Provisionamento zero touch
O Zero Touch Provisioning instala ou atualiza o software automaticamente em seus novos dispositivos da Juniper Networks com intervenção manual mínima.
Visão geral do provisionamento zero-touch
O Provisionamento Zero Touch (ZTP) permite que você provisione novos dispositivos da Juniper Networks em sua rede automaticamente, com intervenção manual mínima. Você pode usar portas de gerenciamento ou portas de rede, dependendo do seu dispositivo, para se conectar à rede. Quando você conecta fisicamente um dispositivo à rede e o inicializa com uma configuração de fábrica padrão, o dispositivo atualiza (ou rebaixa) a versão do software e instala automaticamente um arquivo de configuração da rede. O arquivo de configuração pode ser uma configuração ou um script. Usando scripts, você pode criar arquivos de configuração específicos do dispositivo e realizar operações de solicitação de HTTP para servidores web para baixar arquivos de configuração específicos ou versões de software.
Para localizar a imagem de software e os arquivos de configuração necessários na rede, o dispositivo usa informações que você configurou em um servidor de protocolo de configuração dinâmica de host (DHCP). Se você não configurar o servidor DHCP para fornecer essas informações, o dispositivo inicializa com o software pré-instalado e a configuração padrão de fábrica.
Para determinados switches, você pode usar o phone-home client (PHC) para provisionar software para o switch. Quando o switch inicializa, se houver opções de DHCP que foram recebidas do servidor DHCP para ZTP, o ZTP é retomado. Se as opções de DHCP não estiverem presentes, a APS é tentada. Para obter mais informações sobre a PHC, consulte Provisione um Virtual Chassis usando o cliente de casa telefônica.
Para ver quais plataformas oferecem suporte a ZTP, em um navegador, acesse o Feature Explorer. Na seção Explore Recursos da página Do Feature Explorer, selecione todos os recursos. Nos recursos agrupados pela caixa da família de recursos , selecione Provisionamento Zero Touch. Você também pode digitar o nome do recurso na caixa de edição de Busca de Recursos . Veja a tabela de histórico de lançamentos no final deste tópico para obter mais detalhes de como o suporte ao ZTP se expandiu.
- Fluxo de trabalho ZTP
- Provisionamento de um dispositivo usando um script
- Desencadeadores do processo de reinicialização do provisionamento zero touch
- Advertências relacionadas à ZTP
- Provisionamento zero touch usando interfaces WAN em roteadores PTX1000
Fluxo de trabalho ZTP
Quando um dispositivo é inicializado com a configuração padrão, os seguintes eventos ocorrem:
-
O cliente DHCP é executado em interfaces suportadas.
-
O servidor DHCP provisiona um endereço IP e inclui várias opções de DHCP na resposta relacionada ao processo ZTP.
-
O dispositivo processa as opções de DHCP e localiza arquivos de configuração, executa scripts e upgrades e/ou rebaixa o software.
-
Se os arquivos de imagem e configuração estiverem presentes, a imagem será instalada e a configuração será aplicada.
-
Se apenas o arquivo de imagem estiver presente, a imagem será instalada no dispositivo.
-
Se a imagem for a mesma que a imagem já instalada no dispositivo, o ZTP continuará e pulará a etapa de instalação.
-
Se a imagem não puder ser rebuscada pelo dispositivo, o ZTP tentará buscar a imagem novamente.
-
Se a imagem estiver corrupta, a instalação falhará.
Se a instalação falhar por algum motivo, o ZTP será reiniciado.
-
Se apenas o arquivo de configuração estiver presente, a configuração será baixada.
Se a primeira linha do arquivo consistir no #! personagens seguidos por um caminho de intérprete, então o arquivo é considerado um script, e o roteiro é executado pelo intérprete. Se o script retornar um erro, a máquina de estado ZTP re-buscará o script e tentará executar o script novamente.
Se o arquivo de configuração não puder ser baixado, o processo ZTP tentará baixá-lo novamente.
Se o arquivo de configuração estiver corrupto, tiver erros de sintaxe ou incluir comandos que não são suportados pelo dispositivo, o dispositivo não poderá se comprometer e o mecanismo de nova tentativa será reiniciado.
-
Se não houver nenhuma imagem ou arquivo de configuração, o processo ZTP será iniciado novamente.
-
Se não houver informações de servidor de arquivo, o processo ZTP será iniciado novamente.
-
Uma vez que a configuração é comprometida, o processo ZTP é considerado bem-sucedido e termina.
Provisionamento de um dispositivo usando um script
Durante o processo ZTP, quando você conecta e inicializa um novo dispositivo de rede, o dispositivo solicita um endereço IP do servidor DHCP. O servidor fornece o endereço IP e, se configurado, os nomes de arquivo e locais para o arquivo de imagem e configuração do software para o dispositivo. O arquivo de configuração pode ser uma configuração ou um script.
Se um arquivo de configuração for fornecido, o sistema operacional determina se o arquivo é um script com base na primeira linha do arquivo. Se a primeira linha contém os caracteres #! seguidos por um caminho de intérprete, o sistema operacional trata o arquivo como um script e o executa com o intérprete especificado.
Se o script retornar um erro (ou seja, um valor não zero), a máquina de estado ZTP re-busca o script e tenta executá-lo novamente. Isso continua até que o script seja executado com sucesso.
