2022年Juniper设备常规操作与维护 .pdf

Juniper设备常规操作与维护1.设备操作1.1.单机设备关机因为主控板上有大容量硬盘，为防止强行断电关机造成硬件故障，要求设备关机必须按照下面的步骤进行操作：1.管理终端连接console 口。2.使用具有足够权限的用户名和密码登陆CLI 命令行界面。3.在提示符下输入下面的命令：request system haltThe operating system has halted.Please press any key to reboot(除非需要重启设备，此时不要敲任何键，否则设备将进行重启)4.等待 console 输出上面提示信息后，确认操作系统已停止运行，关闭机箱背后电源模块电源。1.2.单机设备重启重启必须按照下面的步骤进行操作：1.管理终端连接console 口。2.使用具有足够权限的用户名和密码登陆CLI 命令行界面。3.在提示符下输入下面的命令：request system reboot4.等待 console 设备的输出，操作系统已经重新启动。名师资料总结-精品资料欢迎下载-名师精心整理-第 1 页，共 13 页 -1.3.单机操作系统升级操作系统软件升级必须按照下面的步骤进行操作：1.管理终端连接console 口，便于升级过程中查看设备重启和软件加载状态。2.升级前，执行下面的命令备份旧的软件及设定：request system snapshot3.加载新的OS 软件：ftp 10.1.1.1 输入用户名密码后，通过get 命令下载os，ftp ls ftp bin ftp get filename.tgzOS 的默认下载目录为登录用户的主目录/var/home/username4.升级新下载的OS request system software add no-validate no-copy filename.tgz reboot 5.软件加载成功后，设备将自动重启，重启完成后检查系统当前软件版本号：show system software 也可以在防火墙上开启FTP service，通过客户端用put方式将 OS 软件上传至防火墙。1.4.双机模式下主备设备关机双机模式下关机方式与单机方式一致，备件关机需要登录备机的fxp0 地址。登录防火墙后，通过命令request system halt对主备防火墙分别进行关机操作。名师资料总结-精品资料欢迎下载-名师精心整理-第 2 页，共 13 页 -1.5.双机模式下主备设备重启双机模式下关机方式与单机方式一致，备件重启需要登录备机的fxp0 地址进行操作。登录设备后，通过命令request system reboot对主备防火墙分别进行重启操作。1.6.双机模式下操作系统升级操作系统软件升级必须按照下面的步骤进行操作：1.通过 FTP 将 OS 上传至主防火墙 ftp 10.1.1.1 ftp ls ftp bin ftp get filename.tgz2.升级前，执行下面的命令备份旧的软件及设定：request system snapshot3.输入命令开始ISSU 升级 request system software in-service-upgrade filename.tgz reboot 4.ISSU 过程中，将先自动升级备墙，当备墙升级完成后会自动重启。备墙重启恢复正常后，转发层面将切换到备墙；然后主防火墙开始版本升级，并重启。在备墙恢复工作时，可通过命令确认备墙的工作状态，查看升级中是否有错误 show chassis cluster status show chassis alarms show system alarms show log messages|grep issu 5.主墙升级完成后，需要通过手工方式恢复原主备关系。request chassis cluster failover redundancy-group 0 node 0 request chassis cluster failover redundancy-group 1 node 0 request chassis cluster failover reset redundancy-group 0 request chassis cluster failover reset redundancy-group 1 名师资料总结-精品资料欢迎下载-名师精心整理-第 3 页，共 13 页 -6.若 ISSU 升级失败，只有一台设备完成升级，则可在已升级设备上通过如下命令回退 request chassis cluster in-service-upgrade abort request system software rollback request system reboot 1.7.双机转发平面主备切换及切换后恢复SRX 转发层面切换及恢复按照下面的步骤进行操作：1.检查双机状态正常后，在防火墙上执行以下命令进行转发平面主备切换：request chassis cluster failover redundancy-group 1 node 1 request chassis cluster failover reset redundancy-group 1 2.在防火墙上确认切换是否正常：show chassis cluster status 3.恢复原转发平面的主备关系：request chassis cluster failover redundancy-group 1 node 0 request chassis cluster failover reset redundancy-group 1 4.在防火墙上确认是否正常恢复原有状态：show chassis cluster status 1.8.双机控制平面主备切换及切换后恢复SRX 控制层面切换及恢复按照下面的步骤进行操作：1.检查双机状态正常后，在防火墙上执行以下命令进行转发平面主备切换：request chassis cluster failover redundancy-group 0 node 1 request chassis cluster failover reset redundancy-group 0 2.在防火墙上确认切换是否正常：名师资料总结-精品资料欢迎下载-名师精心整理-第 4 页，共 13 页 -show chassis cluster status 3.恢复原转发平面的主备关系：request chassis cluster failover redundancy-group 0 node 0 request chassis cluster failover reset redundancy-group 0 4.在防火墙上确认是否正常恢复原有状态：show chassis cluster status 1.9.双机模式下更换备设备双机模式下更换备墙按照下面的步骤进行操作：1.在备墙上执行命令，将备墙关机 request system halt 2.