Juniper PBR ( Policy Based Routing)

Juniper SSG ve Netscreen Firewall

Juniper SSG ve Netscreen Firewall ürünlerinde birde fazla wan bağlantısı kullanılarak yedekli ve esnek bir yapı kurmak mümkündür. Örneğin bir firma mail trafiği ya da kritik uygulamaları g.shdsl  ya da leased-line gibi görece yüksek maliyetli wan bağlantısı üzerinden gerçekleştirirken, daha az öneme sahip olan kullanıcıların internete çıkması için ucuz bir bağlantı olan adsl kullanabilir. Cisco ürünlerde route-map  ile yapılan işlem Juniper Firewall ürünlerinde PBR (Policy-Based Routing) ile yapılmaktadır.

Konfigürasyon Açıklaması

set vrouter trust-vr -> trust zone’a geçiş

set access-list extended 1 dst-port 110-110 protocol tcp entry 2 -> destination port tcp:110 için yazılan access-list {entry 1}  2. satıra yazıldığını belirtir.

set match-group name http_traffic -> class-map oluşuturulur

set match-group http_traffic ext-acl 5 match-entry 10 -> class-map access-list ile match edilir.

set action-group name route_untrust -> class-map’in kullanımı için etki grubu oluşturulur

set action-group route_untrust next-interface untrust next-hop 192.168.1.1 action-entry 10 -> etki grubu için next-hop ve next-interface belirtilir.

set pbr policy name trust-policy -> policy oluşturulur.

set pbr policy trust-policy match-group http_traffic action-group route_untrust 10 -> policy için class-map ile etki grubunu eşleştirir.

set pbr trust-policy -> policy aktif hale getirilir.

exit

set interface trust pbr -> policy interface’e uygulanır

Yukarıdaki ekran çıktısında policy “NULL” seçilirse PBR devreye alınmaz.  “mail” seçilirse mail PBR’I devreye alınarak smtp ve pop3 trafiği için next-hop 192.168.1.1 olur. “internet” seçilirse tüm trafik için next-hop 192.168.1.1 olmaktadır. Mevcut örnekte local network için default route ADSL  olup PBR ile mail trafiği ya da ADSL down olması durumunda tüm trafiğin ikinci hat üzerinden çıkması amaçlanmıştır.

Not: PBR ScreenOS version 5.4 ve üzeri desteklemektedir.

Juniper Firewall’da yukarıda anlatılan konfigürasyon Cisco ürünlerinde aşağıdaki gibidir.

ip access-list extended internet

permit ip any any

ip access-list extended mail

permit tcp any any eq smtp

permit tcp any any eq pop3

route-map mail permit 10

match ip address mail

set ip next-hop 192.168.1.1

!

route-map internet_yedek permit 10

match ip address internet

set ip next-hop 192.168.1.1

!

interface FastEthernet0

ip policy route-map mail ya da  ip policy route-map internet_yedek