Netscreenユーザスレ r4.0

**anonymous** · 2011/08/24(水) 23:48:53.66

SSG(Screen OS6.0)2台で冗長構成（NSRP）をとります。
この際、2台のSSGのWAN側をそれぞれ異なるISPに接続する構成は可能でしょうか？

それぞれWAN側のI/Fには別セグメントのアドレスが付きます。
また、SSG～WAN間にはL3SWはありません。

すいませんが可能な場合の設定手法等お知恵を拝借出来れば幸いです。

**anonymous** · 2011/08/25(木) 21:46:56.57

>>100
機器は対応してるけど、君が対応してないから
やめといたほうがいい

せめて第11部読んでからこような

**anonymous@**NWTfb-16p2-74.ppp11.odn.ad.jp · 2011/08/26(金) 15:08:42.73

untrustのif増やしてそれぞれにpppoe喋らせれば良いんじゃ無いですか？

**anonymous@**NWTfb-16p2-74.ppp11.odn.ad.jp · 2011/08/26(金) 15:10:42.76

あ、a/a…

**anonymous** · 2011/09/05(月) 09:53:49.81

オクで安く手に入れた中古、耳が邪魔だから外そうとしたが
ネジがゲロゲロに堅く締まっていて外せない。
片方は滑り止め使って残り一本までいったので逆に耳の方を回して解決。
もう一方は二本残ってしまいビスブレーカー使ってもダメ。
このために精密ドライバー3本潰して滑り止めとビスブレーカーで
結局高くついた。

**anonymous** · 2011/09/20(火) 20:54:58.31

現在SSGのDMZ2とルータＢ(RTX1100)のLAN3が接続されているのですが、
SSGのルーティングの設定で質問があります。
1、SSGとRTX1100はそれぞれPPPoEの設定がされている。
2、現在SSGのtrust側はSSGのデフォルトルート(untrust)でインターネットに
抜けているのですが、事情がありRTX1100でインターネットに抜けて行く
設定にしたい。
3、かつ特定のグローバルIP（61.0.0.0.）だけはいままで通りSSGのuntrust側で通信がしたい。

構成
ssgのtrust側PC-A 192.168.0.0/24、DMZ3のアドレス172.16.0.1
rtx1100のlan3アドレス172.16.0.10

上記の２の場合は、あて先0.0.0.0でゲートウェイ172.16.0.10で
良さそうな気がするのですが、上記３の場合はあて先61.0.0.0でゲートウェイのアドレスはどのように設定すればよろしいのでしょうか？（gateweyは0.0.0.0でいいのかなぁ？）

宜しくお願い致します。

う · 2011/09/20(火) 22:33:08.11

実機で確かめて

**anonymous** · 2011/09/21(水) 12:07:46.26

105です。
失敗してrtx1100のVPN先と通信出来なくなったら困るので、質問しました。
宜しくお願い致します。

**anonymous** · 2011/09/21(水) 13:26:46.92

で、そんな状況なのにここの人間の言う事信じてチャレンジするのか？

**anonymous** · 2011/09/21(水) 22:31:41.19

>>105
こんな所で聞いてないでさっさと販売代理のサポートにメールでもしろ

う · 2011/09/21(水) 23:08:33.46

トンネルがなんで落ちるんですか？どこ心配してるのか書いて欲しい

う · 2011/09/21(水) 23:15:39.03

ssgの0.0.0.0をrtxのlan側にふったら良いんでは？で、60なんちゃらはuntrustとうせば。

あ · 2011/09/22(木) 10:58:57.34

>105
ルーティングはそれでいいけど、untrustからdmzへのポリシー設定忘れんなよ。

い · 2011/11/04(金) 12:00:28.91

>>26
これってIE側の設定でなんとかならないの？

**anonymous** · 2011/11/04(金) 14:54:27.61

>>113
何をやっても、ダメだったと思う。
解決策は、IE9以外を使うしか無いかと。

一応、6.3.0r9で、予告通り対応がされたから、
更新できるなら解決するが、
それ以外は諦めるしか・・・

**anonymous** · 2011/11/15(火) 15:57:17.31

なんかWindowsアップデートしたら遅くなった XP-IE8
他のブラウザだと問題ない

忍法帖【Lv=3,xxxP】 · 2011/11/15(火) 17:11:13.75

JUNOS機器を使ってる人いたら使用感おしえてください。

スレチかもだけどよろしくです。

**anonymous** · 2011/11/15(火) 20:48:36.19

>>116
重い
バグだらけ

忍法帖【Lv=40,xxxPT】 · 2011/11/15(火) 22:57:27.38

確かに、製品としてはマダマダだけど何でもできる装置だから個人的には好きだな。

**anonymous** · 2011/11/16(水) 00:44:08.93

EXってスイッチのくせに止めるのにシャットダウン操作が必要って本当？

忍法帖【Lv=40,xxxPT】 · 2011/11/16(水) 07:23:23.87

True

忍法帖【Lv=4,xxxP】 · 2011/11/16(水) 15:20:27.16

>>117
レスありがとう。
xmlを使ってDBいじるように設定するイメージなんだけど、確かに普通に考えたら重そうな気がするな。

>>118
そんな風にも見えるよね。でも習得は楽じゃなさそう…。

とりあえずまだしばらくはSSGで提案かな…

**anonymous** · 2011/11/16(水) 20:30:46.73

>>119
男らしく、おもいっきりブートログにFreeBSDってでるからｗ
少しは隠そうぜとｗ

**anonymous** · 2011/11/20(日) 19:13:22.12

>>116
webUIが糞重い。
バグって設定出来ない所がある。
ポリシーが反映されないとか稀にある

**anonymous** · 2011/11/20(日) 23:37:36.16

>>123
WebUIとかバカじゃねーの

忍法帖【Lv=3,xxxP】 · 2011/11/21(月) 12:59:01.90

>>124
CLIに慣れるまでどれくらいかかった？

**anonymous** · 2011/11/21(月) 12:59:21.09

>>124
使用感を答えただけだが

**anonymous** · 2011/11/22(火) 13:44:21.44

これからずっと放置してたNS25をバージョンアップ

5.0.0r6 → 5.4.0r18

再起不能になったら骨ひろってくれよな

**anonymous@**k184164.ppp.asahi-net.or.jp · 2011/11/22(火) 14:51:33.76

tftpdくらいは用意しとけよｗ

**anon** · 2011/11/23(水) 00:41:05.13

チャレンジャーやな

**anonymous** · 2011/11/25(金) 22:25:17.83

じゅもんがちがいます

**anonymous** · 2011/11/25(金) 22:44:22.78

でんどん、でんどん、でんどん、でんどん、でーーーーんどん

**anonymous** · 2011/11/26(土) 00:17:07.94

うわああああああああああああああああああああああああああああorz

**anonymous@**FLA1Abq062.chb.mesh.ad.jp · 2011/11/26(土) 08:51:12.43

野田は知っているのか…ＴＰＰに潜む“訴訟地獄”の阿鼻叫喚

「訴訟大国・米国相手にＩＳＤ条項を認めるのは狂気だ。賠償金をむしり取ったり、
自社が儲かるように制度を変えさせる手段として使うだろう。
加表明国で、米国に次ぐＧＤＰ２位の日本は最大の標的だ」

