제로 터치 프로비저닝
Zero Touch Provisioning은 최소한의 수동 개입으로 새로운 주니퍼 네트웍스 디바이스에 소프트웨어를 자동으로 설치하거나 업그레이드합니다.
제로 터치 프로비저닝 개요
제로터치 프로비저닝(ZTP)을 사용하면 최소한의 수동 개입으로 네트워크에 새로운 주니퍼 네트웍스 디바이스를 자동으로 프로비저닝할 수 있습니다. 디바이스에 따라 관리 포트 또는 네트워크 포트를 사용하여 네트워크에 연결할 수 있습니다. 디바이스를 네트워크에 물리적으로 연결하고 기본 공장 구성으로 부팅하면 디바이스가 소프트웨어 릴리스를 업그레이드(또는 다운그레이드)하고 네트워크에서 구성 파일을 자동으로 설치합니다. 구성 파일은 구성 또는 스크립트일 수 있습니다. 스크립트를 사용하여 디바이스별 구성 파일을 생성하고 웹 서버에 대한 HTTP 요청 작업을 수행하여 특정 구성 파일 또는 소프트웨어 릴리스를 다운로드할 수 있습니다.
네트워크에서 필요한 소프트웨어 이미지 및 구성 파일을 찾기 위해 디바이스는 DHCP(Dynamic Host Configuration Protocol) 서버에 구성된 정보를 사용합니다. 이 정보를 제공하도록 DHCP 서버를 구성하지 않으면 디바이스가 사전 설치된 소프트웨어 및 기본 공장 구성으로 부팅됩니다.
특정 스위치의 경우 전화-홈 클라이언트(PHC)를 사용하여 스위치용 소프트웨어를 프로비저닝할 수 있습니다. 스위치가 부팅될 때 ZTP를 위해 DHCP 서버에서 수신된 DHCP 옵션이 있으면 ZTP가 재개됩니다. DHCP 옵션이 없으면 PHC를 시도합니다. PHC에 대한 자세한 내용은 Phone-Home 클라이언트를 사용하여 Virtual Chassis 프로비저닝을 참조하십시오.
브라우저에서 ZTP를 지원하는 플랫폼을 보려면 기능 탐색기로 이동합니다. Feature Explorer(기능 탐색기) 페이지의 Explore Features(기능 탐색 ) 섹션에서 All Features(모든 기능)를 선택합니다. 기능 제품군별로 그룹화된 기능 상자에서 Zero Touch Provisioning을 선택합니다. 피쳐 검색 편집 상자에 피쳐 이름을 입력할 수도 있습니다. ZTP 지원이 어떻게 확장되었는지에 대한 자세한 내용은 이 주제의 끝에 있는 릴리스 기록 표를 참조하십시오.
- ZTP 워크플로우
- 스크립트를 사용하여 장치 프로비전
- 제로 터치 프로비저닝 재시작 프로세스 트리거
- ZTP 관련 주의 사항
- PTX1000 라우터에서 WAN 인터페이스를 사용한 제로터치 프로비저닝
ZTP 워크플로우
디바이스가 기본 구성으로 부팅되면 다음 이벤트가 발생합니다.
-
DHCP 클라이언트는 지원되는 인터페이스에서 실행됩니다.
-
DHCP 서버는 IP 주소를 프로비저닝하고 ZTP 프로세스와 관련된 응답에 여러 DHCP 옵션을 포함합니다.
-
디바이스는 DHCP 옵션을 처리하고, 구성 파일을 찾고, 스크립트를 실행하고, 소프트웨어를 업그레이드 및/또는 다운그레이드합니다.
-
이미지와 구성 파일이 모두 있는 경우 이미지가 설치되고 구성이 적용됩니다.
-
이미지 파일만 있는 경우 이미지가 디바이스에 설치됩니다.
-
이미지가 디바이스에 이미 설치된 이미지와 동일한 경우 ZTP는 계속해서 설치 단계를 건너뜁니다.
-
디바이스에서 이미지를 가져올 수 없는 경우 ZTP는 이미지를 다시 가져오려고 시도합니다.
-
이미지가 손상되면 설치가 실패합니다.
어떤 이유로든 설치에 실패하면 ZTP가 다시 시작됩니다.
-
구성 파일만 있는 경우 구성이 다운로드됩니다.
파일의 첫 번째 줄이 #! 문자 뒤에 인터프리터 경로가 오면 파일은 스크립트로 간주되고 스크립트는 인터프리터에 의해 실행됩니다. 스크립트가 오류를 반환하면 ZTP 상태 시스템이 스크립트를 다시 가져오고 스크립트를 다시 실행하려고 시도합니다.
구성 파일을 다운로드할 수 없는 경우 ZTP 프로세스는 다시 다운로드를 시도합니다.
구성 파일이 손상되었거나, 구문 오류가 있거나, 디바이스에서 지원하지 않는 명령을 포함하는 경우 디바이스가 커밋할 수 없으며 재시도 메커니즘이 다시 시작됩니다.
-
이미지 또는 구성 파일이 없으면 ZTP 프로세스가 다시 시작됩니다.
-
파일 서버 정보가 없으면 ZTP 프로세스가 다시 시작됩니다.
-
구성이 커밋되면 ZTP 프로세스는 성공한 것으로 간주되어 종료됩니다.
스크립트를 사용하여 장치 프로비전
ZTP 프로세스 중에 새 네트워킹 디바이스를 연결하고 부팅하면 디바이스가 DHCP 서버에서 IP 주소를 요청합니다. 서버는 IP 주소를 제공하며, 구성된 경우 디바이스에 대한 소프트웨어 이미지 및 구성 파일의 파일 이름과 위치를 제공합니다. 구성 파일은 구성 또는 스크립트일 수 있습니다.
구성 파일이 제공되면 운영 체제는 파일의 첫 번째 줄을 기반으로 파일이 스크립트인지 여부를 결정합니다. 첫 번째 줄에 인터프리터 경로가 오는 문자 #! 가 포함된 경우 운영 체제는 파일을 스크립트로 처리하고 지정된 인터프리터를 사용하여 실행합니다.
