😯 🏄 🤰🏻 जुनिपर एसआरएक्स रूटर्स का प्रारंभिक कॉन्फ़िगरेशन 👩🏾‍🤝‍👩🏻 👩🏻‍🎨 🚴🏾

इस लेख में, मैं अधिकतम समझदारी से बात करने की कोशिश करूँगा कि जुनिपर SRX श्रृंखला को बॉक्स से बाहर कैसे कॉन्फ़िगर किया जाए। इस तरह का एक लेख पहले से मौजूद है: habrahabr.ru/post/144218 , हालांकि, मेरा अधिक पूर्ण और विस्तृत सेटिंग्स है।
क्यों बिल्कुल जुनिपर SRX, और SRX100 या SXR240 जैसे कुछ विशिष्ट मॉडल नहीं? हां, केवल इसलिए कि पूरी तरह समान प्लेटफॉर्म के कारण सेटिंग्स पूरी तरह से समान होंगी - जूनोस ओएस। यह बहुत सुविधाजनक है जब उपकरण मूल्य और प्रदर्शन में भिन्न प्रतीत होते हैं, बिल्कुल उसी तरह से कॉन्फ़िगर किए जाते हैं। यह सिर्फ Junos OS के फायदों में से एक है।

सबसे पहले, हमें जुनिपर कंसोल में जाने की आवश्यकता है। बेशक, वेब इंटरफ़ेस के माध्यम से प्रारंभिक कॉन्फ़िगरेशन का विकल्प है, लेकिन किसी कारण से यह हमेशा पुराने फर्मवेयर (संस्करण 10) में पर्याप्त रूप से काम नहीं करता है। और सामान्य तौर पर, इस तथ्य की आदत डालें कि वेब इंटरफ़ेस है, लेकिन हम वास्तविक सिस्टम प्रशासक बनना चाहते हैं? और फिर स्थिति की कल्पना करें, आप एक कार में ड्राइव कर रहे हैं, एक ट्रैफिक जाम में खड़ा है, और वे आपको फोन करते हैं और आपको गेटवे पर तत्काल कुछ कॉन्फ़िगर करने के लिए कहते हैं। आपके पास अपनी उंगलियों पर सभी मोबाइल इंटरनेट धीमा है। यदि आप वेब-थूथन के जीयूआई के माध्यम से कुछ कॉन्फ़िगर करने का कार्य करते हैं, तो इसमें बहुत लंबा समय लगेगा। यह इस तथ्य को नहीं गिना रहा है कि सुरक्षा कारणों से नेटवर्क के बाहर वेब थूथन बंद होना चाहिए।

आप कंसोल पोर्ट के माध्यम से कंसोल से जुड़ सकते हैं। यह कैसे दिखता है यह आंकड़ा में दिखाया गया है:

पहली नज़र में, यह एक नियमित आरजे -45 है, लेकिन ऐसा नहीं है। वास्तव में, इस कनेक्टर का ईथरनेट पोर्ट से कोई लेना-देना नहीं है। यह कनेक्टर केवल नियंत्रण उपयोग के लिए है न कि किसी और चीज के लिए। कंप्यूटर के COM पोर्ट के लिए कंसोल पोर्ट को जोड़ने के लिए जुनिपर हमेशा एक एडेप्टर है। इसलिए हमें करने की जरूरत है।
इसके बाद, साइट www.putty.org.ru से पुट्टी क्लाइंट डाउनलोड करें और इसे लॉन्च करें। एक विंडो दिखाई देती है जिसमें हमें सीरियल और पोर्ट डालने की आवश्यकता होती है। कंप्यूटर से राउटर को कनेक्ट करने के बाद पोर्ट नंबर को विंडोज के "डिवाइस मैनेजर" में देखा जा सकता है। हमारे उदाहरण में, यह COM3 है।

"ओपन" पर क्लिक करके, हम जुनिपर से जुड़ेंगे। वैसे, अगर हम इसे पहले चालू करते हैं, और फिर (ओएस को लोड करने के लिए इंतजार करने के बाद), इसे कंसोल पोर्ट के माध्यम से कनेक्ट करते हैं, तो हम कोई निमंत्रण नहीं देखेंगे, लेकिन बस एक काली स्क्रीन। यह सामान्य है। आपको बस अपना उपयोगकर्ता नाम और पासवर्ड दर्ज करना होगा और हम सिस्टम में पहुंच जाएंगे।
यदि हम पहले जुनिपर को तारों से जोड़ते हैं और फिर इसकी शक्ति को चालू करते हैं, तो हम कंसोल में Junos OS बूट प्रक्रिया देखेंगे। कुछ बिंदु पर, सिस्टम हमसे पूछेगा: "कमांड प्रॉम्प्ट के लिए तुरंत बूट या स्पेस बार हिट करें"। यदि हम "स्पेस" दबाते हैं (इसके लिए एक सेकंड दिया जाता है), तो हम रिकवरी कंसोल में पहुंच जाते हैं। अगर हम रूट पासवर्ड भूल जाते हैं तो यह काम आ सकता है। लेकिन यह नहीं भूलना बेहतर है। पासवर्ड पुनर्प्राप्ति प्रक्रिया का वर्णन यहाँ किया गया है www.juniper.net/techpubs/software/junos-security/junos-security11.1/junos-security-admin-guide/index.html?user-recover-root-pwd-srx.html
जब हमने पहली बार जुनिपर की स्थापना की, तो हमें खाली पासवर्ड के साथ रूट करने की आवश्यकता है। भविष्य में, सिस्टम को निश्चित रूप से आपको इसके लिए रूट पासवर्ड निर्दिष्ट करने की आवश्यकता होगी।
लॉगिन पासवर्ड दर्ज करने के बाद, कमांड प्रॉम्प्ट दिखाई देता है:

जूनो ओएस के ऑपरेशन के तीन तरीके हैं:
1. यूनिक्स चला (श), "जड़ @ srx%" की तरह एक संकेत है। चूंकि Junos OS FreeBSD पर आधारित है, इसलिए लॉगिन के बाद हमें जो पहला स्थान मिलता है, वह यूनिक्स है। जुनिपर पर कुछ भी नहीं करना बेहतर है। हम क्ली दर्ज करते हैं, एंटर दबाते हैं और हमें वास्तव में जूनोस ओएस के खोल में मिलता है।
2. ऑपरेशनल मोड, प्रॉम्प्ट है "रूट @ srx>"। यह मूल रूप से डिबग और मॉनिटरिंग मोड है। आप इसमें राउटर के महत्वपूर्ण मापदंडों को देख सकते हैं, इस मोड में भी, उदाहरण के लिए, एक सॉफ्टवेयर अपडेट और रिबूट-शटडाउन जैसे संचालन किए जाते हैं। यदि हम एडिट या कॉन्फ़िगर करते हैं, तो हम ऑपरेशन के सबसे महत्वपूर्ण मोड में आते हैं।
3. कॉन्फ़िगरेशन मोड में, "रूट @ srx #" प्रॉम्प्ट है। इस मोड में, राउटर कॉन्फ़िगर किया गया है, अर्थात। कॉन्फिग को एडिट करना और लगाना। यह मोड मुख्य मोड है जिसमें आपको काम करना है। इसके अलावा, यहां से, सुविधा के लिए, आप रन कमांड का उपयोग करके ऑपरेटिंग मोड कमांड चला सकते हैं। उदाहरण के लिए, आप कॉन्फ़िगरेशन मोड से पिंग शुरू नहीं कर सकते, लेकिन आप रन: run ping 1.2.3.4. कमांड run ping 1.2.3.4. उपयोग कर सकते हैं run ping 1.2.3.4.
इसके बाद, मैं प्रपत्र ge-0/0 / x के इंटरफेस के नामों का उल्लेख करूंगा। ये गीगाबिट इंटरफेस हैं। हालांकि, जुनिपर SRX100 में 100 एमबीपीएस इंटरफेस है, उन्हें fe-0/0 / x कहा जाता है। वास्तव में, कॉन्फ़िगरेशन इंटरफ़ेस नामों के बिल्कुल समान होगा, ध्यान रखें।

आइए कमांड लाइन से जुनिपर के प्रारंभिक कॉन्फ़िगरेशन को शुरू करें। हमारे कार्य:
1. रूट प्रमाणीकरण और अन्य महत्वपूर्ण मापदंडों (डीएनएस, डीएचसीपी) को कॉन्फ़िगर करें।
2. ge-0/0/1 से ge-0/0/7 इंटरफेस पर स्विच पोर्ट (जिसे SOHO रूटर्स में LAN पोर्ट कहा जाता है) को कॉन्फ़िगर करें।
3. इंटरनेट को कॉन्फ़िगर करें ge-0/0/0 / इंटरफ़ेस पर। दो विकल्प: या तो प्रदाता हमें सीधे आईपी पता देता है, या हम इसे पीपीपीओई (केबल इंटरनेट या एडीएसएल) के माध्यम से प्राप्त करते हैं। VLAN और L2TP के माध्यम से इंटरनेट प्राप्त करने के विकल्पों पर विचार नहीं किया जाएगा।
4. सुरक्षा क्षेत्रों और नीतियों को कॉन्फ़िगर करें।
5. स्थानीय नेटवर्क को इंटरनेट वितरित करने के लिए NAT कॉन्फ़िगर करें।

ऐसा करने के दो तरीके हैं: मैन्युअल या प्रारंभिक सेटअप विज़ार्ड के माध्यम से। विज़ार्ड को कमांड से शेल से लॉन्च किया जा सकता है:

root@srx% config-wizard

प्रारंभिक सेटअप विज़ार्ड यहां वर्णित है: www.juniper.net/techpubs/hardware/junos-jseries/junos-jseries96/junos-jseries-hardware-guide/jd0e12614.html । सामान्य तौर पर, यदि आप अंग्रेजी जानते हैं और शब्दों में निर्देशित हैं, तो आप बिना किसी नियमावली के अपने आप को सब कुछ कॉन्फ़िगर कर सकते हैं, लेकिन सिर्फ मामले में, मैं सेटिंग्स के स्पष्टीकरण के साथ एक तालिका दूंगा।

