telnet trusted hosts на Juniper MX-80

[qelso]

Всем доброго времени суток!

 

Не удается на Juniper MX80 порезать доступ на telnet.

У меня это первый Juniper. Такой, вроде, пустяковый вопрос поставил меня в тупик. Гуглил, но нужное не нашел.

Делаю так:

groups {
   my-trusted-hosts {
       firewall {
           family inet {
               filter telnet-acl {
                   term term-access {
                       from {
                           address {
                               10.10.10.0/24;
                           }
                       }
                       then accept;
                   }
                   term term-deny {
                       from {
                           address {
                               0.0.0.0/0;
                           }
                       }
                       then {
                           reject;
                       }
                   }
               }
           }
       }
   }
}
system {
   services {
       telnet {
           apply-groups my-trusted-hosts;
       }
   }
}

Не помогает, по телнету зайти можно отовсюду.

Прошу совета у форумчан.

[snvoronkov]

На лупбэк весить надо.

 

https://www.juniper.net/documentation/en_US/junos11.1/topics/example/firewall-filter-stateless-example-trusted-source-block-telnet-and-ssh-access.html

[qelso]

snvoronkov, друг, спасибо!

Завтра попробую.

[vvertexx]

и это... сразу консольный кабель приготовь, ещё несколько ошибок вижу

[v_r]

В таких ответственных случаях помогает (если не сказать спасает) commit confirmed 1.

[qelso]

Парни, спасибо!

Тут прям Juniper-братство)

Сделал так:

system {
   services {
       telnet;
   }
}
interfaces {
   lo0 {
       unit 0 {
           family inet {
               filter {
                   input telnet-acl;
               }
               address 10.10.10.1/32;
           }
       }
   }
}
firewall {
   filter telnet-acl {
       term term-access {
           from {
               source-address {
                   11.11.11.0/24;
                   12.12.12.0/24;
               }
               protocol tcp;
               destination-port [ telnet ssh ];
           }
           then accept;                
       }
       term term-deny {
           from {
               protocol tcp;
               destination-port [ telnet ssh ];
           }
           then {
               log;
               reject;
           }
       }
       term term-default {
           then accept;
       }
   }
}

По сути, взял из соседней темы

 

А как отменить commit confirmed 1? Просто commit?

Edited July 4, 2017 by qelso

[orlik]

чтоб отменить , нужно сделать rollback 1 и потом commit

 

P.S. незабывайте сделать show | compare перед коммитом

[qelso]

orlik, вроде как, просто commit, но все равно спасибо!

[rdc]

commit применит.

а для отмены достаточно просто подождать, оно само отменится

[vvertexx]

srx: если на выделенный vlan для управления поменять vlan-id - пропадает доступ до устройства до перетыкания кабеля(даже при commit confirmed и возврате старого id - теряешь доступ). На ex3200 - не пропадает.

проверял на srx210H2/srx240H/ex3200 с последними прошивками. Тот редкий случай, когда commit confirmed не спасает

[littlevik]

так красивее

set groups mgmt interfaces lo0 unit <*> family inet filter input mgmt

set apply-groups mgmt

в фильтр писать по вкусу...

[v_r]

littlevik Так удобнее если в большинстве routing-instance используется один и тот же фильтр.