스크립트가 오류(즉, 0이 아닌 값)를 반환하면 ZTP 상태 시스템이 스크립트를 다시 가져와 다시 실행하려고 시도합니다. 이 작업은 스크립트가 성공적으로 실행될 때까지 계속됩니다.
표 1 에는 지원되는 스크립트 유형, 해당 인터프리터 경로 및 ZTP 프로세스 중에 해당 스크립트 유형을 지원하는 플랫폼이 요약되어 있습니다.
| 스크립트 유형 |
인터프리터 경로 |
플랫폼 지원 |
|---|---|---|
| 셸 스크립트 |
|
모든 장치 |
| SLAX 스크립트 |
|
모든 장치 |
| Python 스크립트 |
|
향상된 자동화를 통해 Junos OS를 실행하는 디바이스 진화한 Junos OS를 실행하는 디바이스 |
보안상의 이유로 Junos OS는 Junos OS를 실행하는 디바이스에서 서명되지 않은 Python 스크립트를 실행하기 위한 엄격한 요구 사항을 가지고 있습니다. 향상된 자동화 기능을 갖춘 Junos OS를 실행하는 디바이스와 Junos OS Evolved를 실행하는 디바이스만 DHCP 옵션 43 서브옵션 01에서 서명되지 않은 Python 스크립트를 사용하여 지원합니다.
운영 체제가 인터프리터 경로에 뒤따르는 문자를 #! 찾지 못하면 파일을 텍스트 형식의 구성으로 처리하고 디바이스에 구성을 로드합니다.
제로 터치 프로비저닝 재시작 프로세스 트리거
ZTP는 다음 이벤트 중 하나가 발생하면 다시 시작됩니다.
-
구성 파일, 스크립트 파일 또는 이미지 파일에 대한 요청이 실패합니다.
-
구성 파일이 올바르지 않고 커밋이 실패합니다.
-
구성 파일 및 이미지 파일을 사용할 수 없습니다.
-
이미지 파일이 손상되어 설치에 실패합니다.
-
사용할 수 있는 파일 서버 정보가 없습니다.
-
DHCP 서버에 유효한 ZTP 매개 변수가 구성되어 있지 않습니다.
-
DHCP 클라이언트 인터페이스가 바운드 상태로 전환되지 않는 경우.
-
구성 파일 또는 이미지 파일을 가져오려는 6번의 시도 후 ZTP 트랜잭션이 실패합니다.
이러한 이벤트가 발생하면 ZTP는 DHCP 클라이언트가 구성한 모든 인터페이스(관리 및 네트워크)에서 DHCP 클라이언트 상태 시스템을 재설정한 다음 상태 시스템을 다시 시작합니다. 상태 시스템을 다시 시작하면 DHCP 클라이언트가 DHCP 서버 구성 매개 변수를 최신 가져올 수 있습니다.
ZTP가 다시 시작되기 전에 바운드 및 언바운드 DHCP 클라이언트 인터페이스 목록을 작성하는 데 충분한 시간을 허용하려면 약 15초에서 30초가 경과해야 합니다.
바인딩 및 언바인딩 DHCP 클라이언트 인터페이스 목록에는 다음이 포함될 수 있습니다.
-
항목이 없습니다.
-
다중 DHCP 클라이언트 인터페이스.
DHCP 서버로부터 모든 ZTP 매개 변수(소프트웨어 이미지 파일, 구성 파일 및 파일 서버 정보)를 수신한 DHCP 클라이언트 인터페이스에 우선 순위가 부여됩니다.
바운드 및 언바운드 클라이언트 인터페이스 목록이 생성되고 ZTP 활동을 위해 DHCP 클라이언트가 선택되면 기존 기본 경로가 삭제되고 선택된 DHCP 클라이언트 인터페이스가 새로운 기본 경로를 추가합니다. 새 기본 경로를 추가하기 위해 하나의 ZTP 인스턴스만 활성화할 수 있습니다.
ZTP가 다시 시작된 후 DHCP 클라이언트는 시도 사이에 10초에서 15초의 여유를 두고 최대 6회 동안 DHCP 서버에서 파일 가져오기를 시도합니다. 성공 여부에 관계없이 모든 시도가 기록되고 콘솔에서 볼 수 있습니다.
장애가 발생하거나 시도 횟수가 한도를 초과하면 ZTP가 중지됩니다. 그런 다음 ZTP는 DHCP 클라이언트 바인딩을 지우고 DHCP로 구성된 인터페이스에서 상태 시스템을 다시 시작합니다.
ZTP 재시작 프로세스는 소프트웨어 업그레이드가 성공하거나 운영자가 사용자 구성을 수동으로 커밋하고 ZTP 구성을 삭제할 때까지 계속됩니다.
ZTP 관련 주의 사항
EX 시리즈 스위치에는 두 가지 다운그레이드 제한이 있습니다.
-
ZTP가 지원되지 않는 Junos OS 릴리스 12.2 이전의 소프트웨어 버전으로 다운그레이드하는 경우, 제로터치 프로비저닝 프로세스의 구성 파일 자동 설치 단계가 발생하지 않습니다.
-
복원력이 있는 듀얼 루트 파티션(Junos OS 릴리스 10.4R2 이하)을 지원하지 않는 소프트웨어 버전으로 다운그레이드하려면 디바이스에서 몇 가지 수동 작업을 수행해야 합니다. 자세한 내용은 Configuring Dual-Root Partitions를 참조하십시오.
다음은 QFX 시리즈 스위치에 대한 주의 사항입니다.
-
원래 CLI를 실행하는 QFX3500 및 QFX3600 스위치에서는 ZTP를 사용하여 Junos OS 릴리스 12.2 이상에서 Junos OS 릴리스 13.2X51-D15 이상으로 업그레이드할 수 없습니다.
-
QFX5200 스위치는 15.1X53-D30의 HTTP에서만 작동합니다. FTP 및 TFTP 프로토콜은 지원되지 않습니다.
