juniper学习笔记
Juniper防火墙产品培训+#
市场领导地位-Gartnet 2004年报告
Juniper #1 out of 18 vendors
Gartner Magic Quadran报 告是针对IT特定细分市场 上的厂商实力所进行的极 具声望的评价，它从各个 方面来全方位评价厂商， 包括产品线的完整度和功 能、技术实力、创新性、 成功实施情 况、满足客户 现有和未来需求的能力， 以及包括服务和支持在内 的执行能力、市场 份额、 财务健康状况和其它关键 指标
• 广电总局国家骨干网
•
全国骨干网，50%以上设备
市场机会，约超过70 亿美元
• 安全市场上估计存在超过 70 亿美元的机会 • 包括 IPS、SSL VPN、路由功能和防火墙 VPN • 防火墙 VPN 仍然是安全市场最大的组成部分 • 我们的强项是防火墙/VPN产品 • 继续推动安全类产品的发展
先进的硬件设计通用结构的处理?数据在几个非优化的接口传送?每个api引入安全风险?处理的延迟导致无法预测的行为?数据通道无法优化pcappliancespseudoappliancesosvpncoprocessorcpurambusioinoutapplications专用的安全处理?基于流的线性的数据包处理?每个处理模块被优化?优化的应用和硬件用于安全处理和性能gigascreenasiccpuhighspeedbackplaneinoutramionetscreenadvancedarchitecturesecurityspecificrealtimeosintegratedsecurityapplicationsasicjuniper防火墙产品培训149152020screenos特点?安全性专用的实时操作系统?完全设计用于执行计算密集型安全功能而不会影响吞吐量?与硬件设备安全操作系统及安全应用紧密集成?状态协议级智能?集成深层检测防病毒和web过滤等?专用操作系统减少补丁和测试?所有防火墙ipsecvpn系列产品上部署相同的安全性专用操作系统juniper防火墙产品培训159152020screenosipv6?为状态防火墙和ipsecvpn提供生产级的商用ipv6支持?支持双堆栈架构使客户能够在一个设备上同时支持并保护ipv4与ipv6网络?支持所有主要的ipv6迁移机制包括ipv4ipv6和ipv6ipv4迁移ipv6隧道中的ipv4和ipv4隧道中的ipv6?以及面向ipv6的natpt?支持ripng动态路由协议允许客户提高生产网络中的ipv6部署的可扩展性?防止ipv6网络遭受synflood攻击和其他攻击使客户能够抵御从ipv4或ipv6网络中发起的拒绝服务攻击juniper防火墙产品培训169152020juniper防火墙产品线ns5gtns2550nshscns5400isg2000isg1000ssg520mssg550mnsseriesisgseriesssgseriesns5200ns500ns208ns204ssg20ssg5ssg140ssg350ssg320juniper防火墙产品培训179152020议程?juniper简介?juniper防火墙vpn产品线?juniperisg集成安全网关系列?juniperssg安全业务网关系列?产品对比?案例分析juniper防火墙
Juniper简单入门介绍-端口,静态路由,策略
Juniper简单入门介绍（配置端口，静态路由，配置防火墙策略）登陆Juniper设备后，需输入edit或者configuration 命令进入系统配置模式Juniper 系统自带命令和变量可按“空格”键补齐Juniper 系统“用户自定义”变量可按TAB键补齐一、配置端口Juniper配置端口是基于物理端口下的逻辑端口进行配置，例如set interfaces ge-0/0/5 unit 0 family inet address 192.168.1.1以上命令为ge-0/0/5口添加一个ip地址为192.168.1.1，其中unit为逻辑端口单元，范围0~16385，若再执行命令set interfaces ge-0/0/5 unit 1 family inet address 192.168.2.1则ge-0/0/5现在有两个ip分别为192.168.1.1和192.168.2.1以上命令也可以写成set interfaces ge-0/0/5.0 family inet address 192.168.1.1其中.0代表unit 0二、配置静态路由举例：现有网段125.39.91.240/28Juniper ge-0/0/0.0 设置ip为192.168.88.1set routing-options static route 0.0.0.0/0 next-hop 192.168.88.1其中0.0.0.0/0 表示任意目标地址，192.168.88.1为路由器直连网关。
再举例：让所有访问192.168.77.X的路由走192.168.99.1set routing-options static route 192.168.77.0/24 next-hop 192.168.99.1以上192.168.77段，掩码为24，而192.168.99.1为路由器直连网关。
三、配置zoneJunos基于zone开放防火墙策略，zone可以自己建立，建立之后再将需要的端口划到zone里。
SRX个人学习笔记
前言俗话说好记性不如烂笔头，最近学习了一下JUNIPER的防火墙SRX。
所以特记录一个小笔记，助于以后复习所用，但也合适一些想学习SRX入门的资料，超适合入门JUNIPER防火墙，但是最好要对防火墙有过了解，对JUNOS命令有一定的基础。
一、防火墙基本知识SRX防火墙都是基于ZONE的来操作的，流量都是需要通过policy来做策略的。
每个接口都需要划分到特定的zone，系统默认的是在null的zone。
默认流量是没有策略的。
所以在配置的时候，必须先要定义zone,把接口放到相应的zone 里。
命令：set security zones security-zone in \\建立一个名字为in的zone。
通常在每个zone（注意：是每个zone，而不是zone到zone之间）是不放行任何流量的，需要在zone里进行配置放行，比如协议、系统服务等，ospf、ping、telnet、ssh等。
命令：set security zones security-zone in interfaces ge-0/0/0.0 host-inbound-traffic system-services http \\在名字为in的zone里接口有g0/0/0,允许进入的流量是系统服务的ICMP。
set security zones security-zone in interfaces ge-0/0/0.0 host-inbound-trafficprotocols ospf \\允许这个zone和别的接口或zone建立OSPF邻居二、PolicyPOLICY,这是一个很重要的概念，在SRX防火墙里只是建立zone并不是最终目的，因为zone与zone之间是不允许任何流量跑的。
所以需要通过POLICY来放行特定的流量。
命令：（注意：在policy里，定义源的时候，必须要定义地址、应用，目的）set security policies from-zone in to-zone out policy in-out-policy match source-address anyset security policies from-zone in to-zone out policy in-out-policy match destination-address anyset security policies from-zone in to-zone out policy in-out-policy match application any执行的动作：permit、deny等set security policies from-zone in to-zone out policy in-out-policy then permit三、Security Policy3.1 Schedulers有点类似于基于时间的访问控制列表，理论与思科的没啥区别。
一点juniper路由器入门资料
自己总结的一点juniper 路由器入门资料juniperbbs 2007-09-1922:41:55由于文档全是鸟语的，再加上哥们鸟语水平非常有限，所以可能在理解上有所偏差，大家将就着看吧！感谢大猫猫，红头发等前辈！访问路由器你可以通过三种管理接口访问路由器console(Db9 EIA-232 @ 9600 Bps, 8/N/1-pre-configured)、auxiliary 、f xp 0Telnet 、SSH 也可访问路由器你必须掌握需要访问路由器的密码当你第一次访问路由器时，你必须使用root 帐号登陆访问CLI(用户命令行)，然后为路由器配置一个新的帐号用户登录访问必须用户名和密码个人帐户和路由器地址帐户可控制路由器的级别必须要有管理员授权当你通过用户帐号及密码登录路由器后，你就可以顺利的进入控制平台，可以在用户名和路由器名前看到“>”提示符Juniper需要通过用户名和密码来访问，路由器管理员可以创建用户帐号和分配权限，新的Juniper路由器只有没有密码的root帐号访问，你必须使用cli命令从CLI开始配置CLI模块及其重要内容CLI操作方式编辑命令行执行命令和命令历史相关内容和帮助Unix风格的管理模式CLI的配置方式不同的操控级别不同的配置权限同级别命令集之间的跳跃配置命令的自动检错系统自动回滚功能输入多命令行的可以一次执行在配置状态中执行操作命令保存、载入、删除配置文件CLI的两种模式操作模式（opera tional mode）显示路由器当前状态、监视、检测JUNOS、网络连通性及路由器硬件可以使用monitor、ping、show、test、tr acer oute命令展示JUNOS在执行时的信息和统计信息、路由表、可以测试网络的连通性Doug@lab2>配置模式(configuration mode)配置路由器、包括接口、普通路由信息、路由协议、用户访问、系统硬件相关[edit]Doug@lab2#CLI命令层次CLI操作模式命令(user@host>状态下配置)showrequestrestartpingtracerouteclearmonitorfiletesttelnetsetsshstartquit命令类型破坏性的非破坏性的进入配置模式控制CLI环境跳出CLI监视和检错命令clear monitor ping show test traceroute连接其他的网络系统复制文件重启软件程序使用过滤/管道命令输出compare(filename|rollback n):在这里可用的配置模式只能使用show命令，可以与所选择的配置文件进行比较count:显示输出线路数量display detail:只能在配置模式里使用，显示配置内容的其他信息except regular-express ion:当搜索输出时忽视正确的表达式文本，当正确的表达式包含空间、操作、通配符信息，你必须把它封装find regular-expression: 显示首先发现的输入文本holdmatchno-moreresolvesave控制CLI环境使用set cli 命令可以配置：Screen length(lines)Screen width(columns)Idle timeout(minutes)空闲时间Pro mpt(string)提示信息Terminal(terminal type)user@host> set cli ?Possible completions:complete-on-space Toggle word completion on spaceidle-timeout Set the cli maximum idletimeprompt Set the cli command promptstringrestart-on-upgrade Set cli to prompt forrestart after asoftware upgradescreen-length Set number of lines onscreenscreen-width Set number of characters onterminal Set terminal type可编辑命令行快捷键命令配置模式进入配置：使用configure命令进入配置模式在配置水平层面之间转换：使用edit、up、top、exit命令实现显示候选配置：在配置模式里使用show命令批量配置：执行候选配置：使用commit命令执行配置配置接口命名永久接口配置接口（物理道具和逻辑道具）使用configure命令进入配置模式root@lab2> configureEntering configuration mode[edit]root@lab2#容许单一的用户进行配置和编辑，configure exclusive Configure private 容许多用户编辑候选配置多用户可以同时编辑私有的候选配置信息在执行命令时，用户的个人选择是可以在全部信息中返回的？？？？选择可执行的命令user@host# set alarm sonet lol reduser@host# delete alarm sonet pll yellow显示候选和可执行命令的不同[edit chassis]user@host# show | comparealarm {sonet {+ lol redlos red;- pll yellow;}}其他命令选项user@host# show | compare filenameuser@host# show | compare rollback number配置群声明的群能应用不同部分的配置应用相同参数的捷径方式可以配置更多的端口共同的群声明可以重复配置不同的地方想要配置的地方可以从原配置数据继承相关信息[edit]lab@San Jose-re0# show groups re0 re0 {system {host-name SanJose-re0;}interfaces {fxp0 {unit 0 {family inet {a ddr ess ;}}}}}[edit]lab@SanJose-re0# show groups re1 re1 {system {host-name SanJose-re1;}fxp0 {unit 0 {family inet {address ;}}}}}[edit]lab@SanJose-re0# showap ply-groups [ re0 re1 ];执行配置命令按你的需求使配置改变可能会破坏路由器的连通性可能会破坏网络的连通使用commit命令的缺点慢执行配置可能花费一点时间，默认10分钟假如配置是由缺陷的，路由器自动返回原来的配置可以使用rollback命令来恢复九种以保存的配置使用rollback(rollback 0)去恢复候选配置Rollback 1 载入意见的配置Rollback n[edit]user@host# rollbackload completeTo activate the configuration that you loaded, issue the commit command,as shown below.[edit]user@host# commit[edit]user@host# rollback versionload complete[edit]user@host#退出配置模式使用exit命令返回顶层使用exit configuration-mode返回其他层保存配置文件来自当前水平层面和向下的所有当前候选配置文件可以使用save命令以ASC II码的形式保存[edit]cli# save filename[edit]cli#必须指定详细的目录文件可以URL多余的路由引擎SSH user@host:filename载入配置文件Load命令不考虑现有配置Load override filename合并新的声明到现有配置Load merge filename取代现有声明在当前配置Load replace filename只选择候选配置你必须使用commit命令来执行能从终端载入Load(replace|merge|override)terminal端口配置端口contained包含PICPIC plugs堵塞FPCFPC有四个PIC插槽FPC flexible pic concentrator把交换控制板和路由器接口进行连接For example, so-1/2/3 is a SONET/SD H interface in FPC slot 1, PIC slot 2, and PIC port 3. _ at—ATM over SONET/SDH ports_ e1—E1 ports_ e3—E3 ports_ fe—Fast Ethernet ports_ so—SONET/SDH ports_ t1—T1 ports_ t3—DS-3 ports_ ge—Gigabit Ethernet ports_ ae—Aggregated合计Ethernet portslogi ca l合理的端口是设置帧中继和ATM虚拟circuit电路端口号是separate分离actual实际的DLCI ATM VC 和能获取任意值Suggest 暗示converntion协定是保持他们相同可能路由器有两个永久接口Fxp0对外管理接口管理对外以太网接口Fxp1用于信息包发送的引擎内在路由引擎连接管理对内以太网接口。
培训资料Juniper网络安全防火墙设备售前培训v
– 完全和ScreenOS 5.3 整合
• 客户可以选择采用Kaspersky还是Trend – 推荐用卡 巴斯基
25
内嵌防垃圾邮件
– 阻断垃圾邮件和网页仿冒攻击
• 将赛门铁克的防垃圾邮件功能集成到SSG 520/550中 • 使用基于IP的、强韧的、始终更新的垃圾邮件发送人和网页仿
• Source/Destination ip Session number limit
20
SSG：多种领先的安全技术的集成
• 入侵防御功能：
• 防病毒：卡巴斯基
• 防垃圾邮件：赛门铁克
• 网页过滤：美讯智
其他厂家主要依靠自己开发，特征库不完善，不专业；或者只能支 持部分的UTM功能
21
更多应用层协议的DI（IPS）支持
3
Juniper将电信级的技术精髓带入金融企业
2006
M-Series
1996
Incorporated
1998
1999
Revenue Employees
2000
2001
2002
$500M 1000
T-Series
1500
5
2004
$1B 2500
2005
#789
Acorn
UAC
SSG
$2B $2.3B
– 2个选项：集成 (SurfControl) 或重新定向 (SurfControl 或Websense)
URL 请求
许可接入
XOXOXOXOXOXOXOXOXOXOXOXOXOXOXOXOXOXOXOXOXOXOXOXOXOXOXOXOXOXOXOXOXOXOXOXOXOXO
Juniper_SSG__防火墙培训进阶篇
总部A IKE VPN配置
在下拉菜单选取前面定义 的IKE Gateway
总部A IKE VPN配置
高级选项
总部A VPN策略的设置
Action选择Tunnel
选择A到C的VPN
分部C Gateway的设置
对方VPN设备的网关
分部C Gateway的设置
共享密钥双方必须一致 选择VPN通道的出口
总部 Trust 10.50.0.1
移动用户
▪ 拨号用户
▪ 地址对象+拨号用户地址池 ▪ 服务对象 ▪ VPN网关+L2TP ▪ IKE 对象 ▪ 安全策略
Untrust 1.1.1.1
ERP 10.50.0.5
L2TP 客户端 访问总部A的ERP服务器
L2TP User 设定部分 － 设定L2TP用户名/密码
策略的组成
地址
服务
▪ 源地址＆目的地址 • 地址 • 地址群
▪ 服务 • 预定义服务 • 定制服务 • 定制服务群
动作 日志 流量统计 认证
▪ 动作 ▪ 会话控制 ▪ 日志 ▪ 高级选项
时间、流量控制/统计、认证
创建策略 WebUI模式
▪ 组成
选择From与To的安全区
源＆目的地址
通过下拉菜单选取前面设 定的地址
▪ 地址对象 ▪ 服务对象 ▪ VPN网关 ▪ IKE 对象 ▪ 安全策略
总部
Trust 10.50.0.1
Untrust 1.1.1.1
ERP 10.50.0.5
总部A与分部C之间的Site to Site VPN
▪ 总部A部分的Site to Site VPN设置
• VPN Gateway的设置 • VPN 的设置 • VPN策略设置
juniper防火墙培训(SRX系列)
Config），在执行commit后配置模式下可通过
run show config命令查看当前有效配置 （Active config）。此外可通过执行show | compare比对候选配置和有效配置的差异。
1
4
SRX可对模块化配置进行功能关闭与激活，如执 行deactivate 命令可使相关配置不生效，并可通
用节点id）
指定Control Port 指定Fabric Link Port 配置Redundancy Group 每个机箱的个性化配置 地址等） 配置Redundant Ethernet Interface （类似NSRP的Redundant冗余接口） 配置Interface Monitoring 依据）
同类产品相比，SRX3000系列还可实现最大的I/O端口密度。每一个SRX3000业务网关均可
以安装一个或多个输入/输出卡(IOC)，每一个IOC可以支持16个千兆位接口（16个铜线或光 纤千兆以太网），或者20个千兆位接口（2个万兆XFP以太网）。凭借能够添加更多IOC的出 色灵活性，SRX3000业务网关系列可支持在接口和处理能力之间实现最佳平衡。（注：要想 实现正常的系统功能，至少需要1个NPC和1个SPC）
JUNOS作为电信级产品的精髓是Juniper真正成功的基石，它让企业级产品同样具有电
信级的不间断运营特性，更好的安全性和管理特性，JUNOS软件创新的分布式架构为高性 能、高可用、高可扩展的网络奠定了基础。基于NP架构的SRX系列产品产品同时提供性能优 异的防火墙、NAT、IPSEC、IPS、UTM等全系列安全功能，其安全功能主要来源于已被广
root@srx5800b> request chassis cluster failover reset redundancy-group 1 c) 查看cluster interface
Juniper产品培训
交换控制板（ Switching Control Board ）
不同路由器的型号使用不同的控制板的命名方式:
M20—系统交换板 (System Switching Board) M160—交换和转发模块 (Switching and Forwarding Module) M10/M7i/M10i/M120—转发引擎板 (Forwarding Engine
M5/M7i/M10/M10i/M20的PIC插槽号从右至左进行编号 M120/M160/T640/T1600的PIC插槽号是从上至下 PIC端口号是以0为起始号.PIC上对端口进行了标识,端口号的编
PIC port Numbers
号方式根据PIC的不同而不同
北京千禧维讯科技有限公司
Page 12
标签 MASTE R OK
颜色 蓝色 绿色
状态 持续 持续
描述 SCG处于主用状态 SCG在线，并且工作正常
FAIL
琥珀色
持续
SCG发生故障
北京千禧维讯科技有限公司
Page 18
Craft interface
可以通过Craft interface 查看运行状态以及故障诊断的信息 ，并且执行许多系统控制功能。 Craft interface 是可以热 插拔的部件 Craft interface包括如下： 告警LED和告警取消/灯光测试按钮 LCD和导航按钮 主机子系统 SIB LED FPC LED FPC oneline/offline 按钮
北京千禧维讯科技有限公司
Page 25
议程
硬件体系介绍
产品系列介绍
板卡插拔/硬件更换ห้องสมุดไป่ตู้
Juniper_防火墙应用培训资料
3
1、安全防护功能的实现
• Juniper防火墙可以防止31类攻击行为。 • 在防火墙中提供一个独立的位置对安全防护的设 置进行细化设置。 • 具体的安全设置会体现在对应的安全域中。 • 防火墙作为网络安全设备，可以防止一部分的网 络攻击，主要是防护基于TCP/IP协议的二层、三 层、四层的攻击行为的防止。 • 注意：目前所有的防火墙设备对DDOS的攻击行 为的防护效果欠佳。 • 设置的位置为：SCREENING>SCREEN
22
2、动态VPN的拓扑图
23
2、动态VPN的设置
24
2、动态VPN的设置
25
2、C/S方式的VPN应用
• 基于客户端软件和中心端防火墙方式的 VPN应用。 • 一般建议在临时性外出的移动用户中使 用，VPN连接后，数据的流量一般不大。 • 需要注意的地方：NAT穿越的选择。
26
2、C/S方式的拓扑图
10
2、静态VPN连接的设置
• 环境：位于两地的两个网络通过防火墙实 现VPN应用。 • 位于两地的两台防火墙的外连端口具有固 定的公共IP地址。
11
2、静态VPN的拓扑图
12
2、VPN设置阶段一（1）基本
13
2、VPN设置阶段一（2）高级
14
2、VPN设置阶段一说明
• • • • • • • • • 阶段一的名称定义. 阶段一的VPN网关指向（指向IP，指向用户）. 阶段一的公共密钥. *(C/S方式)本地ID. 高级部分： 加密算法、认证算法、加密长度。 VPN的模式：主模式、主动模式。 NAT穿越的选择。 UDP的保持时间
15
2、VPN设置阶段二（1）基本
16
2、VPN设置阶段二（2）高级
Juniper-JNCIA 笔记
声明：很烂的笔记，并可能带有方言。
本人对笔记里的东西不负任何任何责任。
关于Juniper内容，欢迎一起探讨。
By NP&IE高级群69- de∞德哋永远记得Juniper的接口上可以同时配置多个IP地址，并且最低IP地址为primary地址。
在配置时记得将以前的接口删除！RE:Routing EngineeShow interface terse显示接口简要信息接口顺序：FPC->PIC->Port->Unit排序：FPC从左到右，上到下，依次0到3；PIC和Port均为上到下，右到左，0开始数Show interface terse | match inet管道命令，匹配输出有INET字符的东东命令RUN 等于cisco 里面的do例如config t > do show run = configure > run show结构树：Commit : JUNIPER 默认修改配置后不会立即生效，会存放在Candidate Configuration文件下（目前使用的是active configuration文件），可以通过使用Commit来应用可以使用”load merge terminal”命令，将配置文件从命令行中粘贴输入。
JUNIPER分为permanent interface(永久接口)及transient interface(瞬时接口)：其中PERMANENT interface于管理使用。
FXP0接口就是其中之一，仅用于远程TELNET管理使用;FXP1用于运行使用，转发表通过RE更新就是用FXP1接口。
Transient interface指一般转发数据用的接口，JUNIPER的接口至少需要拥有一个逻辑接口，call a unit.当接口上面配置了多个IP地址（如192.168.0.1/24及10.0.0.1/24），如果发送目的地非本地（如1.1.1.1）,那么JUNIPER则会选择自己IP最低地址的为PRIMARY ADDRESS，作为源地址发送包出去。
Juniper SRX 防火墙学习一本通(2)
Juniper SRX 防火墙学习一本通（2）二、SRX防火墙基础介绍1.关于防火墙网络安全问题成为近年来网络问题的焦点，网络安全包括基础设施安全、边界安全和管理安全等全方位策略，防火墙的主要作用是划分边界安全，实现关键系统与外部环境的安全隔离，保护内部网络免受外部攻击，与路由器相比,防火墙提供了更丰富的安全防御策略，提高了安全策略下数据报转发速率，由于防火墙用于边界安全，因此往往兼备NAT、VPN等功能。
2.防火墙分类⚫包过滤防火墙(Packet Filtering)包过滤利用定义的特定规则过滤数据包，防火墙直接获得数据包的IP源地址、目的地址、TCP/ UDP的源端口、和TCP/UDP的目的端口。
包过滤防火墙简单，但是缺乏灵活性，对一些动态协商端口没有办法设置规则。
另外包过滤防火墙每包需要都进行策略检查，策略过多会导致性能急剧下降。
⚫代理型防火墙（application gateway）代理型防火墙使得防火墙做为一个访问的中间节点，对Client来说防火墙是一个Server，对Server来说防火墙是一个Client。
代理型防火墙安全性较高，但是开发代价很大。
对每一种应用开发一个对应的代理服务是很难做到的，因此代理型防火墙不能支持很丰富的业务，只能针对某些应用提供代理支持。
⚫状态检测防火墙状态检测是一种高级通信过滤。
它检查应用层协议信息并且监控基于连接的应用层协议状态。
对于所有连接，每一个连接状态信息都将被维护并用于动态地决定数据包是否被允许通过防火墙或丢弃。
⚫软件防火墙。
一般是直接安装在PC上的一套软件，基于PC提供基本的安全防护，此时防火墙基本上就是一个应用软件。
⚫工控机类型防火墙。
采用PC硬件结构，基于linux等开发源代码的操作系统内核，开发了安全防护的一些基本特性构成硬件防火墙产品形态。
从外观上面看，该种防火墙是一个硬件防火墙产品，但是其软件、硬件和第一种防火墙产品从硬件上面说没有本质区别。
juniper netscreen防火墙学习笔记
juniper netscreen防火墙学习笔记《原创》防火墙OS升级：通过WEBUI模式时需要考虑版本问题，也就是要按照版本的顺序来升级。
通过CLI模式不需要考虑版本问题。
save software from tftp 192.168.0.1 ns5gt.5.0.0r8.1 to flash恢复出厂设置：Unset all ——reset或者：Login: 序列号Password:序列号查看license：get license-key导入导出配置文件：首先开启tftp server !!!!!导入：save config from tftp 192.168.0.1 os.cfg merge from ethernet1(连接tftp server 的接口)导出：save config from flash to tftp 192.168.0.1 os.cfg新建帐户：Rott帐户：set admin name XXXXSet admin password XXXX具有读写权限：set admin name XXXX set password XXXX privilege all 具有只读权限：set admin name XXXX set password XXXX privilege read-onlyIPMAC地址绑定：设置静态绑定：set arp 192.168.0.1 0000e26e4743 e1强迫执行ARP目的扫描：set arp always-on-dest设置一个地址组：group,其中包含所有ARP绑定的地址，设置策略允许这个地址组通过注意：只有和端口在同一网段的才能进行绑定很多软件可以改变计算机信息包的MAC地址，此时防火墙不具备检查真伪MAC地址的功能。
安全区段：安全区段—安全区段接口—虚拟路由器—策略Ethernet1/2.3 第一槽位第二接口第三子接口创建安全区段—set zone name zone1Set zone name zone2save分配到路由—set zone zone1 vrouter untrust-vrSet zone zone2 vrouter trust-vrsave创建接口—set interface eth1 zone trustSet interface eth1 ip 10.0.0.1/24Set interface eth1 manage pingSet interface eth1 manage webuiSet interface eth1 manage telnetSave设置V-R— set vrouter trust-vr route 0.0.0.0/0 vrouter untrust-vr Set vrouter untrust-vr route 0.0.0.0/0 interface eth1/2 gateway 10.0.0.2/24Save。
JUNIPER路由器中常用命令总结
JUNIPER路由器中常⽤命令总结前些⽇⼦认真看了⼀下Juniper路由器的⼀些命令。
在这⾥总结⼀下。
⽅便以后使⽤Juniper路由器的命令主要分为两个部分，⼀个是operational，主要是复杂查看⽬前⽹络的配置情况（只能查看，不能修改。
感觉权限⽐较低）；另⼀个是configuration，主要⽤来查看和修改配置（感觉权限⾼⼀些）。
刚进⼊到Juniper路由器时，默认进⼊的是operation，输⼊edit命令之后，就进⼊到了[edit]⽬录下，也就是进⼊了configuration。
基础配置命令（如未说明则在[edit]⽬录下）1、配置主机名字：set system host-name router12、配置域名： set system domain-name 3、配置fxp0接⼝（以太⽹中通过这个接⼝进⾏路由器的配置）。
Set interfaces fxp0 unit 0 family inet address 192.168.15.1/2 44、配置备份路由器：set system backup-router 192.168.15.25、配置DNS服务器：set system name-server 192.168.15.36、配置root⽤户的密码：set system root-authentication plain-text-password（密码中不可以全是⼤写、全是⼩写、全是数字）7、设置ntp服务器： set system ntp server 192.168.2.28、提交修改：commit9、查看提交是否合法： commit check10、在当天特定时间进⾏提交 commit at 22:4511、在特定⽇期的特定时间提交： commit at “2005-02-26 10:45”12、取消commit的操作 clear system commit13、为了避免提交带来意外的损害采⽤：commit confirmed，会在10分钟以后⾃动回滚14、与14相同，但在⼀分钟以后⾃动回滚：commit confirmed 115、提交信息，并同步到备份路由器上： commit synchronize配置服务：1、设置ssh服务：set system services ssh2、配置ftp服务： set system services ftp3、删除ftp服务： delete system services ftp权限设置：1、设置root⽤户ssh登录的密码：set system root-authentication ssh password2、禁⽌root⽤户使⽤ssh登录：[edit system ] set services ssh root-login deny3、设置密码要求：[edit system login] set password maximun-length 20 set password minimum-length 8 set password mi nimum-changes 24、设置密码加密算法：set system login password formate md55、查看⾃⼰的权限，以及可以设置的权限： show cli authorization进⼊与退出命令：1、Edit2、修改root的配置：configure3、避免多⼈修改导致设置丢失采⽤ configure exclusive4、查看⽬前修改区域有谁在线：[edit]status(只能看见⽐你先登录的⼈，后⾯登录的信息看不见)5、强制要求别⼈下线：request system logout user mike6、进⼊到根⽬录 top7、退出configuration 模块：quit8、退出configuration模块：exit configuration-mode9、提交并退出：commit and-quit10、退出当前⽬录：exit11、进⼊到某⽬录 edit ⽬录名字查看命令：1、查看当前⽬录地下的设置 [edit]show2、查看你设置的命令 show | display set3、查看你新增的命令 show | compare(+表⽰你增加的命令，-表⽰你删除的命令。
juniper 防火墙基本原理
juniper 防火墙基本原理一、安全区1、安全区是绑定一个或多个接口的逻辑实体。
2、可以定义多个安全区，除预定义发全区：trust、untrust和DMZ以外，还要以自定义安全区段。
3、安全区之间的数据流通需要用策略进行控制。
通过定义策略，使两个区段间的信息流向一个或两个方向流动。
二、接口1、接口：物理接口：防火墙上实际存在的接口组件。
子接口：在逻辑上将一个物理接口分为几个虚拟子接口。
每个子接口都从它的物理接口上借用需要的带宽。
2、信息流的只从一个区段到另一个区段。
所以需要将接口绑定到安全区段才能使接口有作用。
一个或多个接口可以绑定到一个安全区段。
三、策略2、策略服务：策略的实现可以细化到从某区段到某区段能实现某种服务。
所以需要细化到某种服务时，要预先定义服务。
四、虚拟路由器untrust-vr和trust-vr。
这两个虚拟路由器维护两个单独的的路由表，并且虚拟路由器彼此之间隐藏路由信息，即互不相干。
untrust-vr通常用来与不可信方通信。
trust-vr与可信方通信。
2、从一个虚拟路由器的区段发出的信息流不能自动转发到另一个虚拟路由器区段，即使存在策略允许转发这样的信息流。
如果希望信息流在虚拟路由器之间传递，需要导出VR之间的路由，或者定义静态路由，将另一个VR定义为下一跳。
3、命令：五、虚拟系统六、常规配置流程1、建立zone，即建立区段（在不使用默认区段的情况下）2、把zone分配置vr(虚拟路由器）3、把网络接口分配给zone4、给接口设置ip地址5、配置虚拟路由6、配置策略。
第2xx：区段详解一、预定义区段的类型：1、安全区:untrust、trust 、DMZ 、global 、V1-untrust 、v1-trunst 、V1-dmz2、通道区段：untrust-tun3、功能区段：NULL、self、MGT、HA、VLAN二、安全区1、globalglobal区域不具有其他区都有的特性–接口。
Juniper日志分析总结
Juniper路由器日志分析目录1.文档说明 (5)2.系统日志 (5)2.1 系统日志说明 (5)2.2 系统日志分析 (5)2.2.1 CHASSISD_BLOWERS_SPEED (5)2.2.2CHASSISD_BLOWERS_SPEED_FULL (5)2.2.3CHASSISD_BLOWERS_SPEED_MEDIUM (6)2.2.4CHASSISD_CB_MASTER_BP_IGNORED (6)2.2.5CHASSISD_FAN_FAILURE (6)2.2.6CHASSISD_FCHIP_HSR_ERROR (6)2.2.7CHASSISD_FCHIP_HST_ERROR (7)2.2.8CHASSISD_FPC_TYPE_SIB_TYPE_ERROR (7)2.2.9CHASSISD_GRES_UNSUPP_INTERFACE (7)2.2.10CHASSISD_GRES_UNSUPP_PIC (7)2.2.11CHASSISD_HIGH_TEMP_CONDITION (8)2.2.12CHASSISD_LOST_MASTERSHIP (8)2.2.13LOGIN_ABORTED (8)2.2.14LOGIN_FAILED (8)2.2.15LOGIN_INFORMATION (8)2.2.16LOGIN_LOCAL_PASSWORD (9)2.2.17LOGIN_MALFORMED_USER (9)2.2.18LOGIN_PAM_AUTHENTICATION_ERROR (9)2.2.19LOGIN_PAM_ERROR (9)2.2.20LOGIN_PAM_MAX_RETRIES (9)2.2.21LOGIN_PAM_USER_UNKNOWN (10)2.2.22LOGIN_PASSWORD_EXPIRED (10)2.2.23LOGIN_REFUSED (10)2.2.24LOGIN_ROOT (10)2.2.25LOGIN_TIMED_OUT (11)2.2.26MIB2D_CONFIG_CHECK_FAILED (11)2.2.27RPD_ABORT (11)2.2.28RPD_BGP_NEIGHBOR_STATE_CHANGED (11)2.2.29RPD_ISIS_ADJDOWN (11)2.2.30RPD_ISIS_ADJUP (12)2.2.31RPD_ISIS_ADJUPNOIP (12)2.2.32RPD_ISIS_LSPCKSUM (12)2.2.33RPD_ISIS_OVERLOAD (12)2.2.34RPD_MPLS_LSP_DOWN (13)2.2.35RPD_MPLS_LSP_UP (13)2.2.36RPD_OSPF_NBRDOWN (13)2.2.37RPD_OSPF_NBRUP (13)2.2.38RPD_OSPF_OVERLOAD (14)2.2.39SNMPD_TRAP_THROTTLED (14)2.2.40SNMP_TRAP_LINK_UP (14)2.2.41SNMP_TRAP_LINK_DOWN (14)2.2.42UI_AUTH_EVENT (15)2.2.43UI_CFG_AUDIT_NEW (15)2.2.44UI_CFG_AUDIT_OTHER (15)2.2.45UI_CFG_AUDIT_SET (15)2.2.46UI_CMDLINE_READ_LINE (15)2.2.47UI_COMMIT (16)2.2.48UI_COMMIT_PROGRESS (16)2.2.49UI_MASTERSHIP_EVENT (16)2.2.50UI_REBOOT_EVENT (16)2.2.51UI_RESTART_EVENT (16)2.2.52UI_VERSION_FAILED (17)2.2.53VRRPD_NEW_MASTER (17)2.2.54VRRPD_NEW_BACKUP (17)2.2.55Fatal HSL error, chip MMB1-MD(0) (17)2.2.56error set SFFP I2C read addr (18)2.2.57Mixed Master and Backup RE types (18)2.2.58BGP received unexpected EOF (18)2.2.59kernel time discipline status 2040 (19)2.2.60Non-existant NH (349:Discard, 0) in generic change path (19)2.2.61FPGA irq handler called (19)2.2.62PFEMAN: Master socket closed (19)2.2.63fpc1 .pm3393.1.1. RXXG: Packet exceeds the maximum frame size 1526 (20)2.2.64fpc1 .pm3393.1.1. RXXG: A line interface error is detected (20)2.2.65fpc6 .pm3393.6.0. TXXG: FIFO has errors (20)2.2.66fpc3 Reason string: "L2 cache parity error" (20)2.2.67fpc6 LCHIP(3): 9 new crcdrop errors in NLIF (21)2.2.68fpc1 LCHIP(3): 65535 new errors (illegal link) inDESRD (21)2.2.69fpc4 NFAB(4/1): RODR offset overflow count incremented (1) (21)2.2.70Routing-engine Hard Disk Errors (21)1.文档说明本文档为Juniper路由器日志信息的参考文档。
JUNOS入门学习笔记
JUNOS入门学习笔记JUNOS入门学习笔记V1.011 说明首先，请注意文档题目：“xxx入门”，行家就不用看了，但我不介意您收藏本文。
写这个文档的目的，是为了把我的学习过程分享给大家，也希望初学JUNOS的朋友能和我一起讨论，一起学习。
本文出自我的博客：http://dongzi.de/lets-begin-junos-1.htmlOK，献丑了，时间仓促水平有限，请大家指点本文的错误之处，我将感激不尽。
2 JUNOS简介2.1 简介JUNOS使用FreeBSD内核，模块化的设计，提供卓越的故障恢复能力并能够简单地集成IPv6、MPLS 等功能。
Juniper Junos is the software or the network operating system used in Juniper Networks hardware systems.It’s an operating system that is used in Juniper’s routing, switching and security devices. Juniper offers the Software Development Kit (SDK) to partners and customers to allow additional customization(From Wikipedia).2.2 JUNOS启动顺序第一，移动介质，例如 PC-card，PCMCIA。
第二，Flash Disk。
第三，IDE 硬盘。
3 JUNOS模拟器使用step by step3.1 Olive简介还是引入Olive这个词吧，我也是菜鸟，名字多了不好记。
何为Olive呢？说白了，就是一台虚拟机，运行JUNOS 的PC或者虚拟机。
也就是说，一台Olive就是一台Juniper路由器。
只不过因为它的JUNOS运行在PC或虚拟机上，所以我们称呼它为Olive。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
产品信息学习高性能数据中心技术点线速性能的集群交换技术TM（Virtual Chassis）服务质量（Qos）和HA（High Availability）ISCSI和NAS技术FCoE（Fiber Channel over Ethernet）空间、电源和制冷的需求数据中心产品线EX系列以太网交换机(集群技术/万兆线速性能)EX4200 EX8200 系列SRX系列业务网关(NAT/集中策略控制)SRX5000系列MX系列以太业务路由器/M系列多业务边缘路由器（MPLS技术）MX960产品配置学习EX系列交换机配置交换机配置模式CLI 有两种模式：用户模式和配置模式，用户模式的提示符是>，配置模式的提示符是#，在数用户模式下输入configure 或者edit 可以进入配置模式。
交换机配置结构●Juniper 交换机的配置是一种层次化的配置模式，因此配置一个参数有两种方式，一是在最外层使用一条set 命令将所有层的参数一次写完，另外一种方式是利用edit 逐层进入需要配置参数的层次，然后用set 命令直接设置参数。
●在edit 这种方式中，exit 可以退回上一次用edit 进入以前的层，直接输入top 则退回最上层：●命令配置中，可以使用TAB 键和空格键来进行参数的补全，使用？来进行帮助commit命令的作用我们操作(增加、删除、修改)的那份配置文件只是一个候选文件(candidate configure)，并不是正在运行的配置文件，只有将候选文件通过commit 提交之后，配置才会真正的应用到当前系统使用的active 配置文件中，从而使得修改的配置生效。
Show命令在用户模式和配置模式的区别户模式和配置模式下的show 命令是不同的，如果要在配置模式下运行用户模式命令，则需要在命令前面加一个run如何将配置转换成set 命令Juniper# show protocols ospf | display set基本配置(1) 设置root 密码Set root-authentication plain-text-password(2) 设置主机名set host-name EX4200(3) 设置日期时间set time-zone Asia/Shanghailab@EX4200> set date 200811071441.00(4) 添加用户(5) 开启ssh/telnet/http 服务(6) 设置DNS（可选配置）set name-server 192.168.1.1(7) 分配新的用户权限(可选配置)(8) 设置NTP 服务器(可选配置)VLAN的配置交换机二层和三层信息是配置在端口下的逻辑端口，而Juniper 交换机的逻辑端口是通过unit逻辑单元来实现的，unit 0 是默认的逻辑端口，所有引用到二层/三层端口都是引用unit 0，例如对于物理端口ge-0/0/0，其二层和三层协议用到的逻辑端口就是ge-0/0/0.0，IP 地址信息、VLAN 信息等都在ge-0/0/0.0 下面配置如果创建一个名字为SDB_vlan 的VLAN 10，并且网关设置为192.168.1.1/24,ge-0/0/1 属于该VLAN。
