name nom set ssid name_str authentication type_auth encryption type_chiffrement set ssid nom interface interface
(Facultatif) set ssid nom key-id numéro
3.
Définissez le mode du réseau local sans fil.
set interface interface_sansfil wlan both
4.
Activez les modifications apportées à l’interface sans fil.
save exec wlan reactivate
Vous pouvez configurer le SSID de manière à ce qu’il fonctionne au sein du même sous-réseau que le sous-réseau câblé. Cette action permet aux clients de travailler dans une interface ou de l’autre sans devoir se connecter à un autre sous-réseau.
Pour placer une interface Ethernet et une interface sans fil dans la même interface de groupe pont, utilisez l’interface utilisateur Web ou les commandes CLI :
WebUI
Network > Interfaces > List > Edit (nom_bgroup) > Bind Port : sélectionnez les interfaces sans fil et Ethernet, puis cliquez sur Apply.
CLI
set interface nom_bgroup port interface_sansfil set interface nom_bgroup port interface_ethernet
REMARQUE : nom_bgroup peut être bgroup0—bgroup3.
interface_ethernet peut être ethernet0/0—ethernet0/6.
interface_sansfil peut être wireless0/0—wireless0/3.
Si une interface sans fil est configurée, vous devez réactiver le réseau local sans fil
à l’aide de la commande CLI exec wlan reactivate ou cliquer sur Activate
Changes dans la page Wireless > General Settings de l’interface utilisateur Web.
36 Configuration sans fil de base
Configuration du réseau étendu
Cette section indique comment configurer les interfaces de réseau étendu suivantes :
Interface RNIS
Le réseau numérique à intégration de services (RNIS) est un ensemble de normes pour la transmission numérique via différents supports créées par le CCITT
(Consultative Committee for International Telegraphy and Telephone) et l’ITU
(International Telecommunications Union). En tant que service de connexion à la demande, il dispose d’un temps d’établissement des communications réduit et d’un faible délai de transit. Il est également en mesure de procéder à des transmissions de vidéos, de données et de la voix de haute qualité. Le RNIS est également un service de commutation de circuits qui peut être utilisé pour les connexions point à point et connexions à points multiples. Le RNIS propose un routeur de services avec une connexion PPP (Point-to-Point Protocol) à liaisons multiples pour les interfaces réseau. L’interface RNIS est généralement configurée en tant qu’interface secondaire de l’interface Ethernet permettant d’accéder à des réseaux externes.
Pour configurer l’interface RNIS, utilisez l’interface utilisateur Web ou les commandes CLI :
WebUI
Network > Interfaces > List > Edit (bri0/0) : saisissez ou sélectionnez les
éléments suivants, puis cliquez sur OK :
BRI Mode: Dial Using BRI
Primary Number: 123456
WAN Encapsulation: PPP
PPP Profile: isdnprofile
CLI
set interface bri0/0 dialer-enable set interface bri0/0 primary-number "123456" set interface bri0/0 encap ppp set interface bri0/0 ppp profile isdnprofile save
Pour configurer l’interface RNIS en tant qu’interface secondaire, reportez-vous à la
section « Configuration de l’interface non sécurisée secondaire », page 33.
Pour plus d’informations au sujet de la configuration de l’interface RNIS, reportez-vous au manuel Concepts & Examples ScreenOS Reference Guide.
Configuration du réseau étendu
37
Guide d’installation et de configuration du matériel SSG 5
Interface à modem V.92
L’interface V.92 dispose d’un modem analogique interne qui permet d’établir une connexion PPP à un fournisseur de services. Vous pouvez configurer l’interface série en tant qu’interface principale ou secondaire (utilisée en cas de défaillance de l’interface principale).
REMARQUE : l’interface V.92 ne fonctionne pas en mode transparent.
