Juniper设备常规操作及维护.docx
《Juniper设备常规操作及维护.docx》由会员分享,可在线阅读,更多相关《Juniper设备常规操作及维护.docx(10页珍藏版)》请在冰豆网上搜索。
Juniper设备常规操作及维护
Juniper设备常规操作与维护
1.设备操作
1.1.单机设备关机
因为主控板上有大容量硬盘,为防止强行断电关机造成硬件故障,要求设备关机必须按照下面的步骤进行操作:
1.管理终端连接console口。
2.使用具有足够权限的用户名和密码登陆CLI命令行界面。
3.在提示符下输入下面的命令:
>requestsystemhalt
…
Theoperatingsystemhashalted.
Pleasepressanykeytoreboot(除非需要重启设备,此时不要敲任何键,否则设备将进行重启)
4.等待console输出上面提示信息后,确认操作系统已停止运行,关闭机箱背后电源模块电源。
1.2.单机设备重启
重启必须按照下面的步骤进行操作:
1.管理终端连接console口。
2.使用具有足够权限的用户名和密码登陆CLI命令行界面。
3.在提示符下输入下面的命令:
>requestsystemreboot
4.等待console设备的输出,操作系统已经重新启动。
1.3.单机操作系统升级
操作系统软件升级必须按照下面的步骤进行操作:
1.管理终端连接console口,便于升级过程中查看设备重启和软件加载状态。
2.升级前,执行下面的命令备份旧的软件及设定:
>requestsystemsnapshot
3.加载新的OS软件:
>ftp10.1.1.1
输入用户名密码后,通过get命令下载os,
ftp>ls
ftp>bin
ftp>getfilename.tgz
OS的默认下载目录为登录用户的主目录/var/home/username
4.升级新下载的OS
>requestsystemsoftwareaddno-validateno-copyfilename.tgzreboot
5.软件加载成功后,设备将自动重启,重启完成后检查系统当前软件版本号:
>showsystemsoftware
也可以在防火墙上开启FTPservice,通过客户端用put方式将OS软件上传至防火墙。
1.4.双机模式下主备设备关机
双机模式下关机方式与单机方式一致,备件关机需要登录备机的f*p0地址。
登录防火墙后,通过命令requestsystemhalt对主备防火墙分别进行关机操作。
1.5.双机模式下主备设备重启
双机模式下关机方式与单机方式一致,备件重启需要登录备机的f*p0地址进行操作。
登录设备后,通过命令requestsystemreboot对主备防火墙分别进行重启操作。
1.6.双机模式下操作系统升级
操作系统软件升级必须按照下面的步骤进行操作:
1.通过FTP将OS上传至主防火墙
>ftp10.1.1.1
ftp>ls
ftp>bin
ftp>getfilename.tgz
2.升级前,执行下面的命令备份旧的软件及设定:
>requestsystemsnapshot
3.输入命令开始ISSU升级
>requestsystemsoftwarein-service-upgradefilename.tgzreboot
4.ISSU过程中,将先自动升级备墙,当备墙升级完成后会自动重启。
备墙重启恢复正常后,转发层面将切换到备墙;然后主防火墙开始版本升级,并重启。
在备墙恢复工作时,可通过命令确认备墙的工作状态,查看升级中是否有错误
>showchassisclusterstatus
>showchassisalarms
>showsystemalarms
>showlogmessages|grepissu
5.主墙升级完成后,需要通过手工方式恢复原主备关系。
>requestchassisclusterfailoverredundancy-group0node0
>requestchassisclusterfailoverredundancy-group1node0
>requestchassisclusterfailoverresetredundancy-group0
>requestchassisclusterfailoverresetredundancy-group1
6.若ISSU升级失败,只有一台设备完成升级,则可在已升级设备上通过如下命令回退
>requestchassisclusterin-service-upgradeabort
>requestsystemsoftwarerollback
>requestsystemreboot
1.7.双机转发平面主备切换及切换后恢复
SR*转发层面切换及恢复按照下面的步骤进行操作:
1.检查双机状态正常后,在防火墙上执行以下命令进行转发平面主备切换:
>requestchassisclusterfailoverredundancy-group1node1
>requestchassisclusterfailoverresetredundancy-group1
2.在防火墙上确认切换是否正常:
>showchassisclusterstatus
3.恢复原转发平面的主备关系:
>requestchassisclusterfailoverredundancy-group1node0
>requestchassisclusterfailoverresetredundancy-group1
4.在防火墙上确认是否正常恢复原有状态:
>showchassisclusterstatus
1.8.双机控制平面主备切换及切换后恢复
SR*控制层面切换及恢复按照下面的步骤进行操作:
1.检查双机状态正常后,在防火墙上执行以下命令进行转发平面主备切换:
>requestchassisclusterfailoverredundancy-group0node1
>requestchassisclusterfailoverresetredundancy-group0
2.在防火墙上确认切换是否正常:
>showchassisclusterstatus
3.恢复原转发平面的主备关系:
>requestchassisclusterfailoverredundancy-group0node0
