Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
本页内容
 

维护 SRX5600 主机子系统

维护SRX5600防火墙主机子系统和 SCB

目的

为获得最佳防火墙性能，请验证主机子系统和任何其他 SCB 的状况。主机子系统包括一个 SCB 和一个安装在 SCB 插槽中的路由引擎。

行动

定期：

  • 检查作员接口上的 LED，查看有关路由引擎状态的信息。

  • 检查 SCB 面板上的 LED。

  • 检查路由引擎面板上的 LED。

  • 要检查路由引擎的状态，请发出 show chassis routing-engine 命令。输出类似于以下内容：

  • 要检查 SCB 的状态，请发出 show chassis environment cb 命令。输出类似于以下内容：

要检查特定 SCB 的状态，请发出 show chassis environment cb node slot 命令，例如 show chassis environment cb node 0。

有关使用 CLI 的详细信息，请参阅 CLI 资源管理器。

使SRX5600防火墙主机子系统脱机

主机子系统由安装了路由引擎的 SCB 组成。您使主机子系统脱机，并将其作为一个单元联机。在更换 SCB 或路由引擎之前，必须使主机子系统脱机。使主机子系统脱机会导致设备关闭。

要使主机子系统脱机，请执行以下作：

  1. 在连接到与您要移除的 SCB 配对的路由引擎的控制台或其他管理设备上，进入 CLI作模式并发出以下命令。命令会彻底关闭路由引擎，因此会保留其状态信息：
  2. 等待控制台上出现一条消息，确认作系统已停止。

    有关命令的详细信息，请参阅 www.juniper.net/documentation/ 上的Junos OS系统基础知识和服务命令参考。

    注意：

    发出命令后 request system halt ，SCB 可能会继续转发流量大约 5 分钟。

作和定位SRX5600防火墙 SCB 弹出器

  • 卸下或插入 SCB 时，请确保相邻插槽中的 SCB 或空面板已完全插入，以免用弹出器手柄撞击它们。顶出器手柄需要完全插入所有相邻组件，以免弹出器手柄撞到它们，这可能会导致损坏。

  • 顶出器手柄有一个旋转中心，需要存放在板的中心。确保位于电路板右端和左端的弹出器的长端是水平的，并尽可能压向电路板的中心。

  • 要插入或卸下 SCB，请将弹出器水平滑过 SCB，旋转它，然后再滑动四分之一圈。再次转动弹出器并根据需要重复。利用分度功能来最大限度地提高杠杆作用并避免碰到任何相邻组件。

  • 同时作两个弹出器手柄。SCB 上的插入力对于一个顶出器来说太大了。

更换 SRX5600 防火墙 SCB

在更换 SCB 之前，请阅读作 和定位 SRX5600 防火墙 SCB 弹出器中的指南。要更换 SCB，请执行以下过程：

注意：

更换 SCB 的过程适用于 SRX5K-SCB、SRX5K-SCBE、SRX5K-SCB3 和 SRX5K-SCB4。

卸下SRX5600防火墙 SCB

要卸下 SCB（参见 图 1）：

注意：

SCB 和路由引擎将作为一个单元移除。您也可以单独移除路由引擎。
谨慎：

在卸下 SCB 之前，请确保您知道如何正确作弹出器手柄以避免损坏设备。

  1. 如果要从机箱群集中卸下 SCB，请停用任何节点的交换矩阵接口。
    注意：

    应停用交换矩阵接口，以避免机箱群集出现故障。
  2. 使用以下任一命令关闭防火墙电源：

    • request system power-off如果防火墙安装了路由引擎 SRX5K-RE-13-20 或路由引擎 SRX5K-RE-1800X4，请使用命令关闭防火墙。

    • request vmhost power-off如果防火墙安装了路由引擎 SRX5K-RE3-128G，请使用命令关闭防火墙。

    注意：

    等待控制台上出现一条消息，确认服务已停止。
  3. 物理关闭电源并从机箱上拔下电源线。
  4. 将静电袋或防静电垫放在平坦、稳定的表面上。
  5. 将 ESD 接地腕带连接到裸露的手腕，然后将腕带的另一端连接到 ESD 接地点。
  6. 关闭防火墙电源。
  7. 同时逆时针旋转弹出器手柄以卸下 SCB。
  8. 抓住弹出器手柄，将 SCB 滑出机箱的一半左右。
  9. 将一只手放在 SCB 下方以支撑它，然后将其完全滑出机箱。
  10. 将 SCB 放在抗静电垫上。
  11. 如果现在不更换 SCB，请在空插槽上安装一个空面板。
图 1：卸下 SCB Removing an SCB