A Tabela 1 descreve os tipos de script suportados, o caminho de intérprete correspondente e as plataformas que suportam esse tipo de script durante o processo ZTP.
| Tipo de script |
Caminho do intérprete |
Suporte para a plataforma |
|---|---|---|
| Script shell |
|
Todos os dispositivos |
| Script SLAX |
|
Todos os dispositivos |
| Script de Python |
|
Dispositivos que executam o Junos OS com automação aprimorada Dispositivos que executam o Junos OS Evolved |
Por razões de segurança, o Junos OS tem requisitos rigorosos para executar scripts Python não assinados em dispositivos que executam o Junos OS. Apenas dispositivos que executam o Junos OS com automação aprimorada e dispositivos que executam o suporte Junos OS Evolved usando scripts Python não assinados na opção DHCP 43 suboption 01.
Se o sistema operacional não encontrar os caracteres #! seguidos por um caminho de intérprete, ele trata o arquivo como uma configuração no formato de texto e carrega a configuração no dispositivo.
Desencadeadores do processo de reinicialização do provisionamento zero touch
O ZTP reinicia quando ocorrem qualquer um dos seguintes eventos:
-
A solicitação de arquivo de configuração, arquivo de script ou arquivo de imagem falha.
-
O arquivo de configuração está incorreto e o commit falha.
-
Nenhum arquivo de configuração e nenhum arquivo de imagem está disponível.
-
O arquivo de imagem está danificado e a instalação falha.
-
Nenhuma informação do servidor de arquivo está disponível.
-
O servidor DHCP não tem parâmetros ZTP válidos configurados.
-
Quando nenhuma das interfaces de cliente DHCP chega a um estado limitado.
-
A transação ZTP falha após seis tentativas de obter arquivo de configuração ou arquivo de imagem.
Quando qualquer um desses eventos ocorre, o ZTP reinicia a máquina de estado do cliente DHCP em todas as interfaces configuradas pelo cliente (gerenciamento e rede) DHCP e, em seguida, reinicia a máquina de estado. Reiniciar a máquina de estado permite que o cliente DHCP obtenha os parâmetros mais recentes configurados pelo servidor DHCP.
Antes que o ZTP seja reiniciado, aproximadamente 15 a 30 segundos devem se passar para permitir tempo suficiente para construir uma lista de interfaces de cliente DHCP vinculadas e desvinculadas.
A lista de interfaces de cliente DHCP vinculadas e desvinculadas pode conter:
-
Sem entradas.
-
Múltiplas interfaces de cliente DHCP.
A prioridade é dada às interfaces de cliente DHCP que receberam todos os parâmetros ZTP (arquivo de imagem de software, arquivo de configuração e informações de servidor de arquivo) do servidor DHCP.
Após a criação de listas de interfaces de cliente vinculadas e desvinculadas, e um cliente DHCP ser selecionado para atividadeS ZTP, qualquer rota padrão existente é excluída e a interface de cliente DHCP que foi selecionada adiciona uma nova rota padrão. Para adicionar uma nova rota padrão, apenas uma instância ZTP pode estar ativa.
Após a reinicialização do ZTP, o cliente DHCP tenta buscar arquivos do servidor DHCP por até seis vezes, com decorridos de dez a quinze segundos entre as tentativas. Cada tentativa, seja bem sucedida ou não, é registrada e pode ser vista no console.
Se houver uma falha ou o número de tentativas exceder o limite, o ZTP para. ZTP então limpa as ligações do cliente DHCP e reinicia a máquina de estado nas interfaces configuradas por DHCP.
O processo de reinicialização do ZTP continua até que haja uma atualização de software bem-sucedida, ou um operador comprometa manualmente uma configuração de usuário e exclua a configuração ZTP.
Advertências relacionadas à ZTP
Existem duas limitações de rebaixamento para switches da Série EX:
-
Se você rebaixar para uma versão de software antes do Junos OS Release 12.2, na qual o ZTP não é suportado, a fase de autoinstalação automática do arquivo de configuração do processo de provisionamento zero touch não acontece.
-
Para rebaixar para uma versão de software que não oferece suporte a partições dual-root resilientes (Junos OS Release 10.4R2 ou anterior), você deve realizar algum trabalho manual no dispositivo. Para obter mais informações, veja Configuração de partições dual-root.
As seguintes são advertências para os switches da Série QFX:
-
Em QFX3500 e QFX3600 switches que executam a CLI original, você não pode usar ZTP para atualizar do Junos OS Release 12.2 ou posterior para Junos OS Release 13.2X51-D15 ou posterior.
-
QFX5200 switches só funcionam com HTTP em 15.1X53-D30. Os protocolos FTP e TFTP não são suportados.
-
Se você estiver realizando o Provisionamento Zero Touch (ZTP) com uma imagem do Junos OS que contém automação aprimorada para o switch QFX5100, configure a autenticação raiz e o nome do provedor, tipo de licença e escopo de implantação para Chef e Puppet na hierarquia no
[edit system]arquivo de configuração que é obtido do servidor:{ master:0} root# set root-authentication (encrypted-password password | plain-text-password password | ssh-dsa public-key | ssh-rsa public-key) root# set extensions providers juniper license-type customer deployment-scope commercial root# set extensions providers chef license-type customer deployment-scope commercial -
No Junos OS Release 18.1R1, se você estiver atualizando o software, você deve realizar uma atualização completa de software. Uma atualização completa inclui atualizar o software Junos OS e os pacotes de software do host.
Provisionamento zero touch usando interfaces WAN em roteadores PTX1000
O provisionamento zero touch (ZTP) permite que você provisione seu roteador em sua rede automaticamente, com intervenção manual mínima. A partir do Junos OS Release 19.3R1, você pode usar interfaces WAN ou interfaces de gerenciamento para baixar e instalar automaticamente o software apropriado e o arquivo de configuração em seu roteador durante o processo de inicialização ZTP.