-
QFX5100 스위치를 위한 향상된 자동화가 포함된 Junos OS 이미지로 제로터치 프로비저닝(ZTP)을 수행하는 경우, 서버에서 가져온 구성 파일의 계층 구조에서
[edit system]루트 인증과 Chef 및 Puppet에 대한 공급자 이름, 라이선스 유형 및 배포 범위를 구성합니다.{ master:0} root# set root-authentication (encrypted-password password | plain-text-password password | ssh-dsa public-key | ssh-rsa public-key) root# set extensions providers juniper license-type customer deployment-scope commercial root# set extensions providers chef license-type customer deployment-scope commercial -
Junos OS 릴리스 18.1R1에서 소프트웨어를 업그레이드하는 경우 전체 소프트웨어 업그레이드를 수행해야 합니다. 전체 업그레이드에는 Junos OS 소프트웨어와 호스트 소프트웨어 패키지의 업그레이드가 모두 포함됩니다.
PTX1000 라우터에서 WAN 인터페이스를 사용한 제로터치 프로비저닝
제로터치 프로비저닝(ZTP)을 사용하면 최소한의 수동 개입으로 네트워크에서 라우터를 자동으로 프로비저닝할 수 있습니다. Junos OS 릴리스 19.3R1부터 WAN 인터페이스 또는 관리 인터페이스를 사용하여 ZTP 부트스트랩 프로세스 중에 라우터에 적절한 소프트웨어 및 구성 파일을 자동으로 다운로드하고 설치할 수 있습니다.
라우터를 네트워크에 처음 연결할 때 라우터에서 사용 가능한 WAN 포트를 선택하여 옵틱스를 연결할 수 있습니다. ZTP는 옵틱 유형에 따라 WAN 인터페이스를 자동으로 구성한 다음 디바이스를 DHCP(Dynamic Host Configuration Protocol) 서버에 연결하여 부트스트랩 프로세스를 수행합니다.
디바이스에 연결한 옵틱 유형과 WAN 인터페이스 속도를 기반으로 생성된 WAN 인터페이스는 ZTP가 성공적으로 완료될 때까지 지원되는 모든 포트 속도를 통해 자동 전환됩니다. 속도 자동 전환은 사용자가 연결한 광학 장치와 DHCP 서버에 대한 피어 엔드 디바이스 연결과 WAN 포트의 물리적 링크를 설정하도록 합니다.
PTX1000 Port Mapping(포트 매핑 )은 PTX1000 라우터의 포트에 사용할 수 있는 조합을 보여줍니다.
DHCP 옵션을 사용한 제로터치 프로비저닝
제로터치 프로비저닝(ZTP)을 사용하면 네트워크에 추가하는 주니퍼 네트워크 디바이스의 자동 프로비저닝이 가능합니다. 실행할 스크립트 또는 로드할 구성 파일을 사용하여 지원되는 모든 장치를 프로비저닝할 수 있습니다. 또한 ZTP를 사용하려면 이 절차에서 제공하는 필수 정보로 DHCP 서버를 구성해야 합니다.
선택적으로 전화기 홈 서버 또는 리디렉션 서버에 대해 HTTP 프록시 서버를 구성할 수 있습니다. 전화기 홈 클라이언트가 DHCP 옵션 43 서브옵션 8을 통해 HTTP 프록시 서버에 대한 정보를 수신하면 프록시 서버와 HTTPS 투명 터널을 생성합니다. 터널이 설정되면 전화기 홈 클라이언트는 터널을 전화기 홈 서버 또는 리디렉션 서버의 프록시로 사용합니다. 전화기-홈 클라이언트는 터널을 통해 소프트웨어 이미지 및 구성 파일을 디바이스로 다운로드합니다. 부트스트래핑이 완료되면 디바이스가 재부팅되고 터널이 종료됩니다.
ZTP를 사용하려면 디바이스가 공장 기본 상태여야 합니다. 공장 출하 시 장치는 사전 설치된 소프트웨어 및 공장 기본 구성으로 부팅됩니다. 현재 공장 기본 구성이 없는 디바이스에서 명령을 실행할 request system zeroize 수 있습니다.
명령은 request system zeroize PTX1000, PTX10001-20C, QFX10002-60C PTX10002-60C 장치에서 지원되지 않습니다. PTX1000 라우터에서 request vmhost zeroize 공장 기본 구성에 대해 명령(대신 request system zeroize)을 실행해야 합니다.
PTX10001-20C 장치에서 명령을 실행 request vmhost zeroize 한 후 다음 메시지가 두 번 표시됩니다. VMHost Zeroization : Erase all data, including configuration and log files ? [yes,no] (no) yes warning: Vmhost will reboot and may not boot without configuration Erase all data, including configuration and log files? [yes,no] (no) yes
시작하기 전에:
-
디바이스가 다음 네트워크 리소스에 액세스할 수 있는지 확인합니다.
-
네트워크에서 소프트웨어 이미지 및 구성 파일의 위치를 제공하는 DHCP 서버
구성 지침은 DHCP 서버 설명서를 참조하십시오.
-
소프트웨어 이미지 및 구성 파일이 저장되는 파일 전송 프로토콜(익명 FTP), HTTP(Hypertext Transfer Protocol), HTTPS(Hypertext Transfer Protocol Secure) 또는 TFTP(Trivial File Transfer Protocol) 서버
메모:TFTP가 지원되기는 하지만 FTP 또는 HTTP를 대신 사용하는 것이 좋습니다. 이러한 전송 프로토콜이 더 안정적이기 때문입니다.
주의:HTTP URL의 길이는 256자로 제한됩니다.
-
역방향 DNS 조회를 수행하기 위한 DNS(Domain Name System) 서버(지원되지 않음)
-
(선택 사항) 네트워크에서 시간 동기화를 수행하는 NTP 서버
-
(선택 사항) 시스템 로그 메시지 및 경고를 관리하기 위한 시스템 로그(syslog) 서버.
Syslog 메시지는 ZTP 중에 이 syslog 서버로 전달됩니다.
-
-
(선택 사항) 전화기 홈 서버 또는 리디렉션 서버에 대한 HTTP 프록시 서버.
-
장치의 MAC 주소를 찾아 기록합니다.
PTX10008 디바이스에서 관리 MAC 주소는 라우팅 엔진에 있습니다.
디바이스가 소프트웨어 업데이트 프로세스를 수행하는 동안에는 구성을 커밋할 수 없습니다. 디바이스가 구성 파일 자동 설치 프로세스를 수행하는 동안 구성을 커밋하면 프로세스가 중지되고 구성 파일이 네트워크에서 다운로드되지 않습니다.