>requestchassisclusterfailoverresetredundancy-group0
4.在防火墙上确认是否正常恢复原有状态:
>showchassisclusterstatus
1.9.双机模式下更换备设备
双机模式下更换备墙按照下面的步骤进行操作:
1.在备墙上执行命令,将备墙关机
>requestsystemhalt
2.将备墙上所有连接线缆取下,并将备墙下架。
将新的备墙上架后,开机确认硬件运行正常,并恢复原有的线路
3.将新的备墙加入到双机模式:
*setchassisclustercontrol-portsfpc22port0
*setinterfacesfab1fabric-optionsmember-interfacesge-12/1/0
>setchassisclustercluster-id1node1reboot
4.备墙重启完成后确认是否正常恢复原有状态:
>showchassisclusterstatus
5.在主墙上mit一次做双机配置同步
*mit
1.10.双机模式下更换主设备
SR*双机模式下更换主墙按照下面的步骤进行操作:
1.在防火墙上执行以下命令进行转发平面主备切换:
>requestchassisclusterfailoverredundancy-group0node1
>requestchassisclusterfailoverresetredundancy-group0
2.在防火墙上确认切换是否正常:
>showchassisclusterstatus
3.在原主墙上执行命令,将主墙关机
>requestsystemhalt
4.将主墙上所有连接线缆取下,并将主墙下架。
将新的主墙上架后,开机确认硬件运行正常,并恢复原有的线路
5.将新的主墙加入到双机模式:
*setchassisclustercontrol-portsfpc10port0
*setinterfacesfab1fabric-optionsmember-interfacesge-10/1/0
>setchassisclustercluster-id1node0reboot
6.主重启完成后确认是否正常恢复原有状态:
>showchassisclusterstatus
7.然后通过手工方式恢复原主备关系。
>requestchassisclusterfailoverredundancy-group0node0
>requestchassisclusterfailoverredundancy-group1node0
>requestchassisclusterfailoverresetredundancy-group0
>requestchassisclusterfailoverresetredundancy-group1
8.在主墙上mit一次做双机配置同步
*mit
1.11.双机模式更换电源
双机模式下更换电源按照下面的步骤进行操作:
1.在防火墙上将故障电源拔出,并更换新的电源
2.在防火墙上确认电源是否工作正常:
>showchassishardware
3.2双机模式更换故障板卡
更换故障板卡请按照下面的步骤进行操作:
1.如果是更换主墙的板卡,需要将转发层面切换到备墙
>requestchassisclusterfailoverredundancy-group1node1
2.用命令将故障板卡断电后,将板卡拔出
>requestchassisfpcslot0offline
3.更换新板卡后,确认板卡工作正常
>showchassishardware
4.如果需要将转发层面切换回主墙,通过手工方式恢复原主备关系。
>requestchassisclusterfailoverredundancy-group1node0
>requestchassisclusterfailoverresetredundancy-group1
1.12.配置备份及还原方法
配置备份及还原按照下面的步骤进行操作:
1.可以将配置通过命令保存本地
*savesr*5800config
还原时通过命令直接调取配置文件
*loadoverridesr*5800config
*mit
2.可以将配置通过命令保存在ftp服务器上
*saveftp:
//10.1.1.1/sr*5800config.gz
还原时通过命令调取ftp服务器上的文件
*loadoverrideftp:
//10.1.1.1/sr*5800config.gz
*mit
1.13.密码修改方法
密码的修改方法通过如下命令进行操作:
*setsystemloginuseradminclasssuper-user-localauthenticationplain-te*t-password
根据提示来输入两次新密码即可生效
1.14.磁盘文件清理方法
防火墙有两个存储单元,一个1G的CF卡和一个SSD硬盘(SR*3000为16G的硬盘;SR*5000为40G的硬盘)。
由于防火墙允许存储多个系统OS,同时存储多种SYSLOG、Config等文件,在运行较长时间后,硬盘空间可能会被占满,导致新的OS无法上传或新的SYSLOG文件无法建立。
平时需要如下命令查看存储单元的利用率:
>showsystemstorage
可以通过如下命令清理磁盘中无用的系统OS及SYSLOG文件
>requestsystemstoragecleanup
或者通过命令单独删除*个目录下的文件
>filedelete
1.15.密码恢复
root密码丢失,并且没有其他的超级用户权限,则就需要执行密码恢复,该操作需要中断设备正常运行,但不会丢失配置信息,这点与ScreenOS存在区别。
要进行密码恢复,请按照下面操作进行:
1.Console口连接,然后重启。
2.在启动过程中,console上出现下面的提示的时候,按空格键中断正常启动方式,然后再进入单用户状态,并输入:
boot-s
Loading/boot/defaults/loader.conf
/kerneldata=……syms=[……]
Hit[Enter]tobootimmediately,orspacebarformandprompt.
