Introducing to SRX1400 Firewall

7/26/2019 Introducing to SRX1400 Firewall

1/41

INTRODUCING TO SRX1400 FIREWALL

Indonesia Convention Exhibition

M Amal Ramadhan

PT Wahana Cipta Sinatria

Wisma Cormic Lt. 3

Jl. Suryopranoto No 1-9

GambirJakarta Pusat


2/41

[This page intentionally left blank]

We hold all copyright and other intellectual property rights in all materials developed either before or during

the treaty process, including systems, methodologies, software and knowledge. We also retain all copyright

and other intellectual property rights in the report, advice or other written material provided by the

Implementation Team for you, although you will have the full right to use this material in your organization.

Any use of this material outside of your organization will require the permission of the Implementation Team.


3/41

Introduction to SRX1400 Firewall

ICE Indonesia Convention Exhibition

1 | P a g e

Daftar Isi

Daftar Isi ........................................................................................................................................................ 1

Chapter 1: Hardware Overview .................................................................................................................... 4

SRX1400 Services Gateway Description .................................................................................................... 4

SRX1400 Services Gateway Front Panel ................................................................................................ 4

SRX1400 Services Gateway Back Panel ................................................................................................. 5

SRX1400 Services Gateway Chassis Slots .............................................................................................. 5

Hardware Component Overview .............................................................................................................. 6

SRX1400 Services Gateway Backplane ...................................................................................................... 6

SRX1400 Services Gateway SYSIOCs ......................................................................................................... 7

Features and Functions ......................................................................................................................... 7

Power Button Functionality on the System I/O Card ............................................................................ 7

Led Indicator on the System I/O Card ................................................................................................... 8

Front Panel Ports and Connectors on the System I/O Card ................................................................ 11

SRX1400 Services Gateway Routing Engine ............................................................................................ 12

SRX1400 Services Gateway NSPC............................................................................................................ 13

SPCs for the SRX1400 Services Gateway ................................................................................................. 14

NPCs for the SRX1400 Services Gateway ................................................................................................ 14

Chapter 2: Zones ......................................................................................................................................... 15

Zone Definition ....................................................................................................................................... 15

Traffic Regulation Through a Junos Security Platform ............................................................................ 15

Review: Packet Flow ............................................................................................................................... 15

Zones and Interfaces ............................................................................................................................... 16

Zone Configuration Procedure ................................................................................................................ 16

Configure Zones .................................................................................................................................. 16

Adding Logical Interfaces to a Zone .................................................................................................... 17

Specifying Types of Traffic Permitted into the Device ........................................................................ 17

Monitoring Traffic Permitted into Interfaces ......................................................................................... 18


4/41



2 | P a g e

Chapter 3: Security Policies......................................................................................................................... 19

What is a Security Policy ......................................................................................................................... 19

Security Policy Conceptual Example ....................................................................................................... 19

Security Policy Context ........................................................................................................................... 20

Policy Match Criteria ........................................................................................................................... 20

Creating Address Book Entries ................................................................................................................ 20

Configuration Example ............................................................................................................................ 21

Using CLI .............................................................................................................................................. 21

Using J-Web ........................................................................................................................................ 22

Monitoring Policy .................................................................................................................................... 23

Using CLI .............................................................................................................................................. 23

Using J-Web ........................................................................................................................................ 23

Chapter 4: Network Address Translation .................................................................................................... 24

Network Address Translation ................................................................................................................. 24

Three Basic Types of NAT ........................................................................................................................ 24

Source IP Address and Port Translation .............................................................................................. 25

Destination IP Address and Port Translation ...................................................................................... 25

Static NAT ............................................................................................................................................ 26

Configuration Example ............................................................................................................................ 26

Using CLI .............................................................................................................................................. 26

Using J-Web ........................................................................................................................................ 28

Monitoring NAT ...................................................................................................................................... 32

Using CLI .............................................................................................................................................. 32

Using J-Web ........................................................................................................................................ 33

Chapter 5: Protocol-Independent Routing ................................................................................................. 34

A Review of Static Routing ...................................................................................................................... 34

Configuring Static Routes ........................................................................................................................ 34

Using CLI .............................................................................................................................................. 35

Using J-Web ........................................................................................................................................ 35

Monitoring Static Routes ........................................................................................................................ 36

Using CLI .............................................................................................................................................. 36

Using J-Web ........................................................................................................................................ 36


