安装应用签名包

升级到新一代应用识别

安装了带有传统应用标识的 Junos OS 内部版本的安全性设备包括旧版应用识别安全包。使用更新版本升级这些设备时，系统会安装新一代应用识别安全包以及默认协议包。设备会自动升级为新一代应用识别。

关于下一代应用识别安全包，请注意以下事项：

• 新一代应用识别安全包对旧有应用识别包引入了增量更新。您无需删除或卸载任何现有应用程序。

• 早期 Junos OS 版本中的应用程序在以后的版本中可能会有新的别名。现有配置仍可正常运行，但日志和相关信息将反映更新后的名称。使用命令 show services application-identification application detail new-application-name 获取应用程序的详细信息。

• 升级 Junos OS 时，可以在命令中request system software add包含或no-validatevalidate选项。由于不属于下一代应用程序标识的现有功能已被弃用，因此不会出现不兼容问题。

• 新一代应用识别消除了生成新的嵌套应用，并将现有嵌套应用视为普通应用。此外，下一代应用识别不支持自定义应用或自定义应用组。涉及任何嵌套应用程序、自定义应用程序或自定义应用程序组的现有配置将被忽略，并显示警告消息。

安排自动下载

1. 指定安全包的 URL。安全包包括检测器和最新的攻击对象和组。以下语句将 https://signatures.juniper.net/cgi-bin/index.cgi 指定为用于下载签名数据库更新的 URL：

2. 指定下载的时间和间隔。以下语句将间隔设置为 48 小时，开始时间设置为 12 月 10 日上午 10 点：

3. 如果完成设备配置，请提交配置。

配置下载选项

您还可以使用以下选项来设置应用程序签名数据库下载：

• routing-instance — 配置设备可用于下载应用签名包的 routing-instance。在某些网络设置中，特别是那些具有多个虚拟路由和转发 （VRF） 实例或隔离管理网络的网络设置中，默认路由表可能无法访问互联网或瞻博网络签名服务器。通过指定路由实例，可以确保签名更新过程使用正确的路径到达更新服务器。
• source-address—配置设备在连接到应用签名服务器以下载应用签名包时可以使用的源 IP 地址。在设备具有多个接口或 IP 地址的环境中使用此选项。此选项可确保出站连接使用正确的源 IP 来获取签名包。
• ignore-server-validation — 如果要在下载过程中跳过服务器认证验证，请禁用服务器身份验证。默认情况下，验证处于启用状态。仅在受信任环境中或出于测试目的使用此选项。
• proxy-profile - 下载应用标识更新时使用特定的代理配置文件。这在直接互联网访问受到限制且流量必须通过代理的环境中非常有用。请参阅 从代理服务器下载应用程序签名包。
• url — 应用程序包下载的 URL。使用此选项可更改应用程序包的默认下载位置。

下载并安装应用程序识别包

• 分步程序
• 分步程序

目的

应用包下载安装成功后，使用以下命令查看预定义的应用签名包内容。

行动

• 查看应用程序包的当前版本：

• 查看应用包的当前状态：

自动回滚

如果应用签名包安装失败，系统会自动回滚到当前安装在安全设备上的应用签名包的前一个版本。

在机箱群集模式下运行的设备上下载并安装应用签名包时，如果节点上的安装失败，系统将回滚到应用签名的前一个版本。设备会在安装失败和回滚成功的同一节点上显示次要告警。

示例：

当安装失败且回滚成功完成时，检查应用程序签名包回滚状态。

手动回滚

您可以使用以下步骤手动将应用程序签名包回滚到之前安装的版本：

1. 将应用程序签名包回滚到以前的版本。

2. 检查回滚状态。

对于应用程序签名包的手册回滚，请注意以下事项：

• 手动将应用程序签名包版本从版本 Y 回滚到版本 X 后，将跳过应用程序签名包的计划自动更新，直到有高于版本 Y 的新版本 Z 可用。

• 您可以通过入侵检测和防御 （IDP） 安全包下载和安装应用签名。在这种情况下，如果 AppID 安装在 IDP 安装期间失败，AppID 将回滚到之前的版本，并继续使用请求的版本进行 IDP 安装。在这种情况下，IDP 和 AppID 可能具有不同的版本。

