リモートアクセスの概要

ステップバイステップでの手順

以下の手順に従って、R1 デバイスを設定します。

1. インターフェイスを設定します。

   content_copy zoom_out_map

   [edit]
   user@R1# set interfaces ge-0/0/0 description "Link from R1 to R2" 
   user@R1# set interfaces ge-0/0/0 unit 0 family inet address 192.168.1.1/30
   user@R1# set interfaces lo0 unit 0 family inet address 192.168.255.1/32
   

2. R2デバイスのループバックアドレスに対して、ホスト名と静的ルートを設定します。Telnet および SSH のアクセスも設定します。

   content_copy zoom_out_map

   [edit]
   user@R1# set system host-name R1
   user@R1# set system services ssh root-login allow
   user@R1# set system services telnet
   user@R1# set routing-options static route 192.168.255.2/32 next-hop 192.168.1.2
   

ステップバイステップでの手順

次の手順に従って、キャンディデート構成をR1デバイスで確認してコミットします。

1. show interfaces 設定モード コマンドを使用して、インターフェイスの設定を確認します。コマンドの出力結果に意図した設定内容が表示されない場合は、この例の手順を再実行して設定を修正します。

   content_copy zoom_out_map

   [edit]
   user@R1# show interfaces
   ge-0/0/0 {
       description "Link from R1 to R2";
       unit 0 {
           family inet {
               address 192.168.1.1/30;
           }
       }
   }
   lo0 {
       unit 0 {
           family inet {
               address 192.168.255.1/32;
           }
       }
   }
   

2. R2 デバイスがループバック アドレスまで到達するのに使用する静的ルートや、SSH および Telnet アクセスが有効であることを確認します。show routing-options および show system services 設定コマンドを使用します。コマンドの出力結果に意図した設定内容が表示されない場合は、この例の手順を再実行して設定を修正します。

   content_copy zoom_out_map

   [edit]
   user@R1# show routing-options
   static {
       route 192.168.255.2/32 next-hop 192.168.1.2;
   }
   user@R1# show system services
   ssh {
       root-login allow;
       }
   telnet;
   

3. R1 デバイスの設定に問題がなければ、受験者の設定をコミットします。

   content_copy zoom_out_map

   [edit]
   user@R1# commit
   

ステップバイステップでの手順

以下の手順に従って、R2 デバイスを設定します。始めに、Telnet および SSH アクセスを選択的にブロックするステートレス ファイアウォール フィルターを定義します。

1. edit firewall family inet filter local_aclの階層に移動します。

   content_copy zoom_out_map

   [edit]
   user@R2# edit firewall family inet filter local_acl
   

2. フィルター条件terminal_accessを定義します。この条件は、指定されたソースプレフィックスからのTelnetとSSHを許可します。

   content_copy zoom_out_map

   [edit firewall family inet filter local_acl]
   user@R2# set term terminal_access from source-address 192.168.1.0/30 
   user@R2# set term terminal_access from protocol tcp 
   user@R2# set term terminal_access from port ssh 
   user@R2# set term terminal_access from port telnet 
   user@R2# set term terminal_access then accept
   

3. フィルター条件terminal_access_deniedを定義します。この条件は、その他すべての送信元アドレスからの SSH および Telnet を拒否します。この条件は、条件に一致するログを記録し、明示的なインターネット制御メッセージ プロトコル（ICMP）宛先到達不能応答をパケットの送信元に返信します。フィルターロギングオプションの詳細については、ファイアウォールフィルターロギングアクションをご覧ください。

   ヒント:

   discard アクションを使用すると、送信元への ICMP エラーメッセージの生成を抑制できます。詳細については、ファイアウォールフィルターロギングアクションをご覧ください。

   content_copy zoom_out_map

   [edit firewall family inet filter local_acl]
   user@R2# set term terminal_access_denied from protocol tcp 
   user@R2# set term terminal_access_denied from port ssh 
   user@R2# set term terminal_access_denied from port telnet 
   user@R2# set term terminal_access_denied then log 
   user@R2# set term terminal_access_denied then reject 
   user@R2# set term default-term then accept
   

4. オプション。

   フィルター条件tcp-estabを定義します。この条件はインターネットへのアウトバウンドアクセスを許可し、Juniper Mist Cloudへの接続をサポートします（tcp-establishedはビットフィールド一致条件のtcp-flags "(ack | rst)"であり、これは確立されたTCPセッションであるものの、TCP接続の最初のパケットではないことを示しています）。

   content_copy zoom_out_map

   [edit firewall family inet filter local_acl]
   user@R2# set term tcp-estab from protocol tcp 
   user@R2# set term tcp-estab from tcp-established
   user@R2# set term tcp-estab then accept
   

5. フィルター条件default-termを定義します。この条件は、他のすべてのトラフィックを許可します。Junos OSステートレス フィルターの末尾には、暗黙的な deny 条件があることを思い出してください。default-termは、明示的なacceptアクションでフィルターを終了させてこの動作を上書きします。フィルターが終了すると、その他のすべてのトラフィックがファイラーによって許可されます。