「エコカー減税のせいで米国産の車が売れない、国民皆保険制度のせいで
民間の保険商品が売れない－など。国の訴訟リスクは計り知れない」と指摘した。

ＴＰＰに詳しい京都大学大学院の中野剛志准教授はこう話した。

１１日の参院予算委員会で、ＩＳＤ条項を取り上げた自民党の佐藤ゆかり参院議員はこう解説する。
　「条約なので、ＩＳＤ条項が国内法よりも上位になる。国内の司法機関が関わる余地はなく、
仲裁機関で審査され、決定に不服があっても覆らない。一審で確定する。」

ごく一部、判明したＩＳＤ条項の例（佐藤ゆかり事務所調べ）
投資家国籍　　訴えられた国　　ビジネス　　　　　賠償
米国　　　　　　メキシコ　　　　　　廃棄物処理　　１６６９万ドル
米国　　　　　　カナダ　　　　　　　ガソリン　　　　　１３００万ドル
米国　　　　　　カナダ　　　　　　　廃棄物処理　　　３８６万ドル
米国　　　　　　カナダ　　　　　　　不明　　　　　　　１億３０００万ドル
米国　　　　　　カナダ　　　　　　　水　　　　　　　　　１０５億ドル
http://www.zakzak.co.jp/society/politics/images/20111118/plt1111181251005-p3.jpg

TPP中身知らない野田･枝野／ISD条項・国内法に優越する事も知らず
http://www.youtube.com/watch?v=v7QHGesP3tc&feature=related

忍法帖【Lv=2,xxxP】 · 2011/12/14(水) 16:57:49.06

やっぱバージョンアップとか業務影響ありすぎだお…
くじけそうだお…

**anonymous** · 2011/12/24(土) 07:44:59.50

旧バージョンのサポート期間切れるきりきりまで粘ればいいじゃん
で、サポート期間切れそうになれば、十分枯れてそうなバージョンにアップデート

忍法帖【Lv=2,xxxP】 · 2011/12/24(土) 08:59:20.55

>>135
その予定が前倒しになっちゃって(泣)

**anonymous** · 2012/01/11(水) 09:18:28.85

カドルト

**anonymous** · 2012/01/12(木) 02:56:50.53

ScreenOSのサポートっていつの間にか2013年迄になってたのね。
ちょっと前の予定だと2011年(これも確か延長しての話)だったと思ったが。
SRXへの移行が芳しくないのかね？

**anonymous** · 2012/01/12(木) 06:41:24.51

へ？SSGのサポートとScreenOSの最新版のサポートは続くだろ？

忍法帖【Lv=4,xxxP】 · 2012/01/12(木) 15:57:09.28

公式だとscreenos6.3は2015までになってるな。

www.juniper.net/support/eol/screenos.html

**anonymous** · 2012/01/12(木) 16:09:06.17

2015年過ぎた頃にはサポートされる新バージョンのScreenOSが出てるだろ。
現実問題ScreenOS使う機器のサポートをやめてユーザにSRXへの全面移行させるなんて無理。

**anonymous@**NWTfb-13p4-58.ppp11.odn.ad.jp · 2012/01/12(木) 20:33:10.13

SRXがポシャる事を皆望んでる。それともフォーティに乗り換える？

**Anonymous** · 2012/01/14(土) 11:03:59.90

Juniper的にはnetscreenの技術が欲しくて買収したようだし
ScreenOSよりJunos機器を売りたいのは分かるけどSRXは
相変わらず有料デバッグ状態だし、ScreenOSもJuniper社
に買収されてから完成度が落ちたと思う

そろそろ別のメーカーの製品に変更してるユーザーも多い
んじゃないかな？

**anonymous@**NWTfb-16p4-228.ppp11.odn.ad.jp · 2012/01/14(土) 17:39:09.41

そーゆーのパックンチョするパワー感がシスコにもジュニパーにもなくなってきたなーと感じるわ。w

**anonymous** · 2012/01/16(月) 12:29:45.66

そもそもファイアウォール専用機器をSRXにする必要性が意味不明
ファイアウォールならScreenOSのほうがはるかに使いやすい

SRXにするのは統合機とか、ルータに積むファイアウォールモジュールだけにして、
単体ファイアウォールはScreenOSのままやってくれ

忍法帖【Lv=2,xxxP】 · 2012/01/16(月) 15:59:04.26

同意

a · 2012/01/16(月) 20:02:48.13

しかし、ssgディスコンの噂絶えず～

**anonymous@**pd3895f.tkyoac00.ap.so-net.ne.jp · 2012/01/21(土) 01:08:16.72

netscreen-5GT extendedライセンスで、
ポートモードをextendedにして、3ゾーンで透過モードで運用したいんだが、
これって可能？

透過モードにする場合、インターフェイスにSecurity(L2)タイプの
ゾーンを割り当てないといけないんだが、extendedモードでは
set int eth1 zone V1-Trust
って設定ができないんだわ。

zoneに指定できるのがNullとTrustしか出てこない。

わかる人教えて。
ちなみに、バージョン5.4.0r17.0です。

**sage** · 2012/01/21(土) 01:16:13.71

148です。自己解決しますた。
データシートに
Transparent mode only works in trust/untrust mode
って書いてあった。
つまんね。

**anonymous@**p3226-ipbfp504yamaguchi.yamaguchi.ocn.ne.jp · 2012/01/26(木) 10:13:54.65

**anonymous** · 2012/01/27(金) 16:01:54.51

さっさと強制SRX化は中止してScreenOS継続する宣言してくれ
ファイアウォールでSRXとか誰得だよ

**anonymous** · 2012/01/27(金) 19:33:24.20

日商エレとジュニパーが合弁会社「ジェイネットワークイニシアティブ」を設立 - ニュース：ITpro
ttp://itpro.nikkeibp.co.jp/article/NEWS/20111207/376055/

去年のニュースだけど、代理店からしてみりゃこういう不義理めいた事もしてるから
マジで見切りつけられたりするかも知れんねｗ

**anonymous** · 2012/01/30(月) 18:34:33.46

あ · 2012/01/30(月) 22:12:39.05

だよねー。そもそもジュニパーって売れてるの？スイッチとか。エンタープライズでじゅのす使ってるとこあるの？どうせ学校の先生騙して他校との差別かとかで入れてるアホ大学ぐらいじゃないの？キャリアには沢山入っているのかな？
みたことないからワカンニャイ。w

**anonymous@**z167228.dynamic.ppp.asahi-net.or.jp · 2012/01/31(火) 10:00:29.76

たくさん売れてるのかっていうと売り上げ下方修正とかって
話もきいたりするから、微妙なのかもね。
うちはWeb屋だけど、導入してるよ。NetscreenもEXも。
たくさん値引いてくれたからだけど。
安定してうごいてるから導入して後悔とかも無い。

