NETCONFセッションのSSH接続を確立する

SSH接続の場合、構成管理サーバー(CMS)がJunosデバイスとのSSH接続を処理します。アウトバウンドSSH接続の場合、Junosデバイスは構成管理サーバーへのSSH接続を確立し、構成管理サーバーがSSHセッションを制御します。

デバイスとの SSH 接続またはアウトバウンド SSH 接続を確立するには、構成管理サーバーに SSH ソフトウェアがローカルにインストールされている必要があります。SSH ソフトウェアの入手とインストールについては、以下を参照してください。

• http://www.ssh.com

• http://www.openssh.com

JunosデバイスでNETCONFセッションを確立するには、NETCONFサービスを有効にする必要があります。以下のポートでNETCONFセッションを受け入れるようにNETCONFサーバーを設定できます。

• デフォルトのNETCONFポート(830)またはユーザー定義ポート

• デフォルトのSSHポート(22)

デバイスがNETCONFトラフィックをより効果的に識別およびフィルタリングできるようにするため、デフォルトのNETCONFポートを使用することを推奨します。または、デフォルトのNETCONFポートではなく、選択したポート番号でNETCONFセッションを受け入れるようにデバイスを設定することもできます。定義されたポートは、NETCONF-over-SSHセッションのみを受け入れ、通常のSSHセッション要求を拒否します。

NETCONF を有効にし、デバイス上で SSH サービスも有効にすると、デバイスはデフォルトの SSH ポートと設定された NETCONF ポート(デフォルトまたはユーザー定義ポート)の両方で NETCONF セッションを受け入れます。セキュリティを強化するため、 UI_LOGIN_EVENT 情報を利用するイベントポリシーを設定して、SSHポートがNETCONFセッションを受け入れるのを効果的に無効にしたり、ポートでのNETCONFサーバーのアクセスをさらに制限したりできます。

JunosデバイスでSSH経由のNETCONFサービスを有効にするには:

1. デフォルトのNETCONFポート(830)またはユーザー定義ポートのいずれかでNETCONFサービスを有効にします。

   • デフォルトの NETCONF ポート(830)を使用するには、[edit system services] 階層レベルで netconf ssh ステートメントを含めます。

   • 特定のポートを使用するには、[edit system services netconf ssh]階層レベルでポート番号を使用してportステートメントを設定します。

     port-numberの範囲は 1 から 65535 までです。設定されたポートは、NETCONF-over-SSHセッションのみを受け入れ、通常のSSHセッション要求を拒否します。

     手記：

     1 から 65535 までの任意のポートで NETCONF を設定できますが、通常は別のサービスに割り当てられるポートでアクセスを設定しないでください。この方法により、潜在的なリソースの競合が回避されます。FTP などの別のサービスに割り当てられたポートを設定し、そのサービスが有効になっている場合、 commit check はリソースの競合を明らかにしず、警告メッセージも発行しません。

2. (オプション)デフォルトのSSHポート(22)を使用してNETCONF SSHサブシステムへのアクセスも有効にするには、[edit system services]階層レベルにsshステートメントを含めます。

   この構成により、すべてのユーザーとアプリケーションに対して、デバイスへのSSHアクセスが可能になります。

   手記：

   デフォルト動作がルートユーザーによるSSHサービスの使用を制限するリリースでは、ルートユーザーがSSH経由でNETCONFセッションを開くことができるように、[edit system services ssh]階層レベルでroot-login allowステートメントを設定する必要があります。

3. (オプション)応答しないNETCONFクライアントを切断するようにデバイスを設定します。

   クライアントからデータを受信しなかった場合に sshd プロセスが応答を要求するまでのタイムアウト間隔 (秒単位) を指定します。さらに、切断をトリガーするクライアントアライブ応答の欠落のしきい値を指定します。

   手記：

   [edit system services netconf ssh]階層レベルで設定されたステートメントは、デフォルトポート(830)または同じ階層レベルで設定されたユーザー定義ポートを介して接続するNETCONFセッションにのみ適用されます。

4. 設定をコミットします。

5. クライアント アプリケーションが NETCONF セッションを確立する各 Junos デバイスで、上記の手順を繰り返します。

設定管理サーバーは、Junos デバイスにログインして NETCONF セッションを確立する必要があります。そのため、設定管理サーバには、NETCONF セッションを確立する各デバイスにユーザアカウントが必要です。以下の手順では、Junosデバイスでローカルユーザーアカウントを作成する方法について説明します。または、このセクションをスキップして、RADIUSまたはTACACS+による認証を有効にすることもできます。

ローカル・ユーザー・アカウントを作成するには、以下の手順に従います。

設定管理サーバーは、NETCONF サーバーとの認証に、SSH 公開/秘密キーペア、テキストベースのパスワード、またはその両方が必要です。アカウントがSSH経由でNETCONFサーバーに接続するためだけに使用される場合は、キーペアで十分です。アカウントが他の方法(コンソールでのログインなど)でデバイスにアクセスするためにも使用される場合は、テキストベースのパスワードが必要です。パスワードは、キーベース認証が設定されているが失敗した場合にも使用されます(SSHサーバーはパスワードの入力を求めます)。

テキストベースのパスワードを作成するには:

クライアントアプリケーションは、設定されたキーペアまたはパスワードにアクセスし、NETCONFサーバーから要求されたときに提供できる必要があります。

アプリケーションがキーまたはパスワードにアクセスできるようにするには、いくつかの方法があります。

• 公開鍵/秘密鍵が使用されている場合、ssh-agent プログラムはクライアントアプリケーションが実行されているデバイスで実行され、秘密鍵を処理します。

• ユーザーがアプリケーションを起動すると、アプリケーションはユーザーにパスワードの入力を求め、安全な方法で一時的に保存します。

• パスワードは、暗号化された形式で、安全なローカルディスクの場所またはセキュリティで保護されたデータベースに保存されます。

Junos デバイスをアウトバウンド SSH 用に設定するには、次の手順に従います。

Junos デバイスをアウトバウンド SSH 用に構成すると、デバイスは構成管理サーバーとの常時接続を維持しようとします。アウトバウンド SSH セッションが確立されないたびに、デバイスは、デバイスの構成管理サーバーリストにリストされている構成管理サーバーにアウトバウンド SSH 開始シーケンスを送信します。デバイスとの接続を確立する前に、各構成管理サーバーは、この開始シーケンスを受信し、デバイスとの TCP 接続を確立し、デバイス ID をデバイスに送信するように設定する必要があります。

開始シーケンスは、Junos OSサーバーの公開キーの処理方法に応じて、2つの形式のいずれかを取ります。

公開鍵が構成管理サーバーに手動でインストールされる場合、開始シーケンスは次の形式になります。

初期化シーケンス中にデバイスが公開キーを構成管理サーバーに転送する場合、シーケンスは次の形式になります。