Pour configurer l’interface V.92, utilisez l’interface utilisateur Web ou les commandes CLI :
WebUI
Network > Interfaces > List > Edit (pour l’interface serial0/0) : saisissez les informations suivantes, puis cliquez sur OK :
Zone Name: untrust (sélection)
ISP: saisissez les informations suivantes, puis cliquez sur OK :
ISP Name: isp_juniper
Primary Number: 1234567
Login Name: juniper
Login Password: juniper
Modem: saisissez les informations suivantes, puis cliquez sur OK :
Modem Name: mod1
Init String: AT&FS7=255S32=6
Active Modem setting
Inactivity Timeout: 20
CLI
set interface serial0/0 zone untrust set interface serial0/0 modem isp isp_juniper account login juniper password juniper set interface serial0/0 modem isp isp_juniper primary-number 1234567 set interface serial0/0 modem idle-time 20 set interface serial0/0 modem settings mod1 init-strings AT&FS7=255S32=6 set interface serial0/0 modem settings mod1 active
Pour obtenir des informations relatives à la configuration de l’interface à modem
V.92, reportez-vous au manuel Concepts & Examples ScreenOS Reference Guide.
38 Configuration du réseau étendu
Protections pare-feu de base
Les appareils sont configurés avec une règle par défaut qui permet aux postes de travail qui se trouvent dans la zone Trust de votre réseau d’accéder aux ressources de la zone de sécurité Untrust alors que les ordinateurs extérieurs à votre réseau ne sont pas autorisés à accéder ou à démarrer des sessions à l’aide de vos postes de travail. Vous pouvez configurer des règles de sécurité de façon à ce que l’appareil autorise les ordinateurs extérieurs à votre réseau à initier des sessions de type spécifique avec vos ordinateurs. Pour obtenir des informations au sujet de la création ou de la modification des règles, reportez-vous au manuel Concepts &
Examples ScreenOS Reference Guide.
L’appareil SSG 5 dispose de différentes méthodes de détection et de différents mécanismes de défense pour lutter contre les vérifications et attaques dont l’objectif est de compromettre ou de nuire à un réseau ou à une ressource du réseau :
Les options SCREEN de ScreenOS sécurisent une zone en vérifiant, puis en autorisant ou en refusant, l’ensemble des tentatives de connexion qui nécessitent le transit vers la zone en question par l’intermédiaire d’une interface. Vous pouvez, par exemple, activer une protection par interrogation des ports dans la zone Untrust de manière à empêcher la source d’un réseau distant d’identifier les services à cibler en vue de futures attaques.
L’appareil applique des règles de pare-feu, qui peuvent inclure des composants de filtrage du contenu et de détection et de prévention des intrusions, au trafic qui passe d’une zone à l’autre via les filtres SCREEN. Par défaut, aucun trafic n’est autorisé à passer d’une zone à l’autre par l’intermédiaire de l’appareil.
Pour autoriser le passage du trafic d’une zone à l’autre par l’intermédiaire de l’appareil, vous devez créer une règle qui annule le comportement par défaut.
Pour définir les options SCREEN de ScreenOS d’une zone, utilisez l’interface utilisateur Web ou les commandes CLI de la manière suivante :
WebUI
Screening > Screen : sélectionnez la zone à laquelle les options s’appliquent.
Sélectionnez les options SCREEN souhaitées, puis cliquez sur Apply.
CLI
set zone zone screen option save
Pour plus d’informations au sujet de la configuration des options de sécurité réseau disponibles sous ScreenOS, reportez-vous au volume Attack Detection and Defense
Mechanisms du manuel Concepts & Examples ScreenOS Reference Guide.
Vérification de la connectivité externe
Afin de vérifier que les postes de travail connectés à votre réseau sont en mesure d’accéder aux ressources sur Internet, lancez un navigateur sur n’importe quel poste de travail connecté à votre réseau et saisissez l’adresse URL suivante : www.juniper.net.
Protections pare-feu de base
39
Guide d’installation et de configuration du matériel SSG 5
Restauration des paramètres par défaut de l’appareil
Si vous égarez votre mot de passe d’administrateur, vous pouvez restaurer les paramètres par défaut de l’appareil. Cette action écrase les configurations existantes mais restaure l’accès à l’appareil.
AVERTISSEMENT : la réinitialisation de l’appareil supprime tous les paramètres de configuration existants et désactive les services de pare-feu et de réseau privé virtuel existants.
Procédez de l’une des manières suivantes pour restaurer les paramètres par défaut de l’appareil :
À l’aide d’une connexion de console. Pour plus d’informations, reportez-vous au volume Administration du manuel Concepts & Examples ScreenOS Reference
Guide.