DHCP 옵션을 사용하여 디바이스에 대한 제로터치 프로비저닝을 활성화하려면:
DHCPv6 옵션을 사용한 제로터치 프로비저닝
DHCPv6 옵션을 사용하는 제로터치 프로비저닝(ZTP)은 Junos OS Flex 이미지에서 지원되지 않습니다. Flex 이미지의 파일 이름에는 "flex"라는 단어가 있습니다. 다음은 Flex 이미지의 파일 이름 예입니다: jinstall-host-qfx-5e-flex-x86-64-20.4R3.8-secure-signed.tgz.
DHCPv6 프로토콜에는 서브넷 경로를 학습하고 설치하기 위한 IA_NA(비임시 주소에 대한 ID 연결)에 대한 서브넷 옵션이 없습니다. 대신 서브넷 경로는 Neighbor Discovery Protocol을 통해 설치됩니다.
IPv6에서 디바이스는 라우터 광고(RA) 메시지를 사용하여 다른 링크 매개 변수와 함께 IPv6 접두사를 주기적으로 보급합니다. 클라이언트(ZTP를 실행하는 주니퍼 디바이스)에서 DHCPv6 클라이언트가 바인딩되면 NDP(Neighbor Discovery Protocol)가 이러한 접두사를 학습하고 클라이언트 인터페이스를 통해 접두사 경로를 설치하며, 다음 홉을 게이트웨이 디바이스의 로컬 주소에 대한 링크로 사용합니다.
클라이언트 디바이스에서 라우터 광고 구성은 DHCPv6 구성과 함께 기본적으로 활성화됩니다.
-
디바이스가 다음 네트워크 리소스에 액세스할 수 있는지 확인합니다.
-
네트워크에서 소프트웨어 이미지 및 구성 파일의 위치를 제공하는 DHCP 서버
구성 지침은 DHCP 서버 설명서를 참조하십시오.
-
MX 시리즈에서는 소프트웨어 이미지 및 구성 파일이 저장되는 파일 전송 프로토콜(익명 FTP), TFTP(Trivial File Transfer Protocol), HTTP(Hypertext Transfer Protocol) 또는 HTTPS(Hypertext Transfer Protocol Secure) 서버입니다.
주의:HTTP URL의 길이는 256자로 제한됩니다.
-
EX3400, EX4300, QFX5100 및 QFX5200 디바이스에서 소프트웨어 이미지 및 구성 파일이 저장되는 HTTP(Hypertext Transfer Protocol) 또는 HTTPS(Hypertext Transfer Protocol Secure) 서버.
주의:HTTP URL의 길이는 256자로 제한됩니다.
-
(선택 사항) 전화기 홈 서버 또는 리디렉션 서버에 대한 HTTP 프록시 서버.
-
-
장치에 인쇄된 MAC 주소를 찾아 기록합니다.
제로터치 프로비저닝(ZTP)을 사용하면 네트워크에 추가하는 주니퍼 네트워크 디바이스의 자동 프로비저닝이 가능합니다. 실행할 스크립트 또는 로드할 구성 파일을 사용하여 지원되는 모든 장치를 프로비저닝할 수 있습니다.
ZTP를 사용하려면 DHCP 서버를 구성하여 필요한 정보를 제공해야 합니다. 이 정보를 제공하도록 DHCP 서버를 구성하지 않으면 디바이스가 사전 설치된 소프트웨어 및 기본 공장 구성으로 부팅됩니다. 디바이스가 공장 기본 상태가 아닌 경우 명령을 실행할 request system zeroize 수 있습니다.
선택적으로 전화기 홈 서버 또는 리디렉션 서버에 대해 HTTP 프록시 서버를 구성할 수 있습니다. 전화기 홈 클라이언트가 DHCP 옵션 17 서브옵션 8을 통해 HTTP 프록시 서버에 대한 정보를 수신하면 프록시 서버와 함께 HTTPS 투명 터널을 생성합니다. 터널이 설정되면 전화기 홈 클라이언트는 터널을 전화기 홈 서버 또는 리디렉션 서버의 프록시로 사용합니다. 전화기-홈 클라이언트는 터널을 통해 소프트웨어 이미지 및 구성 파일을 디바이스로 다운로드합니다. 부트스트래핑이 완료되면 디바이스가 재부팅되고 터널이 종료됩니다.
Junos OS 릴리스 20.2R1-S1부터 DHCPv6 클라이언트는 MX 시리즈, EX3400, EX4300, QFX5100 및 QFX5200 스위치를 지원합니다. DHCPv4 및 DHCPv6 클라이언트는 모두 기본 구성의 일부로 포함됩니다. 부트스트랩 프로세스 중에 디바이스는 먼저 DHCPv4 클라이언트를 사용하여 DHCP 서버의 이미지 및 구성 파일에 대한 정보를 요청합니다. 디바이스는 DHCPv4 바인딩을 순차적으로 확인합니다. DHCPv4 바인딩 중 하나에 장애가 발생하면 디바이스는 프로비저닝이 성공할 때까지 바인딩을 계속 확인합니다. 그러나 DHCPv4 바인딩이 없는 경우 디바이스는 DHCPv6 바인딩을 확인하고 디바이스가 성공적으로 프로비전될 수 있을 때까지 DHCPv4와 동일한 프로세스를 따릅니다. DHCP 서버는 DHCPv6 옵션 59 및 17과 해당 하위 옵션을 사용하여 DHCP 서버와 DHCP 클라이언트 간에 ZTP 관련 정보를 교환합니다.
디바이스가 소프트웨어 업데이트 프로세스를 수행하는 동안에는 구성을 커밋할 수 없습니다. 디바이스가 구성 파일 자동 설치 프로세스를 수행하는 동안 구성을 커밋하면 프로세스가 중지되고 구성 파일이 네트워크에서 다운로드되지 않습니다.
DHCPv6 옵션을 사용하는 디바이스에 제로터치 프로비저닝을 사용하려면:
SRX 시리즈 방화벽의 제로터치 프로비저닝
SRX 시리즈 방화벽의 제로터치 프로비저닝 이해
이 항목에는 다음 섹션이 포함되어 있습니다.
