Netscreenユーザスレ r4.0
気づいたら落ちてたねｗ 5XTを透過モードで使っています netscreen 5xt 5.3 r3 でファームアップをやらかしちゃったんだが、解決方法ないっけ？ >>6 ちと教えて下さい >>8 >>9 >>11 インタフェースモードやDIPの有無によるのでは。 最近5.4系なんか触った記憶ないけど、untrustに入ってくる通信で、 今時JuniperのサイトからNetScreen-Remoteもダウンロードできるんだな。 >>15 です http://blog.livedoor.jp/nanashisoft/archives/52242485.html http://kokoro.bf1.jp/blog/archives/1293 続き http://kb.juniper.net/InfoCenter/index?page=content&id=KB8536 http://gyabooo.mydns.jp/blog/?p=9 shrew softはおいらも使ってるよ 5xtなんだけどメモリー使用率が70%くらいまでいってる >>22 >>23 >>23 SSG140の設定で困ってます >>27 >>28 ああああああああああああああああああああああああああああ単純ミスだったorz SSGの管理画面にVPN経由でログインできないのですが仕様でしょうか ScreenOS6.1が乗っているSSG5を使っています。 長くなってしまいましたがここから本題です。 routeモードにして、ポリシー単位でNAT制御すればいいのでは? >>40 >>38 書き込んでから気付いたけど、xxx.xxx.xxx.96/28を貰ってるのに 上位ルーター接続で冗長構成にしたりするとルーティング用のセグメントとして/29とか振られるよ >>42 >>44 ■やったこと1 あんまちゃんと読んでないけど、要はセグメントの異なるIPで化かせばいいんだろ？ >>47 （続き） >>46 のやったこと３で書いたようにGlobalポリシーでdenyされてしまいます。。。 勘違いしてたらごめんなさい。 http://kb.juniper.net/InfoCenter/index?page=content&id=KB5760 続きです。 今スレをちょっと読み返してみた。こんな感じでいいのか？ PID 100, from Trust to Untrust, src Trust-Seg, dst ISP, service ANY, action Permit うおお間違って対向のじゃなく自I/Fのログ晒してもうたｗ どうもよくよく読んでいると、 （続き） >>56 ns-5gt-> get log tra PID 200, from Untrust to Trust, src ISP, dst Globals, service ANY, action Permit >57, 58 >>60 >>50-61 set address "Trust" "192.168.1.11/32" 192.168.1.11 255.255.255.255 >>62-63 のように設定し、inboundは疎通するようになりました。 >>64 長々と判りづらいから今困ってることを箇条下記で書いてほしい。 >>66 http://www.dotup.org/uploda/www.dotup.org1688582.txt >>67 http://www.dotup.org/uploda/www.dotup.org1688582.txt いろんな意味で見てて頭の痛くなる内容だな >>69 NSRP使えないライセンスなんて聞いたこと無いぞ。 >>71 >>55 さんの言うように、MIPすれば割り当てたグローバルIPでsrc-natされると思ってたのですが。。。 もしかしたら、ですが。 （続き） SSG140とShrew Soft VPNでVPNを構築してみました LANケーブル直結なのでそれはないかと… >>78 教えて下さい。SSG20を使用しております。 L2モードでNetScreen使ってます netscreen/ssgのL2モードではVPNは使えなかったはず >>82 NetScreenとNetScreenRemoteでIPSec+XAuthによるダイヤルアップVPNの環境を構築しました。 >>86 質問：SSH、Webadminが接続できない >>88 >>90 NetScreen5GTが投売りされていたので、自宅で勉強のために購入しました。 >>92 >>92 >>92 5GT 6.2.0r11でも204 5.4.0r21でも、IPv6使って 旧機種の中古が安く投売されてるのをよく見る NS→SSGに乗り換えは前からあるけど、SRXや他製品に乗り換え時期だからねぇ。 SSG(Screen OS6.0)2台で冗長構成（NSRP）をとります。 >>100 untrustのif増やしてそれぞれにpppoe喋らせれば良いんじゃ無いですか？ オクで安く手に入れた中古、耳が邪魔だから外そうとしたが 現在SSGのDMZ2とルータＢ(RTX1100)のLAN3が接続されているのですが、 105です。 で、そんな状況なのにここの人間の言う事信じてチャレンジするのか？ >>105 トンネルがなんで落ちるんですか？ どこ心配してるのか書いて欲しい ssgの0.0.0.0をrtxのlan側にふったら良いんでは？で、60なんちゃらはuntrustとうせば。 >105 >>26 >>113 なんかWindowsアップデートしたら遅くなった XP-IE8 JUNOS機器を使ってる人いたら使用感おしえてください。 確かに、製品としてはマダマダだけど何でもできる装置だから個人的には好きだな。 EXってスイッチのくせに止めるのにシャットダウン操作が必要って本当？ >>117 >>118 >>119 >>116 >>124 これからずっと放置してたNS25をバージョンアップ でんどん、でんどん、でんどん、でんどん、でーーーーんどん うわああああああああああああああああああああああああああああorz 野田は知っているのか…ＴＰＰに潜む“訴訟地獄”の阿鼻叫喚 http://www.zakzak.co.jp/society/politics/images/20111118/plt1111181251005-p3.jpg http://www.youtube.com/watch?v=v7QHGesP3tc&feature=related やっぱバージョンアップとか業務影響ありすぎだお… 旧バージョンのサポート期間切れるきりきりまで粘ればいいじゃん ScreenOSのサポートっていつの間にか2013年迄になってたのね。 へ？SSGのサポートとScreenOSの最新版のサポートは続くだろ？ 公式だとscreenos6.3は2015までになってるな。 2015年過ぎた頃にはサポートされる新バージョンのScreenOSが出てるだろ。 SRXがポシャる事を皆望んでる。それともフォーティに乗り換える？ Juniper的にはnetscreenの技術が欲しくて買収したようだし そーゆーのパックンチョするパワー感がシスコにもジュニパーにもなくなってきたなーと感じるわ。w そもそもファイアウォール専用機器をSRXにする必要性が意味不明 netscreen-5GT extendedライセンスで、 148です。自己解決しますた。 さっさと強制SRX化は中止してScreenOS継続する宣言してくれ 日商エレとジュニパーが合弁会社「ジェイネットワークイニシアティブ」を設立 - ニュース：ITpro だよねー。そもそもジュニパーって売れてるの？ スイッチとか。エンタープライズでじゅのす使ってるとこあるの？ どうせ学校の先生騙して他校との差別かとかで入れてるアホ大学ぐらいじゃないの？ キャリアには沢山入っているのかな？ たくさん売れてるのかっていうと売り上げ下方修正とかって iosは使える人が多いっていうのが利点だな シスコはマニュアルがクソ過ぎて本買わにゃいかんのが好かんわ。 「同じセグメントにいる機器同士を通信させない」のって、何ていう機能ですか？ SSL-VPNの勉強に２～３台欲しいのですが >>160-161 >>162 まぁ正解が知りたきゃ代理店かサポートに聞けってこったな >>162 この前ヤフオクで珍しくSA700が出てたけど、 強制SRX化中止してScreenOS継続宣言しろよ SRX初めてさわったんだが、 srxでvpnはるとハングったりするから素晴らしい。リブートじゃないよ、だんまりだよ。natもくそだしな。w かつてはFortiがダメダメでNetscreenがまともだったが、 utmって本当に効果あるの？ urlのブラックリストとスパムメール排除のが効果あるんじゃないのかな？ >>174 screenOSとvyattaの相互接続ってできるの？ ちょっと疑問に思ったので、知っている人がいたら教えてください。 >>183 >>184 なにこだわってんのかよくわかんねーけど、ポリシー2つ書いてログして並び替えてみればだいたいわかるんじゃね？ >>185 >>186 のが簡易検証として手っ取り早いと思われ SRXとNS-5GTで１年以上IPSEC VPN貼ってるけど、まったく問題ない。 >>186 >>187 5gt key di_db_key : 2FmTnDreN8cpOQHNyaIkbzfBeGdlxOExYDFu2s93yojZeaTGXW >>190 5GT 5.4.0 r6.0 とりあえずリビジョンかバージョン上げてみるとか。 >>196 5.4で管理系のセッションが残ってしまうっていう不具合あったはず。 >>195 >>198 ぜんぜん関係ないけど、 そりゃSSGはまだ現行商品でサポート対象機種なんだからオークションなんかに出るわけないだろ んなこた、ない。 そりゃリストラで支店統廃合が進んでた時期なら不要になる機器は多かったろ。 企業だとリース契約が多いから、4,5年で入れ替えでしょ。 最近はリプレースしないで再リースで使い続けるパターンが増えてるんだわ CiscoもCheckPointも使いづらいから、SSGばっかり入れてるわ。 >>209 理由があるかどうかわからんけど、SSGは本当に出回らないね。 まあ、XTやGTの頃に比べればライバルメーカの機種も良いのが出てきてるからな。 レスの少なさからも見て取れる状況だよねぇ VIPのmulti-port って、 SSG5でNAT越しにAD認証（ケルベロス認証）できなくて困ってます。 >>220 >>221 >>220 そもそも、だが、 出来ないと言いたいとこだけど、下記コンソール叩いて再起動すればv6走ると思う。 ScreenOS6.4が出ない今、SSGという選択肢は企業にとって正解なのかね？ 素人くさい意見ですまんが srxをEoLにすべき。スクリーンOSどこかパクらないかな。 ネットスクリーン導入してる会社がみんな悩んでるところだろ＞SRX化 テクノバンとかいう会社がssgのeolを発表してた気がする。 サポート終了情報 ? ジェイズ・コミュニケーション株式会社 http://jscom.jp/support/products/juniper/screenos/eol そこに掲載されているのは、あくまで現在リリースされているソフトウェアのEoLでしょ。 たのむからSRXをさっさとディスコンにして >>239 >>244 Juniperに限った話じゃないけど買収した製品は set flow tcp-syn-check strict は入れといた方が良いのですか？ NetScreen204使ってます TCP 3way handshakeにおける各パケットの経路を考えたらわかることじゃない？ すみません。。。 >>252 グローバルIPアドレスをセカンダリIPに設定しちゃってるとか すみません落ち度ありましたorz MIPに使用するグローバルIPアドレス(/32)をUntrustにルーティングすれ >>257 わかる人がいましたら教えて下さい エラーメッセージからするとSSG140からの応答がありませんってことだし 的外れかもしれないけど、Windos7は対応していないという話かも？ 260です。レスありがとうございます。?? >>261 ?? >>262 ?? どうにも先に進めなくなってしまった為、教えてください。 ルーティングポートが同じネットワークセグメントに複数あるってことに >>265 UnTrustにグローバルIP(クラスC)、TrustにローカルIPでホストがぶら下がっている構成です。 Policy based NATについて教えて下さい。 レスありがとうございます。 ポリシーベースNATは、嘘ルーティングが必要。 >>268 >>269 >>273 すみません、 >>273 UnTrust : グローバルIP/30 教えて下さい。 遠い記憶だけど、サブインターフェース2個作ってそれぞれでPPPoE設定するんじゃなかったっけ？ >>281 ssg5なんですが グローバルIP一個の環境で、NS-5GTのTrust側に設置したPacketiXの http://www.juniperforum.com/index.php?topic=1541.0 >>284 >>285 俺も5GTとiphoneの組み合わせは挫折した。 ちょいとググったら気になる内容が・・・ >>288 パケットキャプチャか通信ログ確認すればIKE通ってるか見れる testzone → trust → untrust >>291 >>292 すみませんがちょっと教えてください。 自分が覚えてる有線の機種しか書いてないのであしからず。 ご親切にありがとうございました。 初歩的な質問で申し訳ないですが、 SSGも320M以上はx86なんだし 個人的な趣味だけど、FWは物理的に分けておきたい派だわ。 