Доступ к устройству и первоначальная настройка.
Присоединиться к консоли можно через консольный порт. Он находинся на лицевой панели слева (подписан "Console"). На первый взгляд это обычный RJ-45, но это не так. На самом деле этот разъем не имеет ничего общего с ethernet-портом. Этот разъем предназначен только для управления и ни для чего больше. В комплекте с Джунипером всегда идет переходник для подключения консольного порта к COM-порту компьютера. Так нам и нужно сделать.
Далее скачиваем клиент Putty и запускаем его. Появляется окошко, в котором нам надо поставить Serial и порт. Номер порта можно посмотреть в «Диспетчере устройств» Windows после того, как подключите роутер к компьютеру. В нашем примере это СОМ1.
Нажав «Open», мы подключимся к Джуниперу. Кстати, если мы сначала включим его, а потом (подождав пока произойдет загрузка ОС) подключимся к нему через консольный порт, то мы не увидим никакого приглашения, а просто черный экран. Это нормально. Нужно просто ввести логин и пароль и мы попадем в систему.
Когда мы в первый раз настраиваем Джунипер, то нужно войти под пользователем root с пустым паролем. В дальнейшем система обязательно потребует указать ей рутовый пароль.
После ввода логина-пароля выходит приглашение командной строки вида root@srx%.
В Junos OS есть три режима работы:
1. Юниксовый шел shell, имеет приглашение вида “root@srx%”. Поскольку Junos OS основана на FreeBSD, то первое куда мы попадаем после логина – это юниксовый шел. Для перехода в операционный режим вводим cli и нажимаем Enter.
2. Операционный режим, имеет приглашение “root@srx>”. Это по большому счету режим дебага и мониторинга. В нем можно просматривать важные параметры роутера, также в этом режиме происходит, например, обновление ПО и такие операции как перезагрузка-выключение. Если мы введем edit или configure, то попадаем в самый важный режим работы.
3. Конфигурационный режим, имеет приглашение “root@srx#”. В этом режиме осуществляется конфигурирование роутера, т.е. редактирование и применение конфига. Также, отсюда для удобства можно запускать команды операционного режима с помощью команды run. Например, нельзя запускать пинг из конфигурационного режима, но можно с помощью команды run: run ping 1.2.3.4.
Приступим к начальной настройке Джунипера из командной строки. Наши задачи:
1. Настроить аутентификацию через radius server и по поролю и другие параметры системы;
2. Настроить порты коммутатора;
3. Настроить VRRP;
4. Настроить маршрутизацию;
5. Настроить зоны и политики безопасности;
Исходные данные (для примера):
1. MPLS network - 172.16.16.0/29, на порту ЛПУ 172.16.16.1, на порту провайдера 172.16.16.6
2. LPU network - 192.168.1.0/24 GW - 192.168.1.1
3. TERMINALS network - 10.10.10.0/24
4. Сеть 10.0.0.0/8 маршрутизируется в сети MPLS.
1. Настройка системы.
Входим в режим конфигурирования:
- Код: выделить все
root@srx% cli
root@srx> edit
Задаем пароль пользователю root:
- Код: выделить все
root@srx# set system root-authentication plain-text-password
После нажатия Enter система попросит вас два раза ввести новый пароль для рута.
Задаем имя устройства:
- Код: выделить все
set system host-name Имя_роутера
Включаем доступ к устройству по ssh:
- Код: выделить все
set system services ssh
Задаем порядока авторизации. Сначала radius, потом по паролю:
- Код: выделить все
set system authentication-order radius
set system authentication-order password
Ну и доступ к radius-server`у:
- Код: выделить все
set system radius-server 1.1.2.2 secret "$9$9radiuspasswordhash"
Описываем группы пользователей radius-server`а. У нас будет super-user и read-only:
- Код: выделить все
set system login user readonly-users uid 2001
set system login user readonly-users class read-only
set system login user super-users uid 2002
set system login user super-users class super-user
2. Настройка интерфейсов.
Нам нужно настроить 3 интерфейса: в сеть MPLS, в защищенный сегмент сети и в существующую (незащищенную) сеть.
Интерфейс в сеть MPLS. Задаем IP адрес, маску и описание. Надо отметить, что джунипер не понимает маску подсети в ее классической октетной записи, а только в виде префикса.
