下载文档原格式
产品简介产品说明把语音、视频和数据聚合到一个网络中，会使企业面临大量的挑战和机遇。
网元的整合可实现 SIP 的 VoIP 和实时高分辨的 Telepresence 的轻松部署，以及实现一致性的基础架构网络操作系统（如瞻博网络Junos 操作系统）的标准化，从而降低成本。
这些新技术能够改善客户关系、加强与供应商之间的交互，并提高员工的生产率。
这种关键任务型多媒体网络必须始终保持运转及可用。
为了实现此目标，全面集成的状态安全性是一个关键要求，而不只是单纯地转发数据包而忽略所需应用或单个用户会话。
Junos 操作系统可提供帮助企业实施关键应用的高性能网络基础架构：• 把路由、防火墙和 VPN 功能集成到一流的安全路由器中。
通过确保企业关键任务信息的安全以及防护网络漏洞并防范攻击，瞻博网络 J 系列业务路由器提供可提高生产率和降低成本的综合特性。
J 系列采用 Junos 操作系统 9.6 版，通过由防病毒、防垃圾邮件、网页过滤和入侵防护系统构成的统一威胁管理，增强了上述特性。
这些高级安全特性能够使设备不再孤立，并可通过软件密钥加以应用。
• 通过部署 J 系列，能够最大限度地降低网络安装和运行的成本。
凭借 Junos 操作系统的模块化、受保护的模式设计以及严格的 Junos 操作系统开发和测试过程，系统进程几乎不会出现故障。
Junos 操作系统的单一源代码能够大大简化新发布活动在网络上的审核过程。
另外，高级配置管理功能能够减少可能导致网络宕机的人为错误。
不论是您的企业网络，或是为电信运营商目标客户所在地的设备提供 MPLS 或 IP 网络，J 系列都能提供表现卓越的综合特性。
利用 Junos 操作系统，J 系列可部署在大中型场所中；多种接口可提供满足当今实时通信要求的带宽。
产品概述瞻博网络 J 系列业务路由器将高性能网络防护和先进的服务结合起来，拓展了企业应用并提供与远程办公机构的可靠连接。
J 系列业务路由器利用模块化 Junos 操作系统和瞻博丰富的产品及合作机构，将市场领先的安全性、应用优化和语音功能整合在一个统一、易于管理的平台上。
Juniper简单入门介绍（配置端口，静态路由，配置防火墙策略）登陆Juniper设备后，需输入edit或者configuration 命令进入系统配置模式Juniper 系统自带命令和变量可按“空格”键补齐Juniper 系统“用户自定义”变量可按TAB键补齐一、配置端口Juniper配置端口是基于物理端口下的逻辑端口进行配置，例如set interfaces ge-0/0/5 unit 0 family inet address 192.168.1.1以上命令为ge-0/0/5口添加一个ip地址为192.168.1.1，其中unit为逻辑端口单元，范围0~16385，若再执行命令set interfaces ge-0/0/5 unit 1 family inet address 192.168.2.1则ge-0/0/5现在有两个ip分别为192.168.1.1和192.168.2.1以上命令也可以写成set interfaces ge-0/0/5.0 family inet address 192.168.1.1其中.0代表unit 0二、配置静态路由举例：现有网段125.39.91.240/28Juniper ge-0/0/0.0 设置ip为192.168.88.1set routing-options static route 0.0.0.0/0 next-hop 192.168.88.1其中0.0.0.0/0 表示任意目标地址，192.168.88.1为路由器直连网关。
再举例：让所有访问192.168.77.X的路由走192.168.99.1set routing-options static route 192.168.77.0/24 next-hop 192.168.99.1以上192.168.77段，掩码为24，而192.168.99.1为路由器直连网关。
三、配置zoneJunos基于zone开放防火墙策略，zone可以自己建立，建立之后再将需要的端口划到zone里。
Juniper操作手册防火墙设备样式与接口简介：所选用Juniper设备正面为9个网口（AUX，CONSOLE，0/0，0/1，0/2，0/3，0/4，0/5，0/6）我们需要用到的网口主要为：0/0与0/1两者之一，0/2、0/3、0/4、0/5与0/6四者之一。
（注明：0/0与0/1为接外网网口，如：10.195.56.5；0/2、0/3、0/4、0/5与0/6为接内网网口，如：192.168.0.5）。
对防火墙进行初步配置：首先将防火墙通上电，设备约有一分钟的启动时间。
将外网网线接到口0/0或者0/1(本次配置选用0/1口)，将内网某一台PC与防火墙内网接口之一相连（本次配置选用0/2。
该PC主要用于来配置，可以是内网中任一PC）。
在内网PC上：首先通过运行进行测试，以确定防火墙已启动（Ping 命令成功即可, 若设备为出厂新设备，默认内网IP为：192.168.0.1.若已配置过，内网IP需资询相关技术人员。
），下图所示：确定设备与内网PC（即用于配置防火墙的PC）连接正常后。
打开IE，输入防火墙内网IP：192.168.0.1Admin Name: netscreen. Password: netscreen登陆成功界面如上图所示（IE主要分为左右两部分，配置之初，右侧参数可不必在意）：据网络要求，我们对防火墙配置主要分为六部分。
主要配置过程：一、内网、外网接口配置由路径Network>Interfaces(list)（所见参数部分说明：在下图所示界面上，主要操作包括内网_Trust、外网_Untrust接口配置。
此处需要注意Untrust所对应的接口：ethemet0/0或ethemet0/1 up。
）a)内网接口配置Trust对应内网，点击其对应的Edit，进入内网配置界面。
