Juniper SSG5 防火牆ScreenOS的升級或降級：

-


Juniper SSG5 防火牆ScreenOS的升級或降級：


在繼續閱讀前請先看過以下連結，非常重要!!

JuniperSSG5 關於imagekey的問題及移除與載入imagekey
 
由於Juniper SSG5防火牆ScreenOS版本的升級與降級全都使用同一個CLI命令，所以兩者適合放在一起討論。
其命令格示如下：
save software from tftp <IP位址> <ScreenOS檔名> to flash
reset

ScreenOS juniper官方稱它為image file，而image file要搭配相對應的image key，系統才能正常的運作與更新。
而image key有新舊的差別，列出如下：
New Image Key (download) --- 適用於6.3.0r19以後之版本
Old Image Key (download) --- 適用於6.3.0r18以前之版本

在此我們只探討ssg5(本人所擁有的設備)的部分，根據個人實驗的結果，新的Image Key適用於6.3.0r19以後之版本，而舊的Image Key則適用於6.3.0r18以前之版本，記住千萬不要用錯版本，否則會發生嚴重的問題!
若你要降級的目標ScreenOS版本是6.3.0r19以後，請用新的Image Key。
若你要降級的目標ScreenOS版本是6.3.0r18以前，請用舊的Image Key。

而ScreenOS的升級與降級共有下列幾個步驟，請在CLI命令列輸入下列命令：
get system              檢查運行中的ScreenOS版本
delete crypto auth-key       移除image key
save image-key tftp 192.168.1.11 imagekey.cer    載入的image key，必須先確定欲更新的Image key版本與ScreenOS版本是否搭配再載入，否則會發生嚴重的錯誤
save software from tftp 192.168.1.11 ssg5ssg20.6.3.0r5.0 to flash   載入要更新的ScreenOS版本
reset       重開機
get system              檢查更新後的ScreenOS版本
上述做法乃是標準程序步驟。

一般我們在更新Juniper SSG5防火牆ScreenOS時會遇到下列兩種不同的情況：
一、升、降級ScreenOS版本的範圍會跨越新、舊Image Key適用的版本範圍
如果您升、降級ScreenOS版本的範圍會跨越新、舊Image Key適用的版本範圍，則您就必須採用標準程序才行。例如要從ssg5ssg20.6.0.0r1.0升級到ssg5ssg20.6.3.0r22.0，或是從ssg5ssg20.6.3.0r23降級到ssg5ssg20.6.3.0r5.0等情形，其過程都必須依照標準程序來作業。

二、升、降級ScreenOS版本的範圍是在個別新、舊的Image Key適用版本之內
而若您升、降級ScreenOS版本的範圍是在新的Image Key適用版本之內(適用於6.3.0r19以後之版本)，則您的升、降ScreenOS版本的程序可以省略移除與載入Image Key的步驟，直接執行save software from tftp 192.168.1.11 ssg5ssg20.6.3.0r22.0 to flash與reset命令即可，舉例來說，若您運行中的screenos版本為ssg5ssg20.6.3.0r21.0，則您可以直接在CLI模式中任意升降至ssg5ssg20.6.3.0r24、ssg5ssg20.6.3.0r23、ssg5ssg20.6.3.0r22.0、ssg5ssg20.6.3.0r20.0、ssg5ssg20.6.3.0r19.0等版本，而不用去執行移除與載入Image Key的步驟。
相同的道理，若您升、降ScreenOS版本的範圍是在舊的Image Key適用版本之內(適用於6.3.0r18以前之版本)，其步驟也一樣。

以下分別透過J-Web模式與CLI模式來說明ScreenOS升級的方法。
J-Web模式：
若要進行降級的作業，且升、降級ScreenOS版本的範圍會跨越新、舊Image Key適用的版本範圍，則我們就要在CLI命令列先執行命令 delete crypto auth-key ，然後再根據以下的程序來進行降級作業即可。
其實J-Web模式與CLI模式觀念完全一樣，差別在J-Web作業可能部分是批次作業，一次執行數個CLI命令。舉例說明如下：
例如Configuration > Update > ScreenOS/Keys ==> Image Signature Key Update
等於CLI命令 save image-key tftp 192.168.1.6 imagekey-new.cer
例如Configuration > Update > ScreenOS/Keys ==> Firmware Update (ScreenOS)
等於CLI命令save software from tftp 192.168.1.6 ssg5ssg20.6.3.0r21.0 to flash
加CLI命令 reset