- Код: выделить все
set interfaces fe-0/0/0 description "To MPLS net (zone mpls)"
set interfaces fe-0/0/0 unit 0 family inet address 172.16.16.4/29
Аналогичным образом настраиваем fe-0/0/1 и fe-0/0/2:
- Код: выделить все
set interfaces fe-0/0/1 description "To LAN with internet access (zone inet)"
set interfaces fe-0/0/1 unit 0 family inet address 192.168.1.252/24
set interfaces fe-0/0/2 description "To VipNet Coordinator (zone terminals)"
set interfaces fe-0/0/2 unit 0 family inet address 10.210.10.1/28
Подсеть 10.210.10.0/28 нужна для связи с сетью VipNet.
3. Настройка VRRP.
Протокол VRRP используется для повышения доступности маршрутизаторов.
Необходимо для каждого интерфейса настроить vrrp группу, виртуальный адрес, приоритет и интервал отправки сообщений. Номера групп на разных интерфейсах не должны совпадать.
- Код: выделить все
edit interfaces fe-0/0/0 unit 0 family inet address 172.16.16.4/29
set vrrp-group 3 virtual-address 172.16.16.1
set vrrp-group 3 virtual-address 172.16.16.3
set vrrp-group 3 priority 200
set vrrp-group 3 fast-interval 100
top
Роутер с приоритетом 200 будет выполнять роль мастера. Соответственно на втором (backup) роутере необходимо задать более низкий приоритет, например 100.
Аналогичным образом настраиваем vrrp на fe-0/0/1 и fe-0/0/2:
- Код: выделить все
edit interfaces fe-0/0/1 unit 0 family inet address 192.168.1.252/24
set vrrp-group 4 virtual-address 192.168.1.254
set vrrp-group 4 priority 200
set vrrp-group 4 fast-interval 100
set vrrp-group 4 accept-data
top
edit interfaces fe-0/0/2 unit 0 family inet address 10.210.10.1/28
set vrrp-group 5 virtual-address 10.210.10.3
set vrrp-group 5 priority 200
set vrrp-group 5 fast-interval 100
set vrrp-group 5 accept-data
set vrrp-group 5 track interface fe-0/0/0.0 priority-cost 150
top
4. Маршруты.
Теперь нужно "прописать" несколько статических маршрутов.
Маршрут по-умолчанию:
- Код: выделить все
set routing-options static route 0/0 next-hop 192.168.1.1
Маршрут в защищенный сегмент сети через Firewall:
- Код: выделить все
set routing-options static route 10.10.10.0/24 next-hop 10.210.10.4
Маршруты в сеть MPLS и к сетевым сервисам:
- Код: выделить все
set routing-options static route 172.16.0.0/16 next-hop 172.16.16.6
set routing-options static route 10.0.0.0/8 next-hop 172.16.16.6
5. Зоны и политики.
Поскольку фильтрация трафика будет происходить на межсетевом экране (Firewall), с политиками можно не мудрить:
- Код: выделить все
set security policies default-policy permit-all
Создаем зоны безопасности, определяем разрешенный трафик и интерфейсы. У нас получается 3 зоны (mpls, inet и terminals):
- Код: выделить все
set security zones security-zone mpls host-inbound-traffic system-services all
set security zones security-zone mpls host-inbound-traffic protocols all
set security zones security-zone mpls interfaces fe-0/0/0.0
set security zones security-zone inet host-inbound-traffic system-services all
set security zones security-zone inet host-inbound-traffic protocols all
set security zones security-zone inet interfaces fe-0/0/1.0
set security zones security-zone terminals host-inbound-traffic system-services all
set security zones security-zone terminals host-inbound-traffic protocols all
set security zones security-zone terminals interfaces fe-0/0/2.0
Теперь нужно настроить статический nat трафика из зон mpls и inet на firewall. Nat`ить будем виртуальные адреса:
- Код: выделить все
set security nat static rule-set mpls-out from zone mpls
set security nat static rule-set mpls-out rule mpls-out-rule match destination-address 172.16.16.3/32
set security nat static rule-set mpls-out rule mpls-out-rule then static-nat prefix 10.210.10.4/32
set security nat static rule-set inet-out from zone inet
set security nat static rule-set inet-out rule inet-out-rule match destination-address 192.168.1.254/32
set security nat static rule-set inet-out rule inet-out-rule then static-nat prefix 10.210.10.4/32
Остается проверить конфигурацию:
- Код: выделить все
commit check
И применить конфиг:
- Код: выделить все
commit
Написано не без помощи хабра