Quando você conecta o roteador à rede pela primeira vez, você pode escolher qualquer porta WAN disponível no roteador para conectar a óptica. O ZTP configura automaticamente interfaces WAN com base no tipo de óptica e, em seguida, conecta seu dispositivo ao servidor de protocolo de configuração dinâmica de host (DHCP) para realizar o processo de inicialização.
As interfaces WAN criadas com base no tipo de óptica que você conectou ao dispositivo e a interface WAN aceleram as transições automáticas por todas as possíveis velocidades de porta suportadas até que o ZTP seja concluído com sucesso. A transição automática de velocidade garante estabelecer o enlace físico da porta WAN com os enlaces ópticos conectados e a conectividade de dispositivos peer-end ao servidor DHCP.
PTX1000 Port Mapping mostra as combinações disponíveis para as portas dos roteadores PTX1000.
Provisionamento zero touch usando opções de DHCP
O provisionamento zero touch (ZTP) permite o provisionamento automático de dispositivos juniper network que você adiciona à sua rede. Você pode provisionar qualquer dispositivo suportado usando um script a ser executado ou um arquivo de configuração a ser carregado. Você também precisará configurar um servidor DHCP com as informações necessárias, que são fornecidas neste procedimento, para usar o ZTP.
Opcionalmente, você pode configurar um servidor proxy HTTP para o servidor phone-home ou redirecionar o servidor. Quando o cliente da casa telefônica receber informações sobre o servidor proxy HTTP por meio da opção DHCP 43 suboption 8, ele criará um túnel transparente de HTTPS com o servidor proxy. Assim que o túnel é estabelecido, o cliente da casa de telefone usa o túnel como proxy para o servidor de casa telefônica ou servidor de redirecionamento. O cliente da casa telefônica baixa a imagem de software e o arquivo de configuração através do túnel no dispositivo. Assim que o inicialização estiver concluído, o dispositivo reinicializa e o túnel é parado.
O ZTP exige que seu dispositivo esteja em um estado padrão de fábrica. O dispositivo a partir das botas de fábrica com software pré-instalado e configuração padrão de fábrica. Em um dispositivo que não possui atualmente a configuração padrão de fábrica, você pode emitir o request system zeroize comando.
O request system zeroize comando não é suportado em dispositivos PTX1000, PTX10001-20C, QFX10002-60C, PTX10002-60C. Você deve emitir o request vmhost zeroize comando (em vez de ) para a configuração padrão de request system zeroizefábrica em PTX1000 roteadores.
Em dispositivos PTX10001-20C, após o problema do request vmhost zeroize comando, você verá a seguinte mensagem duas vezes: VMHost Zeroization : Erase all data, including configuration and log files ? [yes,no] (no) yes warning: Vmhost will reboot and may not boot without configuration Erase all data, including configuration and log files? [yes,no] (no) yes
Antes de começar:
-
Certifique-se de que o dispositivo tenha acesso aos seguintes recursos de rede:
-
O servidor DHCP que fornece a localização da imagem do software e arquivos de configuração na rede
Consulte a documentação do servidor DHCP para obter instruções de configuração.
-
O protocolo de transferência de arquivos (FTP anônimo), o protocolo de transferência de hipertexto (HTTP) ou o hypertext Transfer Protocol Secure (HTTPS) ou o servidor Trivial File Transfer Protocol (TFTP) no qual os arquivos de imagem e configuração de software são armazenados
Nota:Embora o TFTP seja compatível, recomendamos que você use FTP ou HTTP, porque esses protocolos de transporte são mais confiáveis.
CUIDADO:As URLs HTTP são limitadas a 256 caracteres de comprimento.
-
Um servidor de sistema de nome de domínio (DNS) para realizar uma pesquisa de DNS reversa (sem suporte).
-
(Opcional) Um servidor NTP para realizar a sincronização de tempo na rede
-
(Opcional) Um servidor de log de sistema (syslog) para gerenciar mensagens de log e alertas do sistema.
As mensagens de syslog serão encaminhadas a este servidor de syslog durante o ZTP.
-
-
(Opcional) Um servidor proxy HTTP para o servidor phone-home ou um servidor de redirecionamento.
-
Localize e registre o endereço MAC do seu dispositivo.
Em PTX10008 dispositivos, os endereços MAC de gerenciamento estão localizados em mecanismos de roteamento.
Você não pode confirmar uma configuração enquanto o dispositivo estiver realizando o processo de atualização de software. Se você confirmar uma configuração enquanto o dispositivo estiver realizando o processo de autoinstalação de arquivo de configuração, o processo para e o arquivo de configuração não é baixado da rede.
Para habilitar o provisionamento zero touch para um dispositivo usando opções de DHCP:
Provisionamento zero touch usando opções DHCPv6
O provisionamento zero touch (ZTP) usando opções DHCPv6 não é compatível com imagens do Junos OS Flex. Uma imagem Flex tem a palavra "flex" no nome do arquivo. Aqui está um nome de arquivo de exemplo de uma imagem Flex: jinstall-host-qfx-5e-flex-x86-64-20.4R3.8-secure-signed.tgz.
O protocolo DHCPv6 não tem uma opção de sub-rede para a IA_NA (associação de identidade para endereços não temporários) para aprender e instalar rotas de sub-rede. Em vez disso, a rota de sub-rede é instalada através do Neighbor Discovery Protocol.
No IPv6, os dispositivos anunciam periodicamente prefixos IPv6 juntamente com outros parâmetros de link usando mensagens de anúncio de roteador (RA). No cliente (dispositivo da Juniper que executa ZTP), assim que o cliente DHCPv6 estiver vinculado, o Neighbor Discovery Protocol (NDP) aprenderá esses prefixos e instalará as rotas de prefixo pela interface do cliente, com o próximo salto como o link para o endereço local do dispositivo gateway.