5/41



3 | P a g e

Chapter 6: High Availability Clustering ....................................................................................................... 37

High Availability Characteristics .............................................................................................................. 37

High Availability Using Chassis Clusters .................................................................................................. 37

Chassis Cluster Component .................................................................................................................... 38

Cluster-id Details ................................................................................................................................. 38

Node id Details .................................................................................................................................... 38

Chassis Cluster Interfacesfxp1 ......................................................................................................... 38

Chassis Cluster Interfaces fab .......................................................................................................... 38

Monitoring the Chassis Cluster ............................................................................................................... 39

Viewing Redundancy Groups .............................................................................................................. 39

Viewing Chassis Cluster Statistics ....................................................................................................... 39


6/41



4 | P a g e

Chapter 1: Hardware Overview

SRX1400 Services Gateway DescriptionSRX1400 merupakan perangkat Security SRX SeriesNext-Generation Firewallyang mampu menyediakan

beberapa fitur seperti IP Security (IPSec), Virtual Private Network(VPN), dan juga inpseksi paket secara

mendalam seperti Intrusion Detection and Prevention (IDP). SRX1400 termasuk kelas rendah hinggamenengah untuk sebuah Data Center(DC), Enterprises, dan juga Service Provide.

SRX1400 berukuran 3U. Memiliki slot khusus untuk I/O card (SYSIOC), satu slot khusus untuk routing

engine, 2 Slot untukpower supplies, dan satu slot untukfan tray and air filter.

SRX1400 merupakan perangkat security yang menggunakan Junos OS. Anda dapat menggunakan Junos

CLI ataupun J-Web untuk melakukan konfigurasi, monitoring, ataupun troubleshoot pada perangkat

tersebut.

SRX1400 Services Gateway Front Panel

Pada gambar dibawah ini merupakan tampilan depan dari perangkat SRX1400.

Berikut ini list komponen berdasarkan nomor penunjuk pada gambar diatas.

Number Component

1 NSPC pada slot CFM 1 dan 3

2 Routing Engine pada slot RE

3 SYSIOC pada slot 0

4 Slot CFM 2 untuk IOC, NP-IOC, atau SPC

5 Power Supply pada slot P0

6 Power Supply pada slot P1


7/41



5 | P a g e

SRX1400 Services Gateway Back Panel

Gambar dibawah ini merupakan tampilan belakang dari SRX1400

Berikut ini list komponen berdasarkan nomor penunjuk pada gambar diatas.

Number Component

1 Fan Tray

SRX1400 Services Gateway Chassis Slots

SRX1400 memiliki 7 slot panel yang memiliki fungsinya masing masing. Berikut ini gambar yang

menunjukkan fungsi masingmasing slot pada SRX1400.


8/41



6 | P a g e

Hardware Component OverviewBerikut ini merupakan jumlah maksimum beberapa komponen yang dapat digunakan pada perangkat

SRX1400.

Hardware ComponentMinimum

Required

Maximum

Allowed

Slot

Routing Engine 1 1 RE0

Network and Services Processing Card (NSPC) 1 1 CFM Slot 1 and 3

I/O card (IOC) (Optional) 0 1 CFM Slot 2

Network Processing I/O card (NP-IOC) (Optional) 0 1 CFM Slot 2

Services Processing Card (SPC) (Optional) 0 1 CFM Slot 2

System I/O card (SYSIOC) 1 1 Slot 0

Power Supply 1 2 Slot P0 and P1

Fans 1 2 Rear panel slot

SRX1400 Services Gateway BackplaneBackplane pada SRX1400 terdapat di belakang perangkat yang berfungsi menghubungkan setiap modul

yang digunakan dan juga membagi sumber daya yang ada.

Berikut ini beberapa fungsi inti dari kegunaan backplane, diantaranya :

-

Data pathpertukaran data terjadi pada backplane antara I/O card (IOC) dengan Network and

Services Processing Card (NSPC) melalui System I/O Card (SYSIOC).

- Power distribution modul power supplies terhubung melalui backplane, yang mana

didistrubisikan kembali ke modul yang terpasang.

- Signal pathbackplane memiliki funsi sebagai jalur pengiriman sinyal menuju seluruh komponen

untuk melakukan monitoring dan juga pengontrolan sistem itu sendiri.


9/41



7 | P a g e

SRX1400 Services Gateway SYSIOCsModul System I/O Card (SYSIOC)s merupakan modul yang digunakan pada SRX1400 base systemyang

menyediakan I/O port dan juga merupakan komponen penting sebagai salah satu elemen data plane.