上图红线标示处需注意。
参数设置Zone Name : TrustStatic Ip:IP Adress/Netmask: 内网IP（通常设为内网网关地址）“/”后为子网掩码Manage IP 若无特殊要求，一般与“IP Adress/Netmask”相同Interface Mode : NATManagement Services(此项根据需要):推荐->WEB UI TELNET PING内网接口配置完成，OK 。
自己总结的一点juniper 路由器入门资料juniperbbs 2007-09-1922:41:55由于文档全是鸟语的，再加上哥们鸟语水平非常有限，所以可能在理解上有所偏差，大家将就着看吧！感谢大猫猫，红头发等前辈！访问路由器你可以通过三种管理接口访问路由器console(Db9 EIA-232 @ 9600 Bps, 8/N/1-pre-configured)、auxiliary 、f xp 0Telnet 、SSH 也可访问路由器你必须掌握需要访问路由器的密码当你第一次访问路由器时，你必须使用root 帐号登陆访问CLI(用户命令行)，然后为路由器配置一个新的帐号用户登录访问必须用户名和密码个人帐户和路由器地址帐户可控制路由器的级别必须要有管理员授权当你通过用户帐号及密码登录路由器后，你就可以顺利的进入控制平台，可以在用户名和路由器名前看到“>”提示符Juniper需要通过用户名和密码来访问，路由器管理员可以创建用户帐号和分配权限，新的Juniper路由器只有没有密码的root帐号访问，你必须使用cli命令从CLI开始配置CLI模块及其重要内容CLI操作方式编辑命令行执行命令和命令历史相关内容和帮助Unix风格的管理模式CLI的配置方式不同的操控级别不同的配置权限同级别命令集之间的跳跃配置命令的自动检错系统自动回滚功能输入多命令行的可以一次执行在配置状态中执行操作命令保存、载入、删除配置文件CLI的两种模式操作模式（opera tional mode）显示路由器当前状态、监视、检测JUNOS、网络连通性及路由器硬件可以使用monitor、ping、show、test、tr acer oute命令展示JUNOS在执行时的信息和统计信息、路由表、可以测试网络的连通性Doug@lab2>配置模式(configuration mode)配置路由器、包括接口、普通路由信息、路由协议、用户访问、系统硬件相关[edit]Doug@lab2#CLI命令层次CLI操作模式命令(user@host>状态下配置)showrequestrestartpingtracerouteclearmonitorfiletesttelnetsetsshstartquit命令类型破坏性的非破坏性的进入配置模式控制CLI环境跳出CLI监视和检错命令clear monitor ping show test traceroute连接其他的网络系统复制文件重启软件程序使用过滤/管道命令输出compare(filename|rollback n):在这里可用的配置模式只能使用show命令，可以与所选择的配置文件进行比较count:显示输出线路数量display detail:只能在配置模式里使用，显示配置内容的其他信息except regular-express ion:当搜索输出时忽视正确的表达式文本，当正确的表达式包含空间、操作、通配符信息，你必须把它封装find regular-expression: 显示首先发现的输入文本holdmatchno-moreresolvesave控制CLI环境使用set cli 命令可以配置：Screen length(lines)Screen width(columns)Idle timeout(minutes)空闲时间Pro mpt(string)提示信息Terminal(terminal type)user@host> set cli ?Possible completions:complete-on-space Toggle word completion on spaceidle-timeout Set the cli maximum idletimeprompt Set the cli command promptstringrestart-on-upgrade Set cli to prompt forrestart after asoftware upgradescreen-length Set number of lines onscreenscreen-width Set number of characters onterminal Set terminal type可编辑命令行快捷键命令配置模式进入配置：使用configure命令进入配置模式在配置水平层面之间转换：使用edit、up、top、exit命令实现显示候选配置：在配置模式里使用show命令批量配置：执行候选配置：使用commit命令执行配置配置接口命名永久接口配置接口（物理道具和逻辑道具）使用configure命令进入配置模式root@lab2> configureEntering configuration mode[edit]root@lab2#容许单一的用户进行配置和编辑，configure exclusive Configure private 容许多用户编辑候选配置多用户可以同时编辑私有的候选配置信息在执行命令时，用户的个人选择是可以在全部信息中返回的？？？？