SRX 시리즈 방화벽의 ZTP 이해
제로터치 프로비저닝(ZTP)을 사용하면 디바이스를 자동으로 프로비저닝하고 구성할 수 있으므로 네트워크에 디바이스를 추가하는 데 필요한 대부분의 수동 개입을 최소화할 수 있습니다. ZTP는 SRX300, SRX320, SRX340, SRX345, SRX550M 및 SRX1500 디바이스에서 지원됩니다.
SRX300, SRX320, SRX340, SRX345, SRX550 HM 및 SRX1500 디바이스의 Junos OS 릴리스 20.2R1부터 DHCP 옵션과 함께 제로터치 프로비저닝을 사용하여 디바이스를 프로비저닝할 수 있습니다. 자세한 내용은 DHCP 옵션을 사용한 제로 터치 프로비저닝을 참조하십시오.
SRX 시리즈 방화벽의 ZTP는 디바이스의 전원이 켜질 때 디바이스의 초기 부팅 및 구성을 담당합니다. 이 기능에는 다음이 포함됩니다.
-
디바이스의 최소한의 부트스트래핑을 제공합니다. SRX 시리즈 방화벽은 공장 기본 구성으로 제공됩니다. 공장 기본 구성에는 보안 암호화 연결을 사용하여 중앙 서버에 연결하는 데 사용되는 리디렉션 서버의 URL이 포함됩니다.
-
인터넷을 통해 서버에 자동으로 연결하고, SRX 시리즈 방화벽이 공장 기본 구성으로 부팅될 때 고객 또는 사용자가 지정한 구성 및 Junos OS 이미지를 서버에서 다운로드합니다. 새 이미지가 먼저 설치된 다음 초기 구성이 SRX 시리즈 방화벽에 적용되고 커밋됩니다.
ZTP는 다음과 같은 이점을 제공합니다.
-
간소화되고 빠른 구축
-
구성 정확도 향상
-
추가 리소스 없이 네트워크 확장 지원
ZTP 프로세스는 Network Activator를 사용하여 SRX 시리즈 방화벽을 처음 프로비저닝합니다.
Network Activator 개요
Network Service Activator를 사용하면 복잡한 장치 설정을 제거하여 자동화된 구성을 위한 빠른 장치 검색 및 프로비저닝을 수행할 수 있습니다.
Network Activator는 처음에 최종 사용자 사이트에 상주하는 SRX 시리즈 방화벽(이하 이 문서에서는 원격 디바이스 라고 함)을 프로비저닝합니다. 원격 디바이스는 모든 상호 작용에 대해 전체 권한 부여 및 인증을 제공하는 프로세스를 사용하여 Network Activator를 호스팅하는 서버에서 부팅 이미지 및 초기 구성 파일을 다운로드합니다. 초기 프로비저닝이 완료되면 원격 디바이스는 관리 서버와 통신한 다음 관리 서버를 관리하고 모니터링하기 시작합니다.
Network Activator는 분산 아키텍처를 사용하여 원격 장치를 지원합니다. Network Activator는 하나의 중앙 관리 서버(중앙 서버)와 여러 지역 관리 서버(지역 서버)에 설치됩니다. 디바이스는 할당된 지역 서버와 직접 통신합니다. 분산 아키텍처는 초기 프로비저닝 프로세스의 효율성을 최적화하여 네트워크의 고성능 및 확장에 기여합니다.
그림 1 초기 프로비저닝 프로세스와 관련된 구성 요소와 분산 아키텍처를 보여 줍니다.
초기 프로비저닝과 관련된 구성 요소
초기 프로비저닝 프로세스에서 구성 요소의 역할은 다음과 같습니다.
-
원격 디바이스는 초기 프로비저닝에 대한 요청을 보냅니다. 원격 디바이스는 최종 사용자의 위치에 상주합니다.
-
리디렉션 도구는 ITU-T X.509 PKI(Private Key Infrastructure) 디지털 인증서를 사용하여 원격 디바이스가 할당된 지역 서버에 액세스할 수 있도록 인증 및 권한 부여를 제공합니다. 리디렉션 서비스는 주니퍼 네트웍스가 운영 및 유지 관리하는 AWS(Amazon Web Services)에서 호스팅됩니다.
-
중앙 서버는 Network Activator를 호스팅하고 지역 Activator 서버와 통신합니다. 서비스 프로바이더 또는 중앙 엔터프라이즈 위치의 관리자는 이 서버와 상호 작용하여 Network Activator를 설치하고 설정합니다. 중앙 서버는 서비스 제공자의 지리적 중심 위치에 위치한다.
-
지역 서버는 Network Activator도 호스팅합니다. 이 서버는 할당된 원격 장치에 대한 정보를 저장하고 해당 장치와 직접 통신합니다. 이 서버는 일반적으로 공급자가 최종 사용자에 대해 지정하는 지역 관리 위치에 있습니다.
그림 2 는 초기 프로비저닝 워크플로우를 보여줍니다.
을 위한 워크플로우
구체적으로 프로비저닝 워크플로는 다음과 같이 진행됩니다.
-
서비스 공급자의 관리자는 다음을 수행합니다.
-
중앙 서버에 Network Activator를 설치하고 설정합니다.
-
리디렉션 도구에서 원격 장치 및 지역 서버를 추가합니다.
-
-
중앙 서버는 설치를 지역 서버로 전달합니다.
-
최종 사용자는 원격 디바이스의 전원을 켜고, 컴퓨터에 연결하고, 웹 페이지에 인증 코드를 입력하여 초기 프로비저닝 요청을 보냅니다.
-
디바이스는 X.509 인증서와 FQDN(정규화된 도메인 이름)을 프로비전 요청으로 리디렉션 도구에 전송합니다.
-
리디렉션 도구는 데이터 저장소에서 관리자가 이 장치에 대해 지정한 지역 서버를 검색하고 장치의 요청이 서버에 지정된 X.509 인증서와 일치하는지 확인합니다.
-
리디렉션 도구는 지역 서버의 연락처 정보를 디바이스로 전송합니다.
-
디바이스는 부팅 이미지의 URL과 초기 구성 위치에 대한 요청을 지역 서버에 보냅니다.
-
지역 서버는 디바이스에 정보를 전송합니다.