Terdapat 2 tipe modul SYSIOC, diantaranya :

System I/O Card Model Numbers Card Type

SRX1K-SYSIO-GE 1-Gigabit Ethernet SYSIOC

SRX1K-SYSIO-XGE 10-Gigabit Ethernet SYSIOC

Features and Functions

Berikut ini beberapa fungsi modul SYSIOC :

-

Memiliki tombol power terpisah.

-

Memiliki 2 port yang dapat digunakan sebagai port chassis cluster (optional).

-

Memiliki port console dan port manajemen serta sistem LED.-

Memiliki 6 port copper 10/100/1000 Mbps dan 6x1 Gigabit Ethernet port SFP (untuk modul 1-

Gigabit Ethernet SYSIOC) atau 6 port copper 10/100/1000 Mbps dan 3x1 Gigabit Ethernet port

SFP serta 3x10 Gigabit ethernt port SFP+ (untuk modul 10-Gigabit Ethernet SYSIOC).

Power Button Functionality on the System I/O Card

Berikut ini karakteristik dari tombol power yang tersedia pada modul SYSIOC.

Condition Action Result

Device power off Tekan tombol 3-5 detik Berfungsi untuk menyalakan perangkat. LED PWR

akan berkedip sebagai indikator bootingRouting

Engine.

Device Powered

on

Tekan tombol 3-5 detik Melakukan graceful shutdown. LED PWR akan

berkedip sebagai indikator proses shutdown

perangkat.


10/41



8 | P a g e

Tekan tombol 15 detik

atau lebih

Melakukanforced shutdown. Hindari penggunaan

fungsi tersebut sebisa mungkin. Kecuali sangat

dibutuhkan.

Led Indicator on the System I/O Card

Label Color Status Indicated Behavior

Alarm

Critical Red On Steadily Terdapat alarm criticalyang tejadi. Dikarenakan kerusakan

secara hardware ataupun software, atau status port

management down.

Unlit Off Tidak terdapat alarm critical pada sistem.

Non-Critical Yellow On Steadily Terdapat alarm non-critical pada sistem. Contohnya :

-

Penggunaan memori tinggi, menyisakan 10% dari total

memori.

-

Jumlah session mencapai maksimum yang bisa di handle.

-

Terdapat perubahan pada status chassis cluster.

-

Suhu perangkat terlalu panas.

Unlit Off Tidak terdapat alarm non-critical pada sistem.

System I/O Card

SIO Green On Steadily Modul SYSIOC berfungsi dengan baik.

Green Blinking Modul SYSIOC dalam proses booting.


11/41



9 | P a g e

Amber On Steadily Modul SYSIOC berfungsi dengan baik, namun interfaces

Ethernettidak berfungsi secara normal.

Red On Steadily Modul SYSIOC mengalami kerusakan dan tidak berfungsi.

Label Color Status Indicated Behavior

Chassis Clustering

HA Green On Steadily Chassis cluster berfungsi normal. Seluruh koneksi antar

perangkat berfungsi.

Amber On Steadily Terdapat alarm pada koneksi antar perangkat. Seluruh

perangkat cluster berfungsi, namun terdapat koneksi antar

perangkat yang tidak berfungsi. Masih dapat berfungsi

normal, namun mengalami penurunan performa.

Red On Steadily Terdapat alarm critical pada sistem. Salah satu perangkat

cluster tidak berfungsi.

Unlit Off Fitur chassis cluster tidak digunakan pada perangkat tersebut.

Fan

FAN Green On Steadily Sistem pendingin perangkat berfungsi normal.

Red On Steadily Terdapat kerusakan pada sistem pendingin (satu atau lebih

fan tidak berfungsi).

Power

PWR (top) Green Blinking Menunjukkan salah satu status di bawah ini :

-

Menerimapower dan sedang dalam proses booting.

-

Sedang dalam proses shutdown.

On Steadily Perangkat menerimapower. Modul Routing Engine selesai

melakukan proses booting.

Amber On Steadily Salah satupower supplies tidak berfungsi, namun kebutuhan

power pada setiap komponen yang digunakan dapat

terpenuhi.

Red On Steadily Satu atau lebihpower supplies tidak berfungsi, dan juga

kebutuhanpower untuk setiap komponen yang digunakan

tidak dapat terpenuhi.