选择可执行的命令user@host# set alarm sonet lol reduser@host# delete alarm sonet pll yellow显示候选和可执行命令的不同[edit chassis]user@host# show | comparealarm {sonet {+ lol redlos red;- pll yellow;}}其他命令选项user@host# show | compare filenameuser@host# show | compare rollback number配置群声明的群能应用不同部分的配置应用相同参数的捷径方式可以配置更多的端口共同的群声明可以重复配置不同的地方想要配置的地方可以从原配置数据继承相关信息[edit]lab@San Jose-re0# show groups re0 re0 {system {host-name SanJose-re0;}interfaces {fxp0 {unit 0 {family inet {a ddr ess ;}}}}}[edit]lab@SanJose-re0# show groups re1 re1 {system {host-name SanJose-re1;}fxp0 {unit 0 {family inet {address ;}}}}}[edit]lab@SanJose-re0# showap ply-groups [ re0 re1 ];执行配置命令按你的需求使配置改变可能会破坏路由器的连通性可能会破坏网络的连通使用commit命令的缺点慢执行配置可能花费一点时间，默认10分钟假如配置是由缺陷的，路由器自动返回原来的配置可以使用rollback命令来恢复九种以保存的配置使用rollback(rollback 0)去恢复候选配置Rollback 1 载入意见的配置Rollback n[edit]user@host# rollbackload completeTo activate the configuration that you loaded, issue the commit command,as shown below.[edit]user@host# commit[edit]user@host# rollback versionload complete[edit]user@host#退出配置模式使用exit命令返回顶层使用exit configuration-mode返回其他层保存配置文件来自当前水平层面和向下的所有当前候选配置文件可以使用save命令以ASC II码的形式保存[edit]cli# save filename[edit]cli#必须指定详细的目录文件可以URL多余的路由引擎SSH user@host:filename载入配置文件Load命令不考虑现有配置Load override filename合并新的声明到现有配置Load merge filename取代现有声明在当前配置Load replace filename只选择候选配置你必须使用commit命令来执行能从终端载入Load(replace|merge|override)terminal端口配置端口contained包含PICPIC plugs堵塞FPCFPC有四个PIC插槽FPC flexible pic concentrator把交换控制板和路由器接口进行连接For example, so-1/2/3 is a SONET/SD H interface in FPC slot 1, PIC slot 2, and PIC port 3. _ at—ATM over SONET/SDH ports_ e1—E1 ports_ e3—E3 ports_ fe—Fast Ethernet ports_ so—SONET/SDH ports_ t1—T1 ports_ t3—DS-3 ports_ ge—Gigabit Ethernet ports_ ae—Aggregated合计Ethernet portslogi ca l合理的端口是设置帧中继和ATM虚拟circuit电路端口号是separate分离actual实际的DLCI ATM VC 和能获取任意值Suggest 暗示converntion协定是保持他们相同可能路由器有两个永久接口Fxp0对外管理接口管理对外以太网接口Fxp1用于信息包发送的引擎内在路由引擎连接管理对内以太网接口。
自己总结的一点juniper 路由器入门资料juniperbbs 2007-09-1922:41:55由于文档全是鸟语的，再加上哥们鸟语水平非常有限，所以可能在理解上有所偏差，大家将就着看吧！感谢大猫猫，红头发等前辈！访问路由器你可以通过三种管理接口访问路由器console(Db9 EIA-232 @ 9600 Bps, 8/N/1-pre-configured)、auxiliary 、f xp 0Telnet 、SSH 也可访问路由器你必须掌握需要访问路由器的密码当你第一次访问路由器时，你必须使用root 帐号登陆访问CLI(用户命令行)，然后为路由器配置一个新的帐号用户登录访问必须用户名和密码个人帐户和路由器地址帐户可控制路由器的级别必须要有管理员授权当你通过用户帐号及密码登录路由器后，你就可以顺利的进入控制平台，可以在用户名和路由器名前看到“>”提示符Juniper需要通过用户名和密码来访问，路由器管理员可以创建用户帐号和分配权限，新的Juniper路由器只有没有密码的root帐号访问，你必须使用cli命令从CLI开始配置CLI模块及其重要内容CLI操作方式编辑命令行执行命令和命令历史相关内容和帮助Unix风格的管理模式CLI的配置方式不同的操控级别不同的配置权限同级别命令集之间的跳跃配置命令的自动检错系统自动回滚功能输入多命令行的可以一次执行在配置状态中执行操作命令保存、载入、删除配置文件CLI的两种模式操作模式（opera tional mode）显示路由器当前状态、监视、检测JUNOS、网络连通性及路由器硬件可以使用monitor、ping、show、test、tr acer oute命令展示JUNOS在执行时的信息和统计信息、路由表、可以测试网络的连通性Doug@lab2>配置模式(configuration