होस्ट नाम दर्ज करें:	यहां हम जुनिपर का नाम दर्ज करते हैं। यह कमांड प्रॉम्प्ट पर दिखाई देगा। यह विशुद्ध रूप से दृश्य भूमिका निभाता है।
कृपया रूट पासवर्ड दर्ज करें: रूट पासवर्ड:	यहां हम सुपर-रूट उपयोगकर्ता (आवश्यक) का पासवर्ड दर्ज करते हैं
क्या आप एक डोमेन नाम कॉन्फ़िगर करना चाहेंगे? [हाँ, नहीं] (नहीं): डोमेन नाम दर्ज करें:	यहां डोमेन नाम दर्ज करें (वैकल्पिक)
क्या आप नाम सर्वर कॉन्फ़िगर करना चाहेंगे? [हाँ, नहीं] (नहीं): नाम सर्वर के लिए IP पता दर्ज करें: क्या आप वैकल्पिक नाम सर्वर को कॉन्फ़िगर करना चाहेंगे? [हाँ, नहीं] (नहीं): नाम सर्वर के लिए IP पता दर्ज करें:	यहां हम प्राथमिक DNS सर्वर का पता दर्ज करते हैं (अत्यधिक वांछनीय) और यहाँ माध्यमिक का पता है (वैकल्पिक)
निम्न नेटवर्क इंटरफ़ेस कॉन्फ़िगर करें पहचानकर्ता ... इंटरफ़ेस .... १ ........ भू-० / ० / ० .... २ ........ भू-० / ० / १ .... ३ ........ भू-० / ० / २ कृपया इंटरफ़ेस पहचानकर्ताओं का चयन करें: इस इंटरफ़ेस के लिए IP पता: इस इंटरफ़ेस के लिए सबनेट मास्क की लंबाई [1–32] (32): इस इंटरफ़ेस को संबद्ध करने के लिए एक सुरक्षा क्षेत्र नाम दर्ज करें:	यह राउटर के भौतिक इंटरफेस की एक सूची है। यदि हम इस या उस इंटरफ़ेस को कॉन्फ़िगर करना चाहते हैं, तो हमें सूची में इसकी संख्या का चयन करना होगा यहां हम इंटरफ़ेस नंबर दर्ज करते हैं यहां हम इसका नया आईपी पता दर्ज करते हैं यहां हम सबनेट मास्क निर्दिष्ट करते हैं और यहां हम उस सुरक्षा क्षेत्र को इंगित करते हैं जिसमें इंटरफ़ेस संबंधित है (उदाहरण के लिए, आंतरिक नेटवर्क के लिए विश्वास, इंटरनेट के लिए अविश्वास)
क्या आप डिफ़ॉल्ट गेटवे कॉन्फ़िगर करना चाहेंगे? [हाँ, नहीं] (नहीं): डिफ़ॉल्ट गेटवे के लिए IP पता दर्ज करें:	यहां हम मुख्य गेटवे का पता दर्ज करते हैं जो प्रदाता ने हमें दिया था।
क्या आप एक नया उपयोगकर्ता खाता बनाना चाहेंगे? [हाँ, नहीं] (नहीं): एक नया उपयोगकर्ता नाम दर्ज करें: उपयोगकर्ता पासवर्ड दर्ज करें पासवर्ड को फिर से लिखें:	यहां आप रूट (वैकल्पिक) के अलावा एक नया उपयोगकर्ता बना सकते हैं। यह उपयोगी हो सकता है यदि एक से अधिक व्यवस्थापक राउटर को कॉन्फ़िगर करेंगे।
क्या आप SNMP नेटवर्क प्रबंधन को कॉन्फ़िगर करना चाहेंगे? [हाँ, नहीं] (नहीं): समुदाय स्ट्रिंग दर्ज करें [सार्वजनिक]:	यहाँ आप SNMP (वैकल्पिक) के माध्यम से निगरानी के लिए एक सामुदायिक नाम निर्दिष्ट कर सकते हैं

कॉन्फ़िगरेशन पूरा होने के बाद, सिस्टम अंतिम कॉन्फ़िगरेशन प्रदर्शित करता है और सेटिंग्स (कमिट) को लागू करने की अनुमति मांगता है। प्रतिबद्ध होने के बाद, हम फिर से कमांड प्रॉम्प्ट देखेंगे और क्ली दर्ज कर सकते हैं।
और अब वही बात है, लेकिन अधिक गहराई से और टीमों के रूप में। प्रारंभिक सेटअप के विभिन्न उदाहरण यहां देखे जा सकते हैं: www.juniper.net/us/en/local/pdf/app-notes/3500153-en.pdf
हम कॉन्फ़िगरेशन मोड दर्ज करते हैं:

root@srx% cli
root@srx> edit

जुनिपर का नाम दर्ज करें:

root@srx# set system host-name _

राउटर का नाम इसके संचालन को प्रभावित नहीं करता है। यह एक विशुद्ध रूप से दृश्य पैरामीटर है ताकि भ्रमित न हों यदि हमारे पास एक नहीं है, लेकिन कई जुनिपर हैं।