Ciscoのiosが個人的には得意だったけど、junosのほうが扱いやすい感じかな。

**anonymous** · 2012/01/31(火) 11:44:58.68

iosは使える人が多いっていうのが利点だな
junosは、ios使える人ならすこし勉強して慣れれば使えるようになるけど

**anonymous@**NWTfb-16p4-228.ppp11.odn.ad.jp · 2012/01/31(火) 20:19:46.94

シスコはマニュアルがクソ過ぎて本買わにゃいかんのが好かんわ。

**anonymous@**p8b904a.tokynt01.ap.so-net.ne.jp · 2012/02/02(木) 02:57:42.72

GUIダメすぎるwww

**anonymous@**113x38x85x220.ap113.ftth.ucom.ne.jp · 2012/02/02(木) 13:09:48.79

「同じセグメントにいる機器同士を通信させない」のって、何ていう機能ですか？
Juniperスレで聞いたらできるらしいんだけど、機能名がわからず調べようがなくて。

**ななし** · 2012/02/02(木) 15:11:14.28

プライベートVLANとかのこと？

**anonymous** · 2012/02/02(木) 22:07:51.25

>>159
トランスペアレントモード

**anonymous@**SODfb-11p3-28.ppp11.odn.ad.jp · 2012/02/03(金) 00:22:05.36

SSL-VPNの勉強に２～３台欲しいのですが
中古でどれ買うのがおすすめなの？

**159** · 2012/02/03(金) 08:43:24.85

>>160-161
言われてみればトランスペアレントモードもたしかに…だけど、
今回やりたいのは、WANやDMZがある中でのLAN側同士の通信遮断なので
プライベートVLANでよさそうです。
ありがとうございました！

**Anonymous** · 2012/02/03(金) 10:19:35.37

>>162
クラスタ組むならexetendedライセンスがいるから自宅ではちょっとなぁ

**anonymous** · 2012/02/03(金) 10:51:46.10

すぐには正解を教えないのがここの流儀なのかｗ

**anonymous** · 2012/02/03(金) 13:06:22.23

まぁ正解が知りたきゃ代理店かサポートに聞けってこったな

忍法帖【Lv=40,xxxPT】 · 2012/02/03(金) 22:54:34.45

>>162
SSL-VPNならSAかな
IPSEC-VPNならNS

SAはなかなか出回らないよ。

**anonymous** · 2012/02/03(金) 23:00:14.49

この前ヤフオクで珍しくSA700が出てたけど、
起動時のコンソール出力が化けててなんか怪しい代物だったわ。

忍法帖【Lv=40,xxxPT】 · 2012/02/04(土) 12:14:32.40

SAはKey無いと只の箱だからなぁ

**anonymous@**123.230.224.141.eo.eaccess.ne.jp · 2012/02/06(月) 19:33:33.89

http://www.nicovideo.jp/watch/sm16452889
これすんごい！

あ · 2012/02/08(水) 22:29:32.48

たいしてうれてないのかな。

**anonymous** · 2012/03/10(土) 15:41:08.35

強制SRX化中止してScreenOS継続宣言しろよ

**anonymous@**NWTfb-13p3-165.ppp11.odn.ad.jp · 2012/03/10(土) 18:41:57.57

>>172
それしかない。

**anonymous@**s530171.xgsspn.imtp.tachikawa.spmode.ne.jp · 2012/03/14(水) 08:42:44.15

SRX初めてさわったんだが、
起動遅すぎ
config保存遅すぎ
GUIの動作遅すぎ
commit時エラーで吐かれたコマンドまでいちいち消さないといけない?
なんなんすかこれ

**anonymous@**NWTfb-13p3-165.ppp11.odn.ad.jp · 2012/03/14(水) 18:23:37.61

srxでvpnはるとハングったりするから素晴らしい。リブートじゃないよ、だんまりだよ。natもくそだしな。w

**anonymous** · 2012/03/16(金) 16:42:07.64

かつてはFortiがダメダメでNetscreenがまともだったが、
このままSRX化強行すればFortiとNetscreenで評価が逆転しそう

**anonymous@**NWTfb-13p3-165.ppp11.odn.ad.jp · 2012/03/16(金) 22:26:42.53

utmって本当に効果あるの？ urlのブラックリストとスパムメール排除のが効果あるんじゃないのかな？

**anonymous@**s730080.xgsspn.imtp.tachikawa.spmode.ne.jp · 2012/03/23(金) 08:50:58.72

>>174
やつらは650とかまでひっくるめて
中小クラス扱いだから機能制限アリアリでも良いと思ってるんでしょ。

あ · 2012/04/05(木) 22:57:14.23

最近のsrx死んでるネタの書き込みをどうぞ。

あ · 2012/04/05(木) 22:57:39.62

あげ

**anonymous@**y003245.ppp.asahi-net.or.jp · 2012/04/14(土) 22:59:08.76

screenOSとvyattaの相互接続ってできるの？

**anonymous** · 2012/04/15(日) 02:10:29.04

イミフ

**anonymous** · 2012/04/17(火) 13:51:05.73

ちょっと疑問に思ったので、知っている人がいたら教えてください。

ScreenOSでVIP設定をしたとき、例えば
virtual port：10022
service：SSH（22）

と設定した場合、VIP用のポリシーでは
・VIPに対するSSH（22）を許可する　⇒マニュアルに記載の設定例
だけど
・VIPに対する10022を許可する
でも動きますよね、たしか。じゃないと、送信元IP毎に開放するポート（10022,10023とか）を
分けられないし

どこかに記載があれば安心なんですが。。

**anonymous** · 2012/04/17(火) 23:01:07.37

>>183
マニュアル第一章のパケットフローシーケンス嫁

**183** · 2012/04/18(水) 10:32:11.05

>>184
レスありが㌧

マニュアル記述を見ると、ポリシー検索前にMIP/VIP処理を行いアドレス変換を
行う、ような動作になります。
ポートマッピングもVIP処理におけるアドレスマッピングと同時に行われるとすると
「VIPに対する10022を許可」は意味がないように思えます。
⇒ただ調べたところ既設のNetScreenでは10022をポリシーで指定しているものもありました。

ポリシーの宛先IPにはVIPアドレスを指定することから、ポリシー検索時にVIP設定
を参照していることは間違いないと思うのですが、パケットフローシーケンスの記述
からは読み取れず。

　Untrust⇒GlobalでVIP/Virtual Portでポリシー検索
　Global⇒Trustで実IP/Serviceでポリシー検索
とかだったら分かるのですが、読解力が足りない？

g · 2012/04/18(水) 19:36:46.23

なにこだわってんのかよくわかんねーけど、ポリシー2つ書いてログして並び替えてみればだいたいわかるんじゃね？

**184** · 2012/04/19(木) 06:06:37.02

>>185
時間ないからすぐ試せんけど、>>186のが簡易検証として手っ取り早いと思われ

get log policy [id] か get log traffic policy [id]　で
ポリシーにマッチしてるか分かるから、それで調べてみては
こだわるなら get dbuf stream でキャプチャ(負荷に注意)

mipのポリシーとかも、juniperが推奨しない書き方でも通ったりするから、
度重なるバージョンアップの中の仕様変更で生まれた
シンタックスシュガーみたいなもんだと自分は適当に思ってるよ