安装 SRX5600 防火墙 SCB

要安装 SCB（请参阅 图 2），请执行以下作：

  1. 将 ESD 接地腕带连接到裸露的手腕，然后将腕带的另一端连接到 ESD 接地点。
  2. 使用以下任一命令关闭防火墙电源：

    • request system power-off如果防火墙安装了路由引擎 SRX5K-RE-13-20 或路由引擎 SRX5K-RE-1800X4，请使用命令关闭防火墙。

    • request vmhost power-off如果防火墙安装了路由引擎 SRX5K-RE3-128G，请使用命令关闭防火墙。

    注意：

    等待控制台上出现一条消息，确认服务已停止。
  3. 物理关闭电源并从机箱上拔下电源线。
  4. 小心地将 SCB 的侧面与机箱内的导轨对齐。
  5. 将 SCB 滑入机箱，直到您感觉到阻力，小心确保其正确对齐。
  6. 抓住两个弹出器手柄并同时顺时针旋转它们，直到 SCB 完全就位。
  7. 将弹出器手柄放在适当的位置，水平并朝向电路板的中心。
  8. 将电源线连接到机箱并打开防火墙电源。电源面板上的 OK LED 应闪烁，然后常亮。
  9. 要验证 SCB 是否正常工作，请检查其面板上的 LED。安装 SCB 几分钟后，绿色 OK/FAIL LED 应常亮。如果 OK/FAIL LED 为红色，请卸下并重新安装 SCB。如果 OK/FAIL LED 仍然常亮，则 SCB 无法正常工作。请联系您的客户支持代表。

    要检查 SCB 的状态，请执行以下作：

  10. 如果将 SCB 安装到机箱群集中，则通过新安装的 SCB 的控制台将节点放回群集并重新启动。

    其中 x 是群集 ID，Y 是节点 ID

  11. 激活已禁用的交换矩阵接口。
图 2：安装 SCB Installing an SCB

更换 SRX5600 防火墙路由引擎

要更换路由引擎，请执行以下过程：

注意：

更换路由引擎的过程适用于 SRX5K-RE-13-20、SRX5K-RE-1800X4 和 SRX5K-RE-128G。

卸下SRX5600防火墙路由引擎

谨慎：

更换路由引擎之前，必须使主机子系统脱机。

要卸下路由引擎（请参阅 图 3）：

  1. 使主机子系统脱机，如使SRX5600防火墙主机子系统脱机中所述。
  2. 将静电袋或防静电垫放在平坦、稳定的表面上。
  3. 将 ESD 接地腕带连接到裸露的手腕，然后将腕带的另一端连接到 ESD 接地点。
  4. 向外翻转弹出器手柄以卸下路由引擎。
  5. 抓住路由引擎的弹出器手柄，然后将其滑出机箱的一半左右。
  6. 将一只手放在路由引擎下方以支撑它，然后将其完全滑出机箱。
  7. 将路由引擎放在防静电垫上。
图 3：卸下路由引擎 Removing a Routing Engine

安装 SRX5600 防火墙路由引擎

要将路由引擎安装到 SCB 中（请参阅 图 4）：

注意：

如果在防火墙中只安装一个路由引擎，则必须将其安装在防火墙机箱的 SCB 插槽 0 中。
  1. 如果尚未执行此作，请使主机子系统脱机。请参阅使 SRX5600 防火墙主机子系统脱机。
  2. 将 ESD 接地腕带连接到裸露的手腕，然后将腕带的另一端连接到 ESD 接地点。
  3. 确保弹出器手柄未处于锁定位置。如有必要，向外翻转弹出器手柄。
  4. 将一只手放在路由引擎下方以支撑它。
  5. 小心地将路由引擎的侧面与 SCB 开口内的导轨对齐。
  6. 将路由引擎滑入 SCB，直到您感觉到阻力，然后按下路由引擎的面板，直到它与连接器啮合。
    谨慎：

    路由引擎在导轨上的不正确对齐可能会损坏路由引擎背面的组件。
  7. 向内按下两个弹出器手柄以固定路由引擎。
  8. 拧紧路由引擎面板左右两端的外加螺钉。
  9. 打开防火墙电源。电源面板上的 OK LED 应闪烁，然后常亮。