-
디바이스는 지역 서버에서 부팅 이미지 및 구성을 가져옵니다.
-
디바이스는 부팅 이미지 및 구성을 사용하여 시작하고 작동합니다.
제한
-
올바른 활성화 코드를 입력하기 위한 시도 횟수에는 제한이 없습니다.
-
원격 디바이스가 서버에 연결할 수 없는 경우(공장 기본 구성에서 구성된 주소가 올바르지 않거나 서버가 다운되는 등의 경우) 원격 장치는 대체 서버에 연결을 시도합니다(공장 기본 구성으로 구성된 경우). 서버가 하나만 구성된 경우 연결을 다시 시도할 수 있습니다. 이러한 시나리오에서는 콘솔을 통해 디바이스를 수동으로 구성하는 것이 좋습니다.
-
활성화 코드를 입력하기 위해 사용자를 인증 웹 페이지로 자동 리디렉션하는 데 필요한 종속 포털 리디렉션은 지원되지 않습니다. 디바이스에 연결한 후 활성화 페이지로 수동으로 이동해야 합니다.
SRX 시리즈 방화벽에서 제로터치 프로비저닝 구성
시작하기 전에:
-
장치의 포장을 풀고, 설치하고, 필요한 케이블 연결을 완료하고, 랩톱 또는 기타 터미널 장치를 연결하고, 장치의 전원을 켭니다. 자세한 내용은 장치에 대한 하드웨어 설치 안내서 를 참조하십시오.
-
SRX300, SRX320, SRX340, SRX345 및 SRX550M 디바이스의 경우 관리 디바이스를 연결하고 J-Web 인터페이스에 액세스합니다.
자세한 내용은 SRX300, SRX320, SRX340, SRX345 및 SRX550M에서 각 디바이스의 빠른 시작 가이드를 참조하세요.
ZTP를 사용할 수 있는 옵션이 제공됩니다. 이 옵션을 사용하거나 건너뛰고 J-Web 마법사를 계속할 수 있습니다.
-
SRX1500 디바이스의 경우 J-Web을 사용하여 디바이스를 구성하기 전에 CLI에 액세스하여 루트 인증 및 관리 인터페이스를 구성해야 합니다. 자세한 내용은 SRX1500 서비스 게이트웨이를 설정하는 방법을 참조하십시오.
이 섹션에서는 디바이스의 초기 프로비저닝을 위해 SRX 시리즈 방화벽에서 ZTP를 사용하는 방법에 대한 단계별 지침을 제공합니다.
ZTP를 사용하여 SRX 시리즈 방화벽을 프로비저닝하는 방법:
- 관리 디바이스에서 웹 브라우저를 실행하고 그림 3과 같이 웹 페이지에 인증 코드를 입력합니다.
그림 3: ZTP
에 대한 활성화 코드 입력
디바이스가 성공적으로 인증되면 그림 4와 같이 서버에서 소프트웨어 이미지 및 초기 구성을 다운로드하기 시작합니다.
그림 4: ZTP 프로세스 시작(소프트웨어 이미지 다운로드)
이 단계에서 다음을 수행합니다.
-
활성화 코드가 서버로 전송되고 인증에 성공하면 서버가 초기 구성을 디바이스로 푸시합니다. 인증에 실패하면 올바른 코드를 입력하라는 메시지가 표시됩니다.
-
서버는 선택적으로 SRX 시리즈 방화벽에 새 소프트웨어 이미지를 푸시할 수 있습니다. 이 경우 새 이미지가 먼저 설치된 다음 초기 구성이 디바이스에 적용되고 커밋됩니다.
새 이미지가 설치된 다음 초기 구성이 디바이스에 적용되고 커밋됩니다. 프로세스가 완료되면 그림 5와 같이 확인 메시지가 표시됩니다.
그림 5: ZTP 프로세스
완료
-
시스템에 새 소프트웨어 이미지 및 구성을 성공적으로 설치한 후 클라이언트는 이미지 및 구성을 제공한 서버에 알림을 보냅니다 bootstrap-complete . 알림이 전송되면 서버 이름이 포함된 구성이 시스템에서 삭제됩니다. 다음에 ZTP를 사용할 때는 리디렉션 서버의 URL을 명시적으로 구성해야 합니다.
어떤 단계에서든 실패하면 절차가 다시 시작됩니다.
ZTP 프로세스는 Junos OS 버전을 업그레이드하거나 다운그레이드합니다. SRX 시리즈 방화벽에서 다운그레이드하는 동안 ZTP가 지원되지 않는 Junos OS 릴리스 15.1X49-D100 이전의 소프트웨어 버전으로 다운그레이드하면 ZTP 프로세스의 자동 설치 단계가 발생하지 않습니다.
SRX300, SRX320, SRX340, SRX345 및 SRX550M 디바이스의 경우 ZTP는 디바이스를 프로비저닝하는 기본 방법입니다. 그러나 J-Web 기반 프로비저닝(SRX300 디바이스 제품군 및 SRX550M 디바이스에 지원되는 J-Web 설정 마법사)을 사용하려면 ZTP 대신 클라이언트 포털에 제공된 옵션을 사용하여 디바이스의 초기 소프트웨어 구성을 수행하기 위한 J-Web 설정 마법사로 건너뛸 수 있습니다.
Skip to JWeb 옵션을 선택하는 경우 그림 6과 같이 시스템 루트 인증 암호를 구성해야 합니다.
구성
SRX1500 디바이스의 경우 JWeb으로 건너뛰 기 옵션이 지원되지 않습니다. J-Web에 액세스하려면 CLI를 통해 SRX1500의 초기 설정 중에 ZTP 클라이언트 구성을 삭제해야 합니다.
제로터치 프로비저닝을 위한 SRX 시리즈 방화벽의 공장 기본 구성 이해
서비스 게이트웨이는 공장 기본 구성으로 제공됩니다. 다음은 ZTP 구성을 포함하는 기본 구성의 샘플입니다.
system {
phone-home {
rfc-compliant;
server https://redirect.juniper.net;
}
}
이 구성에서는 다음 사항에 유의하십시오.