Par l’intermédiaire du trou d’épingle de réinitialisation situé sur le panneau arrière de l’appareil, comme décrit dans la section suivante.
Vous pouvez réinitialiser l’appareil et en restaurer les paramètres par défaut en appuyant sur le bouton situé dans le trou d’épingle de réinitialisation. Pour effectuer cette opération, vous devez soit consulter les DEL d’état situées sur le panneau avant de l’appareil, soit ouvrir une session de console comme indiqué dans la
section Utilisation d’une connexion de console page 24.
Procédez comme suit pour réinitialiser l’appareil et restaurer les paramètres par défaut à l’aide du trou d’épingle de réinitialisation :
1.
Repérez le trou d’épingle de réinitialisation situé sur le panneau arrière de l’appareil. En utilisant un fil de fer fin et rigide (un trombone déplié, par exemple), appuyez sur le bouton situé dans le trou d’épingle pendant quatre à six secondes, puis relâchez-le.
La DEL STATUS clignote en rouge. Un message s’affiche sur la console, indiquant que la suppression de la configuration a commencé, et le système transmet une alerte SNMP/SYSLOG.
2.
Patientez une à deux secondes.
Après la première réinitialisation, la DEL STATUS clignote en vert, l’appareil attend maintenant la deuxième réinitialisation. Le message de la console indique maintenant que l’unité attend une deuxième confirmation.
3.
Appuyez de nouveau sur le bouton situé dans le trou d’épingle de réinitialisation pendant quatre à six secondes.
Le message de la console valide la seconde réinitialisation. La DEL STATUS s’allume en rouge pendant une demi-seconde, puis retourne à l’état clignotant vert.
40 Restauration des paramètres par défaut de l’appareil
L’appareil est maintenant réinitialisé et ses paramètres par défaut ont été restaurés. Lorsque l’appareil se réinitialise, la DEL STATUS s’allume en rouge pendant une demi-seconde, puis s’allume en vert. La console affiche les messages d’amorçage de l’appareil. Le système génère des alertes SNMP et
SYSLOG aux hôtes de déroutements SYSLOG ou SNMP configurés.
Une fois l’appareil redémarré, la console affiche l’invite de connexion à l’appareil. La DEL STATUS clignote en vert. Le nom de connexion et le mot de passe sont netscreen.
Si vous ne suivez pas la procédure entière, le processus de réinitialisation s’interrompt et le message affiché sur la console indique que l’effacement de la configuration est annulé. La DEL STATUS clignote de nouveau en vert. Si l’appareil n’a pas été réinitialisé, une alerte SNMP est transmise afin de confirmer l’échec de la procédure.
Restauration des paramètres par défaut de l’appareil
41
Guide d’installation et de configuration du matériel SSG 5
42 Restauration des paramètres par défaut de l’appareil
Chapitre 4
Entretien de l’appareil
Ce chapitre détaille les procédures d’entretien et de maintenance des appareils
SSG 5. Il présente les sections suivantes :
« Pièces et outils nécessaires », cette page
« Mise à niveau de la mémoire », cette page
REMARQUE : pour connaître les instructions et consignes de sécurité, reportez-vous au manuel
Juniper Networks Security Products Safety Guide. Les instructions du manuel vous mettent en garde vis-à-vis des situations susceptibles d’entraîner des blessures.
Avant de travailler sur les équipements, vous devez vous renseigner au sujet des risques présentés par les circuits électriques et vous familiariser avec les pratiques standard de prévention des accidents.
Pièces et outils nécessaires
Pour remplacer un composant de l’appareil SSG 5, vous devez disposer des pièces et outils suivants :
Bracelet de mise à la terre contre les décharges électrostatiques
Tournevis cruciforme, 1/8 po
Mise à niveau de la mémoire
Vous pouvez procéder à la mise à niveau d’un appareil SSG 5 d’une mémoire vive dynamique à module de mémoire à double rangée de connexions de 128 Mo
à 256 Mo.
Procédez comme suit pour mettre la mémoire d’un appareil SSG 5 à niveau :
1.
Fixez un bracelet de mise à la terre contre les décharges électrostatiques sur votre poignet nu et raccordez le bracelet au point de décharge électrostatique du châssis ou à un point de décharge électrostatique extérieur (si l’appareil n’est pas mis à la terre).
