Juniper SRX 简单命令二

--------------------------Juniper SRX 用户管理---------------------------

Juniper的命令，其实是比较形象的，英文稍微好一点，基本都能看懂

1、添加用户

root# set system login user ?                  
Possible completions:
  <user-name>          User name (login)

2、用户组设置

root# set system login user XXX class ?
Possible completions:
  <class>              Login class
  operator             permissions [ clear network reset trace view ]        //用于故障定位，但是看不了配置，也不能编辑
  read-only            permissions [ view ]            //只读   就是只能看看状态
  super-user           permissions [ all ]              //完全权限
  unauthorized         permissions [ none ]         //为radius做模板，没有任何权限，权限在radius里添加

根据不同用途给用户设置组

3、用户UID设置

root# set system login user XXX class read-only uid ?

Possible completions:
  <uid>                User identifier (uid) (100..64000)

4、root密码设置

初始话的时候，root的密码为空，必须设置一个root密码才能提交配置.

root# set system root-authentication plain-text-password         交互明文输入

或者

root# set system root-authentication encrypted-password ?     非交互密文输入
Possible completions:
  <encrypted-password>  Encrypted password string

例：root# set system root-authentication encrypted-password "xxxxxxxxxxdddddddddde"

双引号里就是一个MD5加密的值

这里不明白的看看之前一篇博客

5、给用户设置密码

root# set system login user XXX authentication plain-text-password

或者

root# set system login user XXX authentication encrypted-password "xxxxx"

6、自定义用户级别组

root# set system login class test ?
Possible completions:
  access-end           End time for remote access (hh:mm)
  access-start         Start time for remote access (hh:mm)
  allow-commands       Regular expression for commands to allow explicitly
  allow-configuration  Regular expression for configure to allow explicitly
+ allow-configuration-regexps  Object path regular expressions to allow
+ allowed-days         Day(s) of week when access is allowed.
+ apply-groups         Groups from which to inherit configuration data
+ apply-groups-except  Don't inherit configuration data from these groups
  deny-commands        Regular expression for commands to deny explicitly
  deny-configuration   Regular expression for configure to deny explicitly
+ deny-configuration-regexps  Object path regular expressions to deny
  idle-timeout         Maximum idle time before logout (minutes)
  login-alarms         Display system alarms when logging in
  login-script         Execute this login-script when logging in
  login-tip            Display tip when logging in
+ permissions          Set of permitted operation categories
  security-role        Common Criteria security role

可以自定义一个组，里面茫茫多的选项。。。。。。自己看看吧，反正我这里网络、服务器、桌面端、DBA就我一个人。。。。。。。。

7、查看当前用户权限

root> show cli authorization

——————————————————JuniperSRX------------------远程管理

一、SSH（安全协议）

set system services ssh root-login deny ----------------------------不允许管理员使用ssh登录
set system services ssh protocol-version v2 -----------------------使用ssh 版本2

set system services ssh connection-limit 3 -------------------------ssh最大连接数为3
set system services ssh rate-limit 3-----------------------------------每分钟尝试密码次数

二、Telnet（不安全协议）

set system services telnet connection-limit 3---------------------最大连接数
set system services telnet rate-limit 2------------------------------每分钟尝试密码次数

三、FTP（不建议开服务端）

1、作为服务端

set system services ftp connection-limit 5---------------------最大连接数
set system services ftp rate-limit 3------------------------------每分钟尝试密码次数

现在一般都不用这种，通过软件直接SCP拖拽

四、http/https

1、http

set system services web-management http port 8080---------设置打开服务并且指定8080端口
set system services web-management http interface ge-0/0/0.0------------设置通过ge-0/0/0.0接口访问

set system services web-management session idle-timeout 10------------设置超时时间10分钟
set system services web-management session session-limit 1-----------设置最大连接数

2、https

set system services web-management https port 443
set system services web-management https system-generated-certificate--------系统自动生成证书
set system services web-management https interface ge-0/0/0.0

上面设置session的那一段，是同时设置http和https的。

3、NTP

root# set system ntp server 2.2.2.2-----------设置ntp服务器

root# set system ntp source-address 1.1.1.1  ----------设置访问NTP的源地址

4、远程服务流量控制

JuniperSRX分为转发引擎（PFE---packet forwarding engine）和路由引擎（RE---routing engine）。

web  route  http 等等都是再RE上的，PFE功能简化来说就是二层转发。

FW一般作为边界设备，肯定会连接公网，上面就会有很多端口扫描的问题，（傻逼真的是多），而流量的走向都是先通过FW---->loopback0----->RE（这个是我方便描述），lo0可以理解为一个管理接口，如果你把这个接口做了流量控制，就然就可以控制web的流量了。之后我会开一个实验专题，这里就不详解了

静态路由

静态路由都是最基础，小型公司用的最多的，我直接贴配置

set routing-options static route 0.0.0.0/0 next-hop 1.1.1.1

这就是一条默认的路由，下一跳地址是1.1.1.1

JuniperSRX---------rpm配合track完成双线主备

原理就是通过rpm的ping包去检测一个目标地址  然后根据结果切换路由

services {
    rpm {
        probe ISP-PING {
            test ISP_DNS {
                target address 1.1.1.2;           目标地址
                probe-count 15;                      一次测试发几个包
                probe-interval 1;                     每个包间隔几秒
                test-interval 1;                        每个测试间隔几秒
                thresholds {
                    successive-loss 5;              每个测试范围内，连续丢包多少个判断链路失效
                    total-loss 10;                      每个测试范围内，总丢包多少个判断链路失效
                }
                destination-interface ge-0/0/0.0;
                next-hop 1.1.1.2;
            }
        }
    }
    ip-monitoring {
        policy DNS-Tracking {
            match {
                rpm-probe ISP-PING;          需要满足的条件
            }
            then {
                preferred-route {
                    route 0.0.0.0/0 {
                        next-hop 3.3.3.3;         需要更换的路由下一跳
                    }
                }
            }
        }
    }
}

全部做完还要方形rpm的流量

host-inbound-traffic {
                system-services {
                    rpm;
                    ping;
                }
            }

原文链接    https://blog.csdn.net/tyrantu1989/article/list/2?t=1