   注:

   この例では他のすべてのトラフィックを許可しますが、ご自身のネットワークでは、ルーティングエンジンを保護した方がよいでしょう。詳細についてはルーティングエンジンを保護するを参照ください。

   content_copy zoom_out_map

   [edit firewall family inet filter local_acl]
   user@R2# set term default-term then accept
   

6. ループバックインターフェイスを設定し、入力方向にフィルターを適用します。

   content_copy zoom_out_map

   [edit]
   user@R2# set interfaces lo0 unit 0 family inet filter input local_acl
   user@R2# set interfaces lo0 unit 0 family inet address 192.168.255.2/32
   

7. ホスト名、ge-0/0/0インターフェイス、R1デバイスのループバックアドレスへの静的ルートを設定し、SSHおよびTelnetを使用したリモートアクセスを有効にします。

   content_copy zoom_out_map

   [edit]
   user@R2# set system host-name R2
   user@R2# set system services ssh root-login allow
   user@R2# set system services telnet
   user@R2# set interfaces ge-0/0/0 description "Link from R2 to R1"
   user@R2# set interfaces ge-0/0/0 unit 0 family inet address 192.168.1.2/30
   user@R2# set routing-options static route 192.168.255.1/32 next-hop 192.168.1.1
   

ステップバイステップでの手順

次の手順に従って、受験者の設定を R2 デバイスで確認してコミットします。

1. show firewall 設定モード コマンドを使用して、ステートレス ファイアウォール フィルターの設定を確認します。コマンドの出力結果に意図した設定内容が表示されない場合は、この例の手順を再実行して設定を修正します。

   content_copy zoom_out_map

   [edit]
   user@R2# show firewall
   family inet {
       filter local_acl {
           term terminal_access {
               from {
                   source-address {
                       192.168.1.0/30;
                   }
                   protocol tcp;
                   port [ssh telnet];
               }
               then accept;
           }
           term terminal_access_denied {
               from {
                   protocol tcp;
                   port [ssh telnet];
               }
               then {
                   log;
                   reject;
               }
           }
           term default-term {
               then accept;
           }
       }
   }
   

2. show interfaces 設定モード コマンドを使用して、インターフェイスの設定とフィルター アプリケーションを確認します。コマンドの出力結果に意図した設定内容が表示されない場合は、この例の手順を再実行して設定を修正します。

   content_copy zoom_out_map

   [edit]
   user@R2# show interfaces
   ge-0/0/0 {
       description "Link from R2 to R1";
       unit 0 {
           family inet {
               address 192.168.1.2/30;
           }
       }
   }
   lo0 {
       unit 0 {
           family inet {
               filter {
                   input local_acl;
               }
               address 192.168.255.2/32;
           }
       }
   }
   

3. R1 デバイスのループバック アドレスに到達するのに使用する静的ルートを確認し、Telnet および SSH アクセスが有効であることを確認します。show routing-options および show system services 設定コマンドを使用します。コマンドの出力結果に意図した設定内容が表示されない場合は、この例の手順を再実行して設定を修正します。

   content_copy zoom_out_map

   [edit]
   user@R2# show routing-options
   static {
       route 192.168.255.1/32 next-hop 192.168.1.1;
   }
   user@R2# show system services
   ssh {
       root-login allow;
       }
   telnet;
   

4. R2 デバイスの設定に問題がなければ、受験者の設定をコミットします。

   ヒント:

   デバイスのリモートアクセスに影響を与えうる変更を行う際は、commit-confirmed の使用を検討します。

   content_copy zoom_out_map

   [edit]
   user@R2# commit
   

目的

トラフィックが 192.168.1.0/30 サブネットから送信されている場合、ファイアウォール フィルターが SSH と Telnet を正しく許可していることを確認します。

アクション

1. ルーターまたはスイッチのファイアウォール ログを消去します。

   content_copy zoom_out_map

   user@R2> clear firewall log

2. 192.168.1.0/30 サブネット内の IP アドレスのホストから、ssh 192.168.255.2 コマンドを使用して、許可された送信元アドレスから SSH を使用してデバイスにログインできるか確認します。このパケットは受理されるべきですが、このパケットのパケット ヘッダー情報は、パケット転送エンジンのファイアウォール フィルター ログ バッファーに記録されるべきではありません。これらのデバイス間のuser最初のSSHログインである場合は、SSHホストキーを保存するようにメッセージが現れます。

   注:

   デフォルトの R1 デバイスは、宛先に到達するために使用するエグレス インターフェイスから SSH トラフィックを送信します。その結果、このトラフィックは、R1デバイスのge-0/0/0インターフェイスに割り当てられた192.168.1.1アドレスから送信されます。

   content_copy zoom_out_map

   user@R1>ssh 192.168.255.2
   Password:
   Last login: Wed Aug 19 09:23:58 2020 from 192.168.1.1
   --- JUNOS 20.2R1.10 Kernel 64-bit  JNPR-11.0-20200608.0016468_buil
   user@R2> 