mode)配置路由器、包括接口、普通路由信息、路由协议、用户访问、系统硬件相关[edit]Doug@lab2#CLI命令层次CLI操作模式命令(user@host>状态下配置)showrequestrestartpingtracerouteclearmonitorfiletesttelnetsetsshstartquit命令类型破坏性的非破坏性的进入配置模式控制CLI环境跳出CLI监视和检错命令clear monitor ping show test traceroute连接其他的网络系统复制文件重启软件程序使用过滤/管道命令输出compare(filename|rollback n):在这里可用的配置模式只能使用show命令，可以与所选择的配置文件进行比较count:显示输出线路数量display detail:只能在配置模式里使用，显示配置内容的其他信息except regular-express ion:当搜索输出时忽视正确的表达式文本，当正确的表达式包含空间、操作、通配符信息，你必须把它封装find regular-expression: 显示首先发现的输入文本holdmatchno-moreresolvesave控制CLI环境使用set cli 命令可以配置：Screen length(lines)Screen width(columns)Idle timeout(minutes)空闲时间Pro mpt(string)提示信息Terminal(terminal type)user@host> set cli ?Possible completions:complete-on-space Toggle word completion on spaceidle-timeout Set the cli maximum idletimeprompt Set the cli command promptstringrestart-on-upgrade Set cli to prompt forrestart after asoftware upgradescreen-length Set number of lines onscreenscreen-width Set number of characters onterminal Set terminal type可编辑命令行快捷键命令配置模式进入配置：使用configure命令进入配置模式在配置水平层面之间转换：使用edit、up、top、exit命令实现显示候选配置：在配置模式里使用show命令批量配置：执行候选配置：使用commit命令执行配置配置接口命名永久接口配置接口（物理道具和逻辑道具）使用configure命令进入配置模式root@lab2> configureEntering configuration mode[edit]root@lab2#容许单一的用户进行配置和编辑，configure exclusive Configure private 容许多用户编辑候选配置多用户可以同时编辑私有的候选配置信息在执行命令时，用户的个人选择是可以在全部信息中返回的？？？？选择可执行的命令user@host# set alarm sonet lol reduser@host# delete alarm sonet pll yellow显示候选和可执行命令的不同[edit chassis]user@host# show | comparealarm {sonet {+ lol redlos red;- pll yellow;}}其他命令选项user@host# show | compare filenameuser@host# show | compare rollback number配置群声明的群能应用不同部分的配置应用相同参数的捷径方式可以配置更多的端口共同的群声明可以重复配置不同的地方想要配置的地方可以从原配置数据继承相关信息[edit]lab@San Jose-re0# show groups re0 re0 {system {host-name SanJose-re0;}interfaces {fxp0 {unit 0 {family inet {a ddr ess 192.168.200.51/24;}}}}}[edit]lab@SanJose-re0# show groups re1 re1 {system {host-name SanJose-re1;}fxp0 {unit 0 {family inet {address 192.168.200.52/24;}}}}}[edit]lab@SanJose-re0# showap ply-groups [ re0 re1 ];执行配置命令按你的需求使配置改变可能会破坏路由器的连通性可能会破坏网络的连通使用commit命令的缺点慢执行配置可能花费一点时间，默认10分钟假如配置是由缺陷的，路由器自动返回原来的配置可以使用rollback命令来恢复九种以保存的配置使用rollback(rollback 0)去恢复候选配置Rollback 1 载入意见的配置Rollback n[edit]user@host# rollbackload completeTo activate the configuration that you loaded, issue the commit command,as shown below.