**anonymous** · 2012/04/20(金) 22:43:56.32

SRXとNS-5GTで１年以上IPSEC VPN貼ってるけど、まったく問題ない。
GUIはクソだが、CLIはScreenOSより気に入ってる＞Junos

**183** · 2012/04/23(月) 12:59:08.89

>>186 >>187
ありが㌧㌧　というかレス遅くなり申し訳ない

手元に実機がなかったので、自社内で利用しているNetScreen＆設定変更しても
ユーザ影響のないやつを探して試してみました
※トラフィックキャプチャまではできなかった

機器：NS-5GT
OS：5.3.0r5.0（古い・・）

Untrust to Trust
①Any→VIP 22 log
②Any→VIP 10022 log

並び替えても何しても②の方にしかログが吐き出されないという結果になりました
バージョン古いからか、マニュアルの間違いなのか、というところ

とりあえず結果報告＆改めてレスに感謝いたしまする
　　　　　　　　　　　　　　　　＆ごちゃごちゃと長文ばかりで失礼すますた

ns · 2012/04/28(土) 09:48:55.73

5gt key

extended_key : 2ApwPcCBUBUpp7ITb2S5EKeHsOrnt4of2oeRKHR8aCXXukkAfJ
S4PjdXQSM5mrLqY+6ePgE0qsAaY25E6MkpEaDZpaok3zUk2SuB
HxV/
fe3Kh+bDgYqH39xlOfUpLSwXGlxgZrf1P8BZW0zKlQ7CnfmB2i
55ByT0jgVKW9MfcYbotfqYN/
4wOTvO2XTYpqCskqvMb8amVOLqw034WuOlX9SePr5bEy9MDtrQ
bqRzExV2f8VuWne1StXeVIUEMwkYBhZyeQ/lLNy0QPw6oLj/
x4LbBeP4azefPD5aUIUo1/
lKQseKywhwDwokSonFWB2TlziefS12847KPQS4ksbcZ5g==

つかえる？

ns · 2012/04/28(土) 09:56:50.17

di_db_key : 2FmTnDreN8cpOQHNyaIkbzfBeGdlxOExYDFu2s93yojZeaTGXW
cNFvt28egOOWE4dzthWnLyRsqM+5UPI/
BJSMdIvhQkHSmJJ5kou/pkRtmNykiAzD2jyIGbU/
IJ4rk6CGFGdZlM8jYQaZlcXTSAj9jgor8AUyrcAgSCo7iEr+WK
sJkOvU1id2vUq7s2dbQbLmtWh45wSbIoUQBMB/
D95dES0PqTs939YDXhMW7OCMJg9CN0QGmKVEoKdLvi6fMStAEA
GdElgwYZ+goGMIGykctjijTVjWekoeyMRVP9Zei3BLJpC3AcnL
9H+tfrWaszRLTh6zXBUaHcwSF7qFftWxA==
expire date: 2006/4/25

av_key : 2S5373Hktp+gD90W8QEIOXghTjs4XRprrRoEA6NO7AhQPycp9P
5LB57RDUU7X+aQBxHUDc4269h1dPddqo3CCvi/F3PNKxHOb/
8M/nAYlYKRC8iexNc4+vwSErCDxX8Ltec/
USIRQfzRO7xpp1efhq2TO9a8wq9xaJA/
GBx4087Np5y+mJg0LnbhsloxXTioQqgkVPNAdtlnVdUf1JhJCF
+MtyAbBlzDgFbFgF5sNlvjoylvSp1dbstUHiEAmfe0NsD4NuRy
w07Z+qayuxu8EjkJqKDRV9x51Lq37jcTG6GKQkkiIguQ+sGnfr
m+UW8Jfl8/18+BuQphEF+tR58+c0g==
expire date: 2006/4/25

extended_key : 2L6npbqeIrxNNwg4vXF2vu3j1M4MzU06TQsna2vPF8V9fLh+TS
9zeEbq4yBYLi/
7WWQ5KoHQhCk7amsIa8QFVlb+1MCXDeuhlaejozFq1dFxdQa7G
9/
eZQoFSFUSIlkQZXlTH6DHXRdw89Poy0z+R2EdYGX74ge5E3IQg
qwGOPp3fiCj3naPtmTmAZ5+RNtqyXRPpN6ldvxL5/LsxjT1X/
6Jw2ErnORVBepTSsIW0OcQg0zasCdft+Du/u/
zC6qCxUjMbeHJ16mOxLZ7LasawBtYFbT0B38GZQkLYi/
O9acCp7qWIhCRimvdzRSuLTwrYazJTrYlZ09Ss+qjQnSD/
nw==

**anonymous** · 2012/04/28(土) 11:12:32.69

>>190
試してないけど、こう言うのってシリアルナンバー依存なんじゃないの？

**anonymous@**NWTfb-16p3-30.ppp11.odn.ad.jp · 2012/04/28(土) 11:58:27.79

expiredateみて。

**anonymous@**vpn.commuture.net · 2012/05/01(火) 21:26:40.02

>>192

その通りやね

**anonymous@**191.23.30.125.dy.iij4u.or.jp · 2012/05/02(水) 10:27:40.08

5GT 5.4.0 r6.0

WebUIも、sshもだんだん繋がらなくなる現象。
調べたら、

unset zone Work screen limit-session source-ip-based
unset zone Work screen limit-session destination-ip-based

