远程管理路由器全攻略

### 远程管理路由器全攻略 #### 1. 带外管理设置 带外管理通过 Juniper Networks 路由器上的特殊管理接口进行处理。这些接口是位于所有 Juniper Networks 路由器正面的快速以太网接口。其设计目的是使到达这些接口的流量不会在路由器的其他网络接口上进行路由，从而实现管理流量和网络流量的分离。 连接带外接口到管理网络的步骤如下： 1. 使用以太网电缆将路由器的带外接口连接到管理网络（通常是交换机）。 2. 当链路指示灯亮起时，配置 IP 地址。 - M - 、MX - 和 T 系列路由器的带外管理接口名为 fxp0，接口设置在 fxp0 下配置。 - J 系列路由器的管理接口名为 fe - 0/0/0，接口设置可在 fxp0 或 fe - 0/0/0 下配置，但路由器在通过操作命令报告接口信息时将该接口识别为 fe - 0/0/0，因此配置 J 系列管理接口时建议使用 fe - 0/0/0。 3. 配置管理接口，只需在接口上设置 IP 地址，示例代码如下： ```plaintext interfaces { fxp0 { unit 0 { family inet { address 192.168.71.246/21; } } } } ``` #### 2. 带内管理设置 进行带内管理时，首先要决定将哪个接口作为管理接口。通常，管理流量不大，选择路由器上较慢的接口即可。大多数路由器上，快速以太网连接足以处理管理流量；低端路由器可选择串行接口或 T1/E1 接口。 连接接口的步骤如下： 1. 将电缆连接到端口，并确保远程连接正常。当链路指示灯亮起时，即可配置接口。部分接口（如串行接口）在链路激活前需要进行一些基本配置。 2. 连接管理接口后，为其配置至少一个 IP 地址，示例代码如下： ```plaintext interfaces { fe - 0/1/0 { unit 0 { family inet { address 192.168.71.246/21; } } } } ``` 配置带内管理接口时，需注意路由器上的路由协议和路由策略配置。一般不希望在管理接口上启用协议，以防止其他路由器与管理接口建立邻接关系。可使用 disable 语句禁用管理接口上的协议，示例如下： ```plaintext [edit protocols] user@Router# set ospf interface fe - 0/1/0 disable [edit protocols] user@Router# show ospf { interface all; interface fe - 0/1/0.0 { disable; } } ``` 同样，路由策略不应将管理接口地址通告给对等网络，可通过路由过滤器显式过滤管理地址或精心构建路由策略来确保路由不泄露。 #### 3. 访问路由器 ##### 3.1 Telnet 访问路由器最基本的方法是使用 Telnet。在管理接口（带外或带内）配置 IP 地址后，可通过打开 Telnet 会话访问路由器。例如，若路由器管理接口地址为 192.168.71.246，可使用以下命令访问： ```plaintext > telnet 192.168.71.246 ``` 若连接被拒绝，需在路由器上显式配置允许 Telnet 连接。配置 Telnet 服务的代码如下： ```plaintext [edit] system { services { telnet; } } ``` Telnet 会话建立后，访问基于用户认证，具体认证机制取决于配置。路由器的 root 访问仅限于通过控制台（表示对路由器的物理访问）或加密会话（如 SSH 或 HTTPS）进行的连接。若必须使用 Telnet 访问路由器并获得 root 访问权限，可设置具有超级用户权限的用户 ID。 ##### 3.2 SSH Telnet 存在安全风险，因为其会话中的流量未加密，容易被嗅探窃取登录信息和密码。为保护登录凭证，建议使用 Secure Shell (SSH)。SSH 通过安全通道在用户和路由器之间交换数据。 在路由器上启用 SSH 服务的代码如下： ```plaintext [edit] system { services { ssh; telnet; } } ``` 启用 SSH 后，可通过加密会话访问路由器，并且可以使用 root 登录远程访问路由器： ```plaintext > ssh -l root router ``` 以 root 身份登录路由器后，会直接登录到 FreeBSD 外壳，使用 cli 命令可启动 CLI。 为增强路由器的安全性，可限制每分钟尝试的访问会话数量，示例代码如下： ```plaintext [edit] system { services { ssh { rate - limit 15; } telnet { rate - limit 15; } } } ``` #### 4. 系统日志监控路由器 JUNOS 软件支持广泛的系统日志记录功能和跟踪功能，便于监控网络。系统事件发生时，JUNOS 软件会生成系统消息（即 syslog 消息），这些消息不断生成并由路由器保存或处理，为远程监控网络提供实时和历史数据。 ##### 4.1 深入了解 syslog 消息 日志记录最重要的是了解记录内容和时间。整个系统的事件（包括硬件和软件状况）都包含在 JUNOS 软件的 syslog 记录中，如路由器被访问、查询或修改，进程启动、失败或重启，达到物理阈值（机箱内温度、CPU 利用率、风扇速度等）以及影响或反映路由器操作的各种系统条件。 这些事件分为不同的 syslog 设施，每个设施都有对应的设施代码，如下表所示： | Syslog 设施 | 设施代码 | 事件源 | | --- | --- | --- | | any | None | 任何设施 | | authorization | AUTH, AUTHPRIV | 认证和授权尝试 | | change - log | CHANGE | 路由器配置更改 | | conflict - log | CONFLICT | 与路由器硬件冲