root@srx# set system root-authentication plain-text-password

Enter दबाने के बाद, सिस्टम आपको रूट के लिए एक नया पासवर्ड दो बार दर्ज करने के लिए कहेगा।
अगला, हमें इंटरनेट इंटरफ़ेस को कॉन्फ़िगर करने की आवश्यकता है। यहां हम सबसे सरल मामले पर विचार करेंगे जब प्रदाता हमें स्पष्ट रूप से एक स्थिर आईपी पते देता है। PPPoE के माध्यम से इंटरनेट स्थापित करने पर बाद में चर्चा की जाएगी। मान लीजिए कि प्रदाता ने हमें 255.255.255.240 == / 28 (सबनेट उपसर्ग) के मुखौटा के साथ 1.2.3.4 का पता दिया। यह ध्यान दिया जाना चाहिए कि जुनिपर अपने क्लासिक ऑक्टेट रिकॉर्ड में सबनेट मास्क को नहीं समझता है, लेकिन केवल एक उपसर्ग के रूप में । आप सबनेट उपसर्गों के बारे में और अधिक यहाँ पढ़ सकते हैं: en.wikipedia.org/wiki/%D0%91%D0%B5%D1%81%D0%BA%D0%B0%B0%B0%B0%B1%81%D1%81%D0 % BE% D0% B2% D0% B0% D1% 8F_% D0% B0% D0% B4% D1% 80% D0% B5% D1% 81% D0% B0% 86% D0% B8% D8% D1% 8F

root@srx# set interfaces ge-0/0/0 unit 0 family inet address 1.2.3.4/28

हम प्रदाता के मुख्य प्रवेश द्वार को कॉन्फ़िगर करते हैं। मान लीजिए कि हमारे मामले में यह 1.2.3.1 है

root@srx# set routing-options static route 0/0 next-hop 1.2.3.1

अब जुनिपर के वेब इंटरफेस को सेट करते हैं। हमें इसे केवल आंतरिक नेटवर्क से और इंटरनेट से एक्सेस करने योग्य बनाने की आवश्यकता है:

root@srx# set system services web-management http interface vlan.0

राउटर तक ssh पहुंच सक्षम करें:

root@srx# set system services ssh

अब आपको स्विच इंटरफेस (लैन पोर्ट) को कॉन्फ़िगर करने की आवश्यकता है, अर्थात। वे इंटरफेस जो हमारे स्थानीय नेटवर्क से जुड़े होंगे। फिर से, विकल्प संभव हैं: हम एक इंटरफ़ेस निर्दिष्ट कर सकते हैं, उदाहरण के लिए, ge-0/0/1, जैसा कि ऊपर वर्णित है, प्रकार 192.168.1.1 का पता और इस इंटरफ़ेस में कॉर्पोरेट स्विच कनेक्ट करें, लेकिन इस मामले में हम जुनिपर के अन्य बंदरगाहों का उपयोग करने में सक्षम नहीं होंगे क्लाइंट कंप्यूटरों को 192.168.1.0/24 सबनेट से कनेक्ट करें। हमारे कार्य के लिए विशेष रूप से, यह थोड़ा असंज्ञेय और अनम्य है, हालांकि अन्य मामलों में यह विकल्प सामान्य है।
हमारे कार्य के लिए एक अधिक सुविधाजनक विकल्प अन्य सभी जुनिपर बंदरगाहों को अधिकारों के बराबर बनाना है, जो आपको पारंपरिक अप्रबंधित स्विच के साथ सादृश्य द्वारा किसी भी पोर्ट से नेटवर्क डिवाइस कनेक्ट करने की अनुमति देगा। ऐसा करने के लिए, एक ही वर्चुअल लोकल एरिया नेटवर्क (VLAN) के अन्य सभी पोर्ट्स मेंबर बनाएं।

root@srx# set interfaces interface-range interfaces-trust member-range ge-0/0/1 to ge-0/0/7

इस कमांड के साथ, हमने एक इंटरफ़ेस-रेंज बनाई, अर्थात इंटरफेस का एक सेट, जिसे इंटरफेस-ट्रस्ट कहा जाता है, और इस रेंज में पोर्ट 1 से 7 शामिल हैं। इस प्रकार का इंटरफ़ेस ग्रुपिंग समय बचाता है, क्योंकि कम आदेशों को दर्ज करने की आवश्यकता है।

root@srx# set interfaces interface-range interfaces-trust unit 0 family ethernet-switching vlan members vlan-trust

इस कमांड के साथ, हमने कहा कि इस सेट में इंटरफेस स्विच (पारिवारिक ईथरनेट-स्विटिचिंग) के पोर्ट हैं और सामूहिक रूप से उसी वीएलएएन से संबंधित हैं जिसे वेलन-ट्रस्ट कहा जाता है।

root@srx# set vlans vlan-trust vlan-id 3
root@srx# set vlans vlan-trust l3-interface vlan.0