で調子がよくなる、って話を見つけたんだけど、
これやっても繋がらなくなる。

WebUIが死ぬのは仕方ないとしてもsshまで死んでまうのがなんだかなぁ。
ほかに対応ってあるんでしょうか。
コアな人教えて

ちなみに設定でscreen はすべてOFF
調子悪いので、Toggle Menuすら開かない。

**anonymous** · 2012/05/02(水) 12:35:46.41

とりあえずリビジョンかバージョン上げてみるとか。
もうハードが壊れてるんじゃないのとか。
5GTならver6も入るよ。

**anonymous@**154.16.30.125.dy.iij4u.or.jp · 2012/05/02(水) 16:22:00.21

>>196
レスありがと。
2台あるんだけど、2台ともってことでHWエラーとは思いたくないかなぁ。

ScreenOSは検討してみるだ。

忍法帖【Lv=40,xxxPT】 · 2012/05/03(木) 11:07:25.68

5.4で管理系のセッションが残ってしまうっていう不具合あったはず。

**anonymous** · 2012/05/03(木) 11:35:34.09

>>195
コンフィグや構成見てないから分からんけど、リリースノートくらい見とけ

ttp://www.juniper.net/techpubs/software/screenos/screenos5.4.0/rn_540r10.pdf

移行するなら6系のも見とけよ

**anonymous@**154.16.30.125.dy.iij4u.or.jp · 2012/05/03(木) 11:41:33.16

>>198
それは、
clear session all
でクリアすればよい話デスか？

**anonymous@**155.19.30.125.dy.iij4u.or.jp · 2012/05/03(木) 12:58:19.19

>>199
らじゃ

**anonymous** · 2012/05/03(木) 13:09:40.13

ぜんぜん関係ないけど、

5GTはものすごくヒットしたんだろうけどSSGは空振りだった？ような。
億での出品数だが、SSGは皆無だもんなぁ。
5XTや5GTは結構あるのに。

**anonymous** · 2012/05/03(木) 13:53:33.84

そりゃSSGはまだ現行商品でサポート対象機種なんだからオークションなんかに出るわけないだろ

**anonymous** · 2012/05/03(木) 16:39:36.03

>>203
XTやGTは、出てたよ

**anonymous** · 2012/05/03(木) 20:28:05.21

SSGはまだまだ企業で現役でつかえるからでしょ。

**anonymous** · 2012/05/04(金) 06:27:44.36

んなこた、ない。
5GTですら、SSGが出ていない頃も結構出品されてたよ。
企業がそろいもそろってきちんとサポート切れるまで使うわけないじゃん

**anonymous** · 2012/05/04(金) 10:55:40.06

そりゃリストラで支店統廃合が進んでた時期なら不要になる機器は多かったろ。

**anonymous** · 2012/05/04(金) 12:19:37.98

企業だとリース契約が多いから、4,5年で入れ替えでしょ。
で、リースアップ品がottoとかに流れてくる。

**anonymous** · 2012/05/04(金) 12:35:22.24

最近はリプレースしないで再リースで使い続けるパターンが増えてるんだわ

**anonymous** · 2012/05/04(金) 13:17:53.69

CiscoもCheckPointも使いづらいから、SSGばっかり入れてるわ。

**anonymous** · 2012/05/04(金) 13:20:31.65

>>209
それは、大嘘

買取のシェアがわからんけど、
再リース契約の割合はここ10年で極端に落ちてる
オフバランス処理している企業は絶対に買い取らないし。

**anonymous** · 2012/05/09(水) 14:55:58.74

理由があるかどうかわからんけど、SSGは本当に出回らないね。
XTやGTの時は現役だろうが、そうでなかろうが、ある程度の玉は出てたのにね。

**anonymous** · 2012/05/09(水) 16:42:17.25

SSGあんまり売れてないんじゃね？

**anonymous** · 2012/05/11(金) 07:58:18.43

まあ、XTやGTの頃に比べればライバルメーカの機種も良いのが出てきてるからな。

**anonymous@**NWTfb-17p1-74.ppp11.odn.ad.jp · 2012/05/11(金) 22:28:07.38

ジュニパーになって腐ったんだよ

**anonymous** · 2012/05/18(金) 17:31:53.56

ここはSRX化前に逃げとかないといけないからな

**anonymous** · 2012/05/26(土) 00:37:37.93

レスの少なさからも見て取れる状況だよねぇ
ジュニパがんばれというか、
たそがれてんじゃねぇ？というか

売れてるみたいなレスもあるみたいだけど
どう見ても工作員。

ターゲットユーザを考えるに、
そこそこ売れてたらものすごくレスが多いスレになるはずだもんねぇ

**anonymous** · 2012/05/26(土) 23:43:46.41

同じ機種にリプレースするのはってお客さんが多い

**anonymous** · 2012/05/28(月) 08:06:15.68

VIPのmulti-port って、
1つのserviceがマルチになるんじゃなくて、
VIP自体が複数ポートを扱えるようになるんだね。

知らなかった世。

**anonymous** · 2012/06/02(土) 12:09:58.69

SSG5でNAT越しにAD認証（ケルベロス認証）できなくて困ってます。

本番環境なんで簡単に設定変更できないのだけど、
解決できる方法はありますか？
ALGのMSRPCを有効にすればいけますかね？

**anonymous** · 2012/06/02(土) 12:23:38.53

>>220
時間がズレテルとかそんな問題なんじゃね？
ALGにする理由がわかんねぇ

**220** · 2012/06/02(土) 23:04:58.68

>>221

ttp://support.microsoft.com/kb/172227/ja

これが問題で通信が通らないのですが、SSGで
サポートされてますか？

**anonymous** · 2012/06/03(日) 04:18:13.50

>>222
SSGはしらん。

どちらかというと、こっちじゃね？
http://support.microsoft.com/kb/318071/ja

忍法帖【Lv=40,xxxPT】 · 2012/06/03(日) 11:18:53.50

>>220
ある程度切り分けしてもらわないと、わかんないよ。
①ADへはSSGから認証飛んでるの？
②SSGにADからの戻りパケットが届いてる？

**anonymous** · 2012/06/03(日) 21:19:59.88

そもそも、だが、
MS-Kerberosは、Unixをターゲットにしてるから、NBTを通す必要がない「はず」
通す必要がある場合は、DCがNTの場合に限る「はず」

なのでalgは関係ない「はず」

**anonymous** · 2012/06/15(金) 14:10:07.37

5GTで IPv6を通すには？

忍法帖【Lv=40,xxxPT】 · 2012/06/16(土) 08:46:52.49

出来ないと言いたいとこだけど、下記コンソール叩いて再起動すればv6走ると思う。

set envar ipv6=yes

**anonymous** · 2012/06/16(土) 14:05:10.07

>>227
だんけ

**anonymous** · 2012/07/03(火) 11:08:01.11

復活？

**anonymous** · 2012/07/04(水) 13:50:48.65

engawa不安定だのう

**anonymous** · 2012/07/11(水) 12:39:23.90

うちは来春にSSG入れる予定だよ

**anonymous** · 2012/07/13(金) 01:07:54.68

ScreenOS6.4が出ない今、SSGという選択肢は企業にとって正解なのかね？
そのうちEoL発表されそう

Juniper的にはさっさとSRXに行きたいんだろうけど、Junosが糞すぎるから仕方なくScreenOSサポートしてる感があるね

**anonymous** · 2012/07/13(金) 01:59:50.97

素人くさい意見ですまんが
SRXのconfigは縦長すぎて嫌になる。

**anonymous@**NWTfb-16p4-171.ppp11.odn.ad.jp · 2012/07/14(土) 00:07:54.91

srxをEoLにすべき。スクリーンOSどこかパクらないかな。

**anonymous** · 2012/07/14(土) 05:26:52.72

ネットスクリーン導入してる会社がみんな悩んでるところだろ＞SRX化

SRXにつきあうのか、それとも他社にいくのか、って感じで

**anonymous** · 2012/07/17(火) 14:32:29.10

テクノバンとかいう会社がssgのeolを発表してた気がする。
2016/06あたりだったような

**anonymous** · 2012/07/17(火) 15:02:22.40

EOL発表から5年間は保守やるんだろ？

a · 2012/07/17(火) 23:57:26.58

>>236
srcをplz！

**anonymous** · 2012/07/26(木) 10:37:13.72

サポート終了情報 ? ジェイズ・コミュニケーション株式会社
http://jscom.jp/support/products/juniper/screenos/eol