No dispositivo cliente, a configuração de anúncio do roteador é habilitada por padrão, juntamente com a configuração DHCPv6.
-
Certifique-se de que o dispositivo tenha acesso aos seguintes recursos de rede:
-
O servidor DHCP que fornece a localização da imagem do software e arquivos de configuração na rede
Consulte a documentação do servidor DHCP para obter instruções de configuração.
-
Na Série MX, o protocolo de transferência de arquivos (FTP anônimo), o protocolo de transferência de arquivos trivial (TFTP), o protocolo de transferência de hipertexto (HTTP) ou o servidor Hypertext Transfer Protocol Secure (HTTPS) no qual a imagem do software e os arquivos de configuração são armazenados.
CUIDADO:As URLs HTTP são limitadas a 256 caracteres de comprimento.
-
Nos dispositivos EX3400, EX4300, QFX5100 e QFX5200, o servidor Hypertext Transfer Protocol (HTTP) ou Hypertext Transfer Protocol Secure (HTTPS) no qual a imagem do software e os arquivos de configuração são armazenados.
CUIDADO:As URLs HTTP são limitadas a 256 caracteres de comprimento.
-
(Opcional) Um servidor proxy HTTP para o servidor phone-home ou um servidor de redirecionamento.
-
-
Localize e registre o endereço MAC impresso no dispositivo.
O provisionamento zero touch (ZTP) permite o provisionamento automático de dispositivos juniper network que você adiciona à sua rede. Você pode provisionar qualquer dispositivo suportado usando um script a ser executado ou um arquivo de configuração a ser carregado.
Para usar o ZTP, você configura um servidor DHCP para fornecer as informações necessárias. Se você não configurar o servidor DHCP para fornecer essas informações, o dispositivo inicializa com o software pré-instalado e a configuração padrão de fábrica. Se o seu dispositivo não estiver em um estado padrão de fábrica, você pode emitir o request system zeroize comando.
Opcionalmente, você pode configurar um servidor proxy HTTP para o servidor phone-home ou redirecionar o servidor. Quando o cliente da casa telefônica receber informações sobre o servidor proxy HTTP por meio da opção DHCP 17 suboption 8, ele criará um túnel transparente de HTTPS com o servidor proxy. Assim que o túnel é estabelecido, o cliente da casa de telefone usa o túnel como proxy para o servidor de casa telefônica ou servidor de redirecionamento. O cliente da casa telefônica baixa a imagem de software e o arquivo de configuração através do túnel no dispositivo. Assim que o inicialização estiver concluído, o dispositivo reinicializa e o túnel é parado.
A partir do Junos OS Release 20.2R1-S1, o cliente DHCPv6 tem suporte para switches MX Series, EX3400, EX4300, QFX5100 e QFX5200. Ambos os clientes DHCPv4 e DHCPv6 estão incluídos como parte da configuração padrão. Durante o processo de inicialização, o dispositivo primeiro usa o cliente DHCPv4 para solicitar informações sobre a imagem e o arquivo de configuração do servidor DHCP. O dispositivo verifica as ligações DHCPv4 sequencialmente. Se houver uma falha em uma das ligações DHCPv4, o dispositivo continuará verificando se há vinculações até que o provisionamento seja bem sucedido. Se não houver ligações DHCPv4, no entanto, o dispositivo verificará as vinculações DHCPv6 e seguirá o mesmo processo que o DHCPv4 até que o dispositivo possa ser provisionado com sucesso. O servidor DHCP usa as opções DHCPv6 59 e 17 e opções aplicáveis para trocar informações relacionadas a ZTP entre si e o cliente DHCP.
Você não pode confirmar uma configuração enquanto o dispositivo estiver realizando o processo de atualização de software. Se você confirmar uma configuração enquanto o dispositivo estiver realizando o processo de autoinstalação de arquivo de configuração, o processo para e o arquivo de configuração não é baixado da rede.
Para usar o provisionamento zero touch para um dispositivo usando opções DHCPv6:
Provisionamento zero touch em firewalls da Série SRX
- Entendendo o provisionamento zero touch em firewalls da Série SRX
- Configuração do provisionamento zero-touch em um firewall da Série SRX
- Entendendo a configuração padrão de fábrica no firewall da Série SRX para provisionamento zero touch
Entendendo o provisionamento zero touch em firewalls da Série SRX
Este tópico inclui seções a seguir:
Entendendo o ZTP em firewalls da Série SRX
O provisionamento zero touch (ZTP) permite que você provisione e configure dispositivos automaticamente, minimizando a maior parte da intervenção manual necessária para a inclusão de dispositivos em uma rede. O ZTP tem suporte para dispositivos SRX300, SRX320, SRX340, SRX345, SRX550M e SRX1500.
A partir do Junos OS Release 20.2R1 em SRX300, SRX320, SRX340, SRX345, SRX550 HM e SRX1500 dispositivos, você pode usar o Provisionamento Zero Touch com opções DHCP para provisionar seu dispositivo. Consulte o provisionamento Zero Touch usando opções DHCP para obter mais informações.
