SRX防火墙风险操作规避程序解决方案.docVIP

SRX防火墙风险操作规避程序解决方案 第 PAGE \* Arabic \* MERGEFORMAT 4 页 SRX防火墙风险操作规避程序解决方案 误操作风险 在SRX防火墙上，如果删除命令未能输入完整，此时执行commit操作有可能导致相关配置层级被删除。这种误操作容易对业务流量造成影响。针对此类高风险操作我们总结命令如下： 删除双机控制层面操作 误操作命令 delete chassis cluster redundancy-group 0 触发场景 在调整RG0配置时，例如修改node优先级，需要先删除node优先级，再配置新的优先级。如果命令没有输入完全，则导致RG0所有配置被删除。 误操作结果 RG0优先级全部初始化，这种控制平面优先级初始化不会影响数据转发，但如果此时再进行HA切换操作，有可能导致切换结果不可预期。 删除组配置 误操作命令 delete groups delete apply-groups 触发场景 在调整group中某条命令配置时，如果删除命令没有输入完整，会导致整个group配置被删除。 误操作结果 由于带外管理接口配置在group中，如果误删除将导致防火墙无法被管理到。 删除security层级 误操作命令 delete security delete security policies delete security policy from-zone zone-name to-zone zone-name 触发场景 在删除策略或address-book时，如果删除命令没有输入完整，会导致整个security层级配置被删除，或security policies层级删除，或zone-zone之间的策略被删除。 误操作结果 策略被删除会导致现有会话全部清空，以及后续连接无法建立 删除路由配置 误操作命令 delete routing-options delete routing-options static 触发场景 在删除某一条静态路由时，如果删除命令没有输入完整，会导致整个路由配置层级配置被删除，或静态路由层级配置被删除。 误操作结果 将导致防火墙无法转发流量。 解决方案 为避免上述误操作，我们开发了Junos script插件。将该插件安装到SRX防火墙后，将在每次commit时自动执行校验操作。校验工作包括： 检查”chassis cluster redundancy-group 0”层次下是否存在配置，如果没有配置，将不允许提交配置，并向操作终端报错如下： chasiss cluster rg0 cannot be empty !!! error: 1 error reported by commit scripts error: commit script failure 检查group配置是否存在并生效，如果group下无配置或未能生效（未应用apply-groups命令），将不允许提交配置，并向操作终端报错如下： error: fxp0 not inherited from node group error: 1 error reported by commit scripts error: commit script failure 检查policy配置是否存在，如果security policies from-zone (zone-name) to-zone (zone-name)中不存在配置，将不允许提交配置，并向操作终端报错如下： policies check policies configuration from b3 to c0 cannot be empty !!! error: 1 error reported by commit scripts error: commit script failure 检查routing-options static配置是否存在，如果routing-options static中不存在配置，将不允许提交配置，并向操作终端报错如下： routing options static routes cannot be empty !!! error: 1 error reported by commit scripts error: commit script failure 插件程序使用说明 本插件与SRX型号无关，可以在任何型号的SRX防火墙使用该插件程序。 本插件与SRX版本无关，可以在任何版本使用该插件程序。 安装该插件无需重启，也不会中断业务，可以在普通变更日进行安装。 操作步骤 通过FTP方式将插件程序”protect-config-hostname.slax”导入到响应防火墙目录/var/db/script