Juniper NETWORKS Junos Space 网络管理平台软件用户指南

为了支持网络规模的快速增长，Junos Space 被设计为具有高度可扩展性。您可以对多个 Junos Space 设备进行集群以创建单个管理结构，该结构可通过单个虚拟 IP (VIP) 地址进行访问。
所有图形用户界面 (GUI) 和北向接口 (NBI) 客户端都使用 Junos Space VIP 地址连接到 Junos Space 结构。

该结构包含一个前端负载平衡器，可在结构内的所有活动 Junos Space 节点之间分配客户端会话。
您只需在 Junos Space 网络管理平台用户界面中添加或删除节点即可增加或减少结构，Junos Space 系统会自动启动活动节点上的应用程序和服务。

集群中的每个节点都得到充分利用，所有节点协同工作，提供自动化的资源管理和服务可用性。
由多个设备组成的 Junos Space 结构架构消除了任何单点故障。

当结构中的节点出现故障时，当前由该节点提供服务的所有客户端会话和设备连接都会自动迁移到结构中的活动节点，无需任何用户启动的操作。

相关文档

Junos Space Fabric 部署结束view

您可以安装和部署 Junos Space 虚拟设备以形成结构。结构中的每个设备称为一个节点。

结构中的所有节点作为以主动-主动配置运行的 Junos Space 实例集群一起工作（即集群中的所有节点均处于活动状态）。
图 1 显示了 Junos Space 结构如何采用软件负载平衡器在节点之间分配 HTTP 会话，以确保 Junos Space 网络管理平台用户界面和 NBI 客户端呈现的负载在结构内均匀分布。

Junos Space 设备结构可提供可扩展性并确保管理平台的高可用性。该架构提供了 N+1 冗余解决方案，其中架构中单个节点的故障不会影响架构的功能。
当结构中的节点发生故障时，从用户界面访问 Junos Space 的客户端会话会自动迁移出故障节点。同样，连接到故障节点的受管设备会自动与结构中另一个正常运行的节点重新连接。

部署 Junos Space 虚拟设备

Junos Space 虚拟设备以开放虚拟设备 (OVA) 格式存储，并打包为 *.ova file，这是一个包含所有 fileJunos Space 虚拟设备的 s。
OVA 不是可引导格式，您必须将每个 Junos Space 虚拟设备部署到托管 ESX 或 ESXi 服务器，然后才能运行 Junos Space 虚拟设备。

您可以在 VMware ESX 服务器版本 4.0 或更高版本或者 VMware ESXi 服务器版本 4.0 或更高版本上部署 Junos Space 虚拟设备。部署Junos Space虚拟设备后，您可以使用连接到Junos Space虚拟设备的VMware vSphere客户端
用于配置 Junos Space 虚拟设备的 VMware ESX（或 VMware ESXi）服务器。您可以在 qemu-kvm 版本 14.1-2.0/0.12.1.2.el2 上部署 Junos Space 虚拟设备 448R6 及更高版本。

您必须使用 Virtual Machine Manager (VMM) 客户端在 KVM 服务器上部署和配置 Junos Space 虚拟设备。
VMware ESX 服务器或 KVM 服务器提供的 CPU、RAM 和磁盘空间必须满足或超过记录的部署 Junos Space 虚拟设备的 CPU、RAM 和磁盘空间要求。此外，我们建议，对于多模式结构，您将第一个和第二个虚拟设备部署在单独的服务器上，以确保故障转移支持。

笔记： 从 VMware ESX Server 6.5 及更高版本开始，默认创建 32GB RAM、4 核 CPU 和 500GB 磁盘空间来执行或安装 OVA 映像。
分布式 Junos Space 虚拟设备 file使用 135 GB 磁盘空间创建。如果您创建多节点集群，请确保部署的第一个和第二个节点应包含相同数量的磁盘空间。当磁盘资源使用率超过80%时，请为磁盘分区添加足够的磁盘空间（10GB以上）。
登录VMware vSphere客户端或VMM客户端控制台时，需要指定部署虚拟设备所需的参数。有关如何在初始部署期间配置虚拟设备的详细说明，请参阅《Junos Space 虚拟设备部署和配置指南》。

Fabric 部署的基本要求

当您部署多个设备来创建 Junos Space 结构时，结构中的每个设备都使用 eth0 接口进行结构内的所有节点间通信。
在每个设备上，您可以选择使用单独的接口 (eth3) 来进行设备和受管设备之间的所有通信，如图 3 所示