3. R2デバイスでCLIからログアウトして、SSHセッションを閉じます。

   content_copy zoom_out_map

   user@R2> exit
   logout
   Connection to 192.168.255.2 closed.
   user@R1> 

4. 192.168.1.0/30 サブネット内の IP アドレスのホストから、 telnet 192.168.255.2 コマンドを使用して、許可された送信元アドレスから Telnet を使用してルーターまたはスイッチにログインできるか確認します。このパケットは受理されるべきですが、このパケットのパケット ヘッダー情報は、パケット転送エンジンのファイアウォール フィルター ログ バッファーに記録されるべきではありません。

   content_copy zoom_out_map

   user@host-A> telnet 192.168.255.2
   Trying 192.168.255.2...
   Connected to 192.168.255.2.
   Escape character is '^]'.
   login: user 
   Password:
   
   --- JUNOS 20.2R1.10 Kernel 64-bit  JNPR-11.0-20200608.0016468_buil
   user@R2>

5. R2デバイスでCLIからログアウトして、R2デバイスへのTelnetセッションを閉じます。

   content_copy zoom_out_map

   user@R2:~ # exit
   Connection closed by foreign host.
   
   root@R1>

6. show firewall log コマンドを使用して、R2 デバイスの パケット転送エンジン（PFE）のファイアウォール ログ バッファーに、192.168.1.0/30 サブネット内の送信元アドレスを持つエントリーが含まれていないか確認します。

   content_copy zoom_out_map

   user@R2> show firewall log

目的

ファイアウォール フィルターが、発信元が 192.168.1.0/30 サブネットではない SSH および Telnet トラフィックを正しく拒否しているか確認します。

アクション

1. ルーターまたはスイッチのファイアウォール ログを消去します。

   content_copy zoom_out_map

   user@R2> clear firewall log

2. R1デバイスのループバックアドレスから送信されたSSHトラフィックを生成します。このトラフィックの送信元アドレスは、許可された 192.168.1.0/30 サブネットの外にあります。ssh 192.168.255.2 source 192.168.255.1 コマンドを使用して、この送信元アドレスから SSH を使用してデバイスにログインできないことを確認します。このパケットは拒否され、パケットのヘッダー情報はファイアウォール フィルター ログのバッファーに記録されるはずです。

   content_copy zoom_out_map

   user@R1 ssh 192.168.255.2 source 192.168.255.1
   ssh: connect to host 192.168.255.2 port 22: Connection refused
   
   root@R1>

   この出力結果は、SSH接続が拒否されたことを示しています。この出力は、フィルターが ICMP エラー メッセージを生成していること、および許可されない送信元アドレスから送信された SSH トラフィックを正しくブロックしていることを確認します。

3. R1 デバイスのループバック アドレスから送信された Telenet トラフィックを生成します。このトラフィックの送信元アドレスは、許可された 192.168.1.0/30 サブネットの外にあります。telnet 192.168.255.2 source 192.168.255.1 コマンドを使用して、この送信元アドレスから Telnet を使用してデバイスにログインできないことを確認します。このパケットは拒否され、パケットのヘッダー情報は PFE のファイアウォール フィルター ログのバッファーに記録されるはずです。

   content_copy zoom_out_map

   user@R1> telnet 192.168.255.2 source 192.168.255.1
   Trying 192.168.255.2...
   telnet: connect to address 192.168.255.2: Connection refused
   telnet: Unable to connect to remote host

   この出力結果は、Telnet接続が拒否されたことを示しています。この出力は、フィルターが ICMP エラー メッセージを生成していること、および許可されない送信元アドレスから送信された Telnet トラフィックを正しくブロックしていることを確認します。

4. show firewall log コマンドを使用して、R2デバイスのファイアウォールログバッファーに、送信元アドレスの192.168.255.1を持つパケットが拒否されたことを示すエントリーが含まれていないか確認します。

   content_copy zoom_out_map

   user@R2> show firewall log
   Log :
   Time      Filter  Action  Interface     Protocol   Src Addr        Dest Addr
   15:17:11  pfe     R       ge-0/0/0.0    TCP        192.168.255.1   192.168.255.2
   15:12:04  pfe     R       ge-0/0/0.0    TCP        192.168.255.1   192.168.255.2
   

   この出力から、送信元アドレス192.168.255.1からのトラフィックがフィルターのterminal_access_denied条件に一致したことがわかります。Action 列には、これらのパケットが拒否されたことを示す R が表示されています。インターフェイス、トランスポート プロトコル、送信元アドレスおよび宛先アドレスも一覧表示されています。これらの結果から、この例においてファイアウォールフィルターが正しく動作したことが確認できます。