यहाँ हम स्वयं ही vlan-trust बनाते हैं और कहते हैं कि इस vlan को vlan इंटरफ़ेस पर समाप्त किया गया है (IP पता है)

root@srx# set interfaces vlan unit 0 family inet address 192.168.1.1/24

खैर, आखिरकार, vlan.0 इंटरफ़ेस बनाएं और इसे 192.168.1.1/24 पते पर असाइन करें। यह किसका पता है? इस वलान में यह जुनिपर पता है और यह स्विच पोर्ट से जुड़े क्लाइंट कंप्यूटरों के लिए मुख्य प्रवेश द्वार होगा। संक्षेप में, हमने क्या किया है? हमने ge-0/0/1 से ge 0/0/7 तक के भौतिक इंटरफेस को एक तार्किक vlan.0 में वर्गीकृत किया है। अब हम इन पोर्ट से जुड़ने वाले सभी नेटवर्क उपकरणों को एक ही प्रसारण डोमेन 192.168.1.0/24 में एक दूसरे को देखेंगे।
इसके बाद, आपको DNS सर्वर पते (इस उदाहरण में, Google सार्वजनिक DNS) को कॉन्फ़िगर करने की आवश्यकता है:

root@srx# set system name-server 8.8.8.8
root@srx# set system name-server 8.8.4.4

हम vlan.0 इंटरफ़ेस पर एक डीएचसीपी सर्वर को कॉन्फ़िगर करते हैं (ताकि क्लाइंट डिवाइस डीएचसीपी के माध्यम से नेटवर्क सेटिंग्स प्राप्त करें)

root@srx# set system services dhcp router 192.168.1.1
root@srx# set system services dhcp pool 192.168.1.0/24 address-range low 192.168.1.2
root@srx# set system services dhcp pool 192.168.1.0/24 address-range high 192.168.1.100
root@srx# set system services dhcp propagate-settings vlan.0

सुरक्षा ज़ोन कॉन्फ़िगर करें। ज़ोन के नाम किसी भी हो सकते हैं, आपके पास बड़ी संख्या में ज़ोन हो सकते हैं और नीतियों के रूप में ज़ोन के बीच संक्रमण को कॉन्फ़िगर कर सकते हैं। यह सुरक्षा को कॉन्फ़िगर करने का एक बहुत ही सुविधाजनक तरीका है। इस उदाहरण में, हमारे पास दो क्षेत्र होंगे: विश्वास (स्थानीय क्षेत्र नेटवर्क) और अविश्वास (इंटरनेट)।

root@srx# set security zones security-zone untrust interfaces ge-0/0/0.0 host-inbound-traffic system-services ping
root@srx# set security zones security-zone untrust interfaces ge-0/0/0.0 host-inbound-traffic system-services ssh

यहां हम एक अविश्वसनीय सुरक्षा क्षेत्र बनाते हैं और इस क्षेत्र में भू-० / ० / ० / ० इंटरफ़ेस देते हैं, जिसे हम इंटरनेट का उपयोग करते हैं। होस्ट-इनबाउंड-ट्रैफ़िक ज़ोन पैरामीटर इंगित करता है कि कौन सी सेवाएँ और प्रोटोकॉल हैं, जिसके आधार पर जुनिपर स्वयं पहुंच सकता है । उदाहरण के लिए, इस उदाहरण में, हमने अपने जुनिपर को बाहर से पिंग करने की अनुमति दी, और इसे ssh के माध्यम से भी जोड़ा। यदि हम डीएचसीपी के माध्यम से इंटरनेट एड्रेस प्राप्त करना चाहते हैं, तो हमें dhcp सेवा को सक्षम करने की आवश्यकता है। यदि हम Junipers के बीच IPsec सुरंगों का उपयोग करना चाहते हैं, तो हमें IKE सेवा को सक्षम करने की आवश्यकता है, और इसी तरह। यही रूटिंग प्रोटोकॉल पर लागू होता है। उदाहरण के लिए, ओएसपीएफ मार्गों के आदान-प्रदान की अनुमति देने के लिए, आपको होस्ट-इनबौड-ट्रैफ़िक प्रोटोकॉल ospf विकल्प दर्ज करना होगा।
विश्वास क्षेत्र कॉन्फ़िगर करें:

root@srx# set security zones security-zone trust host-inbound-traffic system-services all
root@srx# set security zones security-zone trust host-inbound-traffic protocols all
root@srx# set security zones security-zone trust interfaces vlan.0