O ZTP é atualmente suportado em portas xe-0/0/16 e xe-0/0/17 em SRX1500. Para evitar o uso dessas portas, as seguintes configurações padrão foram adicionadas às portas xe-0/0/18 e xe-0/0/19.
set interfaces xe-0/0/18 unit 0 family inet dhcp vendor-id Juniper-srx1500 set interfaces xe-0/0/19 unit 0 family inet dhcp vendor-id Juniper-srx1500 set security zones security-zone untrust interfaces xe-0/0/18.0 host-inbound-traffic system-services dhcp set security zones security-zone untrust interfaces xe-0/0/18.0 host-inbound-traffic system-services tftp set security zones security-zone untrust interfaces xe-0/0/18.0 host-inbound-traffic system-services https set security zones security-zone untrust interfaces xe-0/0/19.0 host-inbound-traffic system-services dhcp set security zones security-zone untrust interfaces xe-0/0/19.0 host-inbound-traffic system-services tftp set security zones security-zone untrust interfaces xe-0/0/19.0 host-inbound-traffic system-services https
O ZTP nos firewalls da Série SRX é responsável pelo inicial inicial de inicialização e configuração do dispositivo quando o dispositivo é ligado. Essa funcionalidade inclui:
-
Fornecendo o mínimo de inicializações do dispositivo. O firewall da Série SRX é enviado com uma configuração padrão de fábrica. A configuração padrão de fábrica inclui a URL do servidor de redirecionamento, que é usada para se conectar ao servidor central usando uma conexão criptografada segura.
-
Conectando-se automaticamente ao servidor pela Internet, e baixando a configuração e a imagem do Junos OS conforme especificado pelo cliente ou usuário do servidor quando o firewall da Série SRX é inicializado com a configuração padrão de fábrica. A nova imagem é instalada primeiro e, em seguida, a configuração inicial é aplicada e comprometida no firewall da Série SRX.
A ZTP oferece as seguintes vantagens:
-
Implantação simplificada e mais rápida
-
Maior precisão de configuração
-
Suporte para o dimensionamento da rede sem recursos adicionais
O processo ZTP usa o Ativador de Rede para provisionar inicialmente firewalls da Série SRX.
Visão geral do ativador de rede
O ativador de serviços de rede permite a descoberta e o provisionamento rápidos de dispositivos para configuração automatizada para eliminar a configuração complexa do dispositivo.
O ativador de rede provisiona inicialmente firewalls da Série SRX (a partir de agora chamados de dispositivos remotos nesta documentação), que residem nos locais dos usuários finais. Os dispositivos remotos baixam uma imagem de boot e arquivos de configuração iniciais de servidores que hospedam o Network Activator, usando um processo que fornece autorização e autenticação completas para todas as interações. Quando o provisionamento inicial é concluído, o dispositivo remoto se comunica com um servidor de gerenciamento, que então começa a gerenciar e monitorar o dispositivo remoto.
O ativador de rede usa uma arquitetura distribuída para oferecer suporte a dispositivos remotos. O ativador de rede é instalado em um servidor de administração central (servidor central) e vários servidores de administração regional (servidores regionais). Um dispositivo se comunica diretamente com seu servidor regional atribuído. A arquitetura distribuída otimiza a eficiência do processo de provisionamento inicial, contribuindo para o alto desempenho e escalamento da rede.
Figura 1 Ilustra a arquitetura distribuída e os componentes envolvidos no processo de provisionamento inicial.
remoto
As funções dos componentes no processo de provisionamento inicial são as seguintes:
-
O dispositivo remoto envia solicitações para o provisionamento inicial. O dispositivo remoto reside na localização do usuário final.
-
A Ferramenta de Redirecionamento oferece autenticação e autorização para que dispositivos remotos acessem seus servidores regionais atribuídos por meio do uso de certificados digitais de infraestrutura de chave privada (PKI) itu-T X.509. O serviço de redirecionamento é hospedado no Amazon Web Services (AWS), operado e mantido pela Juniper Networks.
-
O servidor central hospeda o Ativador de rede e se comunica com os servidores de ativação regionais. Os administradores de um provedor de serviços ou local empresarial central interagem com este servidor para instalar e configurar o Ativador de rede. O servidor central está localizado em um local geográfico central para o provedor de serviços.
-
O servidor regional também hospeda o Network Activator. Este servidor armazena informações sobre seus dispositivos remotos atribuídos e se comunica diretamente com esses dispositivos. Esse servidor normalmente reside em um local administrativo regional que o provedor designa para o usuário final.
A Figura 2 ilustra o fluxo de trabalho de provisionamento inicial.
inicial
Em detalhes, o fluxo de trabalho de provisionamento prossegue da seguinte forma:
-
O administrador do provedor de serviços:
-
Instala e configura o ativador de rede no servidor central.
-
Adiciona dispositivos remotos e servidores regionais na Ferramenta de redirecionamento.
-
-
O servidor central encaminha a instalação para os servidores regionais.
-
O usuário final alimenta o dispositivo remoto, conecta-o a um computador e insira o código de autenticação na página web para enviar uma solicitação de provisionamento inicial.
-
O dispositivo transmite seu certificado X.509 e nome de domínio totalmente qualificado (FQDN) como uma solicitação de provisionamento à Ferramenta de redirecionamento.
-
A Ferramenta de redirecionamento pesquisa sua loja de dados para o servidor regional que o administrador especificou para este dispositivo, e confirma que a solicitação do dispositivo corresponde ao certificado X.509 especificado para o servidor.
-
A Ferramenta de redirecionamento envia informações de contato para o servidor regional para o dispositivo.
-
O dispositivo envia uma solicitação ao servidor regional para a URL da imagem do boot e a localização da configuração inicial.
-
O servidor regional envia as informações para o dispositivo.
-
O dispositivo obtém a imagem e a configuração do boot do servidor regional.
-
O dispositivo usa a imagem e a configuração do boot para começar e se tornar operacional.
Limitações
-
Não há restrições no número de tentativas de inseri-lo no código de ativação correto.
