जुनिपर SRX100, परिचित

दूसरे दिन वे मुझे लंबे समय से प्रतीक्षित जुनिपर SRX100 लाए।
उस समय तक, मैंने मुख्य रूप से सिस्को और 2800, 800 जैसे राउटर की एक श्रृंखला के साथ बात की थी।
जहां तक ​​मैं समझता हूं, मैं गलत हो सकता हूं, यह उपकरण हार्डवेयर फायरवॉल के वर्ग के करीब है।
कटौती के तहत, लोहे और इंटरनेट के इस टुकड़े का प्रारंभिक विन्यास।

समावेश

वह खोला, स्थापित, कंसोल केबल से जुड़ा, पावर बटन की उपस्थिति से आश्चर्यचकित था।
डाउनलोड ने मुझे दिखाया कि यह डिवाइस FreeBSD ARM पर आधारित है। 3 मिनट के लिए डिफ़ॉल्ट कॉन्फ़िगरेशन के साथ लोड किया गया।
मैंने कोई दस्तावेज नहीं पढ़ा है। मैं लॉग इन हूं।
दूसरे प्रयास में, मैंने रूट का अनुमान लगाया, बिना पासवर्ड के।
फिर अगले आश्चर्य ने मेरा इंतजार किया। एक सांत्वना थी। नहीं, क्ली नहीं, बल्कि / बिन / श!
इंटरनेट पर कहीं देखा है, यह पता चला है कि cli JunOS में जाने के लिए आपको आश्चर्यजनक रूप से, "cli" लिखना होगा।

screen /dev/ttyUSB0
root@hostname% whoami
--- JUNOS 11.2R4.3 built 2011-11-24 08:11:51 UTC
root
root@hostname% cli
root@hostname>


प्रारंभिक सेटअप

और इसलिए पहली चीज यह रूट के अलावा एक उपयोगकर्ता बनाने के लिए अनुशंसित है।
अगला, रूट पासवर्ड बदलें।

> show configuration system | display set
set system root-authentication encrypted-password ""

set system login user admin class super-user
set system login user admin authentication encrypted-password ""
यदि आप कमांड दर्ज करने के बाद पासवर्ड दर्ज करना चाहते हैं - उपयोग करें:
एन्क्रिप्टेड-पासवर्ड के बजाय सादा-पाठ -पासवर्ड

सिस्को के विपरीत, कमांड तुरंत लागू नहीं होते हैं।
कॉन्फ़िगरेशन को लागू करने के लिए, आपको लिखना होगा

प्रतिबद्ध

यदि सब कुछ सही है, तो प्रतिक्रिया पूरी हो जाएगी।
यदि कोई त्रुटि है - प्रदर्शित करता है कि वह कहाँ है।

रूट पासवर्ड देना होगा! अन्यथा, प्रतिबद्ध विफल हो जाएगा।

कॉन्फ़िगरेशन और ऑपरेटिंग मोड देखें

मैं नहीं भूल पाया, जैसा कि जूनो में सिस्को IOS में दो मुख्य कमांड-लाइन इंटरफ़ेस मोड हैं।
1. कमांड निष्पादित करने के लिए, निमंत्रण ">" के साथ समाप्त होता है
2. कॉन्फ़िगरेशन बदलने के लिए, प्रॉम्प्ट "#" के साथ समाप्त होता है

अभी भी श है, यह "%" के साथ समाप्त होता है, लेकिन निकट भविष्य में यह हमारे लिए उपयोगी नहीं होगा।

यदि आप किसी भी कमांड को निष्पादित करने के लिए कॉन्फ़िगरेशन मोड से स्विच करने के लिए बहुत आलसी हैं, तो आप रन कमांड को शुरुआत में जोड़ सकते हैं।
उदाहरण के लिए
#run ping ya.ru

कॉन्फ़िगरेशन मोड में प्रवेश, कमांड को कॉन्फ़िगर करें, कमांड मोड से बाहर निकलें - बाहर निकलें

वर्तमान कॉन्फ़िगरेशन को देखना दोनों मोड में भी संभव है।
टीम से -
show configure
विन्यास से
show

इन कमांड का आउटपुट सबसे ज्यादा पढ़ा जाने वाला, संरचित टेक्स्ट है।
उदाहरण के लिए:

  कॉन्फ़िगर सेवाओं को दिखाएं
 सेवाएं {
     ssh;
     टेलनेट;
     xnm साफ-पाठ;
     वेब प्रबंधन {
         प्रबंधन- url my-jweb;         
         http {                          
             इंटरफ़ेस vlan.0;           
         }                               
         https {                         
             सिस्टम-जनित-प्रमाण पत्र,
         }                               
     }                                   
     dhcp {                              
         राउटर {                        
             192.168.8.1;                
         }                               
         पूल 192.168.8.0/24 {           
             पता-सीमा कम 192.168.8.100 उच्च 192.168.8.200;
         }                               
         प्रचार-सेटिंग vlan;        
     }                                   
 } 

पठनीय है, लेकिन इतनी आसानी से लागू नहीं है।
कमांड को एक मोड में आउटपुट करने के लिए जिसमें उन्हें उपकरणों के बीच आसानी से स्थानांतरित किया जा सकता है, आप जोड़ सकते हैं | प्रदर्शन सेट

प्रदर्शन सेट के साथ नमूना उत्पादन:
show system services | display set
set system services ssh
set system services telnet
set system services xnm-clear-text
set system services web-management management-url my-jweb
set system services web-management http interface vlan.0
set system services web-management https system-generated-certificate
set system services dhcp router 192.168.8.1
set system services dhcp pool 192.168.8.0/24 address-range low 192.168.8.100
set system services dhcp pool 192.168.8.0/24 address-range high 192.168.8.200
set system services dhcp propagate-settings vlan


सिद्धांत रूप में, स्वरूपित आउटपुट को भी कॉपी और लागू किया जा सकता है। यहाँ एक उदाहरण है कि कैसे:

 रूट @ ट्रांस-एल-सर्विस # शो सुरक्षा नेट प्रॉक्सी-एआरपी                     
 इंटरफ़ेस vlan.0 {
     पता {
         192.168.8.2/32;
         192.168.8.201/32 से 192.168.8.210/32;
     }
 }

load merge terminal relative
फिर कोड का एक टुकड़ा, और अंत में नियंत्रण + डी

नेटवर्क

इंटरफेस

डिफ़ॉल्ट रूप से, इंटरफ़ेस vlan0 के सदस्य हैं, सभी लेकिन शून्य। (Fe-0/0/0)

मैंने पहले इंटरफ़ेस को vlan से बाहर निकालने का फैसला किया और इसे इस तरह कॉन्फ़िगर किया:
set interfaces fe-0/0/1 unit 0 family inet address 11.11.187.104/25 primary

इंटरफ़ेस जहां कंप्यूटर अटक गया है:
set interfaces fe-0/0/2 unit 0 family ethernet-switching vlan members vlan-trust

खुद को कॉन्फ़िगर करना
set vlans vlan-trust vlan-id 3
set vlans vlan-trust l3-interface vlan.0
set interfaces vlan unit 0 family inet address 192.168.8.1/24
गुरु मुझे ठीक कर दें, यहाँ पहली पंक्ति में इंटरफेस के बीच स्विच करने की क्षमता शामिल है, दोपहर में - डिफ़ॉल्ट रूप से वलान सेट करता है। कैसे पता लगाने के लिए सामान्य - सदस्यता समाप्त करें।

डिफ़ॉल्ट गेटवे:
show routing-options | display set
set routing-options static route 0.0.0.0/0 next-hop 11.11.187.1

डीएनएस को बख्श दिया गया, लेकिन हर फायरमैन के लिए
set system name-server 8.8.8.8
set system name-server 8.8.4.4

नेट

खैर, यहां हम सबसे दिलचस्प आते हैं।
अब मैं आपको और अधिक सरलता से बताने की कोशिश करूँगा, लेकिन मैं इसे अगले लेख में जटिल करूँगा।
स्रोत नेट के साथ एक स्पष्ट मामला शुरू करते हैं, अर्थात, घर और एसएमबी वातावरण में सबसे अधिक रूटर्स की आवश्यकता क्या है।

और इसलिए, फिर भी, नेट के बारे में बात करने से पहले, "ज़ोन" जैसी चीज़ का उल्लेख करना आवश्यक है।
नेटवर्क का वर्णन और तार्किक रूप से संयोजन करने के लिए, साथ ही साथ एक ज़ोन के भीतर फ़ायरवॉल नियमों का वर्णन करने के लिए ज़ोन की आवश्यकता होती है। डिफ़ॉल्ट रूप से, हमारे पास 2 क्षेत्र हैं:
पहला भरोसा है , स्थानीय नेटवर्क के लिए जिम्मेदार,
दूसरा अविश्वास है , इंटरनेट के लिए जिम्मेदार है।

