Juniper SRX 設備恢復出廠配置

-


Juniper SRX (Junos OS)設備恢復出廠配置


在什麼情況下我們需要將SRX防火牆恢復出廠設定呢?
一、當您忘記密碼無法登入管理設備時
其實忘記密碼我們還有另一個選擇，就是透過密碼恢復程序來重新設定密碼，請參考下列之網路連結:
Juniper SRX (Junos OS)密碼恢復Password Recovery
二、要重新配置系統時


恢復出廠配置後SRX防火牆設備的狀態：
SRX100/210恢復出廠配置後，系統預設端口0/0為WAN(廣域網路，也就是上網的端口)，0/1~0/7為LAN(區域網路，接個人電腦用)。
系統預設登入帳號為 root ，密碼為空(即不須輸入任何密碼)。
這時只要WAN端口所接入的設備能自動分派IP(具有DHCP功能)，不須任何設定，您就可以透過恢復出廠配置後SRX設備來上網。
此時任何人都可以從LAN端口透過WebUI(J-Web)、SSH或是telnet介面，利用root帳號來登入SRX設備，並取得設備的最高控制權。這代表者此時SRX防火牆設備是非常不安全的，因此，若您要為SRX設備進行恢復出廠配置的動作時，請記得要先將設備置於封閉安全的網路環境才行。
恢復出廠配置後SRX防火牆設備會為連接LAN端口的電腦自動分派192.168.1.xx的IP位址，且其預設(默認)閘道為192.168.1.1，當然您的電腦必須設定成自動取得IP才行。
當您透過SSH或是telnet介面來登入SRX設備時，只要將遠端IP位址射設定為192.168.1.1，帳號為 root ，密碼為空，即可登入。
若透過WebUI(J-Web)介面來登入SRX設備(在瀏覽器輸入位址192.168.1.1)，

則登入後您就會直接看到以下的Setup Wizard的歡迎畫面：


注意：關於後續的初始化設定，您可以參考下列之網路連結：
Juniper SRX 初始化安裝(J-Web模式)
若您是老手，習慣使用CLI命令列來維護SRX設備，則建議您從CLI命令列來進行初始化的動作，可幫您節省不少的時間：
Juniper SRX 初始化安裝(CLI模式)







Juniper SRX防火牆要讓設備恢復出廠設定有兩種方式：
一、使用Reset Config重設組態按鈕：
當然，這個前提是您能進入機房並直接接觸到SRX防火牆設備才行。
預設情況下，在SRX100/210設備的前面板上，按住 "重設組態Reset Config" 按鈕15秒鐘或更短-直到狀態指示燈呈穩定琥珀色-這將刪除設備上的所有配置，包括備份配置和救援配置，及載入並提交(commit)出廠預設配置(此時的登入帳號為root，密碼為空，也就是僅輸入帳號就能登入系統)。

在按住 "重設組態Reset Config" 按鈕的同時，console上會顯示以下之訊息:
Broadcast Message from root@srx100
        (no tty) at 23:57 CST...
Config button pressed
Committing factory default configuration

關於Reset Config重設組態按鈕的詳細運用請參考下列的網路連結：
Juniper SRX 使用Reset Config重置組態按鈕




二、在CLI命令列執行load factory-default命令：
若您無法進入機房並直接接觸到SRX防火牆設備，但是您擁有超級管理員的帳號，那您就可以從遠端透過TELNET或是SSH來登入系統，並使用CLI來配置系統。
登入後進入到CLI的配置模式，執行下列命令來恢復出廠配置：
root@srx100# load factory-default
warning: activating factory configuration   /***系統將啟動出廠配置***/
恢復出廠後,必須立刻設置root 帳號密碼<默認密碼至少6 位數：包含字母加數字
root@srx100# set system root-authentication plain-text-password
New password:
Retype new password:
當設置完ROOT 帳號密碼以後,進行提交(commit)以保存並實行配置
root@srx100# commit
commit complete