部署 Junos Space 结构时需要满足以下条件：

您必须能够 ping 默认网关 IP 地址，否则结构将无法正确形成。
分配给结构中前两个设备上的 eth0 接口的 IP 地址必须位于同一子网中。
在结构中的第一个设备上配置的虚拟 IP 地址必须与前两个设备上的 eth0 接口位于同一子网中。
多播数据包必须可在所有节点之间路由，因为 JBoss 集群成员发现使用多播路由。
如果您要部署虚拟设备结构，我们建议将添加到该结构的第一台和第二台设备托管在单独的 VMware ESX 或 ESXI 服务器上，以确保故障转移支持。
结构中的所有设备必须使用相同的外部 NTP 源，以确保结构中所有设备的时间设置一致。在将设备添加到结构之前，您必须在每个设备上指定 NTP 源。
结构中的所有节点都运行相同版本的软件。

为 Junos Space Fabric 配置网络连接

Junos Space Virtual 设备有四个 RJ45 10/100/1000 以太网接口，分别命名为 eth0、eth1、eth2 和 eth3。部署设备时，您需要确保其具有以下 IP 连接。
您的托管网络中的设备
Junos Space 用户访问 Junos Space 用户界面的台式机、笔记本电脑和工作站以及托管 NBI 客户端的外部系统
与此设备一起构成 Junos Space 结构的其他设备
Junos Space 允许您使用四个以太网接口中的两个：eth0 和 eth3。另外两个以太网接口保留供将来使用。

您可以选择以下两个选项之一来配置接口的 IP 连接：
使用 eth0 接口进行设备的所有网络连接，如图 2 所示
使用 eth0 接口与 Junos Space 用户界面客户端和同一结构中的其他设备进行网络连接，并使用 eth3 接口与受管设备进行网络连接，如图 3 所示

将节点添加到 Junos Space Fabric

您必须被分配系统管理员用户角色才能将节点添加到 Junos Space 结构。您可以从“添加结构节点”页面（网络管理平台 > 管理 > 结构 > 添加结构节点）将节点添加到 Junos Space 结构。
要将节点添加到结构，您需要指定分配给新节点 eth0 接口的 IP 地址、新节点的名称以及（可选）将该节点添加到结构的计划日期和时间。 Junos Space 软件会自动处理所有必要的配置更改，以将节点添加到结构中。新节点添加到Fabric后，您可以在Fabric页面（网管平台 > 管理 > Fabric）监控节点的状态。
有关向结构添加节点的完整信息，请参阅向现有 Junos Space Fabric 添加节点主题（位于《Junos Space 网络管理平台工作区用户指南》中）。

朱诺斯空间系统管理

安装和升级 Junos Space 软件view

以下各节介绍了 Junos Space 网络管理平台和 Junos Space 应用程序的主要软件管理任务：
警告： 不要修改 file您从瞻博网络支持站点下载的软件映像的名称。如果您修改 filename，安装或升级失败。
笔记： Juniper 网络设备需要许可证才能激活该功能。要了解有关 Junos Space 网络管理平台许可证的更多信息，请参阅网络管理许可证。

有关许可证管理的一般信息，请参阅许可指南。请参阅产品数据表了解更多详细信息，或联系您的瞻博网络客户团队或瞻博网络合作伙伴。

安装 Junos Space 应用程序

安装应用程序之前，请验证该应用程序是否与 Junos Space 网络管理平台兼容。有关应用程序兼容性的详细信息，请参阅知识库文章 KB27572，网址为
https://kb.juniper.net/InfoCenter/index?page=content&id=KB27572.
您可以上传应用程序图片 file 从“添加应用程序”页面（管理应用程序 > 添加应用程序）访问 Junos Space。

您可以上传应用程序图片 file 通过使用 HTTP（通过 HTTP 上传）选项或安全复制协议 (SCP)（通过 SCP 上传）选项。
我们建议您上传 file 通过使用 SCP，它启动从 SCP 服务器到 Junos Space 的直接传输，并作为后端作业执行。
如果您选择上传 file 使用SCP，首先必须制作图像 file 在 Junos Space 可以访问的 SCP 服务器上可用。

您还必须提供 SCP 服务器的 IP 地址以及访问该 SCP 服务器所需的登录凭据。
主要优势tag使用 SCP 的好处是您的用户界面不会被阻止，而 file 传输正在进行中，您可以监控传输进度 file 从作业工作区传输。
笔记： Junos Space 节点也可以用作 SCP 服务器。为此，请复制应用程序映像 file （使用 SCP 或 SSH FTP [SFTP]）到 Junos Space 节点上的 /tmp/ 目录，并在“通过 SCP 上传软件”对话框中指定凭据（用户名和密码）、Junos Space 节点的 IP 地址、 CLI 凭据，以及 file 软件映像的路径。