2.
Débranchez le cordon CA de la prise électrique.
Pièces et outils nécessaires
43
Guide d’installation et de configuration du matériel SSG 5
3.
Retournez l’appareil de manière à ce que sa partie supérieure repose sur une surface plane.
4.
Retirez les vis du couvercle de la carte mémoire à l’aide d’un tournevis cruciforme. Conservez les vis à proximité de vous afin de pouvoir remettre le couvercle en place par la suite.
5.
Retirez le couvercle de la carte mémoire.
Figure 13 : partie inférieure de l’appareil
44 Mise à niveau de la mémoire
6.
Retirez la mémoire vive dynamique à module de mémoire à double rangée de connexions de 128 Mo en plaçant les pouces sur la partie extérieure des onglets de verrouillage situés de chaque côté du module de manière à les libérer du module.
Figure 14 : déverrouillage du module de mémoire
7.
Saisissez par le côté long le module de mémoire et faites glisser le module vers l’extérieur. Mettez le module de côté.
Figure 15 : dépose du module
8.
Insérez la mémoire vive dynamique à module de mémoire à double rangée de connexions de 256 Mo dans le connecteur. À l’aide des deux pouces, exercez une pression uniforme sur la partie supérieure du module, puis appuyez sur le module jusqu’à ce que les onglets de verrouillage s’enclenchent.
Figure 16 : insertion du module de mémoire
9.
Replacez le couvercle de la carte mémoire sur le connecteur.
10. Fixez le couvercle sur l’appareil en serrant les vis à l’aide du tournevis cruciforme.
Mise à niveau de la mémoire
45
Guide d’installation et de configuration du matériel SSG 5
46 Mise à niveau de la mémoire
Annexe A
Spécifications
Cette annexe détaille les spécifications système générales de l’appareil SSG 5. Elle présente les sections suivantes :
« Spécifications physiques », cette page
« Spécifications électriques », cette page
« Tolérance environnementale », page 48
Spécifications physiques
Tableau 7 : spécifications physiques de l’appareil SSG 5
Description Valeur
Dimensions du châssis
Poids de l’appareil
222,5 mm x 143,4 mm x 35 mm. Avec les pieds en caoutchouc, la hauteur du système est de 40 mm (1,6 po).
(8,8 po x 5,6 po x 1,4 po)
960 g (2,1 lb)
Spécifications électriques
Tableau 8 : spécifications électriques de l’appareil SSG 5
Élément Spécification
Tension d’entrée CC 5,5 V
Courant nominal système CC 4 A
Spécifications physiques
47
Guide d’installation et de configuration du matériel SSG 5
Tolérance environnementale
Tableau 9 : tolérance environnementale de l’appareil SSG 5
Description Valeur
Altitude
Humidité relative
Température
Aucune baisse de performances jusqu’à 2 000 mètres (6 600 pi)
Fonctionnement normal garanti avec une plage d’humidité relative comprise entre 5 et 90 %, sans condensation
Fonctionnement normal garanti avec une plage de températures comprise entre 0 °C (32 °F) et
40 °C (104 °F)
Température de stockage dans le carton d’expédition : -40 °C (-40 °F) à 70 °C (158 °F)
Homologations
Sécurité
CAN/CSA-C22.2 n°60950-1-03/UL 60950-1 troisième édition, sécurité des
équipements informatiques
EN 60950-1:2001+A11, sécurité des équipements informatiques
IEC 60950-1:2001 première édition, sécurité des équipements informatiques
Émissions CEM
FCC article 15 catégorie B (États-Unis)
EN 55022 catégorie B (Europe)
AS 3548 catégorie B (Australie)
VCCI catégorie B (Japon)
Immunité CEM
EN 55024
EN-61000-3-2, harmonique des lignes électriques
EN-61000-3-3, harmonique des lignes électriques
EN-61000-4-2, immunité aux décharges électrostatiques
EN-61000-4-3, immunité aux rayonnements électromagnétiques
EN-61000-4-4, immunité aux transitoires rapides en salves
EN-61000-4-5, immunité à l’onde de choc (foudre)
EN-61000-4-6, immunité commune aux basses fréquences
EN-61000-4-11, immunité aux creux et variations de tension
48 Tolérance environnementale
ETSI
Connecteurs
EN-3000386-2 ETSI (European Telecommunications Standards Institute) :
équipements des réseaux de télécommunication. Exigences en matière de compatibilité électromagnétique, (catégorie d’équipements - autre que les centres de télécommunication)
La Figure 17 indique l’emplacement des broches sur le connecteur RJ-45.