Unlit Off Perangkat sedang dalam kondisi mati.


12/41



10 | P a g e


13/41



11 | P a g e

Front Panel Ports and Connectors on the System I/O Card

Berikut ini penomoran dan nama port pada modul SYSIOC.

Berikut ini fungsi dari setiap port yang ada pada modul SYSIOC.

Panel Label Description

RE ETHERNET Port RJ-45 yang berfungsi sebagai port manajemen yang memiliki

kecepatan 10/100/1000 Mbps.

CONSOLE Port RJ-45 yang dapat menghubungkan menju Routing Engine.

Onboard Copper 6 port Ethernet 10/100/1000 Mbps. Port yang menggunakan konektor RJ-

45 dan penomorannya dari 0-5.

Onboard SFP and SFP+ 6 port SFP (port 6-11).

-

Pada modul 1-Gigabit Ethernet SYSIOC seluruh port dapat menggunakan

SFP transceivers.

-

Pada modul 10-Gigabit Ethernet SYSIOC, 3 port nomor 7-9 dapat

menggunakan SFP+ transceivers. Sisa port nya yaitu port 6, 10, 11 dapat

menggunakan SFP transceivers.

-

Port CHASSIS CLUSTER CONTROL 0 dan CHASSIS CLUSTER CONTROL 1

(nomor 10 dan 11) dapat digunakan untuk fitur chassis clustering. Port

SFP khusus ini digunakan untuk mengontrol Routing Engine setiap

perangkat.


14/41



12 | P a g e

SRX1400 Services Gateway Routing EngineRouting Engine merupakan perangkat PowerPC yang menjalankan sistem operasi Junos OS. Software

menjalankan proses routing tables, serta manajemen protokol routing yang digunakan pada perangkat

tersebut, pengontrol interfaces pada perangkat, pengontrol beberapa komponen pada chassis, dan juga

sebagai fasilitator sistem manajemen pada perangkat.

Berikut ini gambaran dari modul Routing Engine pada perangkat juniper.

Routing Engine memiliki beberapa fungsi, seperti :

-

Central Packet Forwarding Engine Processing (CPP)Manajemen seluruh common form-factor

modules (CFM) cards.

-

System ControlSistem manajemen seperti melakukan pemantauan terhadap sistem pendingin

dan juga sistempower.

Untuk informasi detail mengenai Routing Engine dapat dilihat pada SRX1400, SRX3400, and SRX3600

Services Gateway Module Guidedi halamanwww.juniper.net/techpubs/.
http://www.juniper.net/techpubs/http://www.juniper.net/techpubs/http://www.juniper.net/techpubs/http://www.juniper.net/techpubs/


15/41



13 | P a g e

SRX1400 Services Gateway NSPCModul Network and Services Processing Card (NSPC) merupakan modul common form-factor card (CFM)

yang berfungsi untuk menjalankan beberapa fitur pada SRX1400 seperti firewall, IP Security (IPSec), dan

Intrusion Detection and Prevention (IDP). NSPC terdiri dari Services Processing Unit (SPU) dan Network

Processing Unit (NPU). Seluruh paket data yang masuk pada perangkat SRX1400 akan terlebih dahulu

melalui proses pada modul NSPC.

Berikut ini gambaran modul NSPC pada perangkat SRX1400.

Pada modul NSPC terdapat beberapa sistem LED yang berfungsi sebagai indikator pada modul tersebut.

Berikut ini maksud secara rinci dari setiap kondisi sistem LED.

Label Color Status Description

SERVICE Green On Steadily NSPC berjalan dengan kapasitas yang memadai

Amber On Steadily Kapasitas proses pada NSPC overload.

Red On Steadily Tidak ada proses yang dijalankan oleh NSPC

Unlit Off NSPC tidak berjalan.

OK/FAIL Green On Steadily NSPC berfungsi dengan normal

Green Blinking NSPC mempersiapka untuk dilakukan penukaran modul.

Red On Steadily NSPC mengalami kerusakan dan tidak berfungsi secara normal.

Unlit Off NSPC dalam kondisi mati


16/41



14 | P a g e

SPCs for the SRX1400 Services GatewayServices Processing Cards (SPCs) merupakan common form-factor module cards (CFM) yang berfungsi

untuk menjalankan proses firewall, IPSec, dan IDP. Seluruh paket data yang sesuai dengan konfigurasi

yang ditentukan diproses melalui SPC. Paket data didistribusikan dari NPC ke SPC untuk selanjutnya

diproses, termasuk proses session berdasarkan policies.