ある客から、LAN側からWebUIを開こうとすると超遅いって言われてるんだけど >>301 やっぱそのへんだよなあ。 Netscreen 5GT後継何がいいですかねぇ……。 助けてください。 SSG5をかなり安価でGetしたまではよいのだけど、設定にはまっていますorz >313 >>314 >>315 パッシブFTPの場合、データ転送ポートはランダムに選ばれるわけで >>316 >>317 WinSCP以外の鉄板なんて有るんか？ すいません。 netscreen-50をscreenos 5.0で使っています。 設定内容しらんがPBR使わんでもスタティックは動く 5.0はスタティックルートはVR内で設定するんじゃなかったっけ？ ども>>320 です。 >>326 コンフィグがうまく入っていない可能性は？ >>325 皆さんありがとうございます。>>321 です。 juniperのアカウントは製品買わないと登録できないでしょうか？ >>332 とっくにEOLだった中古の5xpのシリアルで >>334 >>335 Netscreenで、DMZゾーンを２種類。Trustゾーンを２種類作成し 要は4種類のゾーン間の通信制御たろ？ ポリシーってデフォルトでTrustとかDMZとかついてるけど、 from-zone DMZ1 to-zone DMZ2 any deny log 風の噂で、SSGってもう5年ライセンス購入できない（=サポート出来ない？）と 販売店に聞けよ。 そろそろSSGの代わりは決まりましたか？> /home/usr/all? 同じくASIC製品ということで、FortiGate？ >>347 ScreenOS使わない商品買うくらいなら他社にいくよね？ 結局、ScreenOS使った機器の今後はどうなるんだろう？ おいら一生netscreen50でいくよ EOL終了後に致命的なセキュリティホールが見つかったらオワコンだろw ギガビット対応してないけど、どうせ外部と通信してたらどっかで >>350 Junos6.3？ScreenOS6.3じゃなくて？ ScreenOSじゃないNetscreenなんて要りません 客「缶切りを１つください」 電話屋じゃないけどすみません教えて下さい。 >>360 >>359 客「缶切りを１つください」 後継と呼ばれる製品は扱ったことあるが、使い易いとは御世辞でも言えん製品だったな。残念だけど、まだFortigateの方が許容出来るわ。 十分に枯れきってる安心感から、まだ提案時には候補に入れてます DIでは代替提案には難しいのかな。 バイト先で、使わなくなったNetScreen-5XTを貰ってきたんですけど、これって、PeerBlock(Windowsの SSG5をFWとして使っているのだけどUntrust側にルータがありそこからインターネットに接続している ちなみに同じくUntrust側においてある通常のPCからの通信は特に何か他が遅いということはないようだ。 スマホをTrust側においたらどうなる？ >>374 やはり今チェックしてみたがブラウザも早いし2chも早い。 Untrust側にルータって所謂Wi-Fi付のブロードバンドルータのこと？ >>377 なんという苦肉の策、、 >>380 この構成だと、ポリシーや設定によってはicmpが破棄されるかも >>382 今試してみたけど関係なかった あと unset flow tcp-syn-check いれてみるとか >>386 unset flow tcp-syn-checkについて色々調べて分かったんだけどまさに 長文だったんで読んでなかったんだけどそれが原因で悩んでたんか。気がつかずに済まん。 それが原因だったかあ、現象がLINEだけっていうのが気になって 半日以上様子見してるけど安定的にいけてるっぽい あとはJuniperがScreenOS続けます宣言すればいい >>391 PPPoE接続してるNS50にHA設定したら、再起動すべきですか。 >>397 SSG5程度の大きさでGigaポート備えたScreenOSのFWが欲しいと思ってる人多そう >>401 >>401 高い安い以前にJUNOSの使いにくさときたら・・・ >>400 >>408 icmp-redirectとかで一時的に経路を学習するから？ ScreenOSはICMP Redirect対応してないんじゃね？ NS50でHA成功しました。 PPPoEセッションが張れるのはMaster機だけなら その後成功しているのはセッションが同期されているためかな？ vipの設定をしていたら、too many virtual ip って出て、vipの設定ができないんだが、これってライセンス数の制限でもかかってるのかな？