图像之后 file 申请上传成功后，您可以 view 从添加应用程序页面添加应用程序。然后您可以选择应用程序 file 并单击“安装”按钮来安装该应用程序。应用程序安装过程不会导致 Junos Space 网络管理平台或 Junos Space 上安装的任何应用程序出现任何停机。 Junos Space 网络管理平台确保应用程序安装在 Junos Space 结构中的所有节点上，并且对应用程序的访问在 Junos Space 结构中的所有节点之间实现负载平衡。
有关安装 Junos Space 应用程序的更多信息，请参阅管理 Junos Space
申请结束view 主题（位于《Junos Space 网络管理平台工作区用户指南》中）。

升级 Junos Space 应用程序

您可以从 Junos Space 平台 UI 轻松升级 Junos Space 应用程序。您必须下载图像 file 对于新版本的应用程序，导航到应用程序页面（管理应用程序），右键单击要升级的应用程序，然后选择升级应用程序以上传图像 file 通过 HTTP 或 SCP 进入 Junos Space。
我们建议您使用 SCP 选项，该选项启动从 SCP 服务器到 Junos Space 的直接传输。
图像之后 file 已上传，选择已上传的 file 并单击升级按钮开始升级过程。

如果使用 SCP 执行升级，则升级过程将由 Junos Space 网络管理平台作为后端作业执行，并且您可以从作业工作区监控升级进度。应用程序升级不会导致 Junos Space 网络管理平台或 Junos Space 托管的其他应用程序停机。
有关升级 Junos Space 应用程序的更多信息，请参阅管理 Junos Space 应用程序view 主题（位于《Junos Space 网络管理平台工作区用户指南》中）。

升级 Junos Space 网络管理平台

瞻博网络通常每年发布两个主要版本的 Junos Space 网络管理平台。此外，每个主要版本可能会附带一个或多个补丁版本。

您可以通过从当前 Junos Space 平台的用户界面执行几个简单的步骤来升级到较新的 Junos Space 平台版本。
笔记： 如果要升级到 Junos Space Platform 版本 16.1R1 或 16.1R2，请按照《工作区用户指南》中升级到 Junos Space 网络管理平台版本 16.1R1 主题中概述的过程进行操作。
警告： 升级到新的 Junos Space 网络管理平台版本可能会禁用功能以及使用已安装的 Junos Space 应用程序的能力。在升级 Junos Space 网络管理平台之前，请清点已安装的应用程序。如果 Junos Space 网络管理平台升级且兼容的应用程序不可用，则安装的应用程序将被停用，并且在发布兼容的应用程序之前无法使用。

如果您要将 Junos Space Platform 升级到 Junos Space Platform 版本 16.1R1 以外的版本，则执行升级的工作流程与安装应用程序的工作流程类似。下载所需的图像后 file，（.img 扩展名）从瞻博网络软件下载站点，导航至应用程序页面（管理 > 应用程序），右键单击该图像 file，然后选择升级平台上传镜像 file 通过 HTTP 或 SCP 进入 Junos Space。我们建议您使用 SCP 选项，该选项启动从 SCP 服务器到 Junos Space 的直接传输，并作为后端作业执行。如果选择SCP选项，则必须先制作图像 file 在 Junos Space 可以访问的 SCP 服务器上可用。图像之后 file 已上传，选择已上传的 file，然后单击升级按钮开始升级过程。网络管理平台升级会强制系统进入维护模式，这要求您输入维护模式用户名和密码才能继续升级。
在 Junos Space 网络管理平台升级过程中，Junos Space 数据库中的所有数据都会迁移到新架构，该架构是新 Junos Space 版本的一部分。升级过程还会无缝升级结构中的所有节点。
升级过程需要重新启动所有节点上的 JBoss 应用程序服务器，如果操作系统软件包也升级，则可能还需要重新启动所有节点。升级所需的时间取决于许多因素，包括迁移的数据量、结构中的节点数量以及升级的第三方组件的数量。升级单节点结构的平均停机时间预计为 30 到 45 分钟，升级两节点结构的平均停机时间约为 45 到 60 分钟。

笔记： 您可以使用此工作流程从版本 18.1 或版本 17.2 升级到版本 17.1。如果要从 18.1 之前的版本升级到版本 16.1，则必须首先将安装升级到版本 16.1，然后升级到版本 17.1 或版本 17.2。如果不支持在要升级的版本和要升级到的版本之间直接升级，则必须执行多步升级。有关可升级 Junos Space 平台的版本的详细信息，请参阅 Junos Space 网络管理平台版本说明。
将 Junos Space 平台升级到版本 18.1 之前，请确保所有 Junos Space 节点上的时间已同步。有关在 Junos Space 节点上同步时间的信息，请参阅在 Junos Space 节点之间同步时间。
有关升级 Junos Space 网络管理平台的更多信息，请参阅
升级 Junos Space 网络管理平台view 《Junos Space 网络管理平台工作区用户指南》中的主题。

