NetScreen下“区域”与“路由”、“策略”基本概念

成都创新互联公司是一家集网站建设,双台子企业网站建设,双台子品牌网站建设,网站定制,双台子网站建设报价,网络营销,网络优化,双台子网站推广为一体的创新建站企业，帮助传统企业提升企业形象加强企业竞争力。可充分满足这一群体相比中小企业更为丰富、高端、多元的互联网需求。同时我们时刻保持专业、时尚、前沿，时刻以成就客户成长自我，坚持不断学习、思考、沉淀、净化自己，让我们为更多的企业打造出实用型网站。

“区域”这个概念是NetScreen自己定的，它是很多NetScreen设置操作上所使用的单位。这个参数是在每
个物理接口属性设置的（主菜单->Network->Interfaces），也可以通过：
->set interface 接口号 zone 区域类型名
更改，常见的区域有Trust与Untrust。这里有一些需要切记的准则：
1）默认Trust与Untrust区域都是挂载在trust-vr虚拟路由上的；
2）若我们把两个物理端口同时挂载在Trust区域时，它们之间就能直接访问了（也就是说路由与策略默认
都是全通了）；
3）但倘若我们把两个物理端口同时挂载在Untrust区域时，它们之间是不能直接互访的（路由通，但策略
不通），需要添加“对象：Untrust->Untrust、地址：Any->Any、行为：Permit”的策略才能互访；
4）但若把两个物理端口分别挂载在Trust与Untrust两个区域时，即使它们之间的路由是通的（这个不需要
任何配置，因为它们默认就都在同一张路由表上---Trust虚拟路由表），也是不能互访的，需要在Policie
s上添加互访的策略（也就是说它们的策略默认是“全部不通”的）。

“路由”在NetScreen中被命名为虚拟路由，默认有trust-vr与untrust-vr。设置虚拟路由表有多种方式，
其设置可以在WEB UI上主菜单的Network->Routing中找到。关于当前路由与区域的对应关系可以在WEB UI
上的Network->Binding上找到（其实这些对应关系是可以由我们可以设置的）。有一点是需要注意的：在
屏蔽其它因素（主要是“策略”的因素）的情况下，在同一虚拟路由表下的所有物理端口间的路由都是全
通的。

“策略”大多用于包过滤、NAT的功能实现上。我们可以直接通过WEB UI上主菜单的Policies进行设置，它
主要是“区域”作为对象单位的。当需要配置跨区域互访与网络地址NAT伪装时就一定要用到它。这里有两
个例子：
1）当要配置Trust区域的物理端口与Untrust区域的物理端口的网段互访时需要添加两个规则：
规则一：
对象：Trust->Untrust
地址：Any->Any
行为：Permit
规则二：
对象：Untrust->Trust
地址：Any->Any
行为：Permit
2）配置Trust区域通过伪装的方式连通Untrust区域：
对象：Trust->Untrust
地址：Any->Any
高级（规则设置界面的“Advanced”按钮激活）：Destination Translation地址设置为Untrust的网段
行为：Permit

另外有需要云服务器可以了解下创新互联scvps.cn，海内外云服务器15元起步，三天无理由+7*72小时售后在线，公司持有idc许可证，提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案，具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势，专为企业上云打造定制，能够满足用户丰富、多元化的应用场景需求。

标题名称：NetScreen下“区域”与“路由”、“策略”基本概念-创新互联
文章分享：http://cdweb.net/article/dcpsjh.html