작은 행복을 위한 시

WARNING: THIS DEVICE HAS BOOTED FROM THE BACKUP JUNOS IMAGE

https://blog.shiraj.com/2018/08/this-device-has-booted-from-the-backup-junos-image/

#Firewall #Juniper #SRX

기존에 주니퍼 외부 아이피의 80, 443 포트를 내부 서버로 포트포워딩 하고 있었다.

[edit]
root@SRX340# show security nat destination
pool 192_168_2_2_443 {
    address 192.168.2.2/32 port 443;
}
pool 192_168_2_2_80 {
    address 192.168.2.2/32 port 80;
}
rule-set nsw_destnat {
    from zone Internet;
    rule 0_Web_Server--DMZ_443 {
        match {
            source-address 0.0.0.0/0;
            destination-address 0.0.0.0/0;
            destination-port {
                443;
            }
        }
        then {
            destination-nat {
                pool {
                    192_168_2_2_443;
                }
            }
        }
    }
    rule 0_Web_Server--DMZ_80 {
        match {
            source-address 0.0.0.0/0;
            destination-address 0.0.0.0/0;
            destination-port {
                80;
            }
        }
        then {
            destination-nat {
                pool {
                    192_168_2_2_80;
                }
            }
        }
    }
}

이것을

80->81

443-> 444

로 변경하였다.

방법을 얘기하자면 변경하려고 하는 포트를 set 명령으로 추가하고 기존 포트를 delete 명령으로 삭제해 주면된다.

root@SRX340> edit
Entering configuration mode
The configuration has been changed but not committed

root@SRX340> configure
Entering configuration mode
The configuration has been changed but not committed

root@SRX340# edit security nat destination
root@SRX340# set rule-set nsw_destnat rule 0_Web_Server--DMZ_443 match destination-port 444

[edit security nat destination]
root@SRX340# delete rule-set nsw_destnat rule 0_Web_Server--DMZ_443 match destination-port 443

[edit security nat destination]
root@SRX340# set rule-set nsw_destnat rule 0_Web_Server--DMZ_80 match destination-port 81

[edit security nat destination]
root@SRX340# delete rule-set nsw_destnat rule 0_Web_Server--DMZ_80 match destination-port 80

[edit security nat destination]
root@SRX340# commit check
configuration check succeeds

[edit security nat destination]
root@SRX340# commit
commit complete

[edit security nat destination]
root@SRX340# exit

#주니퍼 #포트포워딩 #환경설정수정 #Juniper #PortForwarding #SRX340

주니퍼 관리 페이지에 접속하려고 했더니 로그인 페이지가 아니라 Pulse Client 안내 페이지가 나온다.

확인해 보니 IPSec VPN이 활성화 되어 있으면 모든 http/https 접속이 Dynamic VPN 페이지로 연결된다고 한다.

그동안 여러 대의 주니퍼를 세팅했지만 이번에 처음 봤는데, 그동안에는 VPN을 활성화하지 않아서 였던 것 같다.

Interfaces terminating an IPSec tunnel will redirect all HTTP and HTTPS requests to the Dynamic VPN domain.
Example:https:// <srx-domain-or-ip> /dynamic-vpn

해결 방법은 관리자 페이지 URL을 환경설정에 등록해 주면 된다.

In order to allow J-Web management on an interface which is terminating an IPSec VPN, you must configure management-url for J-Web access:

set system services web-management management-url <path>

For example, with the following configuration:
[edit system services]
lab@SRX210-poe.hk# show
web-management { 
    management-url admin; <=== Configuration added here.   
        http;   
        https { 
    system-generated-certificate; 
    }
}

J-Web management would require administrator to browse to:
http://x.x.x.x/admin
or
https://x.x.x.x/admin
(Where x.x.x.x is the interface IP address.)

URL을 admin으로 설정해 주고 접속하니 접속이 잘 된다.

[참고URL]

https://supportportal.juniper.net/s/article/Not-able-to-access-J-Web-management-on-SRX-Branch-after-upgrading-to-recent-JUNOS-10-2-and-later-releases?language=en_US 

#Juniper #SRX #SRX340 #J-Web #Management #주니퍼 #관리자페이지