-
server서버의 이름 또는 IP 주소를 나타냅니다. SRX 시리즈 방화벽의 공장 기본 구성에는 두 개 이상의 서버 IP 주소가 포함될 수 있습니다. -
rfc-compliant는 업그레이드 후 서버가 RFC 표준을 준수하는 특정 동작을 적용함을 나타냅니다.
기본적으로 시스템 자동 설치 구성은 디바이스의 공장 기본 구성의 일부입니다. 따라서 관리자는 지역 서버에서 원격 디바이스(SRX 시리즈 방화벽)로 전송되는 구성 파일의 공장 기본 구성에 옵션이 포함되어 delete system autoinstallation 있는지 확인해야 합니다.
제로 터치 프로비저닝 모니터링
콘솔 및 운영 모드 명령을 사용하여 제로 터치 프로비저닝을 모니터링할 수 있습니다.
- 콘솔을 사용하여 Junos OS에서 제로터치 프로비저닝 모니터링
- 시스템 로그 경고를 사용하여 제로 터치 프로비저닝 모니터링
- 오류 메시지를 사용하여 제로 터치 프로비저닝 모니터링
- 시스템 로그 파일을 사용하여 Junos OS에서 제로터치 프로비저닝 모니터링 DHCP 옵션 사용
- DHCPv6 옵션을 사용하여 Junos OS에서 시스템 로그 파일을 사용하여 제로터치 프로비저닝 모니터링
- show dhcp client binding 명령 사용
- show dhcpv6 client binding 명령 사용
- show dhcp client statistics 명령 사용
- show dhcpv6 client statistics 명령 사용
콘솔을 사용하여 Junos OS에서 제로터치 프로비저닝 모니터링
다음 제로터치 프로비저닝(ZTP) 활동은 ZTP 프로세스 중에 콘솔에 표시됩니다.
-
ZTP 프로세스의 시작 및 종료 시간입니다.
-
바운드 및 언바운드 DHCP 클라이언트 인터페이스 목록.
-
DHCP 서버가 DHCP 클라이언트에 보내는 DHCP 옵션입니다.
-
ZTP에 사용되는 인터페이스를 나타내는 로그입니다.
-
DHCP 클라이언트가 DHCP 서버에서 가져오는 ZTP 매개 변수입니다.
-
구성 및 이미지 파일의 파일 이름, 파일 서버 이름, 파일을 가져오는 데 사용되는 프로토콜, DHCP 서버가 구성 및 이미지 파일을 가져오는 시간
-
파일이 서버에 없거나 연결할 수 없는 서버 및 시간 초과로 인해 발생하는 오류 상태입니다.
-
현재 ZTP 주기에서 재시도를 위해 수행된 시도 수 및 남은 시도 수.
-
파일 전송 완료.
-
ZTP 프로세스의 설치, 재부팅 및 상태.
-
내부 상태 오류 및 ZTP 프로세스 종료.
-
기본 경로가 추가 또는 삭제된 시기에 대한 로그입니다.
시스템 로그 경고를 사용하여 제로 터치 프로비저닝 모니터링
목적
이 예에서 시스템 로그 경고는 자동 이미지 업그레이드가 시작됨을 경고합니다.
행동
다음 시스템 로그 경고를 사용하여 자동 이미지 업그레이드 프로세스를 모니터링합니다.
“ALERT:Auto-image upgrade will start. This can terminate config CLI session(s). Modified configuration will be lost. To stop Auto-image, in CLI do the following: 'edit; delete chassis auto-image-upgrade; commit'.” “Checking whether image upgrade is already invoked”
의미
이 시스템 로그 경고는 자동 이미지 업그레이드가 시작됨을 나타내며 자동 이미지 업그레이드 프로세스를 중지하는 방법에 대한 정보를 제공합니다.
오류 메시지를 사용하여 제로 터치 프로비저닝 모니터링
시스템 로그 파일을 사용하여 Junos OS에서 제로터치 프로비저닝 모니터링 DHCP 옵션 사용
목적
시스템 로그 파일은 자동 업그레이드 프로세스의 상태, 바운드 및 언바운드 DHCP 클라이언트 인터페이스 목록, 파일 서버의 IP 주소, 이미지 및 구성 파일의 이름과 위치, 구성 및 이미지 파일을 가져오기 위한 성공 및 실패 시도에 대한 정보를 제공합니다.
행동
다음 시스템 로그 파일의 정보를 사용하여 자동 업그레이드 프로세스를 모니터링합니다.
Auto Image Upgrade: Start fetching config-file file from server 10.1.1.1 through irb using ftp Auto Image Upgrade: Tried [2] attempts to fetch config-file file from server 10.1.1.1 through irb. Summary: "Retrieving /config-file :: Failed to open file.". To retry [4] times. Auto Image Upgrade: Tried [4] attempts to fetch config-file file from server 10.1.1.1 through irb. Summary: "Retrieving /config-fileconfig-file :: Failed to open file.". To retry [2] times. Auto Image Upgrade: Tried [6] attempts to fetch config-file file from server 10.1.1.1 through irb. Summary: "Retrieving /config-file :: Failed to open file.". To retry [0] times. Auto Image Upgrade: All [6] attempts to fetch config-file file from server 10.1.1.1 through irb FAILED. Start retry again in few minutes.
의미
이러한 시스템 로그 파일은 파일 서버에서 구성 파일을 가져오려는 시도가 6회 실패했음을 나타내며, 파일 서버의 IP 주소, DHCP 클라이언트 인터페이스 이름 및 재시도 프로세스가 발생한 횟수입니다.
DHCPv6 옵션을 사용하여 Junos OS에서 시스템 로그 파일을 사용하여 제로터치 프로비저닝 모니터링
목적
시스템 로그 파일은 자동 업그레이드 프로세스의 상태, 바운드 및 언바운드 DHCP 클라이언트 인터페이스 목록, 파일 서버의 IP 주소, 이미지 및 구성 파일의 이름과 위치, 구성 및 이미지 파일을 가져오기 위한 성공 및 실패 시도에 대한 정보를 제공합니다.
행동
다음 시스템 로그 파일의 정보를 사용하여 자동 업그레이드 프로세스를 모니터링합니다.