卸载 Junos Space 应用程序

要卸载 Junos Space 应用程序，请导航到应用程序页面（管理 > 应用程序），右键单击要卸载的应用程序，然后选择卸载应用程序。系统将提示您确认卸载过程。确认后，应用程序的卸载过程将由 Junos Space 作为后端作业执行。您可以从“作业管理”页面（作业 > 作业管理）监控作业的进度。卸载过程不会导致 Junos Space 网络管理平台或 Junos Space 网络管理平台托管的其他应用程序停机。
有关卸载 Junos Space 应用程序的更多信息，请参阅《Junos Space 网络管理平台工作区用户指南》中的卸载 Junos Space 应用程序主题。

Junos Space 平台支持的 Junos Space 应用程序

一些高级应用程序可用于 Junos Space 网络管理平台。您可以安装这些应用程序来简化网络运营、扩展服务、自动化支持以及为网络带来新的商机。

Junos Space 网络管理平台是一个多租户平台，使您能够安装热插拔应用程序。 Junos Space 自动在整个结构中部署已安装的应用程序。
您可以安装、升级和删除应用程序，而不会中断 Junos Space 网络管理平台或其他托管应用程序或导致任何停机。

目前，Junos Space 网络管理平台可使用以下应用程序：

Junos Space Log Director – 支持跨 SRX 系列防火墙收集日志并实现日志可视化
Junos Space Network Director – 支持对网络中的瞻博网络 EX 系列以太网交换机、支持 ELS 的 EX 系列以太网交换机、QFX 系列交换机、QFabric、无线 LAN 设备和 VMware vCenter 设备进行统一管理
Junos Space Security Director – 允许您通过创建和发布防火墙策略、IPsec VPN、网络地址转换 (NAT) 策略、入侵防御系统 (IPS) 策略和应用程序防火墙来保护您的网络

Junos Space Services Activation Director – 以下应用程序的集合，有助于自动设计和配置第 2 层 VPN 和第 3 层 VPN 服务、配置 QoS profiles、服务性能的验证和监控以及同步管理：
网络激活
Junos Space OAM 洞察
Junos Space QoS 设计
朱诺斯太空运输激活
Junos Space 同步设计
Junos Space 服务自动化——端到端解决方案，旨在简化 Junos OS 设备的操作并实现主动网络管理。服务自动化解决方案包含以下内容：
Junos Space 立即服务
Junos Space 服务洞察
高级洞察脚本（AI 脚本）
Junos Space Virtual Director – 支持各种瞻博网络虚拟设备和相关虚拟安全解决方案的配置、引导、监控和生命周期管理

笔记： 有关特定版本的 Junos Space 网络管理平台支持的 Junos Space 应用程序的信息，请参阅知识库文章 KB27572，网址为：
https://kb.juniper.net/InfoCenter/index?page=content&id=KB27572.

DMI 架构结束view

每种设备类型都由一个唯一的数据模型来描述，该模型包含该设备的所有配置数据。该数据模型的架构列出了一种设备类型的所有可能的字段和属性。
较新的架构描述了与最新设备版本相关的新功能。

Junos Space 网络管理平台提供对基于设备管理接口 (DMI) 架构的设备管理的支持。
您必须将所有设备架构加载到 Junos Space 网络管理平台中；否则，当您尝试使用设备工作区中的设备配置编辑操作编辑设备配置时，仅应用默认架构（如《Junos Space 网络管理平台工作区用户指南》中的修改设备上的配置中所述）。
如果 Junos Space 网络管理平台包含适合您的每台设备的正确架构，您就可以访问特定于每台设备的所有配置选项。您可以从管理工作区（管理 > DMI 模式）工作区添加或更新所有 Junos Space 设备的模式。您可以使用此工作区检查设备的架构是否丢失。在“管理 DMI 架构”页面上，以表格形式显示 view，如果该特定设备操作系统的 Junos OS 架构未与 Junos Space 网络管理平台捆绑在一起，则 DMI 架构列将显示需要导入。然后，您需要从 Juniper 架构存储库下载架构。

有关管理 DMI 架构的完整信息，请参阅 DMI 架构管理view 主题（位于《Junos Space 网络管理平台工作区用户指南》中）。

备份 Junos Space 平台数据库

您必须定期备份 Junos Space 数据库，以便可以将系统数据回滚到之前已知的点。
您可以在管理工作区的数据库备份和恢复页面（网络管理平台 > 管理 > 数据库备份和恢复）创建备份计划。

