Gå til indhold
Dokumentation sslbrain sslbrain.com

Juniper SRX / vSRX

Kopiér link til siden “Juniper SRX / vSRX”

← Alle integrationer

Firewall og VPN

Skifter J-Webs HTTPS-certifikat via Junos CLI over SSH med commit confirmed og kontrol af det serverede certifikat.

Appliancen kører pakken og styrer Juniper SRX / vSRXs kommandolinje over SSH på port 22. Der installeres ingen agent på enheden.

Sådan forløber det

  1. Appliancen forbinder til Juniper SRX / vSRXs kommandolinje over SSH, port 22.
  2. Agenten læser model, Junos-version, J-Web-binding, PKI og commit-status. Den gemmer den tidligere binding og kontrollerer den serverede leaf.
  3. PEM-certifikat, kæde i issuer-rækkefølge og ukrypteret nøgle kopieres med SCP og indlæses under et certifikat-id afledt af navn og SHA-256. De midlertidige filer slettes.
  4. J-Web bindes til det nye PKI-certifikat med commit check og commit confirmed. Hver commit har en kommentar med agentens certifikat-id, så agenten kun bekræfter eller trækker sin egen ændring tilbage. Agenten læser binding og commit-status igen og kontrollerer certifikatet på HTTPS-porten. Hvis det fejler: Viser TLS ikke det nye certifikat (den gamle leaf, intet svar eller et andet certifikat), trækkes agentens skift tilbage. Bryder skiftet en J-Web, der virkede før, gendannes den tidligere binding. Er skiftet stadig ubekræftet, når fristen udløber, ruller Junos det tilbage; en anden commit på enheden inden da bekræfter det.
  5. Skiftet bekræftes først, når J-Web serverer det nye certifikat over TLS, og en ny læsning lige før viser agentens egen ventende commit. Rollback bruger deploymentens tidligere tilstand og gendanner kun agentens eget skift, når den service, der virkede før, er holdt op med at svare.

Tekniske detaljer

Forbindelse
Pakken kører på appliancen, som forbinder over SSH, port 22. Der installeres ingen agent.
Tjenestens porte
443
I skal bruge
SSH og SCP med en pinned SSH host key. Junos-brugeren skal have view, maintenance, security, configure og system-control; reset ved valgfri genstart af J-Web. Appliancen leverer mål, SSH-credentials og host key-fingerprint, og den skal kunne nå J-Web over HTTPS for at kontrollere det serverede certifikat.
Platform
Junos OS på SRX og vSRX
Handlinger
Discovery, Installation, Kontrol, Rollback
Pakker
juniper-srx-ssh 1.0.0
Bemærk
  • Junos 19.1R1+ bruger den dokumenterede J-Web-profil. Ældre releases bruger samme load/bind-kommandoer med en versionsadvarsel; identitet kontrolleres med SHA-256, når den vises, ellers serial, slutdato og subject. OpenSSH 9.0+ bruger scp -O.
  • Bash 4.4+, Python 3, OpenSSL 1.1.1+ og OpenSSH 8.4+, eller PowerShell 7.4+ med OpenSSH. Windows kræver SSH key-login, som executoren leverer beskyttet. PFX og krypterede nøgler accepteres ikke. RSA 2048/3072/4096 og ECDSA P-256/P-384 understøttes.
  • IKE, SSL proxy og virtuelle J-Web-domæner findes af discovery, men ændres ikke. Chassis-cluster kan læses, men får ingen writes; MNHA-noder behandles som separate mål. J-Web overtages ved en ny binding, så den tidligere identitets auto-re-enrollment ikke styrer målservicen. Andre steder, der bruger certifikatet, og auditing bevares.
  • Deploy kræver, at appliancen når J-Web over TLS: uden handshake, eller med et andet certifikat på endpointet, trækkes skiftet tilbage, og resultatet er activation_not_verified. Angiv JUNOS_VERIFY_ADDRESS, JUNOS_VERIFY_PORT og JUNOS_VERIFY_SNI, når J-Web ikke svarer på SSH-adressen og den konfigurerede port. Manglende intermediates i den serverede kæde og navneafvigelser er advarsler. SNI til et virtuelt J-Web-domæne vælger domænets egen binding.

Kom i gang