配置步骤：(1) 创建VLAN#编辑vlan 信息SDB_vlan 是vlan 名字，如果不存在则新建一个VLANlab@EX4200-1# edit vlans SDB_vlan #"以下所有操作都是对SDB_vlan 进行"[edit vlans SDB_vlan]lab@EX4200-1# set vlan-id 10 #"设置SDB_vlan 的vlan id"lab@EX4200-1# set description "Server VLAN" #"设置vlan 描述"lab@EX4200-1# set l3-interface vlan.10 #"将绑定三层逻辑子端口"（10代表unit号）lab@EX4200-1# set interface ge-0/0/1.0 #"将端口加入到VLAN 中"lab@EX4200-1# set interface ge-0/0/2.0 #"将端口加入到VLAN 中"set interfaces vlan unit 0 family inet address 192.0.2.0/25set interfaces vlan unit 1 family inet address 192.0.2.128/25set vlans sales l3–interface vlan.0set vlans sales vlan-id 100set vlans support vlan-id 200set vlans support l3-interface vlan.1(2) 创建三层逻辑子端口lab@EX4200-1# top #"回到最外层菜单"[edit]lab@EX4200-1# set interfaces vlan unit 10 family inet address 192.168.1.1/24 （10代表unit号）(3) 将交换机端口修改为access 模式并加入到新创建的VLAN 中lab@EX4200-1# top #"回到最外层菜单"[edit]lab@EX4200-1# set interfaces ge-0/0/1 unit 0 family ethernet-switching port-mode access lab@EX4200-1# set interfaces ge-0/0/1 unit 0 family ethernet-switching vlan members 10 lab@EX4200-1# set interfaces ge-0/0/2 unit 0 family ethernet-switching port-mode access lab@EX4200-1# set interfaces ge-0/0/2 unit 0 family ethernet-switching vlan members 10set interfaces ge-0/0/0 unit 0 family ethernet-switching vlan members salesset interfaces ge-0/0/3 unit 0 family ethernet-switching vlan members salesset interfaces ge-0/0/22 unit 0 family ethernet-switching vlan members salesset interfaces ge-0/0/20 unit 0 family ethernet-switching vlan members salesset interfaces ge-0/0/24 unit 0 family ethernet-switching vlan members supportset interfaces ge-0/0/26 unit 0 family ethernet-switching vlan members supportset interfaces ge-0/0/44 unit 0 family ethernet-switching vlan members supportset interfaces ge-0/0/46 unit 0 family ethernet-switching vlan members supportIEEE 802.1Q协议Trunk接口配置：set interfaces ge-0/1/0 unit 0 family ethernet-switching port-mode trunkset interfaces ge-0/1/0 unit 0 family ethernet-switching nativevlan-id 1端口配置修改端口L2/L3层模式如果将交换机端口设置为二层模式，就可以配置交换机为vlan 端口或者Trunk 端口；设置为三层模式，就可以当路由器三层端口一样使用，可以配置IP 地址。
通常在跟路由器进行点对点连接的时候将端口设置为三层模式。
lab@EX4200-1# edit interfaces ge-0/0/1lab@EX4200-1# delete unit 0 family ethernet-switching #"删除二层信息"lab@EX4200-1# set unit 0 family inet #设置为三层端口lab@EX4200-1# set unit 0 family inet address 192.168.1.1/30 #"设置三层IP 地址"set interfaces ge-0/0/1 unit 0 family inetset interfaces ge-0/0/1 unit 0 family inet address 192.168.1.1/30POE设置set poe interface all disableset poe interface allset poe interface ge-0/0/1set poe guard-band 15set poe interface allSTP协议配置Port trunking 配置（IEEE 802.3ad）set chassis aggregated-devices ethernet device-count 2set interfaces ge-0/0/1 ether-options 802.3ad ae0set interfaces ae0 unit 0 family ethernet-switching port-mode trunkset interfaces ae0 unit 0 family ethernet-switching port-mode accessset interfaces ae0 unit 0 family ethernet-switching vlan members 10set interfaces ae0 unit 0 family inet address 192.168.1.1/24路由协议配置静态路由协议set routing-options static route 172.16.1.0/24 next-hop 192.168.1.253set routing-options static route 0.0.0.0/0 qualified-next-hop 20.1.1.1 preference 200set routing-options static route 0.0.0.0/0 qualified-next-hop 20.1.1.1 interface ge-0/0/1.0OSPF路由协议配置(1) 配置router id(2) 配置启动OSPF协议(3) 配置OSPF 端口参数(4) 配置OSPF export 策略(路由重定向)1. 广播式广播式网络类型是L A N上的缺省类型。