ट्रस्ट ज़ोन के लिए, हमारे पास एक वर्चुअल इंटरफ़ेस है vlan.0, जिसके सदस्य अब, आपने अनुमान लगाया है, यह ge-0/0/1 से ge-0/0/7 तक भौतिक इंटरफेस हैं । ट्रस्ट ज़ोन के लिए, हमें किसी भी सेवा और प्रोटोकॉल की अनुमति दी जाती है, उदाहरण के लिए HTTP, यानी, जुनिपर वेब इंटरफ़ेस। आप इंटरनेट से वेब इंटरफ़ेस तक नहीं पहुँच सकते, जैसा कि अविश्वास क्षेत्र सेटिंग्स में संकेत दिया गया है।
पिछले दो पैराग्राफ को ध्यान से पढ़ें और होस्ट-इनबाउंड-ट्रैफिक कमांड के उद्देश्य को समझने की कोशिश करें, जैसे यह सीधे हमारे नेटवर्क की सुरक्षा को प्रभावित करता है। यदि हम नहीं चाहते हैं कि हमारे नेटवर्क के उपयोगकर्ता जुनिपर वेब इंटरफ़ेस तक पहुंचने में सक्षम हों, तो हम सब कुछ छोड़ सकते हैं जैसा कि यह है, लेकिन नीतियों में इसे प्रतिबंधित करें। मैं राजनेताओं के बारे में अधिक विस्तार से एक अलग लेख लिखूंगा, जैसे यह चर्चा का एक बहुत व्यापक विषय है
ज़ोन कॉन्फ़िगर करना उनके इंटरफेस को प्रदर्शित करता है और राउटर को स्वयं ट्रैफ़िक को संबोधित करने की अनुमति देता है। पारगमन यातायात के लिए नीतियां (जुनिपर के माध्यम से गुजरना) ज़ोन के बीच संक्रमण के रूप में कहीं और वर्णित हैं।

root@srx# set security policies from-zone trust to-zone untrust policy trust-to-untrust match source-address any
root@srx# set security policies from-zone trust to-zone untrust policy trust-to-untrust match destination-address any
root@srx# set security policies from-zone trust to-zone untrust policy trust-to-untrust match application any
root@srx# set security policies from-zone trust to-zone untrust policy trust-to-untrust then permit

यह एक ट्रस्ट ज़ोन से एक अविश्वसनीय ज़ोन में ले जाते समय ट्रैफ़िक नीति का वर्णन करता है। इस उदाहरण में, स्थानीय नेटवर्क से इंटरनेट तक सभी अनुरोधों की अनुमति है। यदि हम इंटरनेट के उपयोग में किसी भी तरह अपने नेटवर्क के उपयोगकर्ताओं को सीमित करना चाहते हैं (उदाहरण के लिए, ICQ या IRC के माध्यम से संचार को प्रतिबंधित करने के लिए), तो हम संबंधित निषिद्ध नियम बना सकते हैं।

root@srx# set security policies from-zone trust to-zone trust policy trust-to-trust match source-address any
root@srx# set security policies from-zone trust to-zone trust policy trust-to-trust match destination-address any
root@srx# set security policies from-zone trust to-zone trust policy trust-to-trust match application any
root@srx# set security policies from-zone trust to-zone trust policy trust-to-trust then permit

यह ट्रस्ट ज़ोन से ट्रस्ट ज़ोन तक की नीति का वर्णन करता है। फिर से, सभी संक्रमणों की अनुमति है।
हम यहां अविश्वास क्षेत्र (इंटरनेट) से लेकर ट्रस्ट क्षेत्र (स्थानीय क्षेत्र नेटवर्क) तक की नीति का वर्णन नहीं करेंगे। क्यों? क्योंकि डिफ़ॉल्ट नीति सभी को अस्वीकार करती है, अर्थात वह सब जो स्पष्ट रूप से अनुमति नहीं है निषिद्ध है, और वैश्विक नेटवर्क से मेजबान को जुनिपर द्वारा संरक्षित मेजबानों तक पहुंच नहीं होनी चाहिए, है ना? सामान्य तौर पर, अगर हमने कोई नीति नहीं बनाई है, तो इसका मतलब यह नहीं है कि यह बिल्कुल भी मौजूद नहीं है। यह है, केवल यह खाली है, और इसलिए प्रतिबंध के साथ सभी संक्रमणों का जवाब देता है।
आज हमारे कार्यक्रम में अंतिम संख्या स्थानीय नेटवर्क के उपयोगकर्ताओं को इंटरनेट वितरित करने के लिए NAT की स्थापना होगी।

root@srx# set security nat source rule-set trust-to-untrust from zone trust
root@srx# set security nat source rule-set trust-to-untrust to zone untrust
root@srx# set security nat source rule-set trust-to-untrust rule source-nat-rule match source-address 0.0.0.0/0
root@srx# set security nat source rule-set trust-to-untrust rule source-nat-rule then source-nat interface

इसके साथ, हमने स्थानीय नेटवर्क और इंटरनेट के बीच स्रोत NAT को कॉन्फ़िगर किया। अब LAN के उपयोगकर्ता सुरक्षित रूप से वैश्विक नेटवर्क की सेवाओं का उपयोग कर सकते हैं।
इसके अलावा, एक घुसपैठ का पता लगाने की रोकथाम प्रणाली को शामिल करना उचित है। इसकी मूल सेटिंग्स यहां दी गई हैं:

root@srx# set security zones security-zone untrust screen untrust-screen
root@srx# set security screen ids-option untrust-screen icmp ping-death
root@srx# set security screen ids-option untrust-screen ip source-route-optiont
root@srx# set security screen ids-option untrust-screen ip tear-drop
root@srx# set security screen ids-option untrust-screen tcp syn-flood alarm-threshold 1024
root@srx# set security screen ids-option untrust-screen tcp syn-flood attack-threshold 200
root@srx# set security screen ids-option untrust-screen tcp syn-flood source-threshold 1024
root@srx# set security screen ids-option untrust-screen tcp syn-flood destination-threshold 2048
root@srx# set security screen ids-option untrust-screen tcp syn-flood timeout 20
root@srx# set security screen ids-option untrust-screen tcp land