-
Se o dispositivo remoto não for capaz de alcançar o servidor (porque o endereço configurado na configuração padrão de fábrica não estiver correto ou o servidor estiver desativado, e assim por diante), o dispositivo remoto tenta se conectar a um servidor alternativo (se configurado na configuração padrão de fábrica). Se houver apenas um servidor configurado, então você pode reinstauperar para se conectar. Nesses cenários, recomendamos que você configure o dispositivo manualmente através do console.
-
O redirecionamento cativo do portal, necessário para redirecionar automaticamente os usuários para a página da autenticação para inserir o código de ativação, não é suportado. Você deve navegar manualmente até a página de ativação após a conexão ao dispositivo.
Configuração do provisionamento zero-touch em um firewall da Série SRX
Antes de começar:
-
Desempacotar o dispositivo, instalá-lo, completar o cabeamento necessário, conectar um laptop ou qualquer outro dispositivo terminal e alimentar o dispositivo. Consulte o Guia de instalação de hardware do seu dispositivo para obter mais informações.
-
Para dispositivos SRX300, SRX320, SRX340, SRX345 e SRX550M, conecte o dispositivo de gerenciamento e acesse a interface J-Web.
Para obter mais informações, veja os guias quick start dos respectivos dispositivos no SRX300, SRX320, SRX340, SRX345 e SRX550M.
Você tem a opção de usar ZTP; você pode usar essa opção ou ignorá-la e continuar com os assistentes J-Web.
-
Para SRX1500 dispositivos, antes de usar a J-Web para configurar seu dispositivo, você deve acessar a CLI para configurar a autenticação raiz e a interface de gerenciamento. Para obter mais informações, veja como configurar seu gateway de serviços SRX1500.
Esta seção fornece instruções passo a passo sobre como usar o ZTP em um firewall da Série SRX para o provisionamento inicial do dispositivo.
Para provisionar um firewall da Série SRX usando ZTP:
- Lance um navegador da Web a partir do dispositivo de gerenciamento e insira o código de autenticação na página da web conforme mostrado na Figura 3.
Figura 3: Insira o código de ativação para ZTP
Depois que o dispositivo é autenticado com sucesso, ele começa a baixar a imagem do software e a configuração inicial do servidor, conforme mostrado na Figura 4.
Figura 4: Iniciando o processo ZTP (download de imagens de software)
Nesta etapa:
-
O código de ativação é enviado para o servidor e, se a autenticação for bem sucedida, o servidor empurra a configuração inicial para o dispositivo. Se a autenticação não tiver sucesso, você deve fornecer o código correto.
-
O servidor pode colocar opcionalmente uma nova imagem de software no firewall da Série SRX. Nesse caso, a nova imagem é instalada primeiro e, em seguida, a configuração inicial é aplicada e comprometida no dispositivo.
A nova imagem está instalada e, em seguida, a configuração inicial é aplicada e comprometida no dispositivo. Quando o processo é concluído, uma mensagem de confirmação é exibida, conforme mostrado na Figura 5.
Figura 5: Conclusão do processo
ZTP
-
Depois de instalar com sucesso a nova imagem e configuração de software no sistema, o cliente envia a bootstrap-complete notificação para o servidor que forneceu a imagem e a configuração. Após o envio da notificação, a configuração que inclui os nomes dos servidores é excluída do sistema. Quando você usa ZTP da próxima vez, você deve configurar explicitamente a URL do servidor de redirecionamento.
Em caso de falha em qualquer estágio, o procedimento é iniciado novamente.
O processo ZTP atualiza ou rebaixa a versão do Junos OS. Durante um downgrade em um firewall da Série SRX, se você rebaixar para uma versão de software antes do Junos OS Release 15.1X49-D100, no qual o ZTP não é suportado, a fase de autoinstalação do processo ZTP não acontece.
Para os dispositivos SRX300, SRX320, SRX340, SRX345 e SRX550M, o ZTP é o método padrão para provisionamento dos dispositivos. No entanto, se você quiser usar o provisionamento baseado em J-Web (assistentes de configuração J-Web compatíveis com a linha SRX300 de dispositivos e dispositivos SRX550M), em vez de ZTP, você pode usar a opção fornecida no portal do cliente para pular para os assistentes de configuração J-Web para realizar a configuração de software inicial do seu dispositivo.
Se você selecionar a opção Pular para a JWeb , você deve configurar a senha de autenticação raiz do sistema, conforme mostrado na Figura 6.
de autenticação raiz do sistema
Para dispositivos SRX1500, a opção Skip to JWeb não é suportada. Para acessar a J-Web, a configuração do cliente ZTP deve ser excluída durante a configuração inicial de SRX1500 por meio da CLI.
Entendendo a configuração padrão de fábrica no firewall da Série SRX para provisionamento zero touch
Seu gateway de serviços é enviado com uma configuração padrão de fábrica. A seguir, uma amostra da configuração padrão que inclui configuração para ZTP:
system {
phone-home {
rfc-compliant;
server https://redirect.juniper.net;
}
}
Observe que, nesta configuração:
-
serverindica o nome ou endereço IP do servidor. A configuração padrão de fábrica em um firewall da Série SRX pode incluir endereços IP de mais de um servidor. -
rfc-compliantindica que, após um upgrade, o servidor aplica certos comportamentos que estão em conformidade com os padrões de RFC.
Por padrão, a configuração de autoinstalação do sistema faz parte da configuração padrão de fábrica do dispositivo. Assim, o administrador deve garantir que o arquivo de configuração enviado do servidor regional para o dispositivo remoto (Firewall da Série SRX) deve incluir a opção delete system autoinstallation na configuração padrão de fábrica.
Monitoramento do provisionamento Zero Touch
Você pode usar os comandos de console e modo operacional para monitorar o Provisionamento Zero Touch.