मैं एक उदाहरण दूंगा:

 सुरक्षा-क्षेत्र का भरोसा {
     होस्ट-इनबाउंड-ट्रैफ़िक {
         सिस्टम-सेवाएं {
             सभी;
         }
         प्रोटोकॉल {
             सभी;
         }
     }
     इंटरफेस {
         vlan.0;
     }
 }
 सुरक्षा क्षेत्र अविश्वास {
     स्क्रीन अविश्वसनीय स्क्रीन;
     होस्ट-इनबाउंड-ट्रैफ़िक {
         सिस्टम-सेवाएं {
             ssh;
             आइक;
             https;
             पिंग;
         }
     }
     इंटरफेस {                        
         fe-0/0 / 0.0 {                    
             होस्ट-इनबाउंड-ट्रैफ़िक {      
                 सिस्टम-सेवाएं {       
                     DHCP;               
                     TFTP;               
                 }                       
             }                           
         }                               
         fe-0/0 / 1.0;                     
     }                                   
 } 

इस उदाहरण में, इन बहुत 2 क्षेत्रों का वर्णन किया गया है।
ट्रस्ट क्षेत्र में, इंटरफेस में प्रवेश करने वाले सभी ट्रैफ़िक की अनुमति है।
अविश्वास क्षेत्र में, आने वाली ssh, ike, https, ping की अनुमति है।
यहां हम उदाहरण के लिए वर्णन करते हैं कि क्या कोई व्यक्ति ssh के माध्यम से राउटर को प्राप्त कर सकता है यदि राउटर ने अपने ट्रैफिक को एक अविश्वसनीय क्षेत्र के रूप में पहचाना है।

अगला, हमें ज़ोन के बीच ट्रैफ़िक अनुमतियों का वर्णन करना होगा:

 सुरक्षा नीतियां दिखाएं
 अंचल ट्रस्ट से अंचल अविश्वास {
     नीति विश्वास-अविश्वास {
         मैच {
             स्रोत-पता कोई;
             गंतव्य-पता कोई;
             किसी भी आवेदन;
         }
         फिर {
             की अनुमति;
         }
     }
 }

इसके द्वारा हम बाहर की ओर किसी भी आंतरिक यातायात के मार्ग की अनुमति देते हैं।

खैर, लंबे समय से प्रतीक्षित स्रोत नेट

 स्रोत {
     नियम-आधारित विश्वास-से-अविश्वास {
         जोन ट्रस्ट से;
         जोन अनट्रेंड करने के लिए;
         नियम स्रोत-नियम-नियम {
             मैच {
                 स्रोत-पता 0.0.0.0/0;
             }
             फिर {
                 स्रोत- नट {
                     इंटरफेस;
                 }
             }
         }
     }

समापन

हेबर पर मेरा दूसरा लेख।
मैं किसी भी रचनात्मक आलोचना को स्वीकार करूंगा और मैं उनका आभारी रहूंगा। मुझे यकीन है कि मैं अभी तक इस उपकरण पर प्रवाह-नीति का पता नहीं लगा पाया हूं। उदाहरण के लिए, मैंने अभी तक स्क्रीन के बारे में नहीं पढ़ा है।
अगला कदम तीसरे पक्ष के उपकरणों के साथ IPSec साइट-टू-साइट को कॉन्फ़िगर करना है। और डायनामिक-वीपीएन। पहले से ही लागू है, यह लिखना बाकी है।
अभी तक लागू नहीं हुआ है, लेकिन मैं इसे पकड़ने की कोशिश करूंगा:
त्रिज्या प्राधिकरण
2 वान चैनल
असफल हो जाना।

मैं भी 5505 एसीए में एक समान कार्य का सामना करता हूं, लेकिन यह एक और कहानी है।

साहित्य

www.juniper.net/techpubs/en_US/junos11.4/information-products/pathway-pages/srx-series/index.html सबसे पहले जहां जाना है।
मैं विशेष रूप से सुरक्षा कॉन्फ़िगरेशन गाइड की सलाह देता हूं।
www.juniper.net/techpubs/en_US/junos11.4/information-products/topic-collections/security/software-all/security/index.html
मैंने इसके संस्करण को टेबलेट पर अपलोड किया और इसे गहनता से पढ़ा।