您可以存储备份 file 在当地 file Junos Space 设备的系统上，或使用安全复制协议 (SCP) 在远程服务器上。
笔记： 我们建议您备份 file位于远程服务器上，因为这可以确保备份 file即使设备出现错误，这些信息也可用。另外，如果您备份 file通过远程而不是本地，您可以确保 Junos Space 设备上磁盘空间的最佳利用。
要执行远程备份，您必须设置可通过 SCP 访问且具有可用 IP 地址和凭据的远程服务器。我们建议您在此服务器上有一个单独的分区来存储 Junos Space 备份，并在设置备份计划时在 Junos Space 用户界面中提供该分区的完整路径。您还可以指定第一次备份的开始日期和时间、所需的重复间隔（hourly、每日、每周、每月或每年），以及上次备份的日期和时间（如果需要）。在大多数情况下，我们建议您每天备份数据库。您可以根据组织的需求以及网络中发生的更改量自定义备份频率。此外，您可以安排备份在系统使用率较低时自动运行。创建备份计划可确保数据库备份在计划的时间和计划的重复间隔进行。您还可以根据需要从“管理”工作区的“数据库备份和还原”页面执行数据库备份

（网络管理平台 > 管理 > 数据库备份和恢复），通过清除控制发生时间和重复间隔的复选框。
无论是计划备份还是按需执行，每次成功的备份都会生成一个可在“数据库备份和还原”页面上找到的条目。您可以选择数据库备份条目并选择“Restore From Remote” File 将系统数据恢复到所选备份的操作。
笔记： 执行数据库恢复操作会导致 Junos Space 结构停机，该结构会进入维护模式以从所选备份恢复数据库，然后等待应用程序服务器重新启动。

有关对 Junos Space 网络管理平台执行备份和恢复操作的完整信息，请参阅备份和恢复数据库view 和备份 Junos Space 网络管理平台数据库主题（位于《Junos Space 网络管理平台工作区用户指南》中）。

配置用户访问控制view

Junos Space 网络管理平台提供了强大的用户访问控制机制系统，您可以使用该系统通过 Junos Space 管理员在 Junos Space 系统上实施适当的访问策略。
在 Junos Space 中，管理员可以担任不同的职能角色。 CLI 管理员安装和配置 Junos Space 设备。

维护模式管理员执行系统级任务，例如故障排除和数据库恢复操作。安装和配置设备后，您可以创建用户并分配角色，以允许这些用户访问 Junos Space Platform 工作区并管理应用程序、用户、设备、服务、客户等。
表 1 显示了 Junos Space 管理员和可以执行的任务。

表 1：Junos Space 管理员

您可以通过以下方式配置用户访问控制：

决定如何对用户进行身份验证和授权以访问 Junos Space 平台

根据允许访问的系统功能来隔离用户。您可以为不同的用户分配不同的角色集。 Junos Space 网络管理平台包括超过 25 个预定义用户角色，并允许您根据组织的需求创建自定义角色。当用户登录 Junos Space 时，用户可以访问的工作区以及他们可以执行的任务由分配给该特定用户帐户的角色决定。
根据允许访问的域来隔离用户。您可以使用 Junos Space 中的域功能将用户和设备分配到全局域创建子域，然后将用户分配到这些域中的一个或多个。
域是对象的逻辑分组，其中可以包括设备、模板、用户等。当用户登录 Junos Space 时，允许他们查看的对象集基于该用户帐户所分配到的域。

您可以使用多个域将大型、地理上遥远的系统分成更小、更易于管理的部分，并控制对各个系统的管理访问。您可以分配域管理员或用户来管理分配到其域的设备和对象。您可以设计域层次结构，使分配到一个域的用户不一定有权访问另一域中的对象。您甚至可以限制分配给域的用户 viewing 父域中的对象（在 Junos Space Release 13.3 中，来自 view全局域中的对象）。
例如amp例如，一个小型组织的整个网络可能只有一个域（全球域），而一个大型国际组织可能在全球域内有多个子域来代表其在世界各地的每个区域办事处网络。
以下各节介绍如何配置用户访问控制机制。

认证授权方式

要做出的第一个决定是关于您想要的身份验证和授权模式。 Junos Space 中的默认模式是本地身份验证和授权，这意味着您必须使用有效密码在 Junos Space 数据库中创建用户帐户，并向这些帐户分配一组角色。用户会话根据此密码进行身份验证，分配给用户帐户的角色集决定用户可以执行的任务集。
如果您的组织依赖于一组集中式身份验证、授权和记帐 (AAA) 服务器，您可以通过导航到管理工作区（网络管理平台 > 管理）中的身份验证服务器页面来配置 Junos Space 与这些服务器配合使用。