Figure 17 : schémas de brochage RJ-45
1 2 3 4 5 6 7 8
Le Tableau 10 répertorie les broches des connecteurs RJ-45.
Tableau 10 : broches des connecteurs RJ-45
Broche
7
8
5
6
3
4
1
2
Nom
RTS Out
DTR Out
TxD
GND
GND
RxD
DSR
CTS
E/S
E
E
S/O
E
S
S
S
S/O
Description
Demande d’émission
Terminal prêt
Transmission de données
Mise à la terre du châssis
Mise à la terre du châssis
Réception de données
Modem prêt
Prêt à émettre
Connecteurs
49
Guide d’installation et de configuration du matériel SSG 5
La Figure 18 indique l’emplacement des broches sur le connecteur femelle DB-9.
Figure 18 : connecteur femelle DB-9
Le Tableau 11 répertorie les broches des connecteurs DB-9.
7
8
9
4
5
6
Tableau 11 : broches des connecteurs DB-9
Broche
1
2
3
Nom
DCD
RxD
TxD
E/S
E
E
S
DTR
GND
DSR
RTS
CTS
RING
S
E
E
S
S/O
E
Description
Détection de porteuse
Réception de données
Transmission de données
Terminal prêt
Mise à la terre du signal
Modem prêt
Demande d’émission
Prêt à émettre
Indicateur d’appel
50 Connecteurs
Annexe B
Initial Configuration Wizard
Cette annexe fournit des informations détaillées au sujet de l’Initial Configuration
Wizard (Assistant de configuration initiale) d’un appareil SSG 5.
Une fois l’appareil physiquement connecté au réseau, vous pouvez utiliser l’Initial
Configuration Wizard pour configurer les interfaces installées sur l’appareil.
Cette section présente les fenêtres suivantes de l’Initial Configuration Wizard :
1.
Fenêtre de déploiement rapide page 52
2.
Fenêtre de connexion de l’administrateur page 52
3.
Fenêtre du point d’accès au réseau local sans fil page 53
4.
Fenêtre de l’interface physique page 53
5.
Fenêtres de l’interface RNIS page 54
6.
Fenêtre de l’interface à modem V.92 page 56
7.
Fenêtre de l’interface eth0/0 (zone Untrust) page 57
8.
Fenêtre de l’interface eth0/1 (zone DMZ) page 58
9.
Fenêtre de l’interface bgroup0 (zone Trust) page 58
10. Fenêtre de l’interface wireless0/0 (zone Trust) page 60
11. Fenêtre du récapitulatif de l’interface page 62
12. Fenêtre de l’interface DHCP Ethernet physique page 62
13. Fenêtre de l’interface DHCP sans fil page 63
14. Fenêtre de confirmation page 63
51
Guide d’installation et de configuration du matériel SSG 5
1. Fenêtre de déploiement rapide
Figure 19 : fenêtre de déploiement rapide
Si le réseau utilise NetScreen-Security Manager (NSM), vous pouvez configurer automatiquement l’appareil à l’aide d’un configlet de déploiement rapide.
Demandez un configlet à votre administrateur NSM, sélectionnez Yes, sélectionnez
Load Configlet from:, accédez à l’emplacement du fichier, puis cliquez sur Next. Le configlet procède à la configuration de l’appareil à votre place, il ne vous est donc pas nécessaire d’utiliser la procédure suivante pour configurer l’appareil.
Si vous souhaitez contourner l’Initial Configuration Wizard et accéder directement à l’interface utilisateur Web, sélectionnez la dernière option, puis cliquez sur Next.
Si vous ne configurez pas l’appareil à l’aide d’un configlet et souhaitez utiliser l’Initial Configuration Wizard, sélectionnez la première option, puis cliquez sur
Next. L’écran de bienvenue de l’Initial Configuration Wizard s’affiche. Cliquez sur
Next. La fenêtre de connexion de l’administrateur s’affiche.
