이 페이지에서
RSH ALG
원격 쉘(RSH)은 원격 호스트에서 명령을 실행할 수 있는 통로를 제공합니다. 원격 시스템에서 터미널 셸 세션을 생성하는 Telnet 또는 SSH와 달리 RSH는 명령 및 인증 데이터를 전달합니다. 프로토콜은 514 TCP 포트를 사용하여 인증 데이터 및 명령을 전달합니다. 서버는 명령의 stdout를 클라이언트의 소스 포트로 반환합니다. RSH는 stderr 스트림의 전송을 위해 두 번째 클라이언트 포트를 서버로 전달하려면 ALG가 필요합니다.
RSH ALG 이해하기
원격 쉘(RSH) 애플리케이션 레이어 게이트웨이(ALG)는 요청을 시작하고 2개의 게이트를 여는 RSH 패킷을 처리하여 반대 방향에서 클라이언트로의 반환 패킷을 허용합니다. 한 게이트는 식별(ident) 세션에 사용되어 인증을 적용하고 다른 게이트는 표준 오류(stderr) 세션에 사용되어 오류 메시지를 전송합니다.
PAT(포트 주소 변환)가 구성된 경우 RSH ALG는 작동하지 않습니다. RSH는 포트 범위가 512~1024 사이여야 합니다. 소스 NAT 모듈은 이 포트 범위를 일치시킬 수 없습니다.
더 보기
예: RSH ALG 구성
이 예는 경로 또는 NAT 모드에서 RSH ALG를 구성하는 방법을 보여줍니다. 구성을 통해 RSH 트래픽이 디바이스를 통과하도록 허용하며, 주니퍼 네트웍스 디바이스의 반대편에 있는 클라이언트와 서버 간에 원격 명령과 결과를 전송합니다.
요구 사항
이 예는 다음과 같은 하드웨어 및 소프트웨어 구성 요소를 사용합니다.
SRX 시리즈 디바이스
2대의 PC(서버 및 클라이언트)
시작하기 전에 다음을 수행합니다.
ALG의 개념을 이해합니다. ALG 개요 보기
RSH ALG의 기본 사항을 이해합니다. RSH ALG 이해하기를 참조하십시오.
개요
이 예에서 먼저 디바이스에서 네트워크 인터페이스를 구성합니다. 보안 영역을 생성하고 영역에 인터페이스를 할당하고 RSH 트래픽이 SRX 시리즈 디바이스를 통과할 수 있도록 정책을 구성합니다.
그런 다음 대상 주소 40.0.172.10/32와 일치하도록 규칙 r1과 함께 정적 NAT 규칙 세트 rs1을 생성하고 주소 40.0.172.45/32가 있는 정적 NAT 접두사를 생성합니다.
그런 다음 소스 규칙 세트 src-rs1을 사용하여 소스 NAT 풀 src-p1을 생성하여 인터페이스 fe-3/0/0.0에서 인터페이스 fe-3/0/1.0으로 패킷을 변환합니다. 패킷을 일치시키면 소스 주소가 src-p1 풀의 IP 주소로 변환됩니다.
그런 다음 대상 규칙 세트 des-rs1을 사용하여 대상 NAT 풀 des-p1을 생성하여 영역 트러스트에서 대상 주소 40.0.172.10/32로 패킷을 변환합니다. 패킷을 일치시키면 대상 주소가 des-p1 풀의 IP 주소로 변환됩니다. 마지막으로 RSH ALG 추적 옵션을 활성화합니다.
구성
RSH ALG를 구성하려면 다음 작업을 수행하십시오.
경로 모드 구성
CLI 빠른 구성
이 예를 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브러브를 제거하고, 네트워크 구성을 일치하는 데 필요한 세부 사항을 바꾸고 계층 수준에서 명령을 CLI [edit] 로 복사해 붙여 넣은 다음, 구성 모드에서 을(를) 입력 commit 합니다.