こことNOXによると2015/12/31にEOLだそうで

**anonymous** · 2012/07/26(木) 13:12:52.26

そこに掲載されているのは、あくまで現在リリースされているソフトウェアのEoLでしょ。
SSG自体がEoLになるかは別の話。

**anonymous** · 2012/08/18(土) 05:38:00.58

**anonymous** · 2012/08/23(木) 22:18:37.21

たのむからSRXをさっさとディスコンにして
ScreenOSに一本化してくれ

**anoymous** · 2012/08/29(水) 00:42:33.24

Netscreenいいね！（今更

**anonymous** · 2012/08/29(水) 03:05:14.51

>>239
*2……技術サポート終了 / すべてのサポート終了のいずれか、もしくは両方が延長されています

延長した結果がその日付だから
どうせまた延長されるだけ

ちなみにFW/UTMとしての出荷比率は依然としてSSG 8：SRX 2だってさ
この状況じゃビジネス的に考えてもSSGを打ち切れる訳がない
せめて4:6くらいでも逆転しないと

a · 2012/08/29(水) 20:04:41.26

>>244
逆転は無理。guiが死んでるsrxはssgに慣れ親しんだユーザーにとって苦痛以外の何物でもない。

**anoymous** · 2012/08/29(水) 21:51:51.17

なんでSSGやめたいのかね

**anonymous** · 2012/08/29(水) 23:01:56.20

Juniperに限った話じゃないけど買収した製品は
前の企業名や商品名を排除しようという動きは外資じゃ一般的だと思う。
NetscreenはSSGという名称に変えることはできたけど
ScreenOSを無くす目的でJunOSに移行したいという思いがあるのでしょう

**anoymous** · 2012/08/31(金) 03:01:02.24

売れるもんをつくってりゃいいのにな

**anonymous@**i220-108-110-60.s02.a014.ap.plala.or.jp · 2012/09/04(火) 03:07:17.09

set flow tcp-syn-check strict　は入れといた方が良いのですか？

**anonymous** · 2012/09/10(月) 20:32:15.81

NetScreen204使ってます
TrustにあるサーバーをMIPを使って公開しようとしています。
UnTrust,Trustがあるネットワークで、UnTrustにMIP(Trust内のIP)を設定し、
ポリシー側でもUnTrust→Trustで該当通信を許可しました。
UnTrust側からその通信を試すと意図通りに動作します。
が、Trust内からMIPを設定したIPへ接続しようとしても繋がりません。
要はTrustからUnTrust側のアドレス叩く→NSが折り返す→Trustという動作を
してほしいのですがそうはなりません。
これを解決する方法はあるのでしょうか？
宜しくお願いします。

**anynomous** · 2012/09/10(月) 21:05:30.61

TCP 3way handshakeにおける各パケットの経路を考えたらわかることじゃない？
あとは当たり前のことながら異なるゾーン間の通信はルールが必要

**250** · 2012/09/11(火) 11:56:16.37

すみません。。。
FortiGateとかYAMAHAとかだとこんな感じで動いてくれるんですが
実際のところポリシーで止まってるわけではなくてマッピングが独立してしまってるようです
内部から公開サーバーにアクセスするにはMIPの設定を2重でしないといけないんですかね？

**anonymous** · 2012/09/11(火) 14:25:13.75

globalゾーン当てでいいような

**anon** · 2012/09/12(水) 01:05:39.73

>>252
いや、それでアクセス出来るよ
どこかに落ち度があるはず

**anonymous** · 2012/09/12(水) 09:41:31.01

グローバルIPアドレスをセカンダリIPに設定しちゃってるとか

**250** · 2012/09/12(水) 11:08:48.14

すみません落ち度ありましたorz
じつはDMZに該当のグローバルIPのネットワークを振ってしまっているので、
UnTrust→TrustのときはUnTrustに設定したMIPが効くのですが
Trustからの場合Trust→UnTrust→Trustとなってほしいところが
ルーティングテーブルでTrust→DMZと判断されてMIPが効いてない
感じっぽいです。

なんとかPBRとかソースベースルーティングあたりを使っていけないかと
思っているところです。

もうちょっと考えてみます。
すみませんでした。ありがとうございます。

**anonymous** · 2012/09/12(水) 12:21:48.04

MIPに使用するグローバルIPアドレス(/32)をUntrustにルーティングすれ

**250** · 2012/09/12(水) 18:34:40.73

>>257
！！
完璧です。それで行けました！
ありがとうございます！

**anonymous** · 2012/09/14(金) 09:13:16.50

**anonymous@**58x80x124x76.ap58.ftth.ucom.ne.jp · 2012/09/20(木) 16:20:51.71

わかる人がいましたら教えて下さい

オフィスがSSG140で、VPNクライアントがWin7 + NCPの構成でVPN接続させようとすると
以下のメッセージがクライアントで表示され、接続ができません。

「VPN error VPN gateway not responding[waiting for Msg2]

他にわかっていることは

・数十人いるなかでこの状態となっているのは一人のみ
・NCPを起動したときから上記メッセージが表示されている
・クライアント側ではevo 3dのテザリングを使用していて、
evoから払い出されるIPが、VPN接続先と競合している
・テザリング中のクライアントはgoogleなどインターネット閲覧は可能
・その人は自宅からも接続できない
　(自宅LANのプライベートIPは未調査)
・SSG側ではエラーログなどがまったくない

接続できないのはIP競合が原因だと思っていますが、
その他にも何か知っている事があれば教えて頂けると・・・

**anonymous** · 2012/09/23(日) 01:04:01.69

エラーメッセージからするとSSG140からの応答がありませんってことだし
単純に到達していないと考えるべきだろうね。
要はクライアント側の問題

>・クライアント側ではevo 3dのテザリングを使用していて、
>evoから払い出されるIPが、VPN接続先と競合している
これが理解不能だったんだけど
evo 3d <-> クライアント間はプライベートIPネットワークでいいのかな？
SSG140 <-> internet <-> evo 3dでしょ？
普通SSG140はグローバルIPアドレスだろうし、競合するわけがないと思ってるんだけど
構成で何か認識違いがある？

私なら別回線(可能であれば他端末でつながることを確認できるもの)から
その端末を使ってつながるかどうか見るかな。
それでつながるならクライアント側のネットワークの問題って切り分けできるだろうし

**anon** · 2012/09/23(日) 12:13:12.60

的外れかもしれないけど、Windos7は対応していないという話かも？
うちの環境ではWin7使えませんと案内してた気がする

>・数十人いるなかでこの状態となっているのは一人のみ
ということで他はWindows7で問題なく接続できてるのならごめん

**260** · 2012/09/25(火) 01:00:11.80

260です。レスありがとうございます。??