笔记：

您必须具有超级管理员或系统管理员权限才能将 Junos Space 配置为与这些服务器配合使用。

您需要知道远程 AAA 服务器的 IP 地址、端口号和共享密钥，才能配置 Junos Space 来访问它们。我们建议您在将服务器添加到 Junos Space 后立即使用“连接”按钮测试 Junos Space 与 AAA 服务器之间的连接。这会立即让您知道配置的 IP 地址、端口或凭据是否存在任何问题。
您可以配置 AAA 服务器的有序列表。 Junos Space 按照您配置的顺序联系他们；仅当第一个服务器无法访问时才会联系第二个服务器，依此类推。
您可以通过密码身份验证协议 (PAP) 或质询握手身份验证协议 (CHAP) 配置 RADIUS 或 TACACS+ 服务器。您可以在 Junos Space 维护的 AAA 服务器有序列表中混合使用 RADIUS 和 TACACS+ 服务器。

远程认证和授权有两种模式：仅远程和远程本地。
仅远程 - 身份验证和授权由一组远程 AAA 服务器（RADIUS 或 TACACS+）执行。
远程本地 - 在这种情况下，当远程身份验证服务器上未配置用户且服务器无法访问时，或者远程服务器拒绝用户访问时，如果 Junos 中存在此类本地用户，则使用本地密码空间数据库。

如果您使用仅远程模式，则不必在 Junos Space 中创建任何本地用户帐户。相反，您必须在您使用的 AAA 服务器中创建用户帐户并关联远程专业人员file 每个用户帐户的名称。远程专业人士file 是定义允许用户在 Junos Space 中执行的一组功能的角色集合。您创建远程专业人士file位于朱诺斯空间。有关远程专业版的更多信息files，请参阅“远程专业版files 远程专业版file 名称可以在 RADIUS 中配置为供应商特定属性 (VSA)，在 TACACS+ 中配置为属性值对 (AVP)。当 AAA 服务器成功验证用户会话时，远程 Profile 名称包含在发送回 Junos Space 的响应消息中。 Junos Space 查找远程专业人士file 基于这个远程专业版file 名称并确定允许用户执行的功能集。
即使在仅远程模式的情况下，您也可能希望在以下任一情况下在 Junos Space 中创建本地用户帐户。
您希望确保即使所有 AAA 服务器均已关闭，也允许用户登录 Junos Space。在这种情况下，如果Junos Space 数据库中存在本地用户帐户，则将根据本地数据对用户会话进行身份验证和授权。您可能会选择对一些重要的用户帐户执行此操作，即使在这种情况下您也希望确保其访问权限。

您希望使用设备分区将设备划分为子组并将这些子对象分配给不同的用户。您可以使用设备分区在多个子域之间共享物理接口、逻辑接口和物理清单元素。
仅 M 系列和 MX 系列路由器支持设备分区。有关详细信息，请参阅《Junos Space 网络管理平台工作区用户指南》中的创建设备分区主题。
有关用户身份验证的更多信息，请参阅 Junos Space 身份验证模式view 主题（位于《Junos Space 网络管理平台工作区用户指南》中）。

基于证书和基于证书参数的身份验证

Junos Space 网络管理平台支持基于证书和基于证书参数的用户身份验证。从15.2R1版本开始，您还可以通过基于证书参数的认证方式对用户进行认证。
使用基于证书和基于证书参数的身份验证，您可以根据用户的证书和证书参数对用户进行身份验证，而不是根据用户的凭据对用户进行身份验证。
这些身份验证模式被认为比基于密码的身份验证更安全。使用基于证书参数的身份验证，您最多可以定义四个在登录过程中进行身份验证的参数。通过 SSL 连接的基于证书和基于证书参数的身份验证可用于对各种服务器和用户之间的会话进行身份验证和授权。

这些证书可以存储在智能卡、USB 驱动器或计算机硬盘上。用户通常刷智能卡即可登录系统，而无需输入用户名和密码。
有关基于证书和基于证书参数的身份验证的更多信息，请参阅证书管理view 《Junos Space 网络管理平台工作区功能指南》中的主题。

用户角色

配置 Junos Space 时，您必须根据允许用户访问的系统功能来决定如何隔离用户。您可以通过为不同的用户分配一组不同的角色来实现此目的。

角色定义了允许 Junos Space 用户访问的工作区集合以及允许用户在每个工作区中执行的一组操作。
要评估 Junos Space 网络管理平台支持的预定义用户角色，请导航到“角色”页面（网络
管理平台 > 基于角色的访问控制 > 角色）。此外，Junos Space 网络管理平台上安装的每个 Junos Space 应用程序都有其预定义的用户角色。