[edit]user@host# commit[edit]user@host# rollback versionload complete[edit]user@host#退出配置模式使用exit命令返回顶层使用exit configuration-mode返回其他层保存配置文件来自当前水平层面和向下的所有当前候选配置文件可以使用save命令以ASC II码的形式保存[edit]cli# save filename[edit]cli#必须指定详细的目录文件可以URL多余的路由引擎SSH user@host:filename载入配置文件Load命令不考虑现有配置Load override filename合并新的声明到现有配置Load merge filename取代现有声明在当前配置Load replace filename只选择候选配置你必须使用commit命令来执行能从终端载入Load(replace|merge|override)terminal端口配置端口contained包含PICPIC plugs堵塞FPCFPC有四个PIC插槽FPC flexible pic concentrator把交换控制板和路由器接口进行连接For example, so-1/2/3 is a SONET/SD H interface in FPC slot 1, PIC slot 2, and PIC port 3. _ at—ATM over SONET/SDH ports_ e1—E1 ports_ e3—E3 ports_ fe—Fast Ethernet ports_ so—SONET/SDH ports_ t1—T1 ports_ t3—DS-3 ports_ ge—Gigabit Ethernet ports_ ae—Aggregated合计Ethernet portslogi ca l合理的端口是设置帧中继和ATM虚拟circuit电路端口号是separate分离actual实际的DLCI ATM VC 和能获取任意值Suggest 暗示converntion协定是保持他们相同可能路由器有两个永久接口Fxp0对外管理接口管理对外以太网接口Fxp1用于信息包发送的引擎内在路由引擎连接管理对内以太网接口Juniper 的命令行接口简介:(详见文档：/techpubs/software/junos/junos60/index.html)Juniper 路由器的操作系统JOS建立在FreeBSD之上，使用超级终端连接到路由器前面板的Console口上之后，看到的是UNIX的登录提示：Login:使用用户名root，密码为空登录系统，出现提示：root#使用命令cli启动JOS的命令行接口(Command Line Interface)：root#cliroot@Hostname>此时的状态为Operation Mode(操作模式)，可以使用show、monitor等命令检查系统各项功能的运行状态。
Juniper路由器配置操作手册ziJuniper OS 4.2R1.3 路由器配置操作手册1系统配置 (2)1.1系统信息基本配置 (2)1.2系统用户信息 (2)1.3系统服务配置 (3)2端口配置 (4)2.1juniper端口介绍 (4)2.2端口配置 (4)3SNMP配置 (6)4Routing-options配置 (7)4.1静态路由配置 (7)4.2route-id&as (7)4.3bgp聚合配置 (7)5Route protocal配置 (8)5.1Ospf配置 (8)5.2Bgp 配置 (9)6Policy 配置 (9)7Firewall 配置 (12)8Juniper与Cisco互连端口参数调整 (12)9Juniper备份结构与Cisco不同 (14)9.1console root登录 (14)9.2telnet登录 (14)Juniper所有配置，均在配置状态下进行。
分为由console进入和远程telnet进入。
由console进入JUNOS系统命令操作（由FreeBSD的简化系统）%cli 进入下面的用户操作hostname>edit 进入下面的用户配置hostname# 配置操作由远程telnet直接进入用户操作hostname>edit 进入下面的用户配置hostname# 配置操作1 系统配置1.1 系统信息基本配置#edit system 进入system配置菜单#set host-name axi580-a-hz1#set domain-name #set time-zone Asia/Shanghai# set system root-authentication plain-text-password (console登录，root口令缺省为空，虚设新口令)New password:******Retype new password:******#show 查看配置#commit 配置生效OR#commit confirmed 配置生效测试，5分钟后系统自动会滚，恢复原来配置。
juniper路由器配置juniper路由器配置一．路由器网络服务安全配置：默认情况下，系统启动了许多无用服务，这些服务在占用系统资源的同时也造成一定的安全隐患，应该在尽可能的情况下停止或限制这些服务1． SNMP服务使用如下命令来停止SNMP服务：setsystemprocessessnmpdisable使用如下命令来设置SNMP通讯字符串：setsnmpcommunitymysnmpauthorizationread-only使用如下命令来在接口上设备SNMP通讯字符串：setsnmpinterfacefxp0communitymysnmp使用如下命令来在接口上禁止SNMP服务trap：setinterfacesfxp0unit0trapsdisable使用如下命令来限制SNMP的访问客户端：setsnmpcommunitymysnmpclients192.168.0.0/24 setsnmpcommunitymysnmpclients0.0.0.0/0restrict上述命令只允许192.168.0.0/24网段访问路由器的SNMP服务2．停止接口广播转发：广播转发容易造成smurf攻击，因此应该使用如下命令停止：setsystemno-redirects接口级别停止广播转发使用如下命令：setinterfacesfxp0unit0familyinetno-redirects3．