>>261??
>SSG140 <-> internet <-> evo 3dでしょ？??
社内192.168.1.0 <-> SSG140 <-> Internet <-> evo3G <-> テザリング192.168.1.0 という構成で、??
プライベートネットワークが競合しているという意味です。??

>可能であれば他端末でつながることを確認できるもの??
そうですね。切り分けのためにも正常に繋がるデータカード的な物とかを使ってみてもらいます。??
あとこの人、元々つながっていたのに急に繋がらなくなったという事だったので、原因とかもうすこし掘り下げてみます。??

>>262??
>Windows7は対応していないという話かも？??
NCPセキュアクライアントというのがVPNクライアントなのですが、win7用でライセンス購入もしてるものなんですよね・・・??
他の人のWin7では正常に通信できることを確認しているので、WIN7が悪いわけではなさそうなのですが・・・という感じです。??

**anonymous@**y098055.dynamic.ppp.asahi-net.or.jp · 2012/10/03(水) 22:24:23.99

どうにも先に進めなくなってしまった為、教えてください。
SRX100(JUNOS 11.4R3.7)
論理IFを複数作りたいのですが、Taggingを有効にしないと作成が出来ません。
これってTagging使わずに他の回避方法で作成することはできませんか？
やりたい事としては、論理インターフェースでそれぞれにグローバルIPを持たせてVPNを張りたいと思っています。
タグVLANはWAN側の都合で使えません。

**anonymous** · 2012/10/03(水) 22:58:15.24

ルーティングポートが同じネットワークセグメントに複数あるってことに
なるから、異なる論理インタフェースが同じネットワークセグメントに
属するってのはムリなんじゃないかと。
同じ論理インタフェースに同一セグメントのIPを複数アサインすることは出来る。

ただその場合、security ike gateway内のexternal-interface で
その論理インタフェースを指定した場合に、どのIPアドレスから
IPSecパケットが出力されるかとか、
gateway毎にそのIPを指定できるのかは判らない。

**264** · 2012/10/06(土) 11:45:59.48

>>265
レス遅くてすみません。
同一セグメントはチェックではじかれました。
追加IPアサインも、ご指摘の通りexternal-interfaceが
1つ目のIPで出て行っているみたいで、これもまたXでした。
コマンドからみてみたものの、gatewayの部分はソースIPを決め打ち出来るのもなさそうですね。。

**anonymous** · 2012/11/07(水) 11:30:26.53

UnTrustにグローバルIP(クラスC)、TrustにローカルIPでホストがぶら下がっている構成です。
外部にサーバーを公開するのにnetscreenでMIPをやろうとしているのですが、
MIPに名前をつけられなくて困ってるのですがどうしようもないんでしょうか…。
数百個あるMIPのポリシーをIPアドレスだけで管理するのはしんどいです。
何かいい方法ありますでしょうか？

**anonymous** · 2012/11/07(水) 18:49:23.32

ないんじゃね？

**anoymous** · 2012/11/07(水) 19:32:25.19

台帳作って頑張れ

**anonymous** · 2012/11/07(水) 20:07:29.26

Policy based NATについて教えて下さい。

NetScreen25 5.4.0r13.0 で、外部にサーバを公開するのにInterface NATで
VIPを使ってます。グローバルアドレスは１個のみ。
公開するポート数が増えて来て、VIPに設定出来る上限に達したので、
Policy based NATに変更しようとしていますが、外部からの通信が出来なく
なりました。

設定は
ethernet1 Trust route
ethernet3 Untrust route

AddressListのTrustに、公開したマシンhogehogeのIPを登録
ServicesのCustomに、開けたいポート45000をfooで登録

VIPの設定を全て消して、ポリシーを

set policy id 100 from "Trust" to "Untrust" "Any" "Any" "ANY" nat src permit
set policy id 100
set policy id 200 from "Untrust" to "Trust" "Any" "hogehoge" "foo" permit
set policy id 200

id 100の設定で、内→外への通信は問題なし。外→内がＮＧでログを取ってみてもログにすら
乗らない状態です。

set policy id 200 from "Untrust" to "Trust" "Any" "hogehoge" "foo" nat dst ip xxx.xxx.xxx.xxx port 45000 permit
set policy id 2

としてみましたが、これも上手く行かず。Policy based NATは単にルール書く
だけだと思ってたのですが、何か足りないでしょうか？

**anonymous** · 2012/11/07(水) 20:27:27.95

set vip multi-port

**270** · 2012/11/07(水) 22:51:32.30

レスありがとうございます。

vip multi-portはVIPで運用していた時に設定したのがそのまま残ってました。
試しに消して見ましたが状況変わらずです。

**anonymous** · 2012/11/08(木) 07:16:59.23

ポリシーベースNATは、嘘ルーティングが必要。
この場合、hogehoge のIPが、Trust1の先にあるように見せかける必要がある。

set route x.x.x.x(hogehogeのIP)/32 interface ethernet1

こうすることで、外から入ってきたhogehoge宛のパケットが、
Untrust→Trustのゾーンの対象となって、その結果ポリシーにマッチして
NATされる。

**267** · 2012/11/08(木) 16:44:27.14

>>268 >>269
そうですよね…
ありがとうございました

**270** · 2012/11/08(木) 20:04:08.40

>>273
レスありがとうございます。
教えて戴いたようにルーティングの設定してみましたが、状況変わらずでした…。

ちなみに、各アドレスが、

ethernet3 Untrust プロバのグローバルアドレス
ethernet1 Trustが、192.168.0.1
hogehogeが、192.168.0.10

として

>この場合、hogehoge のIPが、Trust1の先にあるように見せかける必要がある。

との事ですが、hogehogeのIPとTrustのIPが同じネットワークアドレスだと嘘ルート
書いても書かなくても同じですよね？

試しに以下をやって見ましたが駄目でした。

hogehogeを、10.0.0.1
fooは45000で変更なし

set route 10.0.0.1/32 interface ethernet1
set policy id 200 from "Untrust" to "Trust" "Any" "hogehoge" "foo" nat dst ip 192.168.0.10 port 45000 permit

マニュアルのアドレス変換にあるNAT-DST 多対 1 のマッピングの考えで良いと思
うのですが…

**273** · 2012/11/08(木) 21:03:37.33

すみません、

>この場合、hogehoge のIPが、Trust1の先にあるように見せかける必要がある。
これは、hogehogeがグローバルIPという理解で書いてました。

具体的に言うと、
・送信元『1.1.1.1』
・送信先『2.2.2.2』←これが自分の持つグローバルIPとして
・プライベートIP『10.10.10.10』←このIPに変換したい

ということをポリシーベースNATで行おうとする場合、2.2.2.2/32
について嘘ルーティングを書いてあげる必要がある・・・・のですが、

これが出来るのって、ルーティング用（インタフェース用）の
グローバルIP以外のグローバルIPでないと出来ないですね。
グローバルIPがひとつだと、やったこと無いけど、
おそらくムリかと・・・ルーティング設定が入らないと思うし、
入ったら、余計に変なことになる気がします。

