安装应用程序签名包

升级到新一代应用识别

随 Junos OS 版本一起安装的安全设备（带有旧版应用标识）包括旧版应用识别安全包。使用最新版本升级这些设备时，将安装新一代应用识别安全包和默认协议包。设备将自动升级到下一代应用识别。

请注意有关下一代应用识别安全包的以下几点：

• 新一代应用识别安全包对旧版应用识别包引入了增量更新。您无需删除或卸载任何现有应用程序。

• 早期 Junos OS 版本中的应用程序在更高版本中可能会有新的别名。现有配置仍将正常运行，但日志和相关信息将反映更新的名称。 show services application-identification application detail new-application-name 使用命令获取应用程序的详细信息。

• 升级 Junos OS 时，可以在命令中request system software add包含validate或 no-validate 选项。由于不属于新一代应用程序标识的现有功能已被弃用，因此不会出现不兼容问题。

• 新一代应用识别消除了新嵌套应用的生成，并将现有嵌套应用视为正常应用。此外，新一代应用识别不支持自定义应用或自定义应用组。涉及任何嵌套应用程序、自定义应用程序或自定义应用程序组的现有配置将被忽略，并显示警告消息。

配置

• 分步过程
• 分步过程

下载并安装应用识别包

• 分步过程
• 分步过程

目的

成功下载安装应用包后，使用以下命令查看预定义的应用签名包内容。

行动

• 查看应用程序包的当前版本：

• 查看应用程序包的当前状态：

自动回滚

如果应用签名包安装失败，系统会自动回滚到当前安装在安全设备上的应用签名包的前一个版本。

在机箱群集模式下运行的设备上下载并安装应用程序签名包时，如果节点上的安装失败，系统将回滚到应用程序签名的前一个版本。设备在安装失败且回滚成功的同一节点上显示次要告警。

例：

安装失败且回滚成功完成时，检查应用签名包回滚状态。

手动回滚

您可以使用以下步骤手动将应用程序签名包回滚到以前安装的版本：

1. 将应用程序签名包回滚到前一个版本。

2. 检查回滚状态。

对于应用程序签名包的手动回滚，请注意以下几点：

• 手动将应用程序签名包版本从版本 Y 回滚到版本 X 后，将跳过应用程序签名包的计划自动更新，直到有高于版本 Y 的新版本 Z 可用。

• 您可以通过入侵检测和防御 （IDP） 安全包下载和安装应用签名。在这种情况下，如果在 IDP 安装期间 AppID 安装失败，AppID 将回滚到之前的版本，并且 IDP 安装将继续使用请求的版本。在这种情况下，IDP 和 AppID 可能具有不同的版本。

• 如果下载的签名包文件有任何损坏、删除或修改，则不会继续安装应用程序签名包。在这种情况下，将显示以下消息：

• 当您的安全设备不包含任何早期版本的应用程序签名包，并且您尝试回滚应用程序签名包时，设备将显示以下错误消息：

将新应用迁移到普通应用：

与以前安装的签名包相比，junos：all-new-apps 组包含安全设备上已安装的应用程序签名包中的一组所有新应用程序。如果您决定安装较新版本的应用程序签名包，则该版本将在 junos：all-new-apps 组中包含一组新的应用程序。

您可以选择将新应用程序迁移到现有应用程序签名包中的普通应用程序。此迁移将帮助你在安全策略中一致地维护规则，这些规则是在将来升级到较新的应用程序签名版本时为新应用程序创建的。