    路由引擎可能需要几分钟才能启动。

    路由引擎启动后，通过检查作员接口上的 RE0 和 RE1 LED，验证其安装是否正确。如果防火墙正常运行且路由引擎运行正常，绿色 ONLINE LED 将常亮。如果红色 FAIL LED 常亮，请卸下并重新安装路由引擎。如果红色 FAIL LED 仍常亮，则路由引擎运行不正常。请联系您的客户支持代表。

    要检查路由引擎的状态，请使用 CLI 命令：

    有关使用 CLI 的详细信息，请参阅 CLI 资源管理器。

    图 4：安装路由引擎 Installing the Routing Engine
  10. 如果机箱群集中的某个节点上的路由引擎已更换，则需要从群集中的其他节点复制证书和密钥对：

    1. 在群集的两个节点上以 root 用户身份启动 shell 接口。

    2. 使用以下命令验证源节点（群集中的其他节点）和目标节点（更换了路由引擎的节点）的 /var/db/certs/common/key-pair 文件夹中的文件：

      ls -la /var/db/certs/common/key-pair/

    3. 如果两个节点上都存在相同的文件，请将目标节点上的文件备份到其他位置。例如：

      root@SRX-B% pwd /var/db/certs/common/key-pair root@SRX-B% ls -la total 8 drwx------ 2 root wheel 512 Jan 22 15:09 drwx------ 7 root wheel 512 Mar 26 2009 -rw-r--r-- 1 root wheel 0 Jan 22 15:09 test root@SRX-B% mv test test.old root@SRX-B% ls -la total 8 drwx------ 2 root wheel 512 Jan 22 15:10 drwx------ 7 root wheel 512 Mar 26 2009 -rw-r--r-- 1 root wheel 0 Jan 22 15:09 test.old root@SRX-B%

    4. 将源节点的 /var/db/certs/common/key-pair 文件夹中的文件复制到目标节点上的同一文件夹。

      注意：

      确保为目标节点使用正确的节点号。

    5. 在目标节点中，使用 ls –la 命令验证是否已复制源节点的 /var/db/certs/common/key-pair 文件夹中的所有文件。

    6. 对 /var/db/certs/common/local 和 /var/db/certs/common/certification-authority 文件夹重复步骤 b 到步骤 e。

更换运行中的SRX5400、SRX5600或SRX5800防火墙中的路由引擎 机箱群集

如果您的防火墙是正在运行的机箱群集的一部分，您可以更换路东引擎;SRX5K-RE-13-20、SRX5K-RE-1800X4 和 SRX5K-RE-128G，从而尽可能缩短网络停机时间。

要更换机箱群集防火墙中的路由引擎，必须满足以下条件：

  • 每个防火墙必须至少安装一个路由引擎。

  • 您必须确保计划用于 RE 更换的节点未运行任何服务。如果该节点上的任何服务仍处于活动状态，请执行 RG 切换，以便另一个节点对所有 RG 都处于活动状态。

注意：

执行 RG0 切换会提示防火墙关闭所有 BGP、OSPF 和 IS-IS 邻接并中断服务。建议在维护时段执行切换。

此替换过程将指导您用两个节点（节点 0 和节点 1）替换群集中的路由引擎。节点通过双控制链路和双结构链路连接。每个节点都包含双路由引擎（RE0 主节点和 RE1 辅助节点）。此过程也适用于具有单个 RE 的节点。该过程解释了节点 0 中的 RE0 替换，并且在两个节点上都显示为联机。

注意：

更换路由器时，必须关闭包含计划更换的路由引擎的设备。

要更换机箱群集中的路由引擎：

  1. 使用节点 0 的 RE0 上的控制台端口，您要恢复该端口来建立 CLI 会话。
  2. show chassis cluster status使用命令确定群集中哪个防火墙当前为主防火墙，哪个防火墙为辅助防火墙。
  3. 如果节点 0 是主节点，请使用request chassis cluster failover node命令触发故障切换，使另一个节点成为主节点。请参阅启动机箱群集手动冗余组故障切换。
  4. show chassis fpc pic-status使用命令检查两个节点上所有卡的状态。
  5. 将群集 ID 设置为零以从群集中移除节点 0。
    注意：不要选择重新启动选项。
  6. 禁用连接到节点 0 的收入端口。
  7. 使用以下逗号之一停止节点 0：