आप Junos सुरक्षा पुस्तक में Junos IDP की व्यापक विशेषताओं के बारे में अधिक पढ़ सकते हैं। आप इसे यहाँ उदाहरण के लिए डाउनलोड कर सकते हैं: www.bookarchive.ru/computer/network/kompjuternaja_bezopasnost/101776-junos-security.html
सभी कमांड दर्ज करने के बाद, आपको उन्हें कमांड के साथ सिंटैक्स और लॉजिक के लिए जांचना होगा:

root@srx# commit check

अगर हमारे कॉन्फिगर में कोई टाइपोस है या कुछ गायब है, तो सिस्टम हमेशा हमें इसकी सूचना देगा। कंसोल आउटपुट को ध्यान से पढ़ें, जूनोस ओएस के लिए महान विस्तार से बताया गया है और सही ढंग से हमें जो ठीक करने की आवश्यकता है! यदि कंसोल एक प्रतिबद्ध चेक जारी करता है, तो सब कुछ क्रम में है और आप लिख सकते हैं:

root@srx# commit

उसके बाद, राउटर की मेमोरी में हमारी सेटिंग्स सहेज ली जाती हैं और प्रासंगिक हो जाती हैं। अब आप क्लाइंट डिवाइस, चेक पिंग्स और इंटरनेट कनेक्ट कर सकते हैं। अगर हमें अचानक ध्यान आया कि हमने कुछ पूरी तरह से गलत इस्तेमाल किया है और आपको पिछले कॉन्फ़िगरेशन में वापस आने की आवश्यकता है, तो आप लिख सकते हैं:

root@srx# rollback 0

यह कमांड हमें पिछले कॉन्फिगर में लौटा देगा, जिस तरह से कमिट करने की भी जरूरत है। अधिकतम समय में संभावित रोलबैक की संख्या 49 है और इसे कमांड के साथ कॉन्फ़िगर किया जा सकता है

root@srx# set system max-configuration-rollbacks 49

यदि आप दर्ज करते हैं

root@srx# rollback ?

तब सिस्टम हमें पिछले कमिट्स की तारीख और समय देगा (अधिकतम - 49)
यदि हम जुनिपर का रिमोट कॉन्फ़िगरेशन करते हैं और डरते हैं कि अगली नीति लागू करने या इंटरफ़ेस को कॉन्फ़िगर करने से डिवाइस के साथ संचार का नुकसान हो सकता है, तो आप निम्न रूप में कमिट का उपयोग कर सकते हैं:

root@srx# commit confirmed _

यह कमांड वर्तमान कॉन्फिगरेशन को लागू करता है, लेकिन केवल कमांड में निर्दिष्ट कुछ मिनटों के लिए (डिफ़ॉल्ट रूप से 10)। यदि इस समय के दौरान आप सिर्फ कमिट नहीं करते हैं, तो समय बीतने के बाद, जुनिपर स्वचालित रूप से पिछले कॉन्फ़िगरेशन में वापस आ जाता है। यह रिमोट कॉन्फ़िगरेशन के लिए बहुत सुविधाजनक है!
अंतिम कॉन्फिगर को स्पॉइलर के नीचे दिखाया गया है