2. Fenêtre de connexion de l’administrateur
Saisissez un nouveau nom et un nouveau mot de passe d’administrateur, puis cliquez sur Next.
Figure 20 : fenêtre de connexion de l’administrateur
52
3. Fenêtre du point d’accès au réseau local sans fil
Si vous utilisez l’appareil dans le domaine réglementaire WORLD ou ETSI, vous devez sélectionner un code national. Sélectionnez l’option adaptée, puis cliquez sur
Next.
Figure 21 : fenêtre du code national
4. Fenêtre de l’interface physique
Dans l’écran des liaisons interface/zone, sélectionnez l’interface à laquelle vous souhaitez relier la zone de sécurité Untrust. Le groupe bgroup0 est préalablement relié à la zone de sécurité Trust. L’interface ethernet0/1 est reliée à la zone de sécurité DMZ mais est facultative.
Figure 22 : fenêtre de l’interface physique
Une fois l’interface reliée à une zone, vous pouvez la configurer. Les fenêtres de configuration affichées à partir de là varient en fonction de l’appareil SSG 5 utilisé dans le cadre de votre réseau. Pour poursuivre la configuration de l’appareil à l’aide de l’Initial Configuration Wizard, cliquez sur Next.
53
Guide d’installation et de configuration du matériel SSG 5
5. Fenêtres de l’interface RNIS
Si vous disposez d’un des appareils RNIS, une fenêtre avec un onglet Physical Layer similaire à la suivante s’affiche.
Figure 23 : fenêtre RNIS avec un onglet Physical Layer
54
Tableau 12 : champs de la fenêtre RNIS avec un onglet Physical Layer
Champ Description
Switch Type
SPID1
SPID2
TEI Negotiation
Calling Number
Case à cocher Sending
Complete
Permet de définir le type de commutateur du fournisseur de services :
att5e: At&T 5ESS
ntdms100: Nortel DMS 100
ins-net: NTT INS-Net
etsi: European variants
ni1: National ISDN-1
Identifiant du fournisseur de services, généralement un numéro de téléphone à sept chiffres avec des numéros en option. Seuls les types de commutateur DMS-100 et NI1 nécessitent des SPID.
Deux SPID sont attribués au type de commutateur DMS-100, un pour chaque canal B.
Identifiant du fournisseur de services secondaire
Permet d’indiquer à quel moment l’identificateur de point d’extrémité de terminal doit être négocié : au démarrage ou lors du premier appel. Ce paramètre est généralement utilisé dans le cadre des services RNIS proposés en Europe et des connexions à des commutateurs DMS-100 conçus pour initier la négociation de l’identificateur de point d’extrémité de terminal.
Numéro de facturation du réseau RNIS
Permet d’activer l’envoi d’informations complètes dans le message de configuration sortant. Ce paramètre n’est généralement utilisé qu’à Hong Kong et Taïwan.
Si vous disposez d’un appareil RNIS, les cases à cocher Leased Line Mode et Dial
Using BRI apparaissent. Le fait de sélectionner une ou les deux cases à cocher affiche une fenêtre similaire à la suivante :
Figure 24 : fenêtre avec les onglets Leased-Line et Dial Using BRI
Tableau 13 : champs de la fenêtre avec les onglets Leased-Line et Dial Using BRI
Champ Description
PPP Profile Name
Authentication
Local User
Permet de définir un nom de profil PPP dans l’interface RNIS.
Permet de définir le type d’authentification PPP :
Any
CHAP : Challenge Handshake Authentication Protocol
PAP : Password Authentication Protocol
None
Permet de définir l’utilisateur local.
Password Permet de définir le mot de passe de l’utilisateur local.
Case à cocher Static IP Permet d’activer une adresse IP statique pour l’interface.
Interface IP
Netmask
Permet de définir l’adresse IP de l’interface.
Permet de définir le masque de réseau.
Gateway Permet de définir l’adresse de la passerelle.
55
Guide d’installation et de configuration du matériel SSG 5
6. Fenêtre de l’interface à modem V.92
Si vous disposez de l’un des appareils V.92, la fenêtre suivante s’affiche :
Figure 25 : fenêtre de l’interface à modem V.92
Tableau 14 : Champ de la fenêtre de l’interface à modem V.92
Champ Description
Modem Name
Init Strings
ISP Name
Permet de définir le nom de l’interface à modem.