    • request system halt如果节点 0 安装了路由引擎 SRX5K-RE-13-20 或路由引擎 SRX5K-RE-1800X4，则使用命令停止节点 0。

    • request vmhost halt如果节点 0 安装了路由引擎 SRX5K-RE3-128G，则使用命令停止节点 0。

  8. 关闭节点 0 的电源。
    注意：

    等到控制台上出现一条消息，确认服务已停止且 LED 未闪烁。
  9. 等待节点 0 完全关闭，然后从机箱中拔下电源线。
  10. 移除连接到节点 0 的控制链路和结构链路。
  11. 使用更换SRX5800防火墙路由引擎或更换SRX5600防火墙路由引擎或更换SRX5400防火墙路由引擎中的过程，从已关闭电源的节点 0 更换路由引擎。
  12. 将 电源线插入节点 0 机箱并打开节点电源。
  13. 使用设备上的控制台端口建立 CLI 会话。
  14. show chassis fpc pic-status使用命令确保节点 0 机箱中的所有卡都重新联机。
  15. show chassis cluster status使用命令确保所有冗余组的优先级大于零。
  16. 所有卡联机后，使用 CLI 命令show system alarms检查机箱或系统报警。
  17. 将群集 ID 设置为 1。
    注意：不要选择重新启动选项。
  18. 使用以下逗号之一停止节点 0：

    • request system halt如果节点 0 安装了路由引擎 SRX5K-RE-13-20 或路由引擎 SRX5K-RE-1800X4，则使用命令停止节点 0。

    • request vmhost halt如果节点 0 安装了路由引擎 SRX5K-RE3-128G，则使用命令停止节点 0。

  19. 在停止过程中，您将在控制台上看到几条消息。等待看到Press any key to reboot消息，但不要按任何键。
  20. 将 控制链路和结构链路连接到节点 0。
  21. 按任意键重新启动。这将重新启动节点 0，并且所有卡都需要一些时间才能联机。
  22. 使用 CLI 命令show chassis cluster status验证辅助节点的状态。
  23. 检查机箱或系统报警以及标志是否CS清除。
  24. 启用连接到辅助节点的收入端口以删除IF Interface monitoring该标志。

针对 SCB3 和 IOC3 的低影响硬件升级

开始 LICU 过程之前，请验证群集中的两个防火墙是否运行相同的 Junos OS 版本。

注意：

只能使用 LICU 进程执行硬件升级。

在将软件从 Junos OS 12.3X48-D10 版升级到 15.1X49-D10 的同时，必须同时执行硬件升级。

如果您的设备属于机箱群集，则可以使用低影响硬件升级 （LICU） 过程将 SRX5K-SCBE （SCB2） 升级到 SRX5K-SCB3 （SCB3），将 SRX5K-MPC （IOC2） 升级到 IOC3（SRX5K-MPC3-100G10G 或 SRX5K-MPC3-40G10G），同时尽可能缩短停机时间。您也可以按照此过程将 SCB1 升级到 SCB2，将 RE1 升级到 RE2。

在机箱群集中，主设备描述为节点 0，辅助设备描述为节点 1。

按照以下步骤执行 LICU。

  1. 当 LICU 正在进行时，通过将辅助节点与网络隔离来确保辅助节点不会对网络流量产生影响。为此，请禁用辅助节点上的物理接口（RETH 子接口）。
  2. 禁用要接管的辅助节点的 SYN 位和 TCP 序列号检查。
  3. 提交配置。
  4. 断开机箱群集中设备之间的控制和交换矩阵链路，以便断开运行不同 Junos OS 版本的节点的连接。为此，请将控制端口和结构端口更改为错误的值。交换矩阵端口必须设置为任何 FPC 编号，控制端口必须设置为任何非 IOC 端口。发出以下命令：
  5. 提交配置。
    注意：

    提交配置后，将显示以下错误消息： 与节点 1 的连接已断开错误：由于控制平面通信中断，节点 1 上的远程解锁配置失败。

    忽略错误消息。

  6. 将辅助节点上的 Junos OS 版本从 12.3X48-D10 升级到 15.1X49-D10。
  7. 打开辅助节点的电源。

    看：

  8. 在辅助节点上执行硬件升级，方法是将 SCB2 替换为 SCB3，将 IOC2 替换为 IOC3，并将现有中板替换为增强型中板。

    升级 SCB 时，请执行以下步骤：

    要升级辅助节点上的路由引擎，请执行以下作：

    1. 关闭辅助节点电源之前，请将配置信息复制到 USB 设备。
    2. 将 RE1 替换为 RE2，并在 RE2 上升级 Junos OS。
    3. 将配置从 USB 设备上传到 RE2。