set interfaces ge-0/0/0 unit 0 family inet address 10.208.172.58/21 set interfaces fe-3/0/0 unit 0 family inet address 30.3.3.149/8 set interfaces fe-3/0/1 unit 0 family inet address 40.4.4.149/8 set security zones security-zone trust host-inbound-traffic system-services all set security zones security-zone trust host-inbound-traffic protocols all set security zones security-zone trust interfaces fe-3/0/0.0 set security zones security-zone untrust host-inbound-traffic system-services all set security zones security-zone untrust host-inbound-traffic protocols all set security zones security-zone untrust interfaces fe-3/0/1.0 set security policies from-zone trust to-zone untrust policy rsh match source-address any set security policies from-zone trust to-zone untrust policy rsh match destination-address any set security policies from-zone trust to-zone untrust policy rsh match application junos-rsh set security policies from-zone trust to-zone untrust policy rsh then permit
단계별 절차
다음 예제에서는 구성 계층에서 다양한 수준의 탐색이 필요합니다. 이를 수행하는 방법에 대한 지침은 CLI 사용자 가이드의 구성 모드에서 CLI 편집기 사용을 참조하십시오.
경로 모드 구성 방법:
인터페이스를 구성합니다.
[edit interfaces] user@host#set ge-0/0/0 unit 0 family inet address 10.208.172.58/21 user@host#set fe-3/0/0 unit 0 family inet address 30.3.3.149/8 user@host#set fe-3/0/1 unit 0 family inet address 40.4.4.149/8
영역을 구성하고 영역에 인터페이스를 할당합니다.
[edit security zones security-zone] user@host#set trust host-inbound-traffic system-services all user@host#set trust host-inbound-traffic protocols all user@host#set trust interfaces fe-3/0/0.0 user@host#set untrust host-inbound-traffic system-services all user@host#set untrust host-inbound-traffic protocols all user@host#set untrust interfaces fe-3/0/0.1
트러스트 영역에서 신뢰할 수 없는 영역으로 RSH 트래픽을 허용하는 RSH 정책을 구성합니다.
[edit security policies from-zone trust to-zone untrust] user@host#set policy rsh match source-address any user@host#set policy rsh match destination-address any user@host#set policy rsh match application junos-rsh user@host#set policy rsh then permit
결과
구성 모드에서 , show security zones및 show security policies 명령을 입력하여 구성을 show interfaces확인합니다. 출력에 의도한 구성이 표시되지 않으면 이 예의 구성 지침을 반복하여 수정을 수행합니다.
간결성을 위해 이 show 출력에는 이 예와 관련된 구성만 포함됩니다. 시스템의 다른 구성은 타원(...)으로 대체되었습니다.
[edit]
user@host# show interfaces
ge-0/0/0 {
unit 0 {
family inet {
address 10.208.172.58/21;
}
}
}
fe-3/0/0 {
unit 0 {
family inet {
address 30.3.3.149/8;
}
}
}
fe-3/0/1 {
unit 0 {
family inet {
address 40.4.4.149/8;
}
}
}
[edit]
user@host# show security zones
..
security-zone trust {
host-inbound-traffic {
system-services {
all;
}
protocols {
all;
}
}
interfaces {
fe-3/0/0.0;
}
}
security-zone untrust {
host-inbound-traffic {
system-services {
all;
}
protocols {
all;
}
}
interfaces {
fe-3/0/1.0;
}
}
...
[edit]
user@host# show security policies
from-zone trust to-zone untrust {
policy rsh {
match {
source-address any;
destination-address any;
application junos-rsh;
}
then {
permit;
}
}
}
디바이스 구성이 완료되면 구성 모드에서 을(를) 입력합니다 commit .
정적 네트워크 변환(NAT) 규칙 세트 구성
CLI 빠른 구성
이 예를 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브러브를 제거하고, 네트워크 구성을 일치하는 데 필요한 세부 사항을 바꾸고 계층 수준에서 명령을 CLI [edit] 로 복사해 붙여 넣은 다음, 구성 모드에서 을(를) 입력 commit 합니다.
set security nat static rule-set rs1 from zone trust set security nat static rule-set rs1 rule r1 match destination-address 40.0.172.10/32 set security nat static rule-set rs1 rule r1 then static-nat prefix 40.0.172.45/32
단계별 절차
다음 예제에서는 구성 계층에서 다양한 수준의 탐색이 필요합니다. 이를 수행하는 방법에 대한 지침은 CLI 사용자 가이드의 구성 모드에서 CLI 편집기 사용을 참조하십시오.
