NETCONF 세션을 위한 SSH 연결 설정

SSH 연결의 경우, 구성 관리 서버(CMS)가 Junos 디바이스와의 SSH 연결을 처리합니다. 아웃바운드 SSH 연결의 경우 Junos 디바이스가 구성 관리 서버에 SSH 연결을 설정한 다음 구성 관리 서버가 SSH 세션을 제어합니다.

디바이스와 SSH 또는 아웃바운드 SSH 연결을 설정하려면 구성 관리 서버에 SSH 소프트웨어가 로컬로 설치되어 있어야 합니다. SSH 소프트웨어 확보 및 설치에 대한 정보는 다음을 참조하십시오.

• http://www.ssh.com

• http://www.openssh.com

Junos 디바이스에서 NETCONF 세션을 설정하려면 NETCONF 서비스를 활성화해야 합니다. 다음 포트에서 NETCONF 세션을 수락하도록 NETCONF 서버를 구성할 수 있습니다.

• 기본 NETCONF 포트(830) 또는 사용자 정의 포트

• 기본 SSH 포트(22)

디바이스가 NETCONF 트래픽을 보다 효과적으로 식별하고 필터링할 수 있도록 기본 NETCONF 포트를 사용하는 것이 좋습니다. 또는 기본 NETCONF 포트 대신 선택한 포트 번호에서 NETCONF 세션을 수락하도록 디바이스를 구성할 수 있습니다. 정의된 포트는 NETCONF-over-SSH 세션만 허용하고 일반 SSH 세션 요청은 거부합니다.

NETCONF를 활성화하고 디바이스에서 SSH 서비스도 활성화하는 경우, 디바이스는 기본 SSH 포트와 구성된 NETCONF 포트(기본 또는 사용자 정의 포트) 모두에서 NETCONF 세션을 수락합니다. 보안 강화를 위해 정보를 활용하는 UI_LOGIN_EVENT 이벤트 정책을 구성하여 SSH 포트가 수락하는 NETCONF 세션을 효과적으로 비활성화하거나 포트에서 NETCONF 서버 액세스를 추가로 제한할 수 있습니다.

Junos 디바이스에서 SSH를 통한 NETCONF 서비스 활성화:

1. 기본 NETCONF 포트(830) 또는 사용자 정의 포트에서 NETCONF 서비스를 활성화합니다.

   • 기본 NETCONF 포트(830)를 사용하려면 계층 수준에서 문을 포함 netconf ssh 해야 [edit system services] 합니다.

   • 특정 포트를 사용하려면 계층 수준에서 포트 번호 [edit system services netconf ssh] 로 문을 구성합니다port.

     캔의 port-number 범위는 1에서 65535까지입니다. 구성된 포트는 NETCONF-over-SSH 세션만 허용하고 일반 SSH 세션 요청은 거부합니다.

     메모:

     1에서 65535까지 모든 포트에서 NETCONF를 구성할 수 있지만, 일반적으로 다른 서비스에 할당된 포트에서 액세스를 구성해서는 안 됩니다. 이렇게 하면 잠재적인 리소스 충돌을 방지할 수 있습니다. FTP와 같은 다른 서비스에 할당된 포트를 구성하고 해당 서비스가 활성화된 경우 은( commit check 는) 리소스 충돌을 나타내거나 경고 메시지를 표시하지 않습니다.

2. (선택 사항) 또한 기본 SSH 포트(22)를 사용하여 NETCONF SSH 서브시스템에 대한 액세스를 활성화하려면 계층 수준에서 문을 [edit system services] 포함합니다ssh.

   이 구성은 모든 사용자 및 애플리케이션의 디바이스에 대한 SSH 액세스를 활성화합니다.

   메모:

   루트 사용자가 SSH 서비스를 사용하지 못하도록 제한하는 것이 기본 동작인 릴리스에서는 루트 사용자가 SSH를 통해 NETCONF 세션을 열 수 있도록 계층 수준에서 문을 [edit system services ssh] 구성해야 root-login allow 합니다.

3. (선택 사항) 응답하지 않는 NETCONF 클라이언트의 연결을 끊도록 디바이스를 구성합니다.