• 如果下载的签名包文件存在任何损坏、删除或修改，则不会继续安装应用程序签名包。在这种情况下，将显示以下消息：

• 如果您的安全设备不包含任何以前版本的应用签名包，并且您尝试回滚应用签名包，设备将显示以下错误消息：

将新应用程序迁移到正常应用程序：

与之前安装的签名包相比，junos：all-new-apps 组包含安全设备上已安装的应用程序签名包中的一组所有新应用程序。如果您决定安装较新版本的应用签名包，则该版本将在 junos：all-new-apps 组中包含一组新的应用。

您可以选择将新应用程序迁移到现有应用程序签名包中的普通应用程序。此迁移将帮助您在安全策略中保持一致的规则，这些规则是针对新应用程序创建的，无论将来升级到较新的应用程序签名版本。

您可以使用以下新命令将标记为新应用程序的应用程序移动到普通应用程序：

• 要仅将指定的新应用程序迁移为普通应用程序，请使用以下命令：

• 要将所有新应用程序迁移为正常应用程序，请使用以下命令：

运行这些命令后，应用程序将不再被标记为新应用程序，并且不会成为组的一部分 junos:all-new-apps 。

应用程序签名包增强功能

我们对应用程序签名包引入了以下增强功能：

• 支持 FTP 数据上下文传播
• 在应用系统缓存 （ASC） 命中时，跳过基于高级策略的路由 （APBR） 卸载的会话的深度包检测 （DPI）。（仅启用 APBR 服务时。
• 在同一版本的签名包上强制安装应用程序签名包。请参阅 请求服务应用程序标识安装忽略重复版本检查
• 在 CLI 命令输出中显示应用程序签名包的发布日期。请参阅 show services application-identification version
• 在 CLI 命令输出中显示已安装签名包中可用的已弃用应用程序签名列表。请参阅 显示服务、应用识别、应用、过时的应用

应用程序签名包安装失败

在应用程序签名包安装过程中，如果发生错误或进程意外崩溃，安装会自动停止并恢复到以前安装的版本。

当您尝试检查有故障的应用签名包的下载状态时，系统会显示以下错误消息：

• 指定了应用程序签名包版本：
• 不指定应用签名包版本：

检查应用签名安装状态时，系统将显示以下消息：

• 当应用程序包安装完成并验证是否存在任何缺陷时：

• 尝试安装标记为故障的应用程序签名包时：

• 当已安装的应用程序签名包被检测为错误时：

您可以使用以下命令查看失败版本的详细信息：

对于计划的应用程序签名包的自动更新：在安装过程中，如果安装包有任何问题，系统会将应用程序签名包回滚到以前的版本。在下次自动更新期间，系统不会继续下载和安装有问题的签名包。

自动回滚增强功能

自动回滚功能现在使系统能够恢复到应用程序签名包的先前工作版本。此外，如果应用程序签名包安装期间出现任何问题，它会保留之前指定的回滚版本

例如，如果您的设备当前具有应用程序签名包版本 Y，并且您已将回滚版本设置为 X，则在尝试安装期间会发生以下情况：

• 您尝试安装新版本 Z。
• 如果在安装过程中出现任何问题或版本 Z 安装失败，系统会自动恢复到当前版本 Y。
• 之前指定的回滚版本 X 保持不变。

通过这种方式，系统可以在需要时恢复到已知的工作版本，从而确保平稳过渡。

在机箱群集设置设备上安装应用签名包

使用机箱群集设置时，系统会先在主节点上安装应用签名包，并检查是否有任何问题。

应用程序签名包安装会立即在主节点上开始。安装过程中，辅助节点等待主节点完成安装包的验证。如果验证成功，则系统将继续在辅助节点上安装相同的软件包，否则，将跳过安装。

您可以使用以下命令检查安装状态：

如果在主节点上安装失败，则仅在主节点上进行回滚。同样，如果在辅助节点上安装失败，则仅在辅助节点上触发回滚。

安装失败时，系统将显示以下消息：

主节点

辅助节点

当主节点上的安装正在进行时，节点从主状态变为辅助状态，则系统将显示以下消息：

主节点

辅助节点

如果主系统因意外问题无法在时间（约 35 分钟）内更新辅助节点，则辅助系统上的安装过程将被取消。

主节点完成安装和验证后，系统将在辅助节点上启动安装。如果由于故障切换而导致主要角色和辅助角色发生变化，则前一个辅助节点（现在是主节点）将继续安装签名包。

签名包服务器的安装状态

应用程序签名引擎将状态发送到签名包服务器以进行安装成功或失败。在应用程序签名包安装期间，如果在包中发现错误，则安装将停止并恢复到以前的活动版本，并将状态发送到服务器。如果多个设备报告有故障的应用程序签名包，服务器会分析此数据，将该包标记为无效，并阻止将来下载。