您可以使用以下新命令将标记为新应用程序的应用程序移动到普通应用程序：

• 若要仅将指定的新应用程序迁移为普通应用程序，请使用以下命令：

• 若要将所有新应用程序迁移为普通应用程序，请使用以下命令：

运行这些命令后，应用程序将不再被标记为新建，并且不会成为组的一部分 junos:all-new-apps 。

应用程序签名包增强功能

我们对应用程序签名包引入了以下增强功能：

• 支持 FTP 数据上下文传播
• 对应用系统缓存 （ASC） 上的高级基于策略的路由 （APBR） 卸载的会话跳过深度包检测 （DPI）。（仅启用 APBR 服务时。
• 在同一版本的签名包上强制安装应用程序签名包。请参阅 请求服务、应用程序标识、安装、忽略重复版本检查
• 在 CLI 命令输出中显示应用程序签名包发布日期。请参阅 显示服务应用程序标识版本
• 在 CLI 命令输出中显示已安装的签名包中可用的已弃用应用程序签名列表。请参阅 显示服务应用程序标识应用程序过时的应用程序

应用程序签名包安装失败

在应用程序签名包安装过程中，如果发生错误或进程意外崩溃，安装将自动停止并恢复到以前安装的版本。

当您尝试检查错误的应用程序签名包的下载状态时，系统会显示以下错误信息：

• 指定应用程序签名包版本后：
• 如果没有指定的应用签名包版本：

当您检查应用程序签名安装状态时，系统会显示以下消息：

• 当应用程序包安装完成并正在验证是否存在任何缺陷时：

• 尝试安装标记为错误的应用程序签名包时：

• 当已安装的应用程序签名包被检测为有故障时：

您可以使用以下命令查看失败版本的详细信息：

对于计划的应用程序签名包的自动更新：在安装过程中，如果安装包有任何问题，系统会将应用程序签名包回滚到以前的版本。在下一次自动更新期间，系统不会继续下载和安装有问题的签名包。

自动回滚增强

自动回滚功能现在使系统能够恢复到应用程序签名包的先前工作版本。此外，如果在应用程序签名包安装过程中出现任何问题，它会保留以前指定的回滚版本

例如，如果设备当前具有应用程序签名包版本 Y，并且已将回滚版本设置为 X，则在安装尝试期间会出现以下情况：

• 您尝试安装新版本 Z。
• 如果在安装过程中出现任何问题，或者版本 Z 无法安装，系统会自动恢复到当前版本 Y。
• 先前指定的回滚版本 X 保持不变。

这样，系统可以在需要时恢复到已知的工作版本，从而确保平稳过渡。

机箱群集设置上的应用签名包安装

使用机箱群集设置时，系统会先在主节点上安装应用签名包，并检查是否存在任何问题。

应用程序签名包安装立即在主节点上开始。在安装过程中，辅助节点等待主节点完成安装包的验证。如果验证成功，则系统将继续在辅助节点上安装相同的软件包，否则将跳过安装。

您可以使用以下命令检查安装状态：

如果在主节点上安装失败，则仅在主节点上进行回滚。同样，如果辅助节点上的安装失败，则仅在辅助节点上触发回滚。

安装失败时，系统将显示以下消息：

主节点

辅助节点

当节点在主节点上安装过程中从主要状态变为辅助状态时，系统将显示以下消息：

主节点

辅助节点

如果由于意外问题导致主系统无法在时间内（约 35 分钟）更新辅助节点，则辅助系统上的安装过程将被取消。

主节点完成安装和验证后，系统会在辅助节点上启动安装。如果由于故障转移而更改了主要角色和辅助角色，则上一个辅助节点（现在是主节点）将继续安装签名包。

签名包服务器的安装状态

应用程序签名引擎将状态发送到签名包服务器，以确定安装成功或失败。在应用程序签名包安装过程中，如果在包中发现错误，安装将停止并恢复到以前的活动版本，并且状态将发送到服务器。如果多个设备报告有问题的应用程序签名包，服务器将分析此数据，将该包标记为无效，并阻止将来下载。