すみません教えてください。 vipの数って機種ごとに上限があるよ。 netscreen25だとvipは二つまでなのかな？スクリーンOSを4系から5の最新版にしても駄目なんですかね？ >>418 VIPってそんなに少なかったっけ？ たしかにNetScreen-25の5.4だったら公式だとvip16になってるんですよね シリアルケーブルと各バージョンのファームウェアと、tftpdを用意しておけよー WebUIからのアップデートだと確かにバージョンによってはうまくいかないことがあったね 2ヶ月ほど電源を切っていたNS50の電源を入れたら、コンソールへ次の表示が繰り返され止まりません。 ssg5 wirelessが3000円でゲットできた。 ちょっと教えて欲しいのですがSSGでは通常の名前解決はDNS Proxyでやりつつ、 内部の端末のhostsファイルにサーバのIPとホスト名書いちゃうとか。 >>429 >>428 補足 >>432 Raspberry PiにUnboundでいーじゃん キャンペーン価格のSRXに移行するか、他ベンダーに移行するか・・。 SRX選んだってSSGとは別物だし、他社製品を選ぶのと大して変わらん。 今320使った構築やらされてんだけど、SRXのほうがいいのか 320mだとJunosとコンパチだけどあれはJシリーズか >>298 >>428 だけどもしかしてDNSキャッシュのスタティック登録で出来るかもしれないっぽい気がしてきたんだけど 二拠点間でVPN接続しているNS50の両方をHAしたら、別拠点のメインとサブの管理画面が表示されなくなりました。それぞれ自分側の管理画面は表示されます。 >>453 各拠点を2台づつでHAして、それぞれはマスターとサブになってます。 管理用IPへのポリシーある？ Firefox 36.0にアプデしたらssg140の管理画面にアクセスできぬorz >>461 Defaultのは期限切れの証明書だから新しく自己署名証明書作って ググりゃすぐ出てくるでしょ。 終了ば残念だけど。そもそも後継機が残念過ぎで別メーカ品へ乗り換えているユーザは多いはず。 機種：SSG140 >>468 >>469 >>470 >>471 screenosにとんでもない脆弱性がみつかったのを確認しているか？ ソースくらい貼ったれよ http://japan.zdnet.com/article/35075323/ http://kb.juniper.net/InfoCenter/index?page=content& ;id=JSA10713&actp=search 基本的なことですまん さてISG2000も終売になっちゃったけど かと言ってSRXもクソだしなあ。 マ イ ン ド コ ン ト ロ ー ル の手法 色々使ってきたが、Screenosがやっぱ一番だわ。 screenos6.2において、1つの物理インタフェースにIPv4とIPv6の二つの Sub-IFを作ってe0/0.1でPPPoEするとか >>488 >>488 とりあえず試してみます。ありがとうございます。 >>489 あるゾーン間で全ての通信を遮断したいのですが、ポリシーの UntrustゾーンのオブジェクトにIP登録して、Trust to Untrustルールに書いてみたら？ >>493 ありがとうございます。助かりました。 誰でも簡単にネットで稼げる方法など 中古ssg5を買ってget systemしたら、OSのファイル名がscreen_osなんとかになってました。 tftp するファイル名を変更したんじゃね？しらんけど。 >>499 レストン >>500 レストン。マジですか。ガッカリですね。 Cannot communicate securely with peer: no common encryption algorithm(s). エラーコード: SSL_ERROR_NO_CYPHER_OVERLAP https://forums.juniper.net/t5/ScreenOS-Firewalls-NOT-SRX/ssl-error-no-cypher-overlap-when-trying-acess-to-SSG5/td-p/300865 私が道民の家でお茶をご馳走になったときのこと SSG後継機にSRX300を検討中なんだが、誰かLTE使ってる人いる？ ☆ 日本の、改憲を行いましょう。現在、衆議員と参議院の ユニークで個性的な嘘みたいに金の生る木を作れる方法 私たち日本人の、日本国憲法を改正しましょう。 マルチポストうぜぇ。 