關於SRX防火牆設備恢復出廠設定後，前面板ALARM會亮紅燈的問題。
SRX100/210設備恢復出廠設定後，前面板ALARM會亮紅燈，我們只要執行以下命令就會恢復成綠燈：
root@srx100> request system autorecovery state save
Saving config recovery information
Saving license recovery information
Saving BSD label recovery information
root@srx100>

關於 request system autorecovery state save 命令的用途請參考下列之網路連結：
關於Juniper SRX (Junos OS) Kaspersky AV 防毒方面的設定





恢復出廠設定後可直接載入備用的配置檔
CLI介面
以上敘述乃介紹如何將srx設備恢復出廠設定，而一但恢復了出廠設定，就必須登入WebUI並將設定精靈的流程走完才行，這得花10分鐘左右非常浪費時間，若您已有設定好的配置檔，則可放在FTP上直接載入即可：
root@srx100# load override ftp://user:123456@192.168.1.11/srx-ok.conf
/var/tmp//...transferring.file.........xSaAZR/100% of 5596  B 1646 kBps
load complete
[edit]
root@srx100# commit
commit complete
[edit]
root@srx100#


J-Web介面
當設備恢復出廠配置後，SRX設備會在我們登入J-Web時，強制我們執行設定精靈(Setup Wizard)是因為下列4行命令：
set system autoinstallation delete-upon-commit
set system autoinstallation traceoptions level verbose
set system autoinstallation traceoptions flag all
set system autoinstallation interfaces fe-0/0/0 bootp
若您想要在登入系統後跳過設定精靈(Setup Wizard)，直接進入一般設定介面，好載入備分的配置檔，那您可以在CLI命令列執行下列的命令來刪除：
[edit]
root@srx100# delete system autoinstallation 
[edit]
root@srx100# commit
commit complete
[edit]
root@srx100#
之後您再透過WebUI(J-Web)介面來登入SRX設備(在瀏覽器輸入位址192.168.1.1)即可。