将签名包标记为无效仅适用于主要签名包。

标记为无效的签名包将无法通过 CLI 进行下载。通过 Security Director 下载和安装以及脱机下载会显示错误消息，通知请求的应用程序包无法下载。

主要和次要签名包

现在，我们支持两种类型的签名包可用于更新：

• 主要更新包括 IDP 签名、IDP 检测器和应用程序识别原型包。
• 次要更新包括定期签名更新。

让我们通过一个示例来了解主要和次要更新的区别：

• 已发布协议包的签名包版本为 3585。这是一项重大更新。3585 之后的所有次要签名包都包含此更新的协议包，直到我们进行下一次主要签名包更新。
• 软件包的下一个版本包括 IDP 检测器，版本为 3598。这又是一个重大更新。3598 之后的所有次要签名包都包含此更新的检测器，直到我们进行下一次重大更新。

如果防火墙的主要签名包版本为 3598，并且尝试使用手动下载方法或自动下载等次要版本（如 3588），则下载将失败，并显示以下错误消息：

下载仅限未成年人的签名包

您可以下载标记为次要的应用程序签名包。默认行为不检查主要版本或次要版本。

要设置次要签名包的自动下载：

在命令中指定 minor-only 将下载签名包的次要版本。

要下载小签名包：

在命令中指定 minor-only 将下载签名包的次要版本。

检查可用的签名包版本：

命令显示应用程序签名包的所有可用版本。

检查可用的签名包版本：

该命令显示主要应用程序签名包的所有最新版本。

查看签名包的版本：

命令在字段中 Application package version 显示设备上安装的应用程序签名包版本。

请访问瞻博网络安全网站，查看签名包的版本。

命令显示主要和次要应用签名包的最新版本，这些签名包可在瞻博网络安全网站上找到。

降级应用程序签名包版本

可以通过指定签名包版本来降级应用程序签名包版本。使用以下步骤降级：

1. 使用 show services application-identification recent-appid-sigpack-versions 命令检查可用的签名包版本。

2. 执行命令下载所需版本：

脱机应用程序标识 （AppID） 更新

离线应用程序标识 （AppID） 更新和相关功能显著增强了网络系统的可管理性和可服务性，特别是在连接受限的环境中。

脱机 AppID 更新功能允许您使用以下 CLI 命令从本地 tar 文件更新签名包：

输入此命令后，系统将解压缩签名包，并将提取的文件放置在设备上的适当位置。

例：

1. 从以下网址复制或下载脱机应用程序包： https://support.juniper.net/support/downloads/?p=282
2. 输入命令以提取签名包：
3. 查看签名包离线下载状态：

   当包路径不正确时，系统将显示以下错误消息：

4. request services application-identification install使用命令在设备上安装签名包。

作结束时会显示一条系统日志消息，指示更新是否成功或是否遇到任何错误，从而为故障排除提供即时反馈。syslog 消息示例：

• 确认 APPIDD_APPPACK_OFFLINE_DOWNLOAD_RESULT: AppID sigpack offline download : Complete 更新成功。
• 指示 APPIDD_APPPACK_OFFLINE_DOWNLOAD_RESULT: AppID sigpack offline download : Failed with error (AppID offline download package </var/tmp/...> does not exist) 失败以及特定错误消息

此功能在 Internet 连接有限或没有 Internet 连接的环境中（如远程位置或安全设施）特别有用。

已弃用应用程序的 Syslog 消息

您现在可以管理已弃用的应用程序和应用程序组。执行签名包更新后，系统日志消息将列出已弃用的应用程序，帮助您识别和管理可能影响安全策略的过时应用程序。

处理已弃用的应用程序时，系统日志消息 APPIDD_DEPRECATED_APPLIST: Obsolete apps: app1, app2, app3, app4... 会列出过时的应用程序，以便您采取适当的措施。

列出已弃用的应用程序组

您可以使用以下命令列出所有已弃用的应用程序组：

命令允许您列出已弃用的应用程序组，确保这些组不会干扰设备配置，并防止由于隐藏的弃用组而导致提交失败。

您可以使用以下系统日志消息查看已弃用的应用程序组：