停止dhcp-relay服务，dhcp-relay服务用于在不同网段使用同一个dhcp 服务器，如果没有使用，则应该使用如下命令停止：setsystemdhcp-relaydisable4．禁止IGMP服务，IGMP服务如果在没有使用的情况下应该使用如下命令禁止：setprotocolsigmpinterfacealldisable5．禁止PIM服务（？），PIM服务如果在没有使用的情况下应该使用如下命令禁止：setprotocolspimdisable6．禁止SAP服务（？），SAP服务如果在没有使用的情况下应该使用如下命令禁止：setprotocolssapdisable7．禁止IPSourceRouting源路由setchassisno-source-route二．路由器登录控制：1．设置系统登录Banner:setsystemloginmessageWarning:ifyouNOTauthorizedtoacce ssthissystem,dis connectNOW!2．设置登录超时时间：默认情况下，系统登录没有登录超时时间限制，应该将登录超时时间设置为15分钟：setcliidle-timeout153．建议采取用户权限分级管理策略setsystemloginclasstier1idle-timeout15setsystemloginclasstier1permissions[configureinterfacenetw orkroutings nmpsystemtraceviewfirewall]setsystemloginclasstier2idle-timeout15setsystemloginclasstier2permissionsallsetsystemloginuseradminfull-nameAdministrator setsystemloginuseradminuid2000setsystemloginuseradminclasstier2 setsystemloginuseradminauthenticationencrypted-password setsystemloginusertier1uid2001setsystemloginusertier1classtier1setsystemloginusertier2uid2002setsystemloginusertier2classtier24. 限制系统ssh、telnet服务连接数量：以下配置将ssh,telnet连接最大数量限制为10个，并且每分钟最多有5个可以连接：setsystemservicessshconnection-limit10rate-limit5 setsystemservicestelnetconnection-limit10rate-limit5 以下特性JUNOS5.0以上支持：setsystemservicesroot-logindeny（禁止root远程登陆）setsystemservicesprotocol-versionv2（使用sshv2）三．配置系统日志服务：1．设置系统kernel级警告发到console上setsystemsyslogconsolekernelwarning2．配置登录系统日志到单独的auth.log文件中setsystemsyslogfileauth.logauthorizationinfo3．配置系统配置更改日志到单独的change.log文件中setsystemsyslogfilechange.logchange-loginfo4．配置系统所有日志到日志服务器setsystemsysloghostx.x.x.x.anyinfo四．路由策略安全1．配置以下保留地址的黑洞路由setrouting-optionsoptionsno-resolvesetrouting-optionsoptionssyslogleveldebugsetrouting-optionsstaticroute0.0.0.0/8discardsetrouting-optionsstaticroute10.0.0.0/8discardsetrouting-optionsstaticroute20.20.20.0/24discardsetrouting-optionsstaticroute127.0.0.0/8discardsetrouting-optionsstaticroute169.254.0.0/16discardsetrouting-optionsstaticroute172.16.0.0/12discardsetrouting-optionsstaticroute192.0.2.0/24discardsetrouting-optionsstaticroute192.168.0.0/16discardsetrouting-optionsstaticroute204.152.64.0/23discardsetrouting-optionsstaticroute224.0.0.0/4discard2．设置strict模式的unicastRPFsetinterfacesso-0/0/0unit0familyinetrpf-check3．