Berikut ini gambaran modul SPC yang terdapat pada SRX1400.

NPCs for the SRX1400 Services GatewayNPC merupakan common form-factor module (CFM) cards yang menerima secara langsung paket data

yang masuk dari I/O cards (IOCs) dan juga bertanggung jawab untuk melakukan transfer paket tersebut

menuju SPC untuk proses selanjutnya. Ketika proses pada SPC selesai, paket data dikirim kembali ke NPC

dan NPC melakukan transfer paket menuju IOC atau SYSIOC sesuai dengan tujuan dari paket tersebut.

Berikut ini gambaran modul NPC yang terdapat pada SRX1400.

Untuk informasi lebih rinci mengenai NPC dapat dilihat pada SRX1400, SRX3400, and SRX3600 Services

Gateway Module Guidedi halamanwww.juniper.net/techpubs/.
http://www.juniper.net/techpubs/http://www.juniper.net/techpubs/http://www.juniper.net/techpubs/http://www.juniper.net/techpubs/


17/41



15 | P a g e

Chapter 2: Zones

Zone DefinitionZone merupakan suatu kumpulan jaringan yang memiliki identitas security. Untuk mengelompokkan

jaringan tersebut, anda perlu mendefinisikan satu atau lebih logical interfaceterhadap zone tersebut.

Traffic Regulation Through a Junos Security PlatformZone memiliki fungsi untuk memisahkan security pada sebuah jaringan. Security policies diterapkan

antar zone untuk menentukan proses komunikasi yang diperbolehkan melalui perangkat Junos. Secara

default, seluruh interface pada perangkat masuk kedalam null-zone. Yang mana seluruh komunikasi dari

atau menuju null-zone akan di drop. Interfaces khusus seperti fxp0, fabric interface, em0 tidak dapat

didefinisikan terhadap zone manapun.

Review: Packet Flow

Ketika suatu paket memasuki perangkat Junos Security, perangkat akan melihat apakah paket tersebut

merupakan salah satu sessionyang sudah terhubung. Untuk menentukan hal tersebut, Junos akan melihat

beberapa informasi yang dibutuhkansource IP, destination IP, sourceport, destinationport, protocol

number, dan session token.


18/41



16 | P a g e

Zones and InterfacesAnda dapat mendefinisikan satu atau lebih logical interface terhadap zone. Namun anda tidak dapat

mendifinisikan satu logical interfaceterhadap beberapa zone.

[edit]

user@srx# commit check

[edit security zones security-zone trust]

'interfaces ge-0/0/2.0'

Interface ge-0/0/2.0 already assigned to another zone

error: configuration check-out failed

Zone Configuration ProcedureBerikut ini langkahlangkah dalam pembuatan Zone :

1.

Tentukan tipe zone;

2.

Definisikan logical interfacepada zone tersebut;

3.

(opsional) Definisikan beberapa parameter seperti services atauprotocol yang diperbolehkan

melalui zone tersebut yang tertuju kepada perangkat tersebut.

Configure Zones

Untuk dapat membuat sebuah zone, anda perlu masuk ke mode konfigurasi terlebih dahulu. Setelah itu

anda dapat membuat sebuah zone, terdapat 2 tipe zone diantaranya :

-

Security-zone

-

Functional-zone


19/41



17 | P a g e

Adding Logical Interfaces to a Zone

Gambar diatas menujukkan 2 contoh dalam mendifinisikan logical interface pada sebuah zone. Contoh

pertama menunjukkan interface ge-0/0/1.0 yang didefinisikan pada HR security-zone. Contoh kedua

mununjukkan interface ge-0/0/1.100 yang didefinisikan pada managementfunctional-zone.

Specifying Types of Traffic Permitted into the Device

Tanpa konfigurasi tambahan, setiap paket yang ditunjukkan ke

perangkat tidak dibolehkan. Anda dapat mendefinisikan tipe

paket yang diperbolehkan menuju perangkat tersebut

menggunakan host-inbound-traffic pada hirarki zone atau hirarki

interface-zone.

[edit security zones]

user@srx# set security-zone HR host-inbound-traffic

system-services ?

Possible completions:all All system services

any-service Enable services on entire port range

dns DNS and DNS-proxy service

finger Finger service

ftp FTP

http Web management service using HTTP

[edit security zones]

user@srx# set security-zone HR host-inbound-traffic protocols ?