SRX防火牆設備恢復出廠設定後的預設配置
若您此時在CLI命令列輸入show | no-more則可以看到出廠預設之配置如下：
root@srx100> show configuration | no-more
## Last commit: 2018-05-05 07:31:36 GMT+8 by root
version 12.1X46-D81;
system {
    autoinstallation {    ##因為這個語句導致您透過J-Web介面來登入時會進入設定精靈畫面
        delete-upon-commit; ## Deletes [system autoinstallation] upon change/commit
        traceoptions {
            level verbose;
            flag {
                all;
            }
        }
        interfaces {
            fe-0/0/0 {
                bootp;    ##因為這個語句讓WAN端口能取得上網IP
            }
        }
    }
    name-server {    ##預設的DNS Server設定，我們可以將其改成我們ISP提供的DNS伺服器
        208.67.222.222;
        208.67.220.220;
    }
    services {    ##預設開啟SSH TELNET HTTP HTTPS DHCP服務
        ssh;
        telnet;
        xnm-clear-text;
        web-management {
            http {
                interface vlan.0;
            }
            https {
                system-generated-certificate;
                interface vlan.0;
            }
        }
        dhcp {
            router {
                192.168.1.1;
            }
            pool 192.168.1.0/24 {
                address-range low 192.168.1.2 high 192.168.1.254;
            }
            propagate-settings fe-0/0/0.0;
        }
    }
    syslog {    ##預設的本機系統日誌設定
        archive size 100k files 3;
        user * {
            any emergency;
        }
        file messages {
            any critical;
            authorization info;
        }
        file interactive-commands {
            interactive-commands error;
        }
    }
    max-configurations-on-flash 5;
    max-configuration-rollbacks 5;
    license {
        autoupdate {
            url https://ae1.juniper.net/junos/key_retrieval;
        }
    }
    ## Warning: missing mandatory statement(s): 'root-authentication'
}
interfaces {
    fe-0/0/0 {    ##WAN端口
        unit 0 {
            family inet;
        }
    }
    fe-0/0/1 {    ##端口1—7為LAN端口
        unit 0 {
            family ethernet-switching {
                vlan {
                    members vlan-trust;
                }
            }
        }
    }
    fe-0/0/2 {
        unit 0 {
            family ethernet-switching {
                vlan {
                    members vlan-trust;
                }
            }
        }
    }
    fe-0/0/3 {
        unit 0 {
            family ethernet-switching {
                vlan {
                    members vlan-trust;
                }
            }
        }
    }
    fe-0/0/4 {
        unit 0 {
            family ethernet-switching {
                vlan {
                    members vlan-trust;
                }
            }
        }
    }
    fe-0/0/5 {
        unit 0 {
            family ethernet-switching {
                vlan {
                    members vlan-trust;
                }
            }
        }
    }
    fe-0/0/6 {
        unit 0 {
            family ethernet-switching {
                vlan {
                    members vlan-trust;
                }
            }
        }
    }
    fe-0/0/7 {
        unit 0 {
            family ethernet-switching {
                vlan {
                    members vlan-trust;
                }
            }
        }
    }
    vlan {
        unit 0 {
            family inet {
                address 192.168.1.1/24;
            }
        }
    }
}
protocols {
    stp;    ##預設開啟STP協定，會讓接入網路端口時等待30秒
}
security {
    screen {    ##預設開啟的WAN端DDoS防護
        ids-option untrust-screen {
            icmp {
                ping-death;
            }
            ip {
                source-route-option;
                tear-drop;
            }
            tcp {
                syn-flood {
                    alarm-threshold 1024;
                    attack-threshold 200;
                    source-threshold 1024;
                    destination-threshold 2048;
                    timeout 20;
                }
                land;
            }
        }
    }
    nat {
        source {
            rule-set trust-to-untrust {    ##預設所有由內向外的通訊流量都要透過NAT轉換
                from zone trust;
                to zone untrust;
                rule source-nat-rule {
                    match {
                        source-address 0.0.0.0/0;
                    }
                    then {
                        source-nat {
                            interface;
                        }
                    }
                }
            }
        }
    }
    policies {
        from-zone trust to-zone untrust {
            policy trust-to-untrust {    ##預設開放所有由內向外的通訊流量
                match {
                    source-address any;
                    destination-address any;
                    application any;
                }
                then {
                    permit;
                }
            }
        }
    }
    zones {
        security-zone trust {    ##LAN端口預設開放所有的通訊流量進入
            host-inbound-traffic {
                system-services {
                    all;
                }
                protocols {
                    all;
                }
            }
            interfaces {
                vlan.0;
            }
        }
        security-zone untrust {    ##WAN端口預設開放dhcp及tftp的通訊流量進入
            screen untrust-screen;
            interfaces {
                fe-0/0/0.0 {
                    host-inbound-traffic {
                        system-services {
                            dhcp;
                            tftp;
                        }
                    }
                }
            }
        }
    }
}
vlans {
    vlan-trust {
        vlan-id 3;
        l3-interface vlan.0;
    }
}

root@srx100>





這個網誌中的熱門文章

如何測試網路連線--網路斷線了怎麼辦?

-
圖片
如何測試網路連線--網路斷線了怎麼辦? 如何測試網路連線 -- 網路不通了 DIY 自行檢測網路連線 當我們打開電腦，卻發現無法上網了，這時候我們該怎麼辦呢 ? 如果在公司的話，我們可以請電腦人員來處理，而若是在家裡，我們就必須 DIY 先自行檢查一遍，如果檢查後仍然不能上網的話，我們也只能請朋友或是廠商來維修了。 而我們又要如何 DIY 先自行檢查呢 ? 請您依照下列步驟來進行： 第一步：進入 DOS 命令列模式。 按 " 視窗鍵 +R 鍵 " ，開啟執行視窗並輸入 " cmd " 後按 enter 鍵來進入 DOS 命令列模式。 第二步：檢查 ip 是否正常。 請輸入 " ipconfig " 來 檢查有無取得正常 IP 或是 IP 設定是否正確。 若電腦要上網，則每台電腦 一 定都要配有一個 IP 位址才行，本例的 IP 位址為 192.168.1.11 。 而 IP 位址分成 公共 IP 與 私有 IP 兩種， 只有公共 IP 才能上網 ( 網際網路 ) ，私有 IP 是無法直接上網的，私有 IP 只能在區域網路中使用 。而因為公共 IP 太少，所以要搭配私有 IP 來上網才行，這樣就可以達到以 100 台電腦，或是以 10000 台電腦，使用私有 IP 經過網路設備的轉換而達成只需使用 1 個公共 IP 就能讓大家一起上網的目的了。 私有 IP 無法直接連接網際網路，需要使用 網絡地址轉換（ Network Address Translator ， NAT ） 或者 代理伺服器   （ proxy server ） 來實現。與公網 IP 相比，私有 IP 是免費的，同時節省了 IP 位址資源，適合在區域網使用。私有 IP 常被用於家庭，學校和企業的區域網。 私有 IP 的範圍： 192.168.XX. XX 172.16. XX.XX – - 172.31. XX.XX 10. XX.XX.XX 我們只要看到 IP 位址開頭為上述範圍的 IP ，就表示您的 IP 為私有 IP 。 還有一種 ip 位址為 169.254. X.X ， 這種...
閱讀完整內容

筆記電腦刷BIOS失敗無法開機—用CH341A編程器重刷BIOS教學！

-
圖片
ASUS 筆記電腦更新 BIOS 失敗無法開機 —用 CH341A 編程 器重刷 BIOS 教學！ 前一陣子買了一台新的筆記電腦 (∩_∩) ，因此讓跟了我多年的 ASUS A42JA 筆電因此就被束之高閣沒有再被使用了 ヽ (´ ー ` )┌ ，後來想說反正放著不用也是浪費，乾脆就整理一下拿到拍賣網站給便宜賣掉算了 (¬ ‿ ¬) ，於是便動手開始移除個人的資料， 把 WINDOWS 7 系統還原到出廠狀態，順便一起更新 BIOS 的版本 ，而更新的過程很順利，在寫入 100% 後便自行重開機，重開機後小弟發現電源燈與硬碟燈皆恆亮，且螢幕沒有畫面，但小弟當然得等著它繼續開機更新 BIOS ，可是 2 分鐘 .. ， 5 分鐘過了 .. ，情況還是一樣，此時心中不禁起了疑惑   (• ิ _• ิ )? ，不會吧 ！ 會不會更新失敗了 ？ 難道這麼倒楣的事都讓小弟我給碰上了 ？ 一直等到十分鐘過後，小弟我終於失去耐性了，便下定決心長按電源鍵來讓筆記電腦強行關機   ( ╯‵ □′) ╯ ︵ ╧═╧ ，然後再開機，結果依然還是沒有畫面，電源燈與硬碟燈都恆亮的情況，小弟仍不死心的又重試了幾次，問題最後終於明朗化了，他媽的 BIOS 真的更新失敗了，對小弟來說一直是傳說中的問題竟被我給遇上了 ！！！   。゜゜ (´ Ｏ `) ゜゜。 因為這台 ASUS A42JA 筆電已購置多年，早就過保固了，因此小弟先上網 GOOGLE 下，發現這類問題 ASUS 原廠通常是換主機板（這是在論壇上討論的內容），且一片要價 $5000 元   ( ⊙ _ ⊙ ) ，所以送回原廠維修的方案小弟就不考慮了（超出了筆電的價值沒有維修的必要），小弟接著再努力的 GOOGLE 幾下，終於發現 BIOS 更新失敗後似乎可以自行使用燒錄器來重刷 BIOS  (¬_¬;) ，於是這便成為小弟唯一可行的解決方案了。 從網路上找到的刷 BIOS 案例中，發現大多是使用 ”CH341A 編程器 （ 燒錄器 ） ” 來進行燒錄作業，其基本作法是用烙鐵將主機板上的 BIOS 晶片（ 芯片 ） 拆下，再用 CH341A 燒錄器將原廠下載的 BIOS 檔案燒入芯片中，最後再將 BIOS 芯片焊接回筆電主機板上。而因為小弟也是...
閱讀完整內容

查理王的電腦部落格-首頁

-
查理王的電腦部落格 之所以成立這個部落格，最主要是要和大家分享自己學習電腦的一些經驗，在學習上往往因為一個指令或是一個觀念，常常我們要上網查幾天的資料才有答案，因此也就有了將自己的電腦學習經驗分享出來的想法，但是個人的經驗往往不足，觀念也不見得完全正確，加上粗心大意，校稿不認真等等因素，文中若有謬誤不對之處尚請大家見諒，還望各位大大能不吝賜教，將錯誤指明並 email 給我 ( taiwankid168@gmail.com ) ，小弟在此萬分感謝您 !! 因為沒有太多時間管理部落格，所以並沒有開放留言區提供給大家留言，尚請大家見諒 !! 小弟一向喜愛美食，所以未來會陸續在本版中加入美食文章，主要原因也是小弟文章的產量一向不高，所以就不另外開美食部落格了。另外，小弟也會在本版中陸續加入宗教相關文章，介紹小弟常拜拜的廟宇，歡迎大家來點閱。   美食文章    宗教相關文章    Juniper 防火牆相關文章   近期發表文章： 屏東 東港東隆宮介紹 （ 溫府千歲 、 王爺公 ） 屏東慈鳳宮 介紹 （ 屏東媽、阿猴媽 ） 花蓮聖地慈惠堂總堂介紹 （ 金母娘娘 ） 台中清水壽天宮介紹 （ 西勢媽 ） 高雄三鳳宮 介紹 （ 太子爺 ） 三峽清水祖師廟介紹 （ 清水祖師 ） 苗栗玉清宮介紹 （ 關聖帝君 ） 後龍山邊媽祖宮 介紹 （ 山邊媽 ） 竹南後厝龍鳳宮介紹 （ 媽祖 ） 新竹普天宮 介紹 （ 關聖帝君 ） 清水慈雲 宮介紹 （ 觀音佛祖 ） 新竹東寧宮介紹 （ 地藏王菩薩 ） 台南南鯤鯓代天府 介紹 （ 五府王爺 ） 台南南鯤鯓萬善堂 介紹 （ 囝仔公小王爺 ） 台南南 鯤鯓代天府 - 凌霄寶殿介紹（玉皇上帝 ） 難得的平民美味 - 甕仔海鮮麵 - 新竹北門雞絲飯 彰化 北斗美食 - 阿美姊高麗菜飯（北斗奠安宮前） 艋舺龍山寺介紹 （ 觀世音菩薩 ） 三峽行修 宮（ 行天宮三峽分宮 ）介紹 （ 關聖帝君 ） 北投行 天宮（ 忠義 廟 ）介紹 （ 關聖帝君 ） 行天宮（ 恩主公廟 ）介紹 （ 關聖帝君 ） 竹北天后宮介紹（竹北媽） 鹿港天后宮（舊祖宮）介紹 （鹿港媽） 苗栗通霄白沙屯拱天宮介紹 （ 白沙屯媽 ） 埔里寶湖宮天地堂地母廟介紹 （ 全台地母至尊總廟 ） 新竹竹蓮寺 介紹（觀世音菩薩） 彰化北斗奠安...
閱讀完整內容