Permet de définir la chaîne de caractères d’initialisation du modem.
Permet d’attribuer un nom au fournisseur de services.
Primary Number
Alternative Number (facultatif) Permet de définir un autre numéro de téléphone permettant d’accéder au fournisseur de services en cas d’absence de connexion du numéro principal.
Login Name
Permet de définir le numéro de téléphone permettant d’accéder au fournisseur de services.
Password
Permet de définir le nom de connexion du compte du fournisseur de services.
Permet de définir le mot de passe correspondant au nom de connexion.
56
7. Fenêtre de l’interface eth0/0 (zone Untrust)
L’interface de la zone Untrust peut disposer d’une adresse IP statique ou dynamique, attribuée via le protocole DHCP ou PPPoE. Insérez les informations nécessaires, puis cliquez sur Next.
Figure 26 : fenêtre de l’interface eth0/0
Tableau 15 : champs de la fenêtre de l’interface eth0/0
Champ Description
Dynamic IP via DHCP
Dynamic IP via PPPoE
Static IP
Permet à l’appareil de recevoir une adresse IP pour l’interface de la zone Untrust par l’intermédiaire d’un fournisseur de services.
Permet à l’appareil d’agir en tant que client PPPoE et de recevoir une adresse IP pour l’interface de la zone Untrust par l’intermédiaire d’un fournisseur de services. Saisissez le nom d’utilisateur et le mot de passe attribués par le fournisseur de services.
Permet d’attribuer une adresse IP fixe et unique à l’interface de la zone Untrust. Définissez l’adresse IP, le masque de réseau et la passerelle de l’interface de la zone Untrust.
57
Guide d’installation et de configuration du matériel SSG 5
8. Fenêtre de l’interface eth0/1 (zone DMZ)
L’interface DMZ peut disposer d’une adresse IP statique ou dynamique, attribuée via le protocole DHCP. Insérez les informations nécessaires, puis cliquez sur Next.
Figure 27 : fenêtre de l’interface eth0/1
Tableau 16 : champs de la fenêtre de l’interface ethernet0/1
Champ Description
Dynamic IP via DHCP
Static IP
Permet à l’appareil de recevoir une adresse IP pour l’interface DMZ par l’intermédiaire d’un fournisseur de services.
Permet d’attribuer une adresse IP fixe et unique à l’interface DMZ.
Définissez l’adresse IP et le masque de réseau de l’interface DMZ.
9. Fenêtre de l’interface bgroup0 (zone Trust)
L’interface de la zone Trust peut disposer d’une adresse IP statique ou dynamique, attribuée via le protocole DHCP. Insérez les informations souhaitées, puis cliquez sur Next.
L’adresse IP par défaut de l’interface est 192.168.1.1, avec le masque de réseau
255.255.255.0 ou 24.
58
Figure 28 : fenêtre de l’interface bgroup0
Tableau 17 : champs de la fenêtre de l’interface bgroup0
Champ Description
Dynamic IP via DHCP
Static IP
Permet à l’appareil de recevoir une adresse IP pour l’interface de la zone Trust par l’intermédiaire d’un fournisseur de services.
Permet d’attribuer une adresse IP fixe et unique à l’interface de la zone Trust. Définissez l’adresse IP et le masque de réseau de l’interface de la zone Trust.
59
Guide d’installation et de configuration du matériel SSG 5
10. Fenêtre de l’interface wireless0/0 (zone Trust)
Si vous disposez d’un des appareils SSG 5-WLAN, vous devez définir un SSID
(Service Set Identifier) avant d’activer l’interface wireless0/0. Pour obtenir des instructions détaillées relatives à la configuration de la ou des interfaces sans fil, reportez-vous au manuel Concepts & Examples ScreenOS Reference Guide.
Figure 29 : fenêtre de l’interface wireless0/0
60
Tableau 18 : champs de la fenêtre de l’interface wireless0/0
Champ Description
Wlan Mode Définissez le mode radio du réseau local sans fil :
5G (802.11a)
2.4G (802.11b/g)
Both (802.11a/b/g)
SSID Permet de définir le nom SSID.