Possible completions:

all All protocols

bfd Bidirectional Forwarding Detection

bgp Border Gateway Protocol

dvmrp Distance Vector Multicast Routing Protocol


20/41



18 | P a g e

Monitoring Traffic Permitted into Interfaces


21/41



19 | P a g e

Chapter 3: Security Policies

What is a Security Policy

Policy merupakan sebuah fitur yang berfungsi mengontrol traffic dari sumber tertentu menuju destinasi

tertentu yang menggunakan service tertentu. Jika paket yang masuk sesuai dengan spesifikasi yang

ditentukan pada policy, maka akan dilakukan tindakan tertentu tergantung dari konfigurasi yang

diterapkan.

Security Policy Conceptual Example

Contohnya, SRX memiliki 3 zona -> private, external, public. Terdapat kebutuhan akses dari device B ke

device D menggunakan aplikasi SSH. Host B berada di zone private sedagkan Host D berada di zone

External. Untuk memenuhi kebutuhan tersebut, diharuskan membuat policy yang sesuai dengan ilustrasi

pada gambar diatas.


22/41



20 | P a g e

Security Policy ContextKetika membuat sebuahpolicy, anda perlu mendefinisikan sumber zonesebuah paket. Dan juga perlu

medefinisikan tujuan zonedari sebuah paket.

Policy Match Criteria

Setiappolicyharus memiliki beberapa krieteria dibawah ini :

-

Source address

- Destination address

- Applications

Creating Address Book Entries

Gambar diatas merupakan contoh syntax yang perlu anda gunakan ketika membuat address book.Address

book yang ada pada zone bisa terdiri dari satu IP ataupun menjadi kelompok yang terdiri dari beberapa

IP.


23/41



21 | P a g e

Configuration Example

Using CLI


24/41



22 | P a g e

Using J-Web

Masuk ke mode konfigurasi->Security->Policy->Apply Policy(Add)

Isi parameter diatas

Policy name : (nama policy)

Policy context :

From Zone : (sumber traffic berasal)

To Zone : (destinasi traffic)

Source Address : (IP address Sumber)

Destination Address : (IP address destinasi)

Application : (services yang digunakan)

Policy Action : (hal yang dilakukan ketika paket sesuai dengan spesifikasi)


25/41



23 | P a g e

Monitoring Policy

Using CLI

Using J-Web

Masuk ke mode monitor->Security->Policy->Activities(Pilih Policy yang di monitor)


26/41



24 | P a g e

Chapter 4: Network Address Translation

Network Address Translation

Berdasarkan sejarah, teknologi NAT muncul karena berkurangnya alokasi IPv4 Public. Sehingga

kebanyakan organisasi mulai mengimplementasikan IPv4 Private.Berdasarkan standar RFC1918, IPv4

yang disarankan digunakan pada IPv4 diantaranya :

- 10.0.0.010.255.255.255 (10.0.0.0/8 prefix)

- 172.16.0.0172.31.255.255 (172.16.0.0/12 prefix)

- 192.168.0.0192.168.255.255 (192.168.0.0/16 prefix)

Rekomendasi tersebut dikarenakan hanya scope tersebut yang tidak tersedia pada IPv4, sehingga

perangkat FW/Router (edge) dapat menggunakan fitur NAT untuk mengubah IP private. Translasi ini dapatmengubah IP (NAT), nomor port (PAT), atau keduanya tergantung dari konfigurasi yang digunakan.

Three Basic Types of NAT

Secara umum, terdapat 3 macam yaitu source NAT, destination NAT, static NAT. Destination NAT

melakukan translasi berdasarkan IP tujuan sebuah paket. SourceNAT melakukan transalasi IP sumber

sebuah paket. Sedangkan staticNAT melakukan transalasi 2 arah, yang menjadikan fitur ini hanya bisa

mentranslasi 1 IP ke 1 IP.


27/41



25 | P a g e

Source IP Address and Port Translation

Perangkat SRX mampu untuk melakukan translasi source IP menjadi IP yang berbeda, translasi source port

menjadi port yang berbeda, ataupun keduanya.

Pada source NAT dan translasi port sendiri terdapat 3 jenis, diantaranya :

a.

Interface-Based source NATmerupakan translasi sumber IP address menjadi IP address dari

interface yang digunakan sebagai pintu keluar traffic tersebut. Tipe NAT tersebut selalu disertai

PAT

b.