角色页面列出了所有现有的 Junos Space 应用程序角色、其描述以及每个角色中包含的任务。
如果默认的用户角色不能满足您的需求，您可以通过导航到创建角色页面（网络管理平台 > 基于角色的访问控制 > 角色 > 创建角色）来配置自定义角色。
要创建角色，您可以选择允许具有此角色的用户访问的工作区，并为每个工作区选择用户可以从该工作区执行的任务集。

笔记： 您可能需要多次迭代创建用户角色才能获得组织所需的最佳用户角色集。
定义用户角色后，可以将它们分配给各种用户帐户（在 Junos Space 中创建的本地用户帐户的情况下）或分配给远程专业人员file用于远程授权。
有关配置用户角色的更多信息，请参阅基于角色的访问控制view 主题（位于《Junos Space 网络管理平台工作区用户指南》中）。

远程专业版files

远程专业版files 用于远程授权的情况。远程专业人士file 是定义允许用户在 Junos Space 中执行的一组功能的角色集合。没有远程专业人士file默认情况下创建的，您需要通过导航到“创建 Remote Pro”来创建它们file 页面（网络管理平台 > 基于角色的访问控制 > Remote Profiles > 创建远程 Profile）。创建远程专业版时file，您需要选择一个或多个属于它的角色。然后就可以配置远程pro的名称了file 远程 AAA 服务器中的一个或多个用户帐户。
当AAA服务器成功验证用户会话时，AAA服务器将包含配置的远程Profile 返回 Junos Space 的响应消息中该用户的名称。 Junos Space 查找远程专业人士file 基于此名称并确定用户的角色集。然后，Junos Space 使用此信息来控制用户可以访问的工作区集以及允许用户执行的任务。
笔记： 如果您决定使用本地授权和远程身份验证，则无需配置任何远程专业人士files。在这种情况下，您必须创建本地用户帐户并向这些用户帐户分配角色。配置的 AAA 服务器执行身份验证，对于每个经过身份验证的会话，Junos Space 根据数据库中本地为用户帐户配置的角色执行授权。

有关创建远程专业版的更多信息files，请参阅创建 Remote Profile 主题（位于《Junos Space 网络管理平台工作区用户指南》中）。

域

您可以从“域”页面（基于角色的访问控制 > 域）添加、修改或删除域。仅当您登录全局域时才能访问此页面，这意味着您只能在全局域中添加、修改或删除域。默认情况下，您创建的任何域都会添加到全局域下。添加域时，您可以选择允许该域中的用户对父域具有只读访问权限。
如果您选择这样做，则子域中的所有用户都可以 view 父域的对象处于只读模式。
笔记： 仅支持两个层次结构级别：全局域和您可能在全局域下添加的任何其他域。
有关管理域的更多信息，请参阅域view 主题（位于《Junos Space 网络管理平台工作区用户指南》中）。

用户帐户

在以下情况下，您需要在 Junos Space 中创建用户帐户：

• 执行本地身份验证和授权—您在Junos Space 中创建用户帐户。每个用户帐户必须包含有效的密码和一组用户角色。
要创建用户帐户，请导航至创建用户页面（网络管理平台 > 基于角色的访问控制 > 用户帐户 > 创建用户）。
要执行远程身份验证和本地授权 - 您为系统的每个用户创建一个用户帐户，并确保为每个用户帐户分配一组角色。由于身份验证是远程执行的，因此不必输入用户帐户的密码。
要执行远程身份验证和授权，并允许某些用户即使在所有 AAA 服务器均已关闭或无法从 Junos Space 访问的情况下也能够访问 Junos Space - 您可以使用有效密码为这些用户创建本地用户帐户。系统强制您为这些用户至少配置一个角色。但授权是基于远程pro进行的file AAA 服务器提供的名称。
执行远程身份验证和授权，同时覆盖指定用户的远程身份验证失败并允许他们访问 Junos Space - 典型场景是，您需要创建新的 Junos Space 用户，但无法立即访问以在 Junos Space 上配置该用户。远程 AAA 服务器。您必须为此类用户创建具有有效密码和有效角色集的本地用户帐户。
要执行远程身份验证和授权，同时还要根据域在用户之间隔离设备 - 由于必须将域分配给 Junos Space 中的用户对象，因此您必须创建远程代理fileJunos Space 中的 s 并为这些专业人员分配角色和域files.
笔记： 如果您决定使用本地授权和远程身份验证，则无需配置任何远程专业人士files。在这种情况下，您必须创建本地用户帐户并向这些用户帐户分配角色。配置的 AAA 服务器执行身份验证，对于每个经过身份验证的会话，Junos Space 根据数据库中本地为用户帐户配置的角色执行授权。
笔记： Junos Space 对有效密码强制实施某些规则。您可以从“应用程序”页面（网络管理平台 > 管理 > 应用程序）将这些规则配置为网络管理平台设置的一部分。右键单击该应用程序并选择修改应用程序设置。然后选择窗口左侧的密码。在后续页面上，您可以 view 并修改当前设置。
有关创建用户帐户的更多信息，请参阅“在 Junos Space 网络管理平台中创建用户”主题（位于《Junos Space 网络管理平台工作区用户指南》中）。