**270** · 2012/11/09(金) 01:30:13.02

>>273

ありがとうございます
なるほどそういう事でしたか。

しかしYAMAHAやCiscoでは出来るのにNetScreenで出来ないのは
悔しいなぁ(´・ω・`)

**anonymous** · 2012/11/19(月) 11:44:43.26

UnTrust : グローバルIP/30
DMZ : グローバルIP/25
Trust : ローカルIP

こんな構成でTrust->UnTrustはポリシーでSrc-NATかけています。
これで現在外に出て行くIPはUnTrustのI/FのIPになるのですが、
これをなんとかDMZのI/FのIPで出て行くようにできないでしょうか。
ちょっと無理な気はしていますが妙案があるようなら教えてください。
よろしくお願いします。

**anonymous** · 2012/11/19(月) 12:01:35.74

あんなんバードにすりゃ行けなくない？

**anonymous@**i118-21-113-185.s30.a048.ap.plala.or.jp · 2012/11/30(金) 11:47:54.56

教えて下さい。

NetScreen5GT OS5ですが、マルチPPPoEセッションはれないのでしょうか。
具体的にはISPとフレッツ・スクエアの同時接続をしたいです。

**anonymous** · 2012/11/30(金) 22:11:50.47

遠い記憶だけど、サブインターフェース2個作ってそれぞれでPPPoE設定するんじゃなかったっけ？
間違ってたらごめんね。

**280** · 2012/12/01(土) 14:34:19.41

>>281
キーワードでぐぐってみたら、できそうな解説ありました。
めっちゃありがとうございます。

**anonymous@**07002190030746_ea · 2012/12/20(木) 11:35:30.77

ssg5なんですが
WebUIでポートのduplexって設定できますか？
Interfacesの箇所になかったのでCLIだけですかね？

**anonymous** · 2012/12/24(月) 22:12:53.66

グローバルIP一個の環境で、NS-5GTのTrust側に設置したPacketiXの
L2TP/IPsecにiPhoneから接続しようと試みていますが、行き詰って
います。

PacketiXサーバのUDP500とUDP4500に5GTのVIPを設定してますが、
接続できません。
MIPなら問題なく繋がるのですが、複数サーバを公開したいので、
できればVIPで設定したいのです。

手持ちのルーター、YAMAHA RTA54i、LINKSYS BEFSR41C-JP V3、
Buffalo BBR-4HG は上記ポートのNAT設定で問題なく接続できました。

ScreenOSの場合、UDP500、4500のVIP以外に何らかの設定が必要
なのでしょうか？

やりたいことは下記の質問者と同じなのですが、この方も解決には
至っていないようです。
http://www.juniperforum.com/index.php?topic=1541.0

2012/12/26(水) 11:29:46.16

>>284
PacketiXやったことないがUDP 1701もいるんじゃねーの？
調べてやってみそ。違ったらスマソ。

**284** · 2012/12/27(木) 12:35:41.63

>>285
UDP1701もVIPしてみましたが、同じでした。

そもそもiPhoneから5GTに直接VPN接続できれば無問題なのに、
それもできなくて試行錯誤中です。

もうASAでも買おうかな。。。高いけど。

**anonymous** · 2012/12/27(木) 15:43:31.64

俺も5GTとiphoneの組み合わせは挫折した。
c1812ならipsecでもSSL-VPNでもなんでも繋がったからオヌヌメ。

**285** · 2012/12/27(木) 20:07:12.33

ちょいとググったら気になる内容が・・・
ttp://www.hs-juniperproducts.jp/faq/ssg_netscreen.html#link05_27

VIPの設定でUDP500設定しても効かないってことなんじゃね？

**284** · 2012/12/27(木) 23:51:01.49

>>288
うーん、確かにこの内容の制約に引っかかってるようです。
おそらく自分自身がIKEサービスを提供してるため、そこを開放しない
のでしょうね。

結局IKEはVIPで通せないので、MIPで通すかScreenOSを諦めるしか
ないのか。

ブラウザだけで設定できる手軽さと、高機能が気に入って長らく
使ってきたけど、そろそろ世代交代でしょうかね。

家で使うには機能的に困ることは今まで無かったんだけど。。。

**anonymous** · 2012/12/28(金) 01:02:11.80

パケットキャプチャか通信ログ確認すればIKE通ってるか見れる
だろうけど面倒だし、スレの過疎っぷりからわかるように情報少ない。

CLIに抵抗ないならCiscoかYAMAHAの安いやつ薦めとくわ。
乙

**anonymous@**p4022-ipbf2009marunouchi.tokyo.ocn.ne.jp · 2013/01/02(水) 22:29:04.41

testzone → trust → untrust

上記みたいな感じでゾーンをまたぐようなポリシーってどう書けばいいんだろう。
そもそもできないのかな。

**anonymous** · 2013/01/03(木) 01:42:13.82

>>291
そのトラフィックに沿ったポリシーを書くだけ
一度で済まそうとか考えるからそうなる

**anonymous@**p4197-ipbf6802marunouchi.tokyo.ocn.ne.jp · 2013/01/03(木) 09:26:26.96

>>292

おお、うまくいきました。ありがとうございます。

**anonymous** · 2013/03/23(土) 00:27:06.21

RAプロキシ使えないのか。。

**anonymous@**h200039.dynamic.ppp.asahi-net.or.jp · 2013/03/31(日) 13:00:44.58

すみませんがちょっと教えてください。
中古のNetScreen5GTを購入しようと思うのですが

NetScreen Ns-5GT-207-03
NetScreen Ns-5GT-107-03

この107/207の違いって何を表してるんでしょうか？

また型番からHA Liteのライセンスがあるかどうか
を判断することは可能でしょうか。

よろしくお願いいたします。

**anonymous** · 2013/03/31(日) 16:28:33.52

自分が覚えてる有線の機種しか書いてないのであしからず。

NS-5GT-007 NS-5GT 10user
NS-5GT-107 NS-5GT Plus 無制限user
NS-5GT-207 NS-5GT Extended 無制限user

詳細は適当にググって出てきたこの資料でも見れ。
ttp://www.scs.co.jp/netscreen/pdf/ns5_matrix.pdf

**anonymous@**h200039.dynamic.ppp.asahi-net.or.jp · 2013/03/31(日) 18:22:27.42

ご親切にありがとうございました。

HA Liteも設定してみたいので207にすることにします。

**anonymous@**FLH1Alr067.tky.mesh.ad.jp · 2013/05/11(土) 02:20:55.42

初歩的な質問で申し訳ないですが、
NSRPの切り替わり時と切り戻し時に時間が差異があります。
Hold-downはデフォルトです。
Master側のmoniterインターフェースの1本を抜き差しすると
切り替わり時は3秒程度ですが、切り戻し時は3倍以上時間がかかります。
この差はなぜ発生するのか、宜しければどなたかご教示下さい。

**anonymous@**120.143.13.30.static.zoot.jp · 2013/06/29(土) 20:48:18.87

SSGも320M以上はx86なんだし
VirtualAppliance版出ないんだろうか・・・。