Authentification and Encryption Permet de définir le mode d’authentification et de chiffrement de l’interface du réseau local sans fil :
L’authentification Open, valeur par défaut, permet à n’importe qui d’accéder à l’appareil. Il n’existe pas de chiffrement pour cette option d’authentification.
L’authentification WPA Pre-Shared Key définit la clé partagée au préalable ou la phrase de passe qui doit être saisie lors de l’établissement d’une connexion sans fil. Vous pouvez saisir une valeur hexadécimale ou ASCII pour la clé partagée au préalable. Une clé hexadécimale partagée au préalable doit correspondre à une valeur hexadécimale de
256 bits (64 caractères). Une phrase de passe ASCII doit comprendre entre 8 et 63 caractères. Vous devez sélectionner le protocole TKIP (Temporal Key Integrity
Protocol) ou AES (Advanced Encryption Standard) comme type de chiffrement pour cette option ou sélectionner Auto pour activer une des options.
WPA2 Pre-Shared Key
WPA Auto Pre-Shared Key
Interface IP
Netmask
Permet de définir l’adresse IP de l’interface du réseau local sans fil.
Permet de définir le masque de réseau de l’interface du réseau local sans fil.
Une fois les interfaces du réseau étendu configurées, la fenêtre du récapitulatif de l’interface s’affiche.
61
Guide d’installation et de configuration du matériel SSG 5
11. Fenêtre du récapitulatif de l’interface
Vérifiez la configuration de l’interface, puis cliquez sur Next lorsque vous êtes prêt à poursuivre. La fenêtre de l’interface DHCP Ethernet physique s’affiche.
Figure 30 : fenêtre du récapitulatif de l’interface
12. Fenêtre de l’interface DHCP Ethernet physique
Sélectionnez Yes pour permettre à votre appareil d’attribuer des adresses IP à votre réseau câblé via le protocole DHCP. Saisissez la plage d’adresses IP que votre appareil doit attribuer aux clients à l’aide de votre réseau.
Figure 31 : fenêtre de l’interface DHCP Ethernet physique
62
13. Fenêtre de l’interface DHCP sans fil
Sélectionnez Yes pour permettre à votre appareil d’attribuer des adresses IP à votre réseau sans fil via le protocole DHCP. Saisissez la plage d’adresses IP que votre appareil doit attribuer aux clients à l’aide de votre réseau.
Figure 32 : fenêtre de l’interface DHCP sans fil
14. Fenêtre de confirmation
Vérifiez la configuration de votre appareil et apportez aux modifications nécessaires. Cliquez sur Next pour procéder à l’enregistrement, au redémarrage de l’appareil et à l’exécution de la configuration.
Figure 33 : fenêtre de confirmation
Lorsque vous cliquez sur Next, l’appareil redémarre avec la configuration système enregistrée. L’invite de connexion de l’interface utilisateur Web s’affiche. Pour obtenir des informations relatives à la procédure d’accès à l’appareil à l’aide de
63
Guide d’installation et de configuration du matériel SSG 5
64
Index
A
adresses IP par défaut
...................................................28
C
câbles
....................................20
configuration accès administratif
..................................................31
...................................................32
association sans fil et Ethernet
..............................36
chiffrement et authentification sans fil
............................................................30
groupes ponts (bgroup)
...........................................30
........................................32
interface non sécurisée secondaire
interfaces de réseau étendu
...................................37
nom et mot de passe de l’administrateur
route par défaut
.......................................................32
services de gestion
..................................................31
USB
............................................................................14
...........................................20
E
émetteurs-récepteurs radio
.....................................................................14
.....................................................................14
G
gestion par l’intermédiaire d’une connexion Telnet
par l’intermédiaire d’une console
par l’intermédiaire de l’interface utilisateur
Web
........................................................................25
I
interface secondaire vers zone Untrust
P
procédure de mise à niveau de la mémoire
S
sans fil antennes
...................................................................22
utilisation de l’interface par défaut
services de gestion
........................................................31
T
trou d’épingle de réinitialisation, utilisation
Z
zone Untrust, configuration d’une interface
...................................................................33
Index
65
SSG 5 Hardware Installation and Configuration Guide
66
Index
Public link updated
The public link to your chat has been updated.
