Hoppa till innehåll
Dokumentation sslbrain sslbrain.com

Juniper SRX / vSRX

Kopiera länk till sidan “Juniper SRX / vSRX”

← Alla integrationer

Brandvägg och VPN

Byter J-Webs HTTPS-certifikat via Junos CLI över SSH med commit confirmed och kontroll av certifikatet som serveras.

Appliancen kör paketet och styr Juniper SRX / vSRXs kommandorad över SSH på port 22. Ingen agent installeras på enheten.

Så går det till

  1. Appliancen ansluter till Juniper SRX / vSRXs kommandorad över SSH, port 22.
  2. Agenten läser modell, Junos-version, J-Web-bindning, PKI och commit-status. Den sparar den tidigare bindningen och kontrollerar leaf-certifikatet som serveras.
  3. PEM-certifikat, kedja i utfärdarordning och okrypterad nyckel kopieras med SCP och läses in under ett certifikat-id från namn och SHA-256. De tillfälliga filerna tas bort.
  4. J-Web binds till det nya PKI-certifikatet med commit check och commit confirmed. Varje commit har en kommentar med agentens certifikat-id, så att agenten bara bekräftar eller drar tillbaka sin egen ändring. Agenten läser bindning och commit-status igen och kontrollerar certifikatet på HTTPS-porten. Om det misslyckas: Visar TLS inte det nya certifikatet (den gamla leafen, inget svar eller ett annat certifikat) dras agentens byte tillbaka. Bryter bytet en J-Web som fungerade tidigare återställs den tidigare bindningen. Är bytet fortfarande obekräftat när tiden löper ut återgår Junos; en annan commit på enheten innan dess bekräftar det.
  5. Bytet bekräftas först när J-Web serverar det nya certifikatet över TLS och en ny läsning precis innan visar agentens egen väntande commit. Rollback använder deploymentens tidigare tillstånd och återställer bara agentens eget byte när den tidigare fungerande tjänsten har slutat svara.

Tekniska detaljer

Anslutning
Paketet körs på appliancen, som ansluter över SSH, port 22. Ingen agent installeras.
Tjänstens portar
443
Ni behöver
SSH och SCP med en pinned SSH host key. Junos-användaren behöver view, maintenance, security, configure och system-control; reset vid valfri omstart av J-Web. Appliancen levererar mål, SSH-credentials och host key-fingerprint, och den måste nå J-Web över HTTPS för att kontrollera certifikatet som serveras.
Plattform
Junos OS på SRX och vSRX
Åtgärder
Discovery, Installation, Kontroll, Rollback
Paket
juniper-srx-ssh 1.0.0
Observera
  • Junos 19.1R1+ använder den dokumenterade J-Web-profilen. Äldre versioner använder samma load/bind-kommandon med en versionsvarning; identitet kontrolleras med SHA-256 när det visas, annars serial, slutdatum och subject. OpenSSH 9.0+ använder scp -O.
  • Bash 4.4+, Python 3, OpenSSL 1.1.1+ och OpenSSH 8.4+, eller PowerShell 7.4+ med OpenSSH. Windows kräver SSH key-inloggning, som executorn levererar skyddad. PFX och krypterade nycklar accepteras inte. RSA 2048/3072/4096 och ECDSA P-256/P-384 stöds.
  • IKE, SSL proxy och virtuella J-Web-domäner hittas av discovery men ändras inte. Chassis-cluster kan läsas men får inga writes; MNHA-noder behandlas som separata mål. J-Web tas över med en ny bindning så att den tidigare identitetens auto-re-enrollment inte styr måltjänsten. Andra ställen som använder certifikatet och auditing bevaras.
  • Deploy kräver att appliancen når J-Web över TLS: utan handshake, eller med ett annat certifikat på endpointen, dras bytet tillbaka och resultatet är activation_not_verified. Ange JUNOS_VERIFY_ADDRESS, JUNOS_VERIFY_PORT och JUNOS_VERIFY_SNI när J-Web inte svarar på SSH-adressen och den konfigurerade porten. Saknade intermediates i den serverade kedjan och namnavvikelser är varningar. SNI till en virtuell J-Web-domän väljer domänens egen bindning.

Kom igång