设置相应prefix-list，禁止保留地址访问setpolicy-optionsprefix-listreserved0.0.0.0/8setpolicy-optionsprefix-listreserved10.0.0.0/8setpolicy-optionsprefix-listreserved20.20.20.0/24setpolicy-optionsprefix-listreserved127.0.0.0/8setpolicy-optionsprefix-listreserved169.254.0.0/16setpolicy-optionsprefix-listreserved172.16.0.0/12setpolicy-optionsprefix-listreserved192.0.2.0/24setpolicy-optionsprefix-listreserved204.152.64.0/23setpolicy-optionsprefix-listreserved224.0.0.0/4 setfirewallfilterinbound-filterterm1fromprefix-listreserved setfirewallfilterinbound-filterterm1thencountspoof-inbound-reserved setfirewallfilterinbound-filterterm1thendiscard setinterfacesge-0/0/0unit0familyinetfilterinputinbound-filter五． Firewall-Policy设置Firewall-Policy可以限制进入及流量主机数据包的来源、目标地址、协议、端口号、流量等，应用Firewall-Policy可以实现类似于防火墙的性能，但一般不建议在骨干路由器上使用，以下是Firewall-Policy的使用方法：1．创建Firewall-Policy：setfirewallfilterlocal-sectermsec-in1fromdestination-porttelnet setfirewallfilterlocal-sectermsec-in1fromdestination-address172.16.0.1/32setfirewallfilterlocal-sectermsec-in1fromsource-address192.168.0.0/24 setfirewallfilterlocal-sectermsec-in1thenacceptsetfirewallfilterlocal-sectermsec-in2fromdestination-porttelnet setfirewallfilterlocal-sectermsec-in2fromdestination-address172.16.0.1/32setfirewallfilterlocal-sectermsec-in2thendiscardsetfirewallfilterlocal-sectermsec-in3fromsetfirewallfilterlocal-sectermsec-in1thenaccept2．应用到路由器的端口上：setinterfacesfxp0unit0familyinetfilterinputlocal-sec以上例子不允许除192.168.0.0/24网段外所有地址telnet访问172.16.0.1，但允许其它任何包通过。
Juniper MX路由器验收流程及详细的初始配置前提概要Juniper设备的整个项目的售前、售中、售后都是有一套严密的流程。
本文讲述的内容将涉及其中的售中及售后。
在客户下完订单后，厂家会根据需求来安排发货、清关等事项。
设备送达机房前，需要安排工程师去当地机房配合当地机房人员进行验收，拆箱，扫码入库、设备出库、上架安装、加电调试等。
其中设备初始调试如下：一、初始配置当MX设备的PSM电源线交叉插在机柜的A/B两路PDU上后，通电，并将所有的PSM电源模块的2个白色拨子都拨上去，即拨到“on”的位置。
如下图：操作完毕后，所有的PSM电源模块的PWR OK指示灯/INP0指示灯/INP1指示灯都显示绿灯常亮，而FAULT指示灯不亮。
设备开始正式启动。
整个操作环境准备好后，用console线的网口一端在设备的console口上，USB端插在笔记本电脑上。
同时，用一根网线一头插在电脑的网口，另一端插在MX设备的MGT口（管理端口）。
打开电脑桌面的SecureCRT，选择对应的serial口，进入CLI界面。
设备启动完毕后，进入root操作界面，输入cli进入root配置界面。
【1】配置设备的缺省账号及密码，命令如下：set system root-authentication plain-text-passwordset system login user XXX class super-user authentication plain-text-password【2】新建二个group组，配置主备引擎的缺省ip地址，命令如下：set groups re0 system host-name mx2000-re0set groups re0 interfaces fxp0 unit 0 family inet address xxxx.xxxx.xxxx.xxxxset groups re1 system host-name mx2000-re1set groups re1 interfaces fxp0 unit 0 family inet address xxxx.xxxx.xxxx.xxxxset apply-groups re0set apply-groups re1【3】配置ftp、ssh、telnet服务，命令如下：set system services ftpset system services sshset system services telnet【4】关闭管理口不插网线报警通知，命令如下：set chassis alarm management-ethernet link-down ignore【5】将配置同步到备引擎，命令如下：commit synchronize【6】配置机框模式为enhanced-ip ，命令如下：set chassis network-services enhanced-ip【7】重启设备，命令如下：request vmhost reboot二、版本升级设备重启后，整个初始配置加载完成。