정적 NAT 규칙 세트를 구성하려면 다음을 수행합니다.
정적 NAT 규칙 세트를 생성합니다.
[edit security nat static rule-set rs1] user@host#set from zone trust
대상 주소와 일치하는 규칙을 정의합니다.
[edit security nat static rule-set rs1] user@host# set rule r1 match destination-address 40.0.172.10/32
디바이스에 대한 정적 NAT 접두사 정의.
[edit security nat static rule-set rs1] user@host# set rule r1 then static-nat prefix 40.0.172.45/32
결과
구성 모드에서 명령을 입력하여 구성을 확인합니다 show security nat . 출력에 의도한 구성이 표시되지 않으면 이 예의 구성 지침을 반복하여 수정합니다.
[edit]
user@host# show security nat
static {
rule-set rs1 {
from zone trust;
rule r1 {
match {
destination-address 40.0.172.10/32;
}
then {
static-nat {
prefix {
40.0.172.45/32;
}
}
}
}
}
}
디바이스 구성이 완료되면 구성 모드에서 을(를) 입력합니다 commit .
PAT 없이 소스 NAT 풀 및 규칙 세트 구성
CLI 빠른 구성
RSH ALG는 PAT 구성을 지원하지 않습니다. RSH ALG는 stderr 포트 범위가 512~1024 사이여야 합니다. 소스 NAT 모듈은 이 포트 범위를 일치시킬 수 없습니다.
이 예를 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브러브를 제거하고, 네트워크 구성을 일치하는 데 필요한 세부 사항을 바꾸고 계층 수준에서 명령을 CLI [edit] 로 복사해 붙여 넣은 다음, 구성 모드에서 을(를) 입력 commit 합니다.
set security nat source pool src-p1 address 40.0.172.100/32 to 40.0.172.101/32 set security nat source pool src-p1 port no-translation set security nat source rule-set src-rs1 from interface fe-3/0/0.0 set security nat source rule-set src-rs1 to interface fe-3/0/1.0 set security nat source rule-set src-rs1 rule r1 match source-address 30.0.0.0/8 set security nat source rule-set src-rs1 rule r1 match destination-address 40.0.0.0/8 set security nat source rule-set src-rs1 rule r1 then source-nat pool src-p1
단계별 절차
다음 예제에서는 구성 계층에서 다양한 수준의 탐색이 필요합니다. 이를 수행하는 방법에 대한 지침은 CLI 사용자 가이드의 구성 모드에서 CLI 편집기 사용을 참조하십시오.
소스 NAT 풀 및 규칙 세트를 구성하려면 다음을 수행합니다.
소스 NAT 풀을 생성합니다.
[edit security nat source] user@host#set pool src-p1 address 40.0.172.100/32 to 40.0.172.101/32
포트 변환 없이 소스 NAT 풀을 생성합니다.
[edit security nat source ] set pool src-p1 port no-translation
소스 NAT 규칙 집합을 생성합니다.
[edit security nat source] user@host# set rule-set src-rs1 from interface fe-3/0/0.0 user@host# set rule-set src-rs1 to interface fe-3/0/1.0
패킷과 일치하는 규칙을 구성하고 소스 주소를 소스 풀의 주소로 변환합니다.
[edit security nat source] user@host# set rule-set src-rs1 rule r1 match source-address 30.0.0.0/8
패킷과 일치하는 규칙을 구성하고 대상 주소를 소스 풀의 주소로 변환합니다.
[edit security nat source] user@host# set rule-set src-rs1 rule r1 match destination-address 40.0.0.0/8
규칙에서 소스 NAT 풀을 구성합니다.
[edit security nat source] user@host# set rule-set src-rs1 rule r1 then source-nat pool src-p1
결과
구성 모드에서 명령을 입력하여 구성을 확인합니다 show security nat . 출력에 의도한 구성이 표시되지 않으면 이 예의 구성 지침을 반복하여 수정합니다.
[edit]
user@host# show security nat
source {
pool src-p1 {
address {
40.0.172.100/32 to 40.0.172.101/32;
}
port no-translation;
}
rule-set src-rs1 {
from interface fe-3/0/0.0;
to interface fe-3/0/1.0;
rule r1 {
match {
source-address 30.0.0.0/8;
destination-address 40.0.0.0/8;
}
then {
source-nat {
pool {
src-p1;
}
}
}
}
}
}
디바이스 구성이 완료되면 구성 모드에서 을(를) 입력합니다 commit .