Standard pool-based source NAT merupakan translasi sumber IP address secara dynamic

menjadi kelompok IP address yang sudah ditentukan pada konfigurasi, PAT dapat digunakan

ataupun tidak.

c.

Source NAT with address shiftingmerupakan translasi sumber IP address secara berurutan dan

secara one-to-one mapping. Selalu tidak menggunakan PAT.

Destination IP Address and Port Translation

Destination IP address danport translation berfungsi untuk melakukan translasi IP destinasi menjadi IP

yang berbeda, dan nomor port destinasi menjadi nomor destinasi yang lain, atau keduanya.

Berikut ini jenisjenis destinationNAT danport translation, diantaranya :

a.

Pool-Based destination NAT with single addressmelakukan transalasi berdasarkan 1 destinasi

IP pada traffic menjadi 1 IP Private, tanpa menggunakan PAT.

b.

Pool-Based destination NAT with address pool melakukan translasi berdasrkan 1 destinasi IP

pada traffic menjadi beberapa IP Private, tanpa menggunakan PAT.

c.

Pool-Based destination NAT with PATmelakukan translasi berdarkan 1 destinasi IP disertai port

destinasi menjadi 1 IP private disertai nomor port, konfigurasi tersebut menggunakan PAT.


28/41



26 | P a g e

Static NAT

Pada gambar diatas dapat dilihat contoh toplogy static NAT. Pada gambar tersebut staticNAT diaktifkan

untuk paket yang memiliki destinasi IP 1.1.70.6 masuk melalui zone Untrust, maka destinasi pada paket

tersebut ditranslasi menjadi IP 10.1.10.5.

Configuration Example

Using CLI

A.

Interface-Based source NAT


29/41



27 | P a g e

B.

Pool-Based source NAT

C.

Pool-Based destination NAT with PAT


30/41



28 | P a g e

Using J-Web

A.

Interface-Based source NAT

Masuk ke mode konfigurasi->NAT->Source NAT (Klik Add)

Isi paramater diatas

Rule Set Name : (nama rule source NAT)

From (Zone) : nama zone dari sumber traffic

To (Zone) : nama zone dari tujuan traffic

Setelah di isi tambahkan rules (klik add)

Isilah parameter diatas

Rule Name : (nama rule)

Match : Source Address = (sumber IP Address traffic)

Destination Address = (destinasi IP address traffic)

Destination Port = (any)

Action : pilih (Do Source Nat with Egress Interface Address)


31/41



29 | P a g e

B.

Pool-Based Source NAT

Masuk ke mode konfigurasi -> NAT -> Source NAT, Buat pool source NAT terlebih dahulu dengan cara,

pilih tab ->source NAT pool (klik add).


Pool Name : (Nama Pool)

Pool Address : (Range/fixed IP address hasil translasi)

Buat rule pada tab Source Rule Set (add)

Isilah parameter diatasRule Set Name: (Nama Rule)

From : (sumber traffic berasal)

To : (destinasi trafffic)


32/41



30 | P a g e

Tambahkan rules dengan cara klik Add pada bagian Rules.



Match Source address : (IP address/Scope address yang akan ditranslasi)Action : pilih Do Source NAT With Pool pilih pool yang telah dibuat.

C.

Pool-Based destination NAT with PAT

Masuk ke mode konfigurasi -> NAT -> Destination NAT, Buatlah Pool terlebih dahulu dengan cara klik tab

Destination NAT Pool->klik Add


Pool Name : (Nama Pool)

Pool Addreses and Port : (IP address hasil translasi) dan (Port Hasil Translasi)


33/41



31 | P a g e

Kembali ke tab Destination Rule Set, klik Add.

Isi parameter diatasRule Set Name : (Nama rule)

From : (zone traffic berasal)

Tambahkan rules dengan cara klik add



Match : (destinasi IP address traffic dan nomor port)

Action : pilih do destination NAT with Pool, pilih Pool yang telah dibuat


34/41



32 | P a g e

Monitoring NAT

Using CLI

A.

Source NAT

B.

Destination NAT


35/41



33 | P a g e

Using J-Web

A.

Source NAT

Masuk ke mode Monitor->NAT->Source NAT

B.

Destination NAT

Masuk ke mode Monitor->NAT->Destination NAT


36/41



34 | P a g e

Chapter 5: Protocol-Independent Routing

A Review of Static Routing

Static route digunakan untuk memenuhi beberapa kebutuhan networking, diantaranya default route

untuk autonomous system(AS) atau untuk kebutuhan menuju internet. Static route dikonfigurasi secara

manual, tidak seperti dynamic route yang secara otomatis bertukar informasi routing antar perangkat.