      有关在设备上安装 USB 驱动器的详细信息，请参阅知识库中的知识库中的知识库文章 KB12880 和 KB12022。

    升级 MPC 时执行此步骤。

    1. 在辅助节点上配置控制端口、结构端口和 RETH 子端口。

  9. 验证辅助节点是否正在运行升级后的 Junos OS 版本。
  10. 通过禁用主节点上的接口和在辅助节点上启用接口来验证配置更改。
  11. 检查配置更改。
  12. 验证后，提交配置。

    网络流量将故障转移到辅助节点。

  13. 通过检查辅助节点上的会话表和网络流量，验证故障转移是否成功。
  14. 将主节点上的 Junos OS 版本从 12.3X48-D10 升级到 15.1X49-D10。

    忽略与断开连接的群集有关的错误消息。

  15. 打开主节点的电源。

    看：

  16. 在主节点上执行硬件升级，方法是将 SCB2 替换为 SCB3，将 IOC2 替换为 IOC3，并将现有中板替换为增强型中板。

    升级 SCB 时执行以下步骤。

    要升级主节点上的路由引擎，请执行以下作：

    1. 关闭辅助节点电源之前，请将配置信息复制到 USB 设备。
    2. 将 RE1 替换为 RE2，并在 RE2 上升级 Junos OS。
    3. 将配置从 USB 设备上传到 RE2。

      有关在设备上安装 USB 驱动器的详细信息，请参阅知识库中的知识库中的知识库文章 KB12880 和 KB12022。

    升级 MPC 时执行此步骤。

    1. 在主节点上配置控制端口、交换矩阵端口和 RETH 子端口。

  17. 验证主节点是否正在运行升级后的 Junos OS 版本，以及主节点是否可以接管网络流量。
  18. 检查配置更改。
  19. 验证后，提交配置。
  20. 通过在辅助节点上禁用接口并在主节点上启用接口来验证配置更改。

    网络流量将故障转移到主节点。

  21. 要同步群集中的设备，请在辅助节点上使用正确的端口值重新配置控制端口和交换矩阵端口。
  22. 提交配置。
  23. 打开辅助节点的电源。

    看：

    1. 打开辅助节点电源时，请启用主节点上的控制端口和结构端口，然后使用正确的端口值重新配置它们。
  24. 提交配置。
  25. 辅助节点启动后，验证它是否与主节点同步。
  26. 为辅助节点启用 SYN 位和 TCP 序列号检查。
  27. 提交配置。
  28. 验证冗余组 （RG） 状态及其优先级。

    辅助节点开机后，发出以下命令：

    在辅助节点上启用流量接口。

有关 LICU 的详细信息，请参阅知识库中的知识库文章 KB17947。

机箱群集中 SRX5K-RE-1800X4 和 SRX5K-SCBE 或者 SRX5K-RE-1800X4 和 SRX5K-SCB3 的不中断服务硬件升级

在开始 ISHU 过程之前，请确保完成以下先决条件：

  • 更换 表 1 中指定的所有接口卡，如 IOC 和 Flex IOC。

    表 1：用于升级的接口卡列表

    要更换的卡

    升级补卡

    SRX5K-40GE-SFP

    SRX5K-MPC 和 MIC

    SRX5K-4XGE-XFP

    SRX5K-MPC 和 MIC

    SRX5K-FPC-IOC

    SRX5K-MPC 和 MIC

    SRX5K-RE-13-20

    SRX5K-RE-1800X4

    SRX5K-SCB

    SRX5K-SCBE

    SRX5K-SCBE

    SRX5K-SCB3

  • 验证群集中的两个防火墙是否运行相同的 Junos OS 版本;带有 SRX5K-RE-1800X4 的 SRX5K-SCBE 的版本为 12.1X47-D15 或更高版本，对于带有 SRX5K-RE-1800X4 的 SRX5K-SCB3 为 15.1X49-D10 或更高版本。有关防火墙上支持的卡的更多信息，请参阅 SRX5400、SRX5600 和 SRX5800 防火墙上支持的卡。