   클라이언트로부터 수신된 데이터가 없는 경우 sshd 프로세스가 응답을 요청하는 시간 초과 간격(초)을 지정합니다. 또한 연결 끊기를 트리거하는 누락된 클라이언트 활성 응답의 임계값을 지정합니다.

   메모:

   계층 수준에서 구성된 [edit system services netconf ssh] 문은 기본 포트(830) 또는 동일한 계층 수준에서 구성된 사용자 정의 포트를 통해 연결하는 NETCONF 세션에만 적용됩니다.

4. 구성을 커밋합니다.

5. 클라이언트 애플리케이션이 NETCONF 세션을 설정하는 각 Junos 디바이스에서 앞의 단계를 반복합니다.

구성 관리 서버는 NETCONF 세션을 설정하기 위해 Junos 디바이스에 로그인해야 합니다. 따라서 구성 관리 서버는 NETCONF 세션을 설정하는 각 디바이스에 사용자 계정이 필요합니다. 다음 지침은 Junos 디바이스에서 로컬 사용자 계정을 만드는 방법을 설명합니다. 또는 이 섹션을 건너뛰고 RADIUS 또는 TACACS+를 통해 인증을 활성화할 수 있습니다.

로컬 사용자 계정을 만들려면:

구성 관리 서버는 NETCONF 서버를 인증하기 위해 SSH 퍼블릭/프라이빗 키 쌍, 텍스트 기반 비밀번호 또는 둘 다 필요합니다. 계정이 SSH를 통해 NETCONF 서버에 연결하는 데만 사용되는 경우 키 쌍으로 충분합니다. 계정이 다른 방법(예: 콘솔에서 로그인)으로 디바이스에 액세스하는 데에도 사용되는 경우 텍스트 기반 암호가 있어야 합니다. 키 기반 인증이 구성되었지만 실패하는 경우에도 암호가 사용됩니다(SSH 서버에서 암호를 입력하라는 메시지가 표시됨).

텍스트 기반 암호를 만들려면:

클라이언트 애플리케이션은 구성된 키 쌍 또는 암호에 액세스하고 NETCONF 서버가 이를 요청하는 메시지를 표시할 때 이를 제공할 수 있어야 합니다.

응용 프로그램이 키 또는 암호에 액세스할 수 있도록 하는 방법에는 여러 가지가 있습니다.

• 퍼블릭/프라이빗 키를 사용하는 경우 ssh-agent 프로그램은 클라이언트 애플리케이션이 실행되는 디바이스에서 실행되며 프라이빗 키를 처리합니다.

• 사용자가 응용 프로그램을 시작하면 응용 프로그램은 사용자에게 암호를 묻는 메시지를 표시하고 암호를 안전한 방식으로 임시로 저장합니다.

• 암호는 안전한 로컬 디스크 위치 또는 보안 데이터베이스에 암호화된 형태로 저장됩니다.

아웃바운드 SSH를 위한 Junos 디바이스 구성:

아웃바운드 SSH용 Junos 디바이스를 구성할 때 디바이스는 구성 관리 서버와의 지속적인 연결을 유지하려고 시도합니다. 아웃바운드 SSH 세션이 설정되지 않을 때마다 디바이스는 디바이스의 구성 관리 서버 목록에 나열된 구성 관리 서버로 아웃바운드 SSH 시작 시퀀스를 보냅니다. 디바이스와의 연결을 설정하기 전에 이 시작 시퀀스를 수신하고, 디바이스와의 TCP 연결을 설정하고, 디바이스 ID를 디바이스로 다시 전송하도록 각 구성 관리 서버를 설정해야 합니다.

시작 시퀀스는 Junos OS 서버의 공개 키를 처리하도록 선택한 방식에 따라 두 가지 형식 중 하나를 취합니다.

공개 키가 구성 관리 서버에 수동으로 설치된 경우 시작 시퀀스는 다음과 같은 형식을 취합니다.

초기화 시퀀스 동안 디바이스가 구성 관리 서버에 공개 키를 전달하는 경우 시퀀스는 다음과 같은 형식을 취합니다.