J-Web模式作業程序如下：
先準備好升級所需的檔案：ssg5ssg20.6.3.0r23、imagekey.cer
從6.3.0r19開始，升級防火牆OS要先載入image key，
登入您的SSG5的Web介面，在左邊的選單中，進入
Configuration > Update > ScreenOS/Keys ==> Image Signature Key Update，
點擊”瀏覽”，切換到適當目錄，選擇imagekey.cer。
若您升、降級ScreenOS版本的範圍是在個別新、舊的Image Key適用版本之內，則可省略此步驟，直接進行ScreenOS更新作業即可。

記得要按”Apply”。


接著馬上進行ScreenOS更新：
Configuration > Update > ScreenOS/Keys ==> Firmware Update (ScreenOS) ，
點擊”瀏覽”，切換到適當目錄，選擇ssg5ssg20.6.3.0r23檔案。


記得要按”Apply”，接著就等SSG5更新完畢囉！過程中系統會自動重新開機。



過程中可連線console，以觀察更新及重開機的過程。

CLI模式：
請您先參考以下連結：


TFTPSERVER架設
如何連線JuniperSRX/SSG Colsole Port



如果您升、降級ScreenOS版本的範圍會跨越新、舊Image Key適用的版本範圍，則您就必須採用標準程序才行(如此篇文章開頭所示)。
若您升、降級ScreenOS版本的範圍是在個別新、舊的Image Key適用版本之內，程序如下：
先登入console，然後在CLI命令列輸入以下命令來載入ScreenOS。
ssg5-serial-> save software from tftp 192.168.1.11 ssg5ssg20.6.3.0r23 to flash
Load software from TFTP 192.168.188.6 (file: ssg5ssg20.6.3.0r23).
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
tftp received octets = 13385489
tftp success!

TFTP Succeeded
Save to flash. It may take a few minutes ...platform = 25, cpu = 12, version = 18
 update new flash image (02ab2dc0,13385489)
platform = 25, cpu = 12, version = 18
offset = 20, address = 5800000, size = 13385410
date = 258b, sw_version = 31808000, cksum = 6bf65b86
Image authenticated!
Program flash (13385489 bytes) ...
++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+++++++++++++++++ done
Done
最後記得要重開機來完成更新的動作(因此時系統仍是舊版)。
ssg5-serial-> reset
System reset, are you sure? y/[n] y
In reset ...

Juniper Networks SSG5 Boot Loader Version 1.3.3 (Checksum: C3E4C0F8)
Copyright (c) 1997-2006 Juniper Networks, Inc.


若不移除image key而直接載入ScreenOS的結果：
ssg5-serial-> save software from tftp 192.168.1.11 ssg5ssg20.6.3.0r23 to flash
Load software from TFTP 192.168.188.6 (file: ssg5ssg20.6.3.0r23).
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
!!!
tftp received octets = 13353346
tftp success!
TFTP Succeeded
Save to flash. It may take a few minutes ...platform = 25, cpu = 12, version = 18
 update new flash image (02ab2dc0,13353346)
platform = 25, cpu = 12, version = 18
offset = 20, address = 5800000, size = 13353268
date = 1f08, sw_version = 31808000, cksum = 42d91b23
********Invalid image!!!
********Bogus image - not authenticated!!!
Fips check failed
Done
ssg5-serial->
結果失敗! 並沒有執行Program flash(Save to flash)的動作。


Downgrade ScreenOS SSG
how to downgrade screenOS from latest version to earlier version
It's not possible if you manage security device with NSM server.
Otherwise,  if you manage this device directly (without management server),
you can connect to this device and type

From 5.X to 5.X-n or 6.X to 5.x
exec save soft from tftp IP_Addr_of_TFTP_server firmware_file to flash
reset
exec save soft from tftp 192.168.1.12 ssg5ssg20.6.0.0r1.0 to flash
reset

From 5.x to 4.x
exec save soft from tftp IP_Addr_of_TFTP_server firmware_file to flash
exec downgrade

這個網誌中的熱門文章

如何測試網路連線--網路斷線了怎麼辦?