- Usando o console para monitorar o provisionamento zero-touch no Junos OS
- Usando alertas de log do sistema para monitorar o provisionamento zero-touch
- Usando mensagens de erro para monitorar o provisionamento zero-touch
- Usando arquivos de log do sistema para monitorar o provisionamento zero touch no Junos OS usando opções de DHCP
- Usando arquivos de log do sistema para monitorar o provisionamento zero touch no Junos OS usando opções DHCPv6
- Usando o comando de vinculação do cliente dhcp
- Usando o show dhcpv6 client binding Command
- Usando o comando de estatísticas de clientes dhcp
- Usando o comando de estatísticas de clientes dhcpv6
Usando o console para monitorar o provisionamento zero-touch no Junos OS
As seguintes atividades de Provisionamento Zero Touch (ZTP) são exibidas no console durante o processo ZTP:
-
Tempos de início e fim do processo ZTP.
-
Listas de interfaces de cliente DHCP vinculadas e desvinculadas.
-
Opções de DHCP que os servidores DHCP enviam para clientes DHCP.
-
Logs indicando quais interfaces são usadas para ZTP.
-
Parâmetros ZTP que os clientes DHCP obtêm dos servidores DHCP.
-
Nomes de arquivos de configuração e arquivos de imagem, nomes de servidores de arquivos, protocolos usados para buscar arquivos e tempos em que os servidores DHCP buscam arquivos de configuração e imagem.
-
Estados de falha causados por arquivos que não estão em servidores, servidores inalcançáveis e tempo de saída.
-
Número de tentativas feitas e número de tentativas restantes para tentar novamente no ciclo ZTP atual.
-
Conclusão de transferências de arquivos.
-
Instalação, reinicialização e estado do processo ZTP.
-
Erros de estado interno e terminação do processo ZTP.
-
Logs para quando as rotas padrão foram adicionadas ou excluídas.
Usando alertas de log do sistema para monitorar o provisionamento zero-touch
Propósito
Neste exemplo, o alerta de log do sistema alerta você de que a atualização automática da imagem começará.
Ação
Use o alerta de log do sistema a seguir para monitorar o processo de atualização automática da imagem.
“ALERT:Auto-image upgrade will start. This can terminate config CLI session(s). Modified configuration will be lost. To stop Auto-image, in CLI do the following: 'edit; delete chassis auto-image-upgrade; commit'.” “Checking whether image upgrade is already invoked”
Significado
Este alerta de log do sistema indica que a atualização automática da imagem começará e fornece informações sobre como parar o processo de atualização automática da imagem.
Usando mensagens de erro para monitorar o provisionamento zero-touch
Propósito
As mensagens de erro fornecem informações sobre quais opções de DHCP não estão configuradas.
Ação
Use as informações na seguinte mensagem de erro para descobrir quais opções de DHCP não estão configuradas.
“DHCP Log Server Option” “DHCP Host Name Option” “DHCP NTP Server Option”
Significado
A mensagem de erro indica que as opções de servidor de log DHCP, nome de host e servidor NTP não estão configuradas.
Usando arquivos de log do sistema para monitorar o provisionamento zero touch no Junos OS usando opções de DHCP
Propósito
Os arquivos de log do sistema fornecem informações sobre o estado do processo de atualização automática, listas de interfaces de cliente DHCP vinculadas e desvinculadas, endereços IP de servidores de arquivos, nomes e locais de arquivos de imagem e configuração, e tentativas bem-sucedidas e fracassadas de buscar arquivos de configuração e imagem.
Ação
Use as informações nos seguintes arquivos de log do sistema para monitorar o processo de atualização automática.
Auto Image Upgrade: Start fetching config-file file from server 10.1.1.1 through irb using ftp Auto Image Upgrade: Tried [2] attempts to fetch config-file file from server 10.1.1.1 through irb. Summary: "Retrieving /config-file :: Failed to open file.". To retry [4] times. Auto Image Upgrade: Tried [4] attempts to fetch config-file file from server 10.1.1.1 through irb. Summary: "Retrieving /config-fileconfig-file :: Failed to open file.". To retry [2] times. Auto Image Upgrade: Tried [6] attempts to fetch config-file file from server 10.1.1.1 through irb. Summary: "Retrieving /config-file :: Failed to open file.". To retry [0] times. Auto Image Upgrade: All [6] attempts to fetch config-file file from server 10.1.1.1 through irb FAILED. Start retry again in few minutes.
Significado
Esses arquivos de log do sistema indicam que houve seis tentativas fracassadas de buscar o arquivo de configuração do servidor de arquivo, o endereço IP do servidor de arquivo, o nome da interface do cliente DHCP e o número de vezes que o processo de nova tentativa ocorreu.
Usando arquivos de log do sistema para monitorar o provisionamento zero touch no Junos OS usando opções DHCPv6
Propósito
Os arquivos de log do sistema fornecem informações sobre o estado do processo de atualização automática, listas de interfaces de cliente DHCP vinculadas e desvinculadas, endereços IP de servidores de arquivos, nomes e locais de arquivos de imagem e configuração, e tentativas bem-sucedidas e fracassadas de buscar arquivos de configuração e imagem.
Ação
Use as informações nos seguintes arquivos de log do sistema para monitorar o processo de atualização automática.