대상 NAT 풀 및 규칙 세트 구성
CLI 빠른 구성
이 예를 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브러브를 제거하고, 네트워크 구성을 일치하는 데 필요한 세부 사항을 바꾸고 계층 수준에서 명령을 CLI [edit] 로 복사해 붙여 넣은 다음, 구성 모드에서 을(를) 입력 commit 합니다.
set security nat destination pool des-p1 address 40.0.172.45/32 set security nat destination rule-set des-rs1 from zone trust set security nat destination rule-set des-rs1 rule des-r1 match source-address 30.0.172.12/32 set security nat destination rule-set des-rs1 rule des-r1 match destination-address 40.0.172.10/32 set security nat destination rule-set des-rs1 rule des-r1 then destination-nat pool des-p1
단계별 절차
다음 예제에서는 구성 계층에서 다양한 수준의 탐색이 필요합니다. 이를 수행하는 방법에 대한 지침은 CLI 사용자 가이드의 구성 모드에서 CLI 편집기 사용을 참조하십시오.
대상 NAT 풀 및 규칙 세트를 구성하려면 다음을 수행합니다.
대상 NAT 풀을 생성합니다.
[edit security nat destination] user@host#set pool des-p1 address 40.0.172.45/32
대상 NAT 규칙 집합을 생성합니다.
[edit security nat destination] user@host# set rule-set des-rs1 from zone trust
패킷과 일치하는 규칙을 구성하고 소스 주소를 풀의 주소로 변환합니다.
[edit security nat destination] user@host# set rule-set des-rs1 rule des-r1 match source-address 30.0.172.12/32
패킷과 일치하는 규칙을 구성하고 대상 주소를 풀의 주소로 변환합니다.
[edit security nat destination] user@host# set rule-set des-rs1 rule des-r1 match destination-address 40.0.172.10/32
규칙에서 소스 NAT 풀을 구성합니다.
[edit security nat destination] user@host# set rule-set des-rs1 rule des-r1 then destination-nat pool des-p1
결과
구성 모드에서 명령을 입력하여 구성을 확인합니다 show security nat . 출력에 의도한 구성이 표시되지 않으면 이 예의 구성 지침을 반복하여 수정합니다.
[edit]
user@host# show security nat
destination {
pool des-p1 {
address {
40.0.172.45/32;
}
}
rule-set des-rs1 {
from zone trust;
rule des-r1 {
match {
source-address 30.0.172.12/32;
destination-address 40.0.172.10/32;
}
then {
destination-nat {
pool {
des--p1;
}
}
}
}
}
}
디바이스 구성이 완료되면 구성 모드에서 을(를) 입력합니다 commit .
RSH ALG 추적 옵션 활성화
CLI 빠른 구성
이 예를 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브러브를 제거하고, 네트워크 구성을 일치하는 데 필요한 세부 사항을 바꾸고 계층 수준에서 명령을 CLI [edit] 로 복사해 붙여 넣은 다음, 구성 모드에서 을(를) 입력 commit 합니다.
set security alg rsh traceoptions flag all set security alg traceoptions file trace set security alg traceoptions file size 1g set security alg traceoptions level verbose
단계별 절차
다음 예제에서는 구성 계층에서 다양한 수준의 탐색이 필요합니다. 이를 수행하는 방법에 대한 지침은 CLI 사용자 가이드의 구성 모드에서 CLI 편집기 사용을 참조하십시오.
RSH ALG 추적 옵션을 활성화하려면:
RSH ALG 추적 옵션을 활성화합니다.
[edit security alg] user@host#set sql traceoptions flag all
추적 작업에서 출력을 수신하도록 파일 이름을 구성합니다.
[edit security alg] user@host#set traceoptions file trace
최대 추적 파일 크기를 지정합니다.
[edit security alg] user@host#set traceoptions file size 1g
추적 출력 수준을 지정합니다.
[edit security alg] user@host#set traceoptions level verbose
결과
구성 모드에서 명령을 입력하여 구성을 확인합니다 show security alg . 출력에 의도한 구성이 표시되지 않으면 이 예의 구성 지침을 반복하여 수정합니다.