अंतिम विन्यास

 ## अंतिम परिवर्तित: 2013-01-24 12:09:10 यूटीसी
 संस्करण 12.1R4.7;
 सिस्टम {
     मेजबान-नाम JuniperSRX;
     मूल प्रमाणीकरण {
         एन्क्रिप्टेड-पासवर्ड "$ 1 $ 2bWkMZhh $ mdsdcqRN71Pa7Wmb9VGSn /";  ## SECRET-DATA
     }
     नाम-सर्वर {
         8.8.8.8;
         8.8.4.4;
     }
     सेवाएं {
         ssh;
         वेब प्रबंधन {
             http {
                 इंटरफ़ेस vlan.0;
             }
         dhcp {
             राउटर {
                 192.168.1.1;
             }
             पूल 192.168.1.0/24 {
                 पता-सीमा कम 192.168.1.2 उच्च 192.168.1.100;
             }
             प्रचार-सेटिंग vlan.0;
         }
     }
     Syslog {
         संग्रह का आकार 100k फाइलें 3;
         उपयोगकर्ता * {
             किसी भी आपात स्थिति;
         }
         फ़ाइल संदेश {
             किसी भी महत्वपूर्ण;
             प्राधिकरण की जानकारी;
         }
         इंटरएक्टिव-कमांड फाइल करें {
             इंटरैक्टिव-कमांड त्रुटि;
         }
     }
     अधिकतम-विन्यास-पर-फ्लैश 5;
     अधिकतम विन्यास-रोलबैक 49;
     लाइसेंस {
         ऑटौपडेट {
             url https://ae1.juniper.net/junos/key_retrieval;
         }
     }
 }
 इंटरफेस {
     इंटरफ़ेस-रेंज इंटरफेस-ट्रस्ट {
     सदस्य-श्रेणी ge-0/0/1 से ge-0/0/7;
     यूनिट 0 {
         परिवार ईथरनेट स्विचिंग {
             वलन {
                 सदस्य vlan-trust;
             }
         }
     }
 }
 ge-0/0/0 {
     यूनिट 0 {
         परिवार की निष्क्रियता {
             पता 1.2.3.4/28;
         }
     }
 }
 ge-0/0/1 {
     यूनिट 0 {
         परिवार ईथरनेट स्विचिंग {
             वलन {
                 सदस्य vlan-trust;
             }
         }
     }
 }
 ge-0/0/2 {
     यूनिट 0 {
         परिवार ईथरनेट स्विचिंग {
             वलन {
                 सदस्य vlan-trust;
             }
         }
     }
 }
 ge-0/0/3 {
     यूनिट 0 {
         परिवार ईथरनेट स्विचिंग {
             वलन {
                 सदस्य vlan-trust;
             }
         }
     }
 }
 ge-0/0/4 {
     यूनिट 0 {
         परिवार ईथरनेट स्विचिंग {
             वलन {
                 सदस्य vlan-trust;
             }
         }
     }
 }
 ge-0/0/5 {
     यूनिट 0 {
         परिवार ईथरनेट स्विचिंग {
             वलन {
                 सदस्य vlan-trust;
             }
         }
     }
 }
 ge-0/0/6 {
     यूनिट 0 {
         परिवार ईथरनेट स्विचिंग {
             वलन {
                 सदस्य vlan-trust;
             }
         }
     }
 }
 ge-0/0/7 {
     यूनिट 0 {
         परिवार ईथरनेट स्विचिंग {
             वलन {
                 सदस्य vlan-trust;
             }
         }
     }
 }
 वलन {
     यूनिट 0 {
         परिवार की निष्क्रियता {
             पता 192.168.1.1/24;
         }
     }
 }
 रूटिंग-विकल्प {
     स्थिर {
         मार्ग 0.0.0.0/0 अगला-हॉप 1.2.3.1;
     }
 सुरक्षा {
      स्क्रीन {
         आईडी-विकल्प अविश्वसनीय स्क्रीन {
             icmp {
                 पिंग मौत;
             }
             आईपी {
                 स्रोत मार्ग-विकल्प;
                 आंसू की बूंद;
             }
             tcp {
                 सिंक-बाढ़ {
                     अलार्म-दहलीज 1024;
                     हमला-दहलीज 200;
                     स्रोत-दहलीज 1024;
                     गंतव्य-सीमा 2048;
                     टाइमआउट 20;
                 }
                 भूमि;
             }
         }
     }
     नट {
         स्रोत {
             नियम-आधारित विश्वास-से-अविश्वास {
                 जोन ट्रस्ट से;
                 जोन अनट्रेंड करने के लिए;
                 नियम स्रोत-नियम-नियम {
                     मैच {
                         स्रोत-पता 0.0.0.0/0;
                     }
                     फिर {
                         स्रोत- नट {
                             इंटरफेस;
                         }
                     }
                 }
             }
         }
     नीतियाँ {
         अंचल ट्रस्ट से अंचल अविश्वास {
             नीति विश्वास-अविश्वास {
                 मैच {
                     स्रोत-पता कोई;
                     गंतव्य-पता कोई;
                     किसी भी आवेदन;
                 }
                 फिर {
                     की अनुमति;
                 }
             }
         }
         से-जोन ट्रस्ट-जोन ट्रस्ट {
             नीति पर भरोसा
                 मैच {
                     स्रोत-पता कोई;
                     गंतव्य-पता कोई;
                     किसी भी आवेदन;
                 }
                 फिर {
                     की अनुमति;
                 }
             }
         }
     }
     जोन {
         सुरक्षा-क्षेत्र का भरोसा {
             होस्ट-इनबाउंड-ट्रैफ़िक {
                 सिस्टम-सेवाएं {
                     सभी;
                 }
                 प्रोटोकॉल {
                     सभी;
                 }
             }
             इंटरफेस {
                 vlan.0;
             }
         }
         सुरक्षा क्षेत्र अविश्वास {
             स्क्रीन अविश्वसनीय स्क्रीन;
             इंटरफेस {
                 ge-0/0 / 0.0 {
                     होस्ट-इनबाउंड-ट्रैफ़िक {
                         सिस्टम-सेवाएं {
                             ssh;
                             पिंग;
                         }
                     }
                 }
             }
         }
     }
 }
 vlans {
     वलन-विश्वास {
         vlan-id 3;
         एल 3-इंटरफ़ेस vlan.0;
     }
 }

यही वह जगह है जहां मैं जुनिपर SRX के प्रारंभिक कॉन्फ़िगरेशन पर लेख को समाप्त कर दूंगा। मुझे सवालों और टिप्पणियों पर बहुत खुशी होगी! आगे के लेख Junos CLI, PPPoE, नीतियों, IPsec और रूटिंग OS में रूट बेसिक्स पर योजनाबद्ध हैं।

जुनिपर एसआरएक्स रूटर्स का प्रारंभिक कॉन्फ़िगरेशन

More articles: