junos SRX550配置

配置junos之前，请一定要确定已经配置好了junos根密码，并且commit。删除相关配置，请不要删除根密码，或者删除了以后请一定要及时在重启之前添加上去。

一、 HA的配置

简单介绍一下，SRX系列防火墙HA采用的是JSRP协议。对应netscreen的NSRP。JSRP和NSRP之间的最大区别就是JSRP采用的是cluster，两台防火墙虚拟成一台。而NSRP一般采用的是主备模式，备机需要单独的管理。

JSRP要求两台设备的型号、版本、板卡等完全一致。

下面开始SRX550的HA配置。

1、首选确定SRX550防火墙之间做HA的control-link接口。通过官方文档可以查到SRX550的g0/0/0 为带外管理口，g0/0/1为固定的control-link接口。把两台防火墙的g0/0/1口互联。

2、对两台设备的g0/0/0、g0/0/1、g0/0/2接口进行初始化配置，删除所有有关的原有配置

delete set interfaces ge-0/0/0 unit 0 family ethernet-switching vlan members vlan-trust

delete set interfaces ge-0/0/0 unit 0 family ethernet-switching

delete set interfaces ge-0/0/0 unit 0

delete set interfaces ge-0/0/1 unit 0 family ethernet-switching vlan members vlan-trust

delete set interfaces ge-0/0/1unit 0 family ethernet-switching

delete set interfaces ge-0/0/1 unit 0

delete set interfaces ge-0/0/2 unit 0 family ethernet-switching vlan members vlan-trust

delete set interfaces ge-0/0/2unit 0 family ethernet-switching

delete set interfaces ge-0/0/2 unit 0

3、配置cluster-id和node-id

SRX-A>set chassis cluster cluster-id 1 node 0 reboot

SRX-B>set chassis cluster cluster-id 1 node 1 reboot

两台设备重启后，会发现逻辑上已经成为一台防火墙。可以看到ge-9/0/0等接口，这是第二台设备的接口。

4、指定Fabric Link Port

SRX-A#set interfaces fab0 fabric-options member-interfaces ge-0/0/2

SRX-A#set interfaces fab1 fabric-options member-interfaces ge-9/0/2

control-link主要用来两台设备之间心跳检测、配置同步等。而Fabric Link 用于session的同步。

做完这个步骤，通过命令：

SRX-A#show chassis cluster interface

SRX-A#show chassis cluster status

可以查看到现在两台设备的HA已经完成。这个时候还有一个问题。

现在两台防火墙之间HA一共用了两条线，一条control-link，一条fabric-link。

1、如果把control-link断开，这个时候HA就断开了，但是主防火墙还是正常工作的。把control-link恢复，HA状态还是异常的。这个时候只有把背墙手动的重启，HA才会恢复。

2、如果把fabric-link断开，这个时候HA没有断开，但是主防火墙还是正常工作的，备墙无法同步session，无法切换。把fabric-link恢复，HA状态还是异常的。这个时候只有把备墙手动的重启，HA才会恢复。

那么有没有办法让防火墙自己去识别HA线路的问题而做相应的操作呢？

通过如下命令：

SRX-A#set chassis cluster control-link-recovery

如果fabric-link断开再恢复，HA状态会自动恢复，session会继续同步。

如果control-link断开在恢复，备墙会自动重启，完成HA。

On device A:

SRX-A# set groups node0 system host-name DCA_NBIAPP_FW01

SRX-A# set groups node1 system host-name DCA_NBIAPP_FW02

//为集群设备的两台设备命名

SRX-A#set apply-groups ${node}

//让以上的全局配置应用到每个独立的节点上

RG0 固定用于控制引擎切换，RG1 主要用于数据引擎的切换。

SRX-A#set chassis cluster reth-count 10（指定整个Cluster 中redundant ethernet interface 最多数量）

SRX-A#set chassis cluster redundancy-group 0 node 0 priority 200（高值优先，与NSRP 相反）

SRX-A#set chassis cluster redundancy-group 0 node 1 priority 100

SRX-A#set chassis cluster redundancy-group 1 node 0 priority 200（高值优先，与NSRP 相反）

SRX-A#set chassis cluster redundancy-group 1 node 1 priority 100

SRX-A#set interfaces ge-0/0/3 gigether-options redundant-parent reth0

SRX-A#set interfaces ge-0/0/4 gigether-options redundant-parent reth1

SRX-A#set interfaces ge-9/0/3 gigether-options redundant-parent reth0

SRX-A#set interfaces ge-9/0/4 gigether-options redundant-parent reth1

SRX-A#set interfaces reth0 redundant-ether-options redundancy-group 1

SRX-A#set interfaces reth1 redundant-ether-options redundancy-group 1

//把物理接口加入到冗余接口reth，并把接口reth0、reth1加入到数据冗余redundancy-group 1

SRX-A#set interfaces reth0 unit 0 family inet address X.X.X.X/28

SRX-A#set interfaces reth1 unit 0 family inet address X.X.X.X/28 //这里需要注意的一点是，junos已经是将两台设备虚成一台，所以和netscreen不同的是，他只需要一个IP地址，而不是2个实地址一个虚地址。

SRX-A#set chassis cluster redundancy-group 1 interface-monitor ge-0/0/3 weight 255

SRX-A#set chassis cluster redundancy-group 1 interface-monitor ge-9/0/3 weight 255

SRX-A#set chassis cluster redundancy-group 1 interface-monitor ge-0/0/4 weight 255

SRX-A#set chassis cluster redundancy-group 1 interface-monitor ge-9/0/4 weight 255

//配置 Interface Monitoring，被监控的接口Down 掉后，RG1 将自动进行主备切换

SRX-A#set security zones security-zone Untrust interfaces reth1.0 host-inbound-traffic system-services https

SRX-A#set security zones security-zone Untrust interfaces reth1.0 host-inbound-traffic system-services ssh

SRX-A#set security zones security-zone Untrust interfaces reth1.0 host-inbound-traffic system-services telnet

SRX-A#set security zones security-zone Untrust interfaces reth1.0 host-inbound-traffic system-services ping

SRX-A#set security zones security-zone Trust interfaces reth0.0 host-inbound-traffic system-services all

//有几点需要注意，第一点创建了两个区域Trust和Untrust，区分大小写。第二点将reth1.0划分到Unstrust区域，将reth0.0划分到Trust区域。第三点，默认情况下防火墙的端口都是不允许访问的，需要放开相应的流量。上面配置表明，Untrust 区域放开了https、ssh、telnet访问reth1.0该端口的流量，Trust放开了访问reth0.0的所有流量。

二、创建策略并应用

SRX-A#set security zones security-zone Untrust address-book address webpc-1 X.X.X.X/32

SRX-A#set security zones security-zone Untrust address-book address webpc-2

X.X.X.X/32

SRX-A#set security zones security-zone Untrust address-book address-set webpc-group address webpc-1

SRX-A#set security zones security-zone Untrust address-book address-set webpc-group address webpc-2

//创建2个地址webpc-1和webpc-2，并将其添加到地址集webpc-group中。注意，名字是可以随意变更的。创建地址和地址集的目的只是给大家一个范例而已，到时候策略进行调用的时候，可以单独调用地址，也可以调用地址集。创建的时候，请注意其对应的区域，是Trust还是Untrust区域。

SRX-A#set security zones security-zone Trust address-book address apppc-1 X.X.X.X/32

SRX-A#set security zones security-zone Trust address-book address apppc-2 X.X.X.X/32

SRX-A#set security zones security-zone Trust address-book address-set apppc-group address apppc-1

SRX-A#set security zones security-zone Trust address-book address-set apppc-group address apppc-2

//与上面相似，这里不在赘述

SRX-A#set applications application port-1010 protocol tcp

SRX-A#set applications application port-1010 destination-port 1010

SRX-A#set applications application port-2100 protocol tcp

SRX-A#set applications application port-2100 destination-port 2100

SRX-A#set applications application-set 2port application port-1010

SRX-A#set applications application-set 2port application port-2100

SRX-A#set applications application-set 2port application junos-telnet //创建端口，并添加到端口集2port，注意，junos自己集成很多相应的端口，如ping，telnet，ssh等。

SRX-A#set security policies from-zone Trust to-zone Untrust policy 001 match source-address apppc-group

SRX-A#set security policies from-zone Trust to-zone Untrust policy 001 match destination-address webpc-group

SRX-A#set security policies from-zone Trust to-zone Untrust policy 001 match application 2port

SRX-A#set security policies from-zone Trust to-zone Untrust policy 001 then permit

//调用相应的策略，对于满足要求的流量的进一步操作是放行（默认情况下是全部阻挡）。

SRX-A#set security policies from-zone Trust to-zone Untrust policy Trust-to-Untrust-1 match source-address any

SRX-A#set security policies from-zone Trust to-zone Untrust policy Trust-to-Untrust-1 match destination-address any

SRX-A#set security policies from-zone Trust to-zone Untrust policy Trust-to-Untrust-1 match application any

SRX-A#set security policies from-zone Trust to-zone Untrust policy Trust-to-Untrust-1 then permit

SRX-A#set security policies from-zone Untrust to-zone Trust policy Untrust-to-Trust-1 match source-address any

SRX-A#set security policies from-zone Untrust to-zone Trust policy Untrust-to-Trust-1 match destination-address any

SRX-A#set security policies from-zone Untrust to-zone Trust policy Untrust-to-Trust-1 match application any

SRX-A#set security policies from-zone Untrust to-zone Trust policy Untrust-to-Trust-1 then permit

//以上策略是对从Trust到Untrust，还有Untrust到Trust区域的流量全部放行。

root#set system time-zone Asia/Shanghai

root#set system login user admin class super-user

root#set system login user admin authentication encrypted-password cisco123//创建用户admin，密码cisco123并给予超级用户的权限

root#set system services ssh protocol-version v2//开启SSH服务

root#set system services telnet//开启telnet服务

root#set system services web-management https system-generated-certificate//将自动生成的自签证书用于Web 管理HTTPS 服务：

root# set system root-authentication plain-text-password

root# new password : cisco123

root# retype new password: cisco123

注意：强烈建议不要使用其它加密选项来加密root和其它user口令(如encrypted-password加密方式)，此配置参数要求输入的口令应是经加密算法加密后的字符串，采用这种加密方式手工输入时存在密码无法通过验证风险。另，请一定要配置root用户口令。

设备关机

SRX 因为主控板上有大容量存储，为防止强行断电关机造成硬件故障，要求设备关机必须

按照下面的步骤进行操作：

1. 管理终端连接SRX console 口。

2. 使用具有足够权限的用户名和密码登陆CLI 命令行界面。

3. 在提示符下输入下面的命令：

user@host> request system halt

…

The operating system has halted.

Please press any key to reboot(除非需要重启设备，此时不要敲任何键，否则设备将进行重启)

4. 等待console 输出上面提示信息后，确认操作系统已停止运行，关闭机箱背后电源模

块电源。

设备重启

SRX 重启必须按照下面的步骤进行操作：

1. 管理终端连接SRX console 口。

2. 使用具有足够权限的用户名和密码登陆CLI 命令行界面。

3. 在提示符下输入下面的命令：

user@host>request system reboot

4. 等待console 设备的输出，操作系统已经重新启动。

鉴于很多培训教程都说Junos的web界面很坑，这里就不做什么负面评价了。不过在本次的工程实施中，个人感觉web界面还是挺靠谱的，不会比netscreen的差，界面相对会比较清爽，且沿用了以前的很多风格，相对还是比较靠谱的。不过有一个地方需要注意的是，默认情况下，你是可以通过web界面登陆到设备，且可以配置，但是你不能保存，原因是有人通过命令行界面登陆了，所以你必须踢掉相关用户，相关的命令如下：

root> request system logout user root

最后，还有一项需要注意的是，有且只有你在配置完所有的东西以后并敲上commit 确认提交，系统检测没有逻辑上的错误以后才会正式生效，否则所有配置不生效。