-
圖片
如何測試網路連線--網路斷線了怎麼辦? 如何測試網路連線 -- 網路不通了 DIY 自行檢測網路連線 當我們打開電腦，卻發現無法上網了，這時候我們該怎麼辦呢 ? 如果在公司的話，我們可以請電腦人員來處理，而若是在家裡，我們就必須 DIY 先自行檢查一遍，如果檢查後仍然不能上網的話，我們也只能請朋友或是廠商來維修了。 而我們又要如何 DIY 先自行檢查呢 ? 請您依照下列步驟來進行： 第一步：進入 DOS 命令列模式。 按 " 視窗鍵 +R 鍵 " ，開啟執行視窗並輸入 " cmd " 後按 enter 鍵來進入 DOS 命令列模式。 第二步：檢查 ip 是否正常。 請輸入 " ipconfig " 來 檢查有無取得正常 IP 或是 IP 設定是否正確。 若電腦要上網，則每台電腦 一 定都要配有一個 IP 位址才行，本例的 IP 位址為 192.168.1.11 。 而 IP 位址分成 公共 IP 與 私有 IP 兩種， 只有公共 IP 才能上網 ( 網際網路 ) ，私有 IP 是無法直接上網的，私有 IP 只能在區域網路中使用 。而因為公共 IP 太少，所以要搭配私有 IP 來上網才行，這樣就可以達到以 100 台電腦，或是以 10000 台電腦，使用私有 IP 經過網路設備的轉換而達成只需使用 1 個公共 IP 就能讓大家一起上網的目的了。 私有 IP 無法直接連接網際網路，需要使用 網絡地址轉換（ Network Address Translator ， NAT ） 或者 代理伺服器   （ proxy server ） 來實現。與公網 IP 相比，私有 IP 是免費的，同時節省了 IP 位址資源，適合在區域網使用。私有 IP 常被用於家庭，學校和企業的區域網。 私有 IP 的範圍： 192.168.XX. XX 172.16. XX.XX – - 172.31. XX.XX 10. XX.XX.XX 我們只要看到 IP 位址開頭為上述範圍的 IP ，就表示您的 IP 為私有 IP 。 還有一種 ip 位址為 169.254. X.X ， 這種...
閱讀完整內容

筆記電腦刷BIOS失敗無法開機—用CH341A編程器重刷BIOS教學！

-
圖片
ASUS 筆記電腦更新 BIOS 失敗無法開機 —用 CH341A 編程 器重刷 BIOS 教學！ 前一陣子買了一台新的筆記電腦 (∩_∩) ，因此讓跟了我多年的 ASUS A42JA 筆電因此就被束之高閣沒有再被使用了 ヽ (´ ー ` )┌ ，後來想說反正放著不用也是浪費，乾脆就整理一下拿到拍賣網站給便宜賣掉算了 (¬ ‿ ¬) ，於是便動手開始移除個人的資料， 把 WINDOWS 7 系統還原到出廠狀態，順便一起更新 BIOS 的版本 ，而更新的過程很順利，在寫入 100% 後便自行重開機，重開機後小弟發現電源燈與硬碟燈皆恆亮，且螢幕沒有畫面，但小弟當然得等著它繼續開機更新 BIOS ，可是 2 分鐘 .. ， 5 分鐘過了 .. ，情況還是一樣，此時心中不禁起了疑惑   (• ิ _• ิ )? ，不會吧 ！ 會不會更新失敗了 ？ 難道這麼倒楣的事都讓小弟我給碰上了 ？ 一直等到十分鐘過後，小弟我終於失去耐性了，便下定決心長按電源鍵來讓筆記電腦強行關機   ( ╯‵ □′) ╯ ︵ ╧═╧ ，然後再開機，結果依然還是沒有畫面，電源燈與硬碟燈都恆亮的情況，小弟仍不死心的又重試了幾次，問題最後終於明朗化了，他媽的 BIOS 真的更新失敗了，對小弟來說一直是傳說中的問題竟被我給遇上了 ！！！   。゜゜ (´ Ｏ `) ゜゜。 因為這台 ASUS A42JA 筆電已購置多年，早就過保固了，因此小弟先上網 GOOGLE 下，發現這類問題 ASUS 原廠通常是換主機板（這是在論壇上討論的內容），且一片要價 $5000 元   ( ⊙ _ ⊙ ) ，所以送回原廠維修的方案小弟就不考慮了（超出了筆電的價值沒有維修的必要），小弟接著再努力的 GOOGLE 幾下，終於發現 BIOS 更新失敗後似乎可以自行使用燒錄器來重刷 BIOS  (¬_¬;) ，於是這便成為小弟唯一可行的解決方案了。 從網路上找到的刷 BIOS 案例中，發現大多是使用 ”CH341A 編程器 （ 燒錄器 ） ” 來進行燒錄作業，其基本作法是用烙鐵將主機板上的 BIOS 晶片（ 芯片 ） 拆下，再用 CH341A 燒錄器將原廠下載的 BIOS 檔案燒入芯片中，最後再將 BIOS 芯片焊接回筆電主機板上。而因為小弟也是...
閱讀完整內容

查理王的電腦部落格-首頁

-
查理王的電腦部落格 之所以成立這個部落格，最主要是要和大家分享自己學習電腦的一些經驗，在學習上往往因為一個指令或是一個觀念，常常我們要上網查幾天的資料才有答案，因此也就有了將自己的電腦學習經驗分享出來的想法，但是個人的經驗往往不足，觀念也不見得完全正確，加上粗心大意，校稿不認真等等因素，文中若有謬誤不對之處尚請大家見諒，還望各位大大能不吝賜教，將錯誤指明並 email 給我 ( taiwankid168@gmail.com ) ，小弟在此萬分感謝您 !! 因為沒有太多時間管理部落格，所以並沒有開放留言區提供給大家留言，尚請大家見諒 !! 小弟一向喜愛美食，所以未來會陸續在本版中加入美食文章，主要原因也是小弟文章的產量一向不高，所以就不另外開美食部落格了。另外，小弟也會在本版中陸續加入宗教相關文章，介紹小弟常拜拜的廟宇，歡迎大家來點閱。   美食文章    宗教相關文章    Juniper 防火牆相關文章   近期發表文章： 屏東 東港東隆宮介紹 （ 溫府千歲 、 王爺公 ） 屏東慈鳳宮 介紹 （ 屏東媽、阿猴媽 ） 花蓮聖地慈惠堂總堂介紹 （ 金母娘娘 ） 台中清水壽天宮介紹 （ 西勢媽 ） 高雄三鳳宮 介紹 （ 太子爺 ） 三峽清水祖師廟介紹 （ 清水祖師 ） 苗栗玉清宮介紹 （ 關聖帝君 ） 後龍山邊媽祖宮 介紹 （ 山邊媽 ） 竹南後厝龍鳳宮介紹 （ 媽祖 ） 新竹普天宮 介紹 （ 關聖帝君 ） 清水慈雲 宮介紹 （ 觀音佛祖 ） 新竹東寧宮介紹 （ 地藏王菩薩 ） 台南南鯤鯓代天府 介紹 （ 五府王爺 ） 台南南鯤鯓萬善堂 介紹 （ 囝仔公小王爺 ） 台南南 鯤鯓代天府 - 凌霄寶殿介紹（玉皇上帝 ） 難得的平民美味 - 甕仔海鮮麵 - 新竹北門雞絲飯 彰化 北斗美食 - 阿美姊高麗菜飯（北斗奠安宮前） 艋舺龍山寺介紹 （ 觀世音菩薩 ） 三峽行修 宮（ 行天宮三峽分宮 ）介紹 （ 關聖帝君 ） 北投行 天宮（ 忠義 廟 ）介紹 （ 關聖帝君 ） 行天宮（ 恩主公廟 ）介紹 （ 關聖帝君 ） 竹北天后宮介紹（竹北媽） 鹿港天后宮（舊祖宮）介紹 （鹿港媽） 苗栗通霄白沙屯拱天宮介紹 （ 白沙屯媽 ） 埔里寶湖宮天地堂地母廟介紹 （ 全台地母至尊總廟 ） 新竹竹蓮寺 介紹（觀世音菩薩） 彰化北斗奠安...
閱讀完整內容