防止使用无人参与的 U-Boot 模式未经授权访问 EX 系列交换机

Junos OS 允许您为 U-Boot 配置无人参与模式，以防止在启动过程中未经授权访问交换机。配置无人参与模式时，用户可以通过提供启动加载程序密码在启动过程中访问 CLI。这可以防止启动过程中未经授权的访问。有关更多信息，请阅读本主题。

了解 EX 系列交换机上 U-Boot 的无人参与模式

可以配置 U-Boot 的无人参与模式，以防止在启动过程中发生对交换机的未经授权的访问。重置 CPU 后，在 JUNOS OS 登录提示出现之前，有几种已知的方法可以访问系统，这些方法不需要用户输入授权凭据。通过获得未经授权的访问，用户可以查看、修改或损坏交换机配置，或使交换机在网络上不可用。

配置无人参与模式后，用户只能在启动过程中按 <Ctrl+c> 并输入正确的密码（称为启动加载程序密码）来访问CLI。必须之前在交换机上配置启动加载程序密码。输入正确的启动加载程序密码会将用户置于 U-Boot CLI 中。如果密码不正确，或者一分钟内未输入密码，则对 U-Boot CLI 的访问将被阻止，并且启动过程会自动继续。

在无人参与模式下，对自举加载程序命令提示符（loader>）的访问将被阻止，这会阻止使用以下恢复机制：使用单用户模式恢复 root 密码，以及使用存储在 USB 闪存驱动器上的软件包启动交换机。

注意：

如果在交换机处于无人值守模式时丢失 root 密码，则必须使用液晶显示屏将交换机重置为出厂默认配置。如需了解更多信息，请参阅恢复到 EX 系列交换机的默认出厂配置。

如果未配置无人参与模式，但配置了启动加载程序密码，则用户必须输入正确的密码才能访问 U-Boot CLI。如果未配置启动加载程序密码，用户无需输入密码即可访问 U-Boot CLI。在任何一种情况下，用户都可以访问自举加载程序命令提示符，该提示符支持使用单用户模式以及从 USB 闪存驱动器启动来恢复 root 密码。

默认情况下，未启用无人参与模式。配置后，无人参与模式将打开，并阻止对交换机的未经授权的访问。表 1 总结了 U-Boot 模式的行为。

表 1：无人参与模式行为
无人参与模式	启动加载程序密码	行为
开启	设置	只有输入正确的密码后，才允许访问 U-Boot CLI。对加载程序命令提示符的访问将被阻止。从 USB 启动被阻止。阻止使用单用户模式恢复 root 密码。
开启	未设置	对 U-Boot CLI 的访问被阻止。对加载程序命令提示符的访问将被阻止。从 USB 启动被阻止。阻止使用单用户模式恢复 root 密码。
关闭	设置	只有输入正确的密码后，才允许访问 U-Boot CLI。允许访问加载程序命令提示符。允许从 USB 启动。允许使用单用户模式恢复 root 密码。
关闭	未设置	允许访问 U-Boot CLI。允许访问加载程序命令提示符。允许从 USB 启动。允许使用单用户模式恢复 root 密码。

使用无人参与模式进行 U-Boot 以防止未经授权的访问

U-Boot 的无人参与模式可用于防止在启动过程中发生对交换机的未经授权的访问。配置无人参与模式后，用户只能在启动过程中通过输入正确的密码（称为启动加载程序密码）来访问 CLI。必须之前在交换机上配置启动加载程序密码。

配置无人参与模式后，对自举加载程序命令提示符（loader>）的访问将被阻止，从而阻止使用以下恢复机制：使用单用户模式恢复 root 密码，以及使用存储在 USB 闪存驱动器上的软件包启动交换机。

警告：

在 EX2200 交换机上，如果在交换机处于无人参与模式时同时丢失 root 和无人参与模式密码，则没有可用的替代恢复方法。交换机必须退还给瞻博网络。有关更多信息，请参阅退回 EX2200 交换机或组件进行维修或更换。

要使用无人参与模式，请按照以下过程操作：

配置启动加载程序密码
为 U-Boot 配置无人参与模式
访问 U-Boot CLI

配置启动加载程序密码

要配置启动加载程序密码，可以使用系统为您加密的纯文本密码，也可以使用已加密的密码。如果使用纯文本密码，Junos OS 会将密码显示为加密字符串，这样用户在查看配置时就看不到它。当您以纯文本形式输入密码时，Junos OS 会立即对其加密。您不必配置 Junos OS 来加密密码。纯文本密码在配置中将隐藏并标记为 ## SECRET-DATA。

要配置启动加载程序密码，请执行以下操作：

使用命令输入纯文本密码或加密密码set system boot-loader authentication。
- 要输入纯文本密码，请使用该 plain-text-password 选项，并在出现提示时重新输入密码：
- 要输入已加密的密码，请使用 encrypted-password 以下选项：
提交更改。

要查看加密的密码条目，请使用配置模式 show 命令。例如：

为 U-Boot 配置无人参与模式

在为 U-Boot 启用无人参与模式之前，必须下载并安装 jloader 固件包 /volume/build/junos/13.2/service/13.2X51-D20.2/ship/jloader-ex-2200-13.2X51-D20.2-signed.tgz，如 TSB16425 中所述。

默认情况下，未启用 U-Boot 的无人参与模式。请按照以下过程配置无人参与模式：

配置无人参与模式。

提交更改。

访问 U-Boot CLI

配置了 U-Boot 的无人参与模式并设置了启动加载程序密码后，您可以在启动过程中按 <Ctrl+c> 并在提示时输入密码来访问 U-Boot CLI：

必须在出现提示后的一分钟内输入正确的密码。如果未在一分钟内输入密码，或者密码不正确或未配置，则对 U-Boot CLI 的访问将被阻止，并且启动过程将继续。有关无人参与模式行为的详细信息，请参阅了解 EX 系列交换机上 U-Boot 的无人参与模式。

本页内容