2.1.4 远程管理SRX相关配置
run set date YYYYMMDDhhmm.ss /***设置系统时钟***/ set system time-zone Asia/Shanghai /***设置时区为上海***/ set system host-name SRX3400-A /***设置主机名***/ set system name-server 1.1.1.1 /***设置DNS服务器***/ set system services ftp set system services telnet set system services web-management http
/***在系统级开启ftp/telnet/http远程接入管理服务***/
2.2 Policy
Policy配置方法与ScreenOS基本一致，仅在配置命令上有所区别，其中策略的允许/拒绝的动作（Action）需要额外配置一条then语句(将ScreenOS的一条策略分解成两条及以上配置语句)。Policy需要手动配置policy name，policy name可以是字符串，也可以是数字（与ScreenOS的policy ID类似,只不过需要手工指定）。
set security policies from-zone trust to-zone trust-to-untrust match source-address any
set security policies from-zone trust to-zone trust-to-untrust match destination-address any
set security policies from-zone trust to-zone trust-to-untrust match application any
set security policies from-zone trust to-zone trust-to-untrust then permit
untrust policy untrust policy untrust policy untrust policy
2.3 NAT
SRX NAT较ScreenOS在功能实现方面基本保持一致，但在功能配置上有较大区别，配置的主要差异在于ScreenOS的NAT与policy是绑定的，无论是MIP/VIP/DIP还是基于策略的NAT，在policy中均要体现出NAT内容（除了缺省基于untrust接口的Souec-NAT模式外），而SRX 的NAT则作为网络层面基础内容进行独立配置（独立定义地址映射的方向、映射关系及地址范围），Policy中不再包含NAT相关配置信息，这样的好处是易于理解、简化运维，当网络拓朴和NAT映射关系发生改变时，无需调整Policy配置内容。
SRX NAT和Policy执行先后顺序为：目的地址转换－目的地址路由查找－执行策略检查－源地址转换，结合这个执行顺序，在配置Policy时需注意：Policy中源地址应是转换前的源地址，而目的地址应该是转换后的目的地址，换句话说，Policy中的源和目的地址应该是源和目的两端的真实IP地址，这一点和ScreenOS存在区别，需要加以注意。
第 6 页 共 11 页
SRX中不再使用MIP/VIP/DIP这些概念，其中MIP被Static静态地址转换取代，两者在功能上完全一致；DIP被Source NAT取代；基于Policy的目的地址转换及VIP被 Destination NAT取代。ScreenOS中基于Untrust zone接口的源地址转换被保留下来，但在SRX中不再是缺省模式（SRX中Trust Zone接口没有NAT模式概念），需要手工配置。类似ScreenOS，Static属于双向NAT，其他类型均属于单向NAT，
此外，SRX还多了一个proxy-arp概念，如果定义的IP Pool（可用于源或目的地址转换）与接口IP在同一子网时，需配置SRX对这个Pool内的地址提供ARP代理功能，这样对端设备能够解析到IP Pool地址的MAC地址（使用接口MAC地址响应对方），以便于返回报文能够送达SRX。下面是配置举例及相关说明：
2.3.1 Pool base Static NAT
NAT：
set security nat source rule-set trust-to-untrust from zone trust set security nat source rule-set trust-to-untrust to zone untrust
set security nat source rule-set trust-to-untrust rule source-nat-rule match source-address 0.0.0.0/0 set security nat source rule-set trust-to-untrust rule source-nat-rule then source-nat interface Policy:
set security policies from-zone trust to-zone untrust policy trust-to-untrust match source-address any set security policies from-zone trust to-zone untrust policy trust-to-untrust match destination-address any
set security policies from-zone trust to-zone untrust policy trust-to-untrust match application any set security policies from-zone trust to-zone untrust policy trust-to-untrust then permit
2.4 IPSEC VPN
SRX IPSEC VPN支持Site-to-Site VPN 和基于NS-remote的拨号VPN，和ScreenOS一样，site-to-site VPN也支持路由模式和Policy模式，在配置方面也和ScreenOS基本一致。SRX中的加密/验证算法在命名上和ScreenOS存在一些区别，配置过程中建议选择ike和ipsec的proposal
第 7 页 共 11 页
为 standard模式，standard中包含SRX支持的全部加密/验证算法，只要对端设备支持其中任何一种即可。SRX中通道接口使用st0接口，对应ScreenOS中的tunnel虚拟接口。
下面是图中左侧SRX基于路由方式IPSEC-VPN方式配置：
set security ike proposal ike-prop1 authentication-method pre-shared-keys set security ike proposal ike-prop1 dh-group group2
set security ike proposal ike-prop1 authentication-algorithm md5 set security ike proposal ike-prop1 encryption-algorithm des-cbc set security ike proposal ike-prop1 lifetime-seconds 86400
set security ipsec policy ipsec-dyn-vpn-policy perfect-forward-secrecy keys group2 set security ipsec policy ipsec-dyn-vpn-policy proposal-set compatible
2.5 HA模式
描述本项目中Juniper防火墙HA特有模式
Junos操作系统服务冗余协议(JSRP)是SRX系列的一个核心特性。利用JSRP，一对SRX系统能够轻松集成到一个高可用性网络架构，并在系统和相邻网络交换机之间提供冗余的物理连接。通过链接冗余，瞻博网络可以解决许多常见的系统故障，例如物理端口恶化或电缆松脱，从而保证连接的可用性，而不需要对整个系统进行故障切换。这与路由永续性协议典型的主用/备用特点是一致的。
当把SRX系列业务网关配置为一对高可用性的主用/主用网关时，会自动对流量和配置进行镜像，从而在发生故障时保持活跃的防火墙和VPN会话。此时，分支办事处SRX系列产品可同步配置和运行时信息。结果是，在故障切换期间，下列信息的同步是共享的：连接/会话状态和流量信息、IPSec安全关联、网络地址转换(NAT)流量、地址薄信息、配置变更等。与典型的路由器主用/备用永续性协议（如虚拟路由器冗余协议(VRRP)）相反的是，如果发生故障切换，全部动态流和会话信息都会丢失，必须重建。部分或全部网络会话必须重启，这取决于链接或节点的收敛时间。通过保持状态，不仅可保持会话，而且安全性也毫发无损。在不稳定网络中，这种主用/主用配置还能够减轻影响会话性能的链路摆动。 lab@ Juniper> show chassis cluster status Cluster ID: 1
Node Priority Status Preempt Manual failover
Redundancy group: 0 , Failover count: 1
第 8 页 共 11 页
node0 200 primary no no node1 100 secondary no no
Redundancy group: 1 , Failover count: 1
node0 200 primary yes no node1 100 secondary yes no
三、SRX防火墙常规操作与维护
3.1 设备关机
SRX因为主控板上有大容量硬盘，为防止强行断电关机造成硬件故障，要求设备关机必须按照下面的步骤进行操作：
1. 管理终端连接SRX console口。
2. 使用具有足够权限的用户名和密码登陆CLI命令行界面。 3. 在提示符下输入下面的命令：
user@host> request system halt
…
The operating system has halted.
Please press any key to reboot(除非需要重启设备，此时不要敲任何键，否则设备将进行重启)
4. 等待console输出上面提示信息后，确认操作系统已停止运行，关闭机箱背后电源模
块电源。
3.2 设备重启
SRX重启必须按照下面的步骤进行操作： 1. 管理终端连接SRX console口。
2. 使用具有足够权限的用户名和密码登陆CLI命令行界面。 3. 在提示符下输入下面的命令：
user@host> request system reboot 4. 等待console设备的输出，操作系统已经重新启动。
第 9 页 共 11 页
3.3 操作系统升级
SRX操作系统软件升级必须按照下面的步骤进行操作：
1. 管理终端连接SRX console口，便于升级过程中查看设备重启和软件加载状态。 2. SRX上开启FTP服务，并使用具有超级用户权限的非root用户通过FTP客户端将下
载的升级软件介质上传到SRX上。
3. 升级前，执行下面的命令备份旧的软件及设定：
user@host> request system snapshot 4. 加载新的SRX软件：
user@host> request system software add validate filename.tgz reboot
5. 软件加载成功后， SRX将自动重启，重启完成后检查系统当前软件版本号：
user@host> show system software
3.4 密码恢复
SRX Root密码丢失，并且没有其他的超级用户权限，那么就需要执行密码恢复，该操作需要中断设备正常运行，但不会丢失配置信息，这点与ScreenOS存在区别。
要进行密码恢复，请按照下面操作进行：
1. Console口连接SRX，然后重启SRX。
2. 在启动过程中，console上出现下面的提示的时候，按空格键中断正常启动方式，然后
再进入单用户状态，并输入：boot -s
Loading /boot/defaults/loader.conf /kernel data=… … syms=[… …]
Hit [Enter] to boot immediately, or space bar for command prompt. loader>
loader> boot -s
3. 执行密码恢复：在以下提示文字后输入recovery，设备将自动进行重启
Enter full pathname of shell or 'recovery' for root password recovery or RETURN for /bin/sh: recovery 4. 进入配置模式，删除root密码，并重现设置root密码：
user@host> configure
Entering configuration mode
user@host#delete system root-authentication
user@host#set system root-authentication plain-text-password user@host#New password:
user@host#Retype new password:
第 10 页 共 11 页
user@host# commit commit complete
3.5 常用监控维护命令
下列操作命令在操作模式下使用，或在配置模式下run show…
? Show system software 查看当前软件版本号 ? show system uptime 查看系统启动时间
? Show chassis haredware 查看硬件板卡及序列号 ? show chassis environment 查看硬件板卡当前状态
? show chassis routing-engine 查看主控板（RE）资源使用及状态 ? show route 查看路由表 ? show arp 查看ARP表 ? show log messages 查看系统日志
? show interface terse 查看所有接口运行状态 ? show interface ge-x/y/z detail 查看接口运行细节信息
? monitor interface ge-x/y/z 动态统计接口数据包转发信息
? monitor traffic interface ge-x/y/z 动态报文抓取（Tcpdump，类似ScreenOS snoop
命令）
? show security flow session summary 查看当前防火墙并发会话数 ? show security flow session 查看当前防火墙具体并发会话 ? clear security flow session all 清除当前session
? show security alg status 检查全局ALG开启情况
? SRX对应ScreenOS debug flow basic跟踪报文处理路径的命令：
? set security flow traceoptions flag basic-datapath 开启SRX基本报文处理Debug ? set security flow traceoptions file filename.log 将输出信息记录到指定文件中 ? set security flow traceoptions file filename.log size
小，缺省128k
? set security flow traceoptions packet-filter filter1 destination-prefix 5.5.5.2
设置报文跟踪过滤器
? run file show filename.log 查看该Log输出信息
? SRX对应ScreenOS get tech命令，开Case时需要抓取的信息：request support
information
第 11 页 共 11 页