将备墙上所有连接线缆取下，并将备墙下架。将新的备墙上架后，开机确认硬件运行正常，并恢复原有的线路链接3.将新的备墙加入到双机模式：#set chassis cluster control-ports fpc 22 port 0#set interfaces fab1 fabric-options member-interfaces ge-12/1/0 set chassis cluster cluster-id 1 node 1 reboot 4.备墙重启完成后确认是否正常恢复原有状态：show chassis cluster status 5.在主墙上commit 一次做双机配置同步#commit 名师资料总结-精品资料欢迎下载-名师精心整理-第 5 页，共 13 页 -1.10.双机模式下更换主设备SRX 双机模式下更换主墙按照下面的步骤进行操作：1.在防火墙上执行以下命令进行转发平面主备切换：request chassis cluster failover redundancy-group 0 node 1 request chassis cluster failover reset redundancy-group 0 2.在防火墙上确认切换是否正常：show chassis cluster status3.在原主墙上执行命令，将主墙关机 request system halt 4.将主墙上所有连接线缆取下，并将主墙下架。将新的主墙上架后，开机确认硬件运行正常，并恢复原有的线路链接5.将新的主墙加入到双机模式：#set chassis cluster control-ports fpc 10 port 0#set interfaces fab1 fabric-options member-interfaces ge-10/1/0 set chassis cluster cluster-id 1 node 0 reboot 6.主重启完成后确认是否正常恢复原有状态：show chassis cluster status 7.然后通过手工方式恢复原主备关系。request chassis cluster failover redundancy-group 0 node 0 request chassis cluster failover redundancy-group 1 node 0 request chassis cluster failover reset redundancy-group 0 request chassis cluster failover reset redundancy-group 1 8.在主墙上commit 一次做双机配置同步#commit 名师资料总结-精品资料欢迎下载-名师精心整理-第 6 页，共 13 页 -1.11.双机模式更换电源双机模式下更换电源按照下面的步骤进行操作：1.在防火墙上将故障电源拔出，并更换新的电源2.在防火墙上确认电源是否工作正常：show chassis hardware3.2 双机模式更换故障板卡更换故障板卡请按照下面的步骤进行操作：1.如果是更换主墙的板卡，需要将转发层面切换到备墙 request chassis cluster failover redundancy-group 1 node 1 2.用命令将故障板卡断电后，将板卡拔出 request chassis fpc slot 0 offline 3.更换新板卡后，确认板卡工作正常 show chassis hardware4.如果需要将转发层面切换回主墙，通过手工方式恢复原主备关系。request chassis cluster failover redundancy-group 1 node 0 request chassis cluster failover reset redundancy-group 1 名师资料总结-精品资料欢迎下载-名师精心整理-第 7 页，共 13 页 -1.12.配置备份及还原方法配置备份及还原按照下面的步骤进行操作：1.可以将配置通过命令保存本地#save srx5800config还原时通过命令直接调取配置文件#load override srx5800config#commit2.可以将配置通过命令保存在ftp 服务器上#save ftp:/10.1.1.1/srx5800config.gz还原时通过命令调取ftp 服务器上的文件#load override ftp:/10.1.1.1/srx5800config.gz#commit1.13.密码修改方法密码的修改方法通过如下命令进行操作：#set system login user admin class super-user-local authentication plain-text-password根据提示来输入两次新密码即可生效1.14.磁盘文件清理方法防火墙内有两个存储单元，一个1G 的 CF 卡和一个SSD 硬盘（SRX3000 为 16G的硬盘；SRX5000 为 40G 的硬盘）。由于防火墙允许存储多个系统OS，同时存储名师资料总结-精品资料欢迎下载-名师精心整理-第 8 页，共 13 页 -多种 SYSLOG、Config 等文件，在运行较长时间后，硬盘空间可能会被占满，导致新的 OS 无法上传或新的SYSLOG 文件无法建立。平时需要如下命令查看存储单元的利用率：show system storage 可以通过如下命令清理磁盘中无用的系统OS 及 SYSLOG 文件 request system storage cleanup 或者通过命令单独删除某个目录下的文件 file delete 1.15.密码恢复root 密码丢失，并且没有其他的超级用户权限，那么就需要执行密码恢复，该操作需要中断设备正常运行，但不会丢失配置信息，这点与ScreenOS存在区别。要进行密码恢复，请按照下面操作进行：1.Console 口连接，然后重启。2.在启动过程中，console 上出现下面的提示的时候，按空格键 中断正常启动方式，然后再进入单用户状态，并输入：boot-sLoading/boot/defaults/loader.conf /kernel data=syms=Hit Enter to boot immediately,or space bar for command prompt.loader loader boot-s 执行密码恢复：在以下提示文字后输入recovery，设备将自动进行重启Enter full pathname of shell or recovery for root password recovery or RETURN for/bin/sh:recovery 进入配置模式，删除root密码，并重现设置root密码：configure Entering configuration mode#delete system root-authentication#set system root-authentication plain-text-password#New password:名师资料总结-精品资料欢迎下载-名师精心整理-第 9 页，共 13 页 -#Retype new password:#commit commit complete 2.常用功能配置2.1.配置主机名set groups node0 system host-name SRX3600 2.2.VLAN 设置进入系统视图：configuration 创建 VLAN：SRX3600#set vlans vlan100 vlan-id 100 将接口加入VLAN：set vlans vlan100 interface ge-0/0/3.0 删除 VLAN：delete vlans vlan100 vlan-id 100 2.3.管理地址设置设置带外管理口地址：set groups node0 interfaces fxp0 unit 0 family inet address 192.168.100.1/24 2.4.创建超级用户root#set system login user admin class super-user-local authentication plain-text-password root#new password:lab123 root#retype new password:lab123 名师资料总结-精品资料欢迎下载-名师精心整理-第 10 页，共 13 页 -2.5.创建只读用户root#set system login user monitor class read-only-local authentication plain-text-password root#new password:lab123 root#retype new password:lab123 2.6.配置静态路由set routing-options static route 0.0.0.0/0 next-hop 172.30.2.1 2.7.配置 ospf 路由set protocols ospf area 0.0.0.0 interface ge-0/0/1.0 2.8.端口操作接口添加注释：set interfaces reth0 description to_EX4200 改变接口类型为交换模式：set interfaces ge-0/0/2 unit 0 family ethernet-switching 接口下配置IP 地址：set interfaces ge-0/0/1.0 family inet address 172.30.2.2/24 2.9.防火墙策略操作创建策略：set security policies from-zone trust to-zone untrust policy trust_to_ustrust match source-address any set security policies from-zone trust to-zone untrust policy trust_to_ustrust match destination-address any 名师资料总结-精品资料欢迎下载-名师精心整理-第 11 页，共 13 页 -set security policies from-zone trust to-zone untrust policy trust_to_ustrust match application any set security policies from-zone trust to-zone untrust policy trust_to_ustrust then permit 2.10.提交并保存SRX3600#commit 3.常用监控维护命令下列操作命令在操作模式下使用，或在配置模式下run showShow system software 查看当前软件版本号show system uptime 查看系统启动时间Show chassis haredware 查看硬件板卡及序列号show chassis environment 查看硬件板卡当前状态show chassis routing-engine 查看主控板（RE）资源使用及状态show chassis fpc 查看各业务板块运行状态show security monitoring 查看防火墙最大新建会话数和SPU 负载show route 查看路由表show arp 查看 ARP 表show log messages 查看系统日志show interface terse 查看所有接口运行状态show interface ge-x/y/z detail 查看接口运行细节信息monitor interface ge-x/y/z 动态统计接口数据包转发信息monitor traffic interface ge-x/y/z 动态报文抓取（Tcpdump，类似ScreenOS snoop 命令）show security flow session summary 查看当前防火墙并发会话数show security flow session 查看当前防火墙具体并发会话clear security flow session all 清除当前session show security alg status 检查全局ALG 开启情况名师资料总结-精品资料欢迎下载-名师精心整理-第 12 页，共 13 页 -SRX 对应 ScreenOS debug flow basic跟踪报文处理路径的命令：set security flow traceoptions flag basic-datapath 开启SRX 基本报文处理Debug set security flow traceoptions file filename.log将输出信息记录到指定文件中set security flow traceoptions file filename.logsize 设置该文件大小，缺省128k set security flow traceoptions packet-filter filter1 destination-prefix 5.5.5.2 设置报文跟踪过滤器run file show filename.log 查看该 Log 输出信息SRX 对应 ScreenOS get tech命令，开 Case时需要抓取的信息：request support information 查看 cluster interface rootrouter show chassis cluster interfaces 查看 cluster 状态、节点状态、主备关系labsrx5800a#run show chassis cluster status 取消 cluster 配置srx5800a#set chassis cluster disable reboot 名师资料总结-精品资料欢迎下载-名师精心整理-第 13 页，共 13 页 -