Junos OS 概述

一个作系统

与其他共享通用名称但分裂成许多不同程序的网络作系统不同，Junos OS 是一个单一的、有凝聚力的作系统，可以在所有网络设备和产品线之间共享。这样一来，瞻博网络工程师只需开发一次软件功能，即可在所有产品线上同时共享这些功能。由于功能对于单个源是通用的，因此它们通常以相同的方式实现所有产品线，从而减少了为每个产品学习不同工具和方法所需的培训。由于所有瞻博网络产品使用相同的代码库，因此产品之间的互作性不是问题。

单一模块化软件架构

尽管 Junos OS 的各个模块通过定义明确的接口进行通信，但每个模块都在自己受保护的内存空间中运行，从而防止一个模块中断另一个模块。这种分离允许在必要时独立重新启动每个模块。这与单体作系统形成鲜明对比，在单体作系统中，一个模块中的故障可能会波及到其他模块并导致整个系统崩溃或重新启动。这种模块化架构可提供其他作系统所不具备的高性能、高可用性、安全性和设备可扩展性。

出厂时，Junos OS 已预安装在您的瞻博网络设备上。因此，当您首次打开设备电源时，所有软件都会自动启动。您只需要配置软件，以便设备可以参与网络。

您可以在添加新功能或修复软件问题时升级设备软件。获取新软件的方法通常是从瞻博网络支持网页将软件安装包下载到您的设备或本地网络上的其他系统上。然后，在设备上安装软件升级。

瞻博网络路由平台仅运行瞻博网络提供的二进制文件，目前不支持第三方二进制文件。每个 Junos OS 映像都包含一个数字签名的可执行文件清单，只有在签名可以验证时，这些可执行文件才会注册到系统。没有注册签名，Junos OS 不会执行任何二进制文件。此功能可保护系统免受可能损害设备完整性的未经授权的软件和活动的影响。

安全启动和引导加载程序

系统的启动过程包括几个阶段，从激活 CPU 作为启动处理器开始，与 PCH 通信以启动系统。CPU 跳转到存储在主 SPI 闪存中的 BIOS 例程。在主闪存故障的情况下，引导FPGA切换到辅助闪存进行恢复，但不会加载引导加载程序。

引导加载程序在系统的启动过程中起着关键作用，确保作系统的安全有序执行。安全启动、USB、SSD 和 PXE 启动等启动顺序和机制为系统的启动过程提供了灵活性和弹性。此外，GRUB 配置允许用户根据需要自定义引导过程并进行故障排除

安全启动是基于 UEFI 标准（请参阅 www.uefi.org）的一项重要系统安全增强功能。它的工作原理是保护 BIOS 本身免遭篡改或修改，然后在整个启动过程中保持这种保护。

安全启动过程从安全闪存开始，确保不会对固件进行未经授权的更改。Junos OS 的授权版本带有由瞻博网络直接或其授权合作伙伴生成的数字签名。在启动过程的每个点上，每个组件都会通过检查签名来验证下一个链接是否正常，以确保二进制文件未被修改。除非签名正确，否则启动过程无法继续。这种“信任链”一直持续到作系统控制为止。通过这种方式，整体系统安全性得到增强，增加了对某些基于固件的持续性威胁的抵抗力。

图 1 显示了此“信任链”的简化版本。

安全启动不需要您执行任何作即可实施。默认情况下，它在支持的硬件上实现。

SRX 设备的安全启动是一种重要的安全机制，旨在保护瞻博网络硬件并阻止执行未经授权的代码或数据。未授权实体是指缺少瞻博网络或其授权附属公司正确数字签名的实体。

以下是安全启动专门针对 SRX1600、SRX2300、SRX4300 和 SRX4700 设备运行方式的简要说明：

• 上电顺序： 通电后，CPU 使用 UEFI BIOS 启动执行。

• 启动加载程序： UEFI BIOS 加载已签名的 PE/COFF32+ 可执行文件 \EFI\BOOT\BOOTX64。EFI。此可执行文件包含修改过的 GRUB2，它只允许对具有适当分离签名的文件进行文件读取 I/O。

• 分离的签名： GRUB2 分离签名存储为 ${object}.psig，使用二进制（非装甲）OpenPGP 格式。

• GPG 密钥存储： 其他 GPG 密钥与编译到 GRUB2 中的可信 GPG 公钥一起，可以存储在 \EFI\BOOT\grub-trusted.gpg 中。

• 信托建立： 通过使用 \EFI\BOOT\BOOTX64 中嵌入的 grub-root 密钥验证 \EFI\BOOT\grub-trusted.gpg.psig 来建立对 \EFI\BOOT\grub-trusted.gpg 的信任。EFI。

• GRUB2 配置： 位于 \EFI\BOOT\grub-startup.cfg 中的 GRUB2 启动配置负责加载已签名的 Linux 内核和已签名的 initrd 映像（可选）。

• 文件加载限制： BOOTX64。EFI 始终坚持使用正确签名的文件，并避免加载任何未签名的文件，不包括 GRUB 配置或 GRUB 环境文件。

安装和激活

要为 SRX2300 设备启用安全启动，请导航到 BIOS 菜单，然后在“管理安全启动”菜单下选择“将安全启动恢复为出厂设置”。

注意：

启用安全启动后，无法将其禁用。

有关哪些 Junos OS 版本和硬件支持安全启动的信息，请参阅 功能浏览器 并输入 Secure Boot。

硬件信任根

硬件信任根 （HRoT） 是系统中集成的一种基于硬件的安全功能，可作为验证固件完整性并确保其安全运行的可信基础。此功能从硬件开始提供不可更改的信任根，从而防范系统内的潜在安全漏洞。HRoT是保证系统固件和配置真实性的关键组件。

与基于软件的信任机制不同，HRoT 直接在硬件中实现，因此具有很强的防篡改能力。HRoT 的主要功能是验证固件的完整性，确保其未被破坏或未经授权的修改。此功能用于实现安全启动过程，其中只能加载经过验证和信任的固件。

FIPS 140-2 安全合规性

对于高级网络安全，可以使用名为 Junos-FIPS 140-2 的特殊版本的 Junos OS。Junos-FIPS 140-2 为客户提供了在 FIPS 环境中配置瞻博网络设备网络的软件工具。FIPS 支持包括：

• 可将 Junos OS 转换为 Junos-FIPS 140-2 的升级包

• 修订的安装和配置过程

• 针对远程访问的强制安全

• FIPS 用户角色（加密官、用户和维护）

• 特定于 FIPS 的系统日志记录和错误消息

• 用于路由引擎到路由引擎通信的 IPsec 配置

• 增强型密码创建和加密

从 Junos OS 15.1 版开始，Junos-FIPS 仅打包在国内映像中：单个 Junos OS 映像同时支持国内和 FIPS 功能。具有 FIPS 凭据和登录权限的用户可以在常规 Junos 映像和 FIPS 映像之间切换。

注意：

Junos-FIPS 有特殊的密码要求。FIPS 密码长度必须为 10 到 20 个字符。密码必须至少使用五个已定义的字符集中的三个（大写字母、小写字母、数字、标点符号和其他特殊字符）。如果设备上安装了 Junos-FIPS，则只能配置符合此标准的密码。