    有关统一不中断服务的软件升级（统一 ISSU）的详细信息，请参阅 使用 ISSU 升级机箱群集中的两台设备。

如果您的设备属于机箱群集，则使用不中断服务的硬件升级 （ISHU） 过程可以升级：

  • 带 SRX5K-RE-13-20 的 SRX5K-SCB 到带 SRX5K-RE-1800X4 的 SRX5K-SCBE

    注意：

    两个防火墙必须具有相同的 Junos OS 12.3X48 版本。

  • SRX5K-SCBE 与 SRX5K-RE-1800X4 到 SRX5K-SCB3 与 SRX5K-RE-1800X4

    注意：

    不能将带有 SRX5K-RE-13-20 的 SRX5K-SCB 直接升级到带有 SRX5K-RE-1800X4 的 SRX5K-SCB3。

注意：

强烈建议您在维护时段或尽可能低的流量期间执行 ISHU ，因为辅助节点此时不可用。

确保在升级 SCB 和路由引擎的同时升级，因为仅支持以下配置：

  • SRX5K-RE-13-20 和 SRX5K-SCB

  • SRX5K-RE-1800X4 和 SRX5K-SCBE

  • SRX5K-RE-1800X4 和 SRX5K-SCB3
注意：

执行 ISHU 时，在SRX5800防火墙中，第二个 SCB 可以包含路由引擎，但第三个 SCB 不得包含路由引擎。在 SRX5600 防火墙中，第二个 SCB 可以包含路由引擎。

要执行 ISHU，请执行：

  1. 将配置信息从辅助节点导出到 USB 或外部存储设备。

    有关在设备上安装 USB 的详细信息，请参阅知识库中的知识库KB12880和KB12022知识库文章。

  2. 关闭辅助节点电源。

    请参阅关闭 SRX5400 防火墙、关闭 SRX5600 防火墙或关闭 SRX5800 防火墙。

  3. 将所有接口卡从底板中拉出 6 英寸到 8 英寸（将电缆留在原位），断开它们与机箱背板的连接。
  4. 根据机箱规格将 SRX5K-SCB 更换为 SRX5K-SCBE，或将 SRX5K-SCBE 更换为 SRX5K-SCB3，将 SRX5K-RE-13-20 更换为 SRX5K-RE-1800X4。
  5. 打开辅助节点的电源。

    看：

  6. 辅助节点作为独立节点重新启动后，配置与主节点相同的群集 ID。
  7. 在辅助节点上安装与主节点相同的 Junos OS 软件映像，然后重新启动。
    注意：

    确保SRX5K-RE-1800X4和SRX5K-SCBE的Junos OS版本为12.1X47-D15或更高版本，SRX5K-RE-1800X4和SRX5K-SCB3的版本为15.1X49-D10或更高版本。
  8. 辅助节点重新启动后，将所有配置设置从 USB 导入到节点。

    有关在设备上安装 USB 的详细信息，请参阅知识库中的知识库KB12880和KB12022知识库文章。

  9. 关闭辅助节点电源。

    请参阅 关闭 SRX5400 防火墙、 关闭 SRX5600 防火墙或 关闭 SRX5800 防火墙。

  10. 将所有接口卡重新插入机箱背板。
    注意：

    确保卡的插入顺序与主节点中的插入顺序相同，并保持控制链路和结构链路之间的连接。
  11. 打开节点电源并发出以下命令以确保所有卡都联机：

    节点启动后，必须作为辅助节点加入群集。要进行验证，请发出以下命令

    注意：

    命令输出必须指示节点优先级已设置为非零值，并且集群包含主节点和辅助节点。
  12. 手动启动对升级节点的冗余组 （RG） 故障切换，以便将其作为主节点分配给所有 RG。

    对于 RG0，发出以下命令：

    对于 RG1，发出以下命令：

    通过发出以下命令，验证所有 RG 是否都已进行故障转移：

  13. 通过执行以下作来验证升级后的辅助节点的作：

    • 要确保所有 FPC 都联机，请发出以下命令：

    • 要确保所有 RG 都已升级，并且节点优先级设置为非零值，请发出以下命令：

    • 要确保升级后的主节点接收和传输数据，请发出以下命令：

    • 要确保在升级后的节点上创建和删除会话，请发出以下命令：

  14. 对主节点重复步骤 1 到 12 。
  15. 要确保成功完成 ISHU 进程，请发出以下命令，以检查群集的状态：

有关机箱群集的详细信息，请参阅《www.juniper.net/documentation/ SRX 系列设备机箱群集用户指南》。