Auto Image Upgrade: Tried [2] attempts to fetch junos-vmhost-install -20.2.tgz file from server 2001:db8::1 through et-0 /0/0:2. Summary: "fetch-secure: https://[2001:*: Connection refused". To retry [4] times. Auto Image Upgrade: Tried [4] attempts to fetch junos-vmhost-install -20.2.tgz file from server 2001:db8::1 through et-0 /0/0:2. Summary: "fetch-secure: https://[2001:*: Connection refused". To retry [2] times. Auto Image Upgrade: Tried [6] attempts to fetch junos-vmhost-install- 20.2.tgz file from server 2001:db8::1 through et-0 /0/0:2. Summary: "fetch-secure: https://[2001:*: Connection refused". To retry [0] times.
Significado
Esses arquivos de log do sistema indicam que houve seis tentativas fracassadas de obter o arquivo de imagem do servidor de arquivo, o endereço IP do servidor de arquivo, o nome da interface do cliente DHCPv6 e o número de vezes que o processo de nova tentativa ocorreu.
Usando o comando de vinculação do cliente dhcp
Propósito
Emita o show dhcp client binding comando para exibir informações vinculativas do cliente DHCP
Ação
Emita o show dhcp client binding comando para exibir o endereço IP do cliente DHCP, o endereço de hardware do cliente DHCP, o número de segundos em que o leasing de endereço IP do cliente DHCP expira, o estado do endereço IP do cliente DHCP na tabela de vinculação e o nome da interface que tem vinculações ativas de clientes.
mostrar vinculação do cliente dhcp
user@device# show dhcp client binding IP address Hardware address Expires State Interface 10.0.0.0 00:22:83:2a:db:dc 0 SELECTING irb.0 10.6.6.13 00:22:83:2a:db:dd 49201 BOUND vme.0 10.0.0.0 00:22:83:2a:db:df 0 SELECTING xe-0/0/0.0 10.0.0.0 00:22:83:2a:db:e0 0 SELECTING xe-0/0/1.0
Significado
A saída deste comando mostra que existe uma interface de cliente que está vinculada, e que existem três interfaces que estão recebendo ofertas DHCP do servidor DHCP.
Usando o show dhcpv6 client binding Command
Propósito
Emita o show dhcpv6 client binding comando para exibir informações vinculativas do cliente DHCP
Ação
Emita o show dhcp6 client binding comando para exibir o endereço IP do cliente DHCPv6, o endereço de hardware do cliente DHCPv6, o número de segundos em que o leasing de endereço IP do cliente DHCPv6 expira, o estado do endereço IP do cliente DHCPv6 na tabela de vinculação e o nome da interface que tem vinculações ativas de clientes.
mostrar vinculação do cliente dhcpv6
user@device# show dhcpv6 client binding IP/prefix Expires State ClientType Interface Client DUID 2001:db8::10 57 SELECTING STATEFUL em0.0 LL0x3-54:4b:8c:d3:a2:34 2001:db8::10 46 SELECTING STATEFUL em2.0 LL0x3-54:4b:8c:d3:a2:35 2001:db8::10 38 SELECTING STATEFUL et-0/0/0:0.0 LL0x3-54:4b:8c:d3:a2:3b 2001:db8::10 530 BOUND STATEFUL et-0/0/0:1.0 LL0x3-54:4b:8c:d3:a2:3c
Significado
A saída deste comando mostra que existe uma interface de cliente que está vinculada, e que existem três interfaces que estão recebendo ofertas DHCPv6 do servidor DHCP.
Usando o comando de estatísticas de clientes dhcp
Propósito
Emita o show dhcp client statistics comando para exibir estatísticas de clientes DHCP.
Ação
Emita o show dhcp client statistics comando para exibir estatísticas de clientes DHCP, como a queda no número de pacotes e o número de mensagens DHCP e BOOTP enviadas e recebidas.
mostrar estatísticas do cliente dhcp
user@device# show dhcp client statistics
Packets dropped:
Total 14
Send error 14
Messages received:
BOOTREPLY 5
DHCPOFFER 1
DHCPACK 4
DHCPNAK 0
DHCPFORCERENEW 0
Messages sent:
BOOTREQUEST 6751
DHCPDECLINE 0
DHCPDISCOVER 6747
DHCPREQUEST 4
DHCPINFORM 0
DHCPRELEASE 0
DHCPRENEW 0
DHCPREBIND 0
Significado
A saída deste comando exibe quantos pacotes foram descartados com erros, o número de mensagens BOOTREPLY e DHCPOFFER que foram recebidas e o número de mensagens BOOTREQUEST e DHCPREQUEST que foram enviadas.
Usando o comando de estatísticas de clientes dhcpv6
Propósito
Emita o show dhcpv6 client statistics comando para exibir estatísticas de clientes DHCPv6.
Ação
Emita o show dhcpv6 client statistics comando para exibir estatísticas de clientes DHCPv6, como a queda no número de pacotes e o número de mensagens DHCPv6 enviadas e recebidas.
mostrar estatísticas de clientes dhcpv6
user@device# show dhcpv6 client statistics
Dhcpv6 Packets dropped:
Total 20323
Bad Send 7580
Bad Options 12743
Messages received:
DHCPV6_ADVERTISE 13
DHCPV6_REPLY 109
DHCPV6_RECONFIGURE 0
Messages sent:
DHCPV6_DECLINE 0
DHCPV6_SOLICIT 879
DHCPV6_INFORMATION_REQUEST 0
DHCPV6_RELEASE 0
DHCPV6_REQUEST 9
DHCPV6_CONFIRM 0
DHCPV6_RENEW 61
DHCPV6_REBIND 41
Significado
A saída deste comando exibe quantos pacotes foram descartados com erros e o número de mensagens DHCPV6 que foram recebidas e enviadas.
Tabela de histórico de mudanças
O suporte de recursos é determinado pela plataforma e versão que você está usando. Use o Feature Explorer para determinar se um recurso é suportado em sua plataforma.