Auto Image Upgrade: Tried [2] attempts to fetch junos-vmhost-install -20.2.tgz file from server 2001:db8::1 through et-0 /0/0:2. Summary: "fetch-secure: https://[2001:*: Connection refused". To retry [4] times. Auto Image Upgrade: Tried [4] attempts to fetch junos-vmhost-install -20.2.tgz file from server 2001:db8::1 through et-0 /0/0:2. Summary: "fetch-secure: https://[2001:*: Connection refused". To retry [2] times. Auto Image Upgrade: Tried [6] attempts to fetch junos-vmhost-install- 20.2.tgz file from server 2001:db8::1 through et-0 /0/0:2. Summary: "fetch-secure: https://[2001:*: Connection refused". To retry [0] times.
의미
이러한 시스템 로그 파일은 파일 서버, 파일 서버의 IP 주소, DHCPv6 클라이언트 인터페이스 이름 및 재시도 프로세스가 발생한 횟수에서 이미지 파일을 가져오려는 시도가 6번 실패했음을 나타냅니다.
show dhcp client binding 명령 사용
목적
show dhcp client binding 명령을 실행하여 DHCP 클라이언트 바인딩 정보를 표시합니다
행동
show dhcp client binding 명령을 실행하여 DHCP 클라이언트의 IP 주소, DHCP 클라이언트의 하드웨어 주소, DHCP 클라이언트의 IP 주소 임대가 만료되는 시간(초), 바인딩 테이블의 DHCP 클라이언트 IP 주소 상태 및 활성 클라이언트 바인딩이 있는 인터페이스의 이름을 표시합니다.
dhcp 클라이언트 바인딩 표시
user@device# show dhcp client binding IP address Hardware address Expires State Interface 10.0.0.0 00:22:83:2a:db:dc 0 SELECTING irb.0 10.6.6.13 00:22:83:2a:db:dd 49201 BOUND vme.0 10.0.0.0 00:22:83:2a:db:df 0 SELECTING xe-0/0/0.0 10.0.0.0 00:22:83:2a:db:e0 0 SELECTING xe-0/0/1.0
의미
이 명령의 출력은 바인딩된 하나의 클라이언트 인터페이스가 있고 DHCP 서버에서 DHCP 제안을 수신하는 세 개의 인터페이스가 있음을 보여 줍니다.
show dhcpv6 client binding 명령 사용
목적
show dhcpv6 client binding 명령을 실행하여 DHCP 클라이언트 바인딩 정보를 표시합니다
행동
show dhcp6 client binding 명령을 실행하여 DHCPv6 클라이언트의 IP 주소, DHCPv6 클라이언트의 하드웨어 주소, DHCPv6 클라이언트의 IP 주소 임대가 만료되는 시간(초), 바인딩 테이블의 DHCPv6 클라이언트 IP 주소 상태 및 활성 클라이언트 바인딩이 있는 인터페이스의 이름을 표시합니다.
dhcpv6 클라이언트 바인딩 표시
user@device# show dhcpv6 client binding IP/prefix Expires State ClientType Interface Client DUID 2001:db8::10 57 SELECTING STATEFUL em0.0 LL0x3-54:4b:8c:d3:a2:34 2001:db8::10 46 SELECTING STATEFUL em2.0 LL0x3-54:4b:8c:d3:a2:35 2001:db8::10 38 SELECTING STATEFUL et-0/0/0:0.0 LL0x3-54:4b:8c:d3:a2:3b 2001:db8::10 530 BOUND STATEFUL et-0/0/0:1.0 LL0x3-54:4b:8c:d3:a2:3c
의미
이 명령의 출력은 바인딩된 하나의 클라이언트 인터페이스가 있고 DHCP 서버에서 DHCPv6 제안을 수신하는 세 개의 인터페이스가 있음을 보여줍니다.
show dhcp client statistics 명령 사용
목적
명령을 실행하여 DHCP 클라이언트 통계를 show dhcp client statistics 표시합니다.
행동
show dhcp client statistics 명령을 실행하여 손실된 패킷 수, 송수신된 DHCP 및 BOOTP 메시지 수와 같은 DHCP 클라이언트 통계를 표시합니다.
dhcp 클라이언트 통계 표시
user@device# show dhcp client statistics
Packets dropped:
Total 14
Send error 14
Messages received:
BOOTREPLY 5
DHCPOFFER 1
DHCPACK 4
DHCPNAK 0
DHCPFORCERENEW 0
Messages sent:
BOOTREQUEST 6751
DHCPDECLINE 0
DHCPDISCOVER 6747
DHCPREQUEST 4
DHCPINFORM 0
DHCPRELEASE 0
DHCPRENEW 0
DHCPREBIND 0
의미
이 명령의 출력에는 오류와 함께 삭제된 패킷 수, 수신된 BOOTREPLY 및 DHCPOFFER 메시지 수, 전송된 BOOTREQUEST 및 DHCPREQUEST 메시지 수가 표시됩니다.
show dhcpv6 client statistics 명령 사용
목적
show dhcpv6 client statistics 명령을 실행하여 DHCPv6 클라이언트 통계를 표시합니다.
행동
show dhcpv6 client statistics 명령을 실행하여 손실된 패킷 수, 송수신된 DHCPv6 메시지 수와 같은 DHCPv6 클라이언트 통계를 표시합니다.
dhcpv6 클라이언트 통계 표시
user@device# show dhcpv6 client statistics
Dhcpv6 Packets dropped:
Total 20323
Bad Send 7580
Bad Options 12743
Messages received:
DHCPV6_ADVERTISE 13
DHCPV6_REPLY 109
DHCPV6_RECONFIGURE 0
Messages sent:
DHCPV6_DECLINE 0
DHCPV6_SOLICIT 879
DHCPV6_INFORMATION_REQUEST 0
DHCPV6_RELEASE 0
DHCPV6_REQUEST 9
DHCPV6_CONFIRM 0
DHCPV6_RENEW 61
DHCPV6_REBIND 41
의미
이 명령의 출력에는 오류로 인해 삭제된 패킷 수와 수신 및 전송된 DHCPV6 메시지 수가 표시됩니다.
변경 내역 테이블
기능 지원은 사용 중인 플랫폼 및 릴리스에 따라 결정됩니다. 기능 탐색기 를 사용하여 플랫폼에서 기능이 지원되는지 확인합니다.