将签名包标记为无效仅适用于主要签名包。

标记为无效的签名包仅供 CLI 以后下载。通过 Security Director 下载和安装以及离线下载会显示错误消息，通知请求的应用程序包无法下载。

主要和次要签名包

现在我们支持两种类型的签名包可用于更新：

• 主要更新包括 IDP 签名、IDP 检测器和应用程序识别原型包。
• 次要更新包括定期签名更新。

让我们通过一个例子来了解主要更新和次要更新的区别：

• 已发布协议包的签名包版本有版本 3585。这是一次重大更新。3585 之后的所有次要签名包都包含此更新的协议包，直到我们有下一个主要签名包更新。
• 软件包的下一个版本包括 IDP 检测器，版本为 3598。这又是一次重大更新3598 之后的所有次要签名包都包含此更新的检测器，直到我们有下一次重大更新。

如果您的防火墙具有主要签名包版本 3598，并且您尝试使用手册下载方法或自动下载下载次要版本（例如 3588），则下载将失败，并显示以下错误消息：

下载仅次要签名包

您可以下载标记为次要的应用程序签名包。默认行为不检查主要版本或次要版本。

要设置次要签名包的自动下载：

在命令中指定将 minor-only 下载签名包的次要版本。

要下载次要签名包：

在命令中指定将 minor-only 下载签名包的次要版本。

检查可用的签名包版本：

该命令显示应用程序签名包的所有可用版本。

检查可用的签名包版本：

该命令显示主要应用程序签名包的所有最新版本。

查看签名包的版本：

该命令在字段中 Application package version 显示设备上安装的应用程序签名包版本。

从瞻博网络安全网站检查签名包的版本。

该命令将显示主要应用签名包和次要应用签名包的最新版本，这些包可在瞻博网络安全网站上找到。

降级应用签名包版本

您可以通过指定签名包版本来降级应用程序签名包版本。请按照以下步骤降级：

1. 使用命令 show services application-identification recent-appid-sigpack-versions 检查可用的签名包版本。

2. 运行命令以下载所需的版本：

离线应用识别 （AppID） 更新

离线应用识别 （AppID） 更新和相关功能显著增强了网络系统的可管理性和可维护性，特别是在连接有限的环境中。

离线AppID更新功能允许您使用以下CLI命令从本地tar文件更新签名包：

输入此命令后，系统将解压缩签名包，并将提取的文件放置在设备上的适当位置。

示例：

1. 从 URL 复制或下载离线应用程序包： https://support.juniper.net/support/downloads/?p=282
2. 输入解压签名包的命令：
3. 查看签名包离线下载状态：

   当软件包路径不正确时，系统将显示以下错误消息：

4. 使用命令 request services application-identification install 在设备上安装签名包。

该操作结束时会显示一条系统日志消息，指示更新是否成功或是否遇到任何错误，并提供即时反馈以进行故障排除。系统日志消息示例：

• 确认 APPIDD_APPPACK_OFFLINE_DOWNLOAD_RESULT: AppID sigpack offline download : Complete 更新成功。
• 指示 APPIDD_APPPACK_OFFLINE_DOWNLOAD_RESULT: AppID sigpack offline download : Failed with error (AppID offline download package </var/tmp/...> does not exist) 故障并显示特定错误消息

此功能在互联网连接有限或没有互联网连接的环境中特别有用，例如远程位置或安全设施。

已弃用应用的系统日志消息

您现在可以管理已弃用的应用程序和应用程序组。执行签名包更新后，系统日志消息会列出已弃用的应用程序，帮助您识别和管理可能影响安全策略的过时应用程序。

处理已弃用的应用程序时，系统日志消息 APPIDD_DEPRECATED_APPLIST: Obsolete apps: app1, app2, app3, app4... 会列出过时的应用程序，以便您采取适当的操作。

列出已弃用的应用程序组

您可以使用以下命令列出所有已弃用的应用程序组：

该命令允许您列出已弃用的应用组，确保这些组不会干扰设备配置，并防止由于隐藏的已弃用组而导致提交失败。

您可以使用以下系统日志消息来查看已弃用的应用程序组：