Configuring Static Routes

Seluruh parameter konfigurasi untuk static routes terdapat pada hirarki [edit routing-options].

Konfigurasi umum untuk static route terdiri dari prefix destinasi serta next-hop untuk destinasi tersebut.

Ketika tersedia 2 jalur menuju ke destinasi yang sama, anda dapat menggunakan perintah qualified

next-hop untuk mendukung redundancy pada destinasi tersebut. Berikut ini contoh penggunaannya :

[edit routing-options]

user@R1# show

static {

route 0.0.0.0/0 {

next-hop 172.30.25.1;

qualified-next-hop 172.30.25.5 {preference 7;

}

}

}

Pada konfigurasi tersebut, 172.30.25.1 merupakan default route karena memiliki nilai preference 5.

Sedangkan 172.30.25.5 merupakan route kedua karena memiliki nilai preference 7. Semakin kecil nilai

preference, semakin besar kemungkinan route digunakan ketika terdapat 2 jalur menuju destinasi yang

sama.


37/41



35 | P a g e

Using CLI

Using J-Web

Masuk ke mode konfigurasi->Routing->Static Routing(add)

Isi parameter diatas

Static Route :

IP Address (IP destinasi traffic)

Subnet Mask (Netmask destinasi traffic)

Next-hop : (IP address jalur yang digunakan)


38/41



36 | P a g e

Monitoring Static Routes

Using CLI

Using J-Web

Masuk ke mode Monitor->Routing->Route Information

Isi parameter yang diperlukan untuk melakukan filtering output


39/41



37 | P a g e

Chapter 6: High Availability Clustering

High Availability Characteristics

Junos OS memiliki fitur High Availability (HA) untuk mendukung stateful session failover. Fitur HA tersebut

selain melakukan stateful session failoverjuga melakukan synchronizationkonfigurasi perangkat.

High Availability Using Chassis Clusters

Chassis cluster memberikan suatu fungsi redundancy dengan cara membentuk kelompok. 2 Perangkat

tersebut saling melakukan backup satu sama lain, salah satu perangkat tersebut berperan sebagaiprimary

dan salah satunya lagi berperan sebagai secondary.


40/41



38 | P a g e

Chassis Cluster ComponentBerikut ini beberapa komponen pada chassis cluster :

- Cluster identification, termasuk cluster-iddan node-id;

-

Redundancy Group (RGs);

-

Chassis cluster interfaces :

-

fxp1 : Control plane interface;

-

fxp0 : OOB management interface;

-

fab : Data Plane interface;

-

swfab : switching data plane interface; dan

-

reth : redundant interfaces

Cluster-id Details

Chassis cluster dapat di implementasikan hingga 15 cluster pada sebuah environment. Cluster-id

merupakan identitas setiap cluster memiliki range dari 1-15. Perangkat Junos hanya bisa masuk kedalam

1 cluster.

Node id Details

Node id merupakan identitas unik sebuah perangkat yang membentuk cluster. Karena hanya terdapat 2

perangkat pada sebuah cluster, maka range node id dari 0-1.

Chassis Cluster Interfaces fxp1

fxp1merupakan interfaces yang terhubung diantara perangkat yang membentuk chassis cluster. Berikut

ini beberapa fungsi dari fxp1 :

-

Sebagai control link bagi chassis cluster.

-

Sebagai media sinkronisasi konfigurasi.

-

Sebagai jalur untuk sinyal heartbeat yang menentukan kondisi chassis cluster.

Chassis Cluster Interfaces fab

fab merupakan interfaces yang terhubung diantara perangkat yang membentuk chassis clustersama hal

nya seperti fxp1. Namun fab memiliki fungsi yang berbeda, berikut ini fungsi dari fab:

-

Sebagai media sinkronisasi session dan juga transit paket antara perangkat.

-

Sebagai media untuk saling bertukar informasi kondisi cluster.

-

Junos OS secara otomatis akan menonaktifkan salah satu cluster ketika fab terjadi fail.


41/41



Monitoring the Chassis Cluster

Viewing Redundancy Groups

Viewing Chassis Cluster Statistics

Introducing to SRX1400 Firewall

Documents

Transcript of Introducing to SRX1400 Firewall