[edit]
user@host# show security alg
traceoptions {
file trace size 1g;
level verbose;
}
rsh traceoptions flag all;
디바이스 구성이 완료되면 구성 모드에서 을(를) 입력합니다 commit .
확인
구성이 제대로 작동하는지 확인합니다.
RSH ALG 제어 세션 확인
목적
RSH 명령이 실행되고 모든 RSH 제어 및 데이터 세션이 생성되었는지 확인합니다.
작업
운영 모드에서 명령을 입력합니다 show security flow session .
user@host>show security flow session Session ID: 2924, Policy name: rsh/6, Timeout: 2, Valid Resource information : RSH ALG, 2, 0 In: 30.0.172.12/1023 --> 40.0.172.45/514;tcp, If: fe-3/0/0.0, Pkts: 7, Bytes: 320 Out: 40.0.172.45/514 --> 30.0.172.12/1023;tcp, If: fe-3/0/1.0, Pkts: 7, Bytes: 314 Session ID: 2925, Policy name: rsh/6, Timeout: 2, Valid Resource information : RSH ALG, 2, 24 In: 40.0.172.45/44864 --> 30.0.172.12/113;tcp, If: fe-3/0/1.0, Pkts: 5, Bytes: 278 Out: 30.0.172.12/113 --> 40.0.172.45/44864;tcp, If: fe-3/0/0.0, Pkts: 5, Bytes: 345 Session ID: 2926, Policy name: rsh/6, Timeout: 2, Valid Resource information : RSH ALG, 2, 23 In: 40.0.172.45/1023 --> 30.0.172.12/1022;tcp, If: fe-3/0/1.0, Pkts: 4, Bytes: 216 Out: 30.0.172.12/1022 --> 40.0.172.45/1023;tcp, If: fe-3/0/0.0, Pkts: 3, Bytes: 164 Total sessions: 3
의미
Session ID—세션을 식별하는 번호입니다. 이 ID를 사용하여 정책 이름, 패킷 수와 같은 세션에 대한 자세한 정보를 얻을 수 있습니다.
Policy name-트래픽을 허용한 정책 이름.
In-수신 플로우(해당 소스 및 대상 포트 번호가 있는 소스 및 대상 IP 주소, 세션은 TCP이며, 이 세션의 소스 인터페이스는 fe-3/0/0.0)입니다.
Out-역 플로우(해당 소스 및 대상 포트 번호가 있는 소스 및 대상 IP 주소, 세션은 TCP, 이 세션의 대상 인터페이스는 fe-3/0/1.0).
RSH ALG 확인
목적
RSH ALG가 활성화되어 있는지 확인합니다.
작업
운영 모드에서 명령을 입력합니다 show security alg status .
user@host>show security alg status ALG Status : PPTP : Enabled RSH : Disabled RTSP : Enabled SCCP : Enabled SIP : Enabled TALK : Enabled TFTP : Enabled IKE-ESP : Disabled
RSH ALG는 기본적으로 비활성화되어 있습니다. RSH ALG를 활성화하려면 구성 모드에서 명령을 입력 set security alg rsh 합니다.
의미
출력은 다음과 같이 RSH ALG 상태를 보여줍니다.
활성화 - RSH ALG가 활성화되어 있는 것을 보여줍니다.
비활성화 - RSH ALG가 비활성화되어 있는 것을 보여줍니다.
RSH ALG 리소스 관리자 그룹 확인
목적
RSH ALG에서 사용하는 리소스 관리자 그룹 및 활성 그룹의 총 수를 확인합니다.
작업
운영 모드에서 명령을 입력합니다 show security resource-manager group active .
user@host>show security resource-manager group active Group ID 1: Application - RSH ALG Total groups 677, active groups 1
RSH ALG 리소스 정보 확인
목적
RSH ALG에서 사용하는 총 리소스 및 활성 리소스 수를 확인합니다.
작업
운영 모드에서 명령을 입력합니다 show security resource-manager resource active .
user@host>show security resource-manager resource active Resource ID 2: Group ID - 1, Application - RSH ALG Resource ID 1: Group ID - 1, Application - RSH ALG Total Resources 4044, active resources 2