loader>
loader>boot-s
执行密码恢复:
在以下提示文字后输入recovery,设备将自动进行重启
Enterfullpathnameofshellor'recovery'forrootpasswordrecoveryorRETURNfor/bin/sh:
recovery
进入配置模式,删除root密码,并重现设置root密码:
>configure
Enteringconfigurationmode
*deletesystemroot-authentication
*setsystemroot-authenticationplain-te*t-password
*Newpassword:
*Retypenewpassword:
*mit
mitplete
2.常用功能配置
2.1.配置主机名
setgroupsnode0systemhost-nameSR*3600
2.2.VLAN设置
进入系统视图:
configuration
创建VLAN:
SR*3600*setvlansvlan100vlan-id100
将接口加入VLAN:
setvlansvlan100interfacege-0/0/3.0
删除VLAN:
deletevlansvlan100vlan-id100
2.3.管理地址设置
设置带外管理口地址:
2.4.创建超级用户
root*setsystemloginuseradminclasssuper-user-localauthentication
plain-te*t-password
root*newpassword:
lab123
root*retypenewpassword:
lab123
2.5.创建只读用户
root*setsystemloginusermonitorclassread-only-localauthentication
plain-te*t-password
root*newpassword:
lab123
root*retypenewpassword:
lab123
2.6.配置静态路由
2.7.配置ospf路由
setprotocolsospfarea0.0.0.0interfacege-0/0/1.0
2.8.端口操作
接口添加注释:
setinterfacesreth0descriptionto_E*4200
改变接口类型为交换模式:
setinterfacesge-0/0/2unit0familyethernet-switching
接口下配置IP地址:
2.9.防火墙策略操作
创建策略:
setsecuritypoliciesfrom-zonetrustto-zoneuntrustpolicytrust_to_ustrustmatchsource-addressany
setsecuritypoliciesfrom-zonetrustto-zoneuntrustpolicytrust_to_ustrustmatchdestination-addressany
setsecuritypoliciesfrom-zonetrustto-zoneuntrustpolicytrust_to_ustrustmatchapplicationany
setsecuritypoliciesfrom-zonetrustto-zoneuntrustpolicytrust_to_ustrustthenpermit
2.10.提交并保存
SR*3600*mit
3.常用监控维护命令
下列操作命令在操作模式下使用,或在配置模式下runshow…
●Showsystemsoftware查看当前软件版本号
●showsystemuptime查看系统启动时间
●Showchassisharedware查看硬件板卡及序列号
●showchassisenvironment查看硬件板卡当前状态
●showchassisrouting-engine查看主控板(RE)资源使用及状态
●showchassisfpc查看各业务板块运行状态
●showsecuritymonitoring查看防火墙最大新建会话数和SPU负载
●showroute查看路由表
●showarp查看ARP表
●showlogmessages查看系统日志
●showinterfaceterse查看所有接口运行状态
●showinterfacege-*/y/zdetail查看接口运行细节信息
●monitorinterfacege-*/y/z动态统计接口数据包转发信息
●monitortrafficinterfacege-*/y/z动态报文抓取(Tcpdump,类似ScreenOSsnoop命令)
●showsecurityflowsessionsummary查看当前防火墙并发会话数
●showsecurityflowsession查看当前防火墙具体并发会话
●clearsecurityflowsessionall清除当前session
●showsecurityalgstatus检查全局ALG开启情况
●SR*对应ScreenOSdebugflowbasic跟踪报文处理路径的命令:
●setsecurityflowtraceoptionsflagbasic-datapath开启SR*基本报文处理Debug
●setsecurityflowtraceoptionsfilefilename.log将输出信息记录到指定文件中
●setsecurityflowtraceoptionsfilefilename.logsize设置该文件大
●小,缺省128k
●setsecurityflowtraceoptionspacket-filterfilter1destination-prefi*5.5.5.2
●设置报文跟踪过滤器
●runfileshowfilename.log查看该Log输出信息
●SR*对应ScreenOSgettech命令,开Case时需要抓取的信息:
requestsupportinformation
●查看clusterinterface
●rootrouter>showchassisclusterinterfaces
●查看cluster状态、节点状态、主备关系
●labsr*5800a*runshowchassisclusterstatus
●取消cluster配置
●sr*5800a* setchassisclusterdisablereboot