设备分区

您可以从设备页面（网络管理平台 > 设备 > 设备管理）对设备进行分区。您可以将设备划分为子组，然后通过将分区分配给不同的域来将这些子对象分配给不同的用户。一台设备只能将一个分区分配给一个域。
笔记： 仅 M 系列和 MX 系列路由器支持设备分区。
有关设备分区的更多信息，请参阅创建设备分区主题（位于《Junos Space 网络管理平台工作区用户指南》中）。

变更历史表

功能支持取决于您使用的平台和版本。使用功能资源管理器确定您的平台是否支持某功能。

发布	描述
15.2R1	从15.2R1版本开始，您还可以通过基于证书参数的认证方式对用户进行认证。

Junos Space 网络管理

Junos Space 平台中的设备管理

使用 Junos Space 管理网络时，必须首先通过设备发现专业程序发现网络中的设备file，将这些设备添加到 Junos Space Platform 数据库，并允许这些设备由 Junos Space Platform 管理。
当 Junos Space Platform 成功发现和管理设备时，会发生以下操作：
Junos Space 和每台设备之间建立专用设备管理接口 (DMI) 会话。此 DMI 会话通常建立在与设备的 SSHv2 连接之上。对于运行 Junos OS 导出版本的设备（ww Junos OS 设备），DMI 通过适配器使用 Telnet 连接。 DMI 会话将一直保持到设备从 Junos Space 中删除为止，这意味着在出现暂时性网络问题、设备重新启动、Junos Space 重新启动等情况下会重新建立会话。
当网络本身是记录系统 (NSOR) 时，Junos Space 将设备的完整配置和清单导入其数据库中。为了保持设备信息最新，Junos Space 会侦听设备引发的系统日志事件，这些事件指示设备配置或库存更改，并且 Junos Space 自动将其数据库与设备的最新信息重新同步。当 Junos Space 网络管理平台是记录系统 (SSOR) 时，Junos Space 会反映设备上的更改，但具有适当用户权限的 Junos Space 用户必须解决带外更改。
默认情况下，Junos Space 在设备发现期间自动在设备上插入适当的 SNMP 配置，从而将自身添加为 SNMP 陷阱目标；但是，您可以从网络管理平台 > 管理 > 应用程序网络管理平台 > 修改应用程序设置页面禁用此行为。
Junos Space 使用 SNMP 轮询从设备收集关键性能指标 (KPI)。要在受管设备上启用 SNMP 轮询，需要打开网络监控功能。
笔记： 默认情况下，所有设备的 Junos Space 网络监控均处于打开状态。
笔记： 从版本 16.1 R1 开始，您可以使用 NAT 服务器来发现和管理 Junos Space 网络外部且无法访问 Junos Space 平台的设备。
当您在管理 > 结构 > NAT 配置页面上添加 NAT 配置并在 NAT 服务器上添加转发规则时，通过 NAT 服务器转换的 IP 地址将添加到外部设备的出站 SSH 节。
以下部分列出了 Junos Space Platform 的设备管理功能。

发现设备

在发现 Junos Space 中的设备之前，请确保满足以下条件。
您了解要发现的设备的关键详细信息。您提供此信息作为发现设备的输入：
设备详细信息 - 要扫描的设备或子网的 IP 地址或主机名
凭据 - 在设备上具有适当用户权限的用户帐户的用户 ID 和密码
SNMP 凭据 - 如果您使用 SNMPv2c 或有效的 SNMPv3 凭据，则具有只读访问权限的社区字符串。如果您不打算使用 Junos Space 来监控受管设备的故障和性能，则不需要 SNMP 凭据。
可以从 Junos Space 服务器访问设备的 IP 地址。
设备上已启用 SSHv2（设置系统服务 ssh 协议协议版本 v2），并且沿途的任何防火墙都允许 Junos Space 连接到设备上的 SSH 端口（默认 TCP/22）。要发现运行 Junos OS 导出版本的设备，适配器必须安装在 Junos Space 上，并且必须在设备上启用 Telnet，并且可以从 Junos Space 进行访问。
设备上的 SNMP 端口 (UDP/161) 可从 Junos Space 访问，这允许 Junos Space 在设备上执行 SNMP 轮询以收集 KPI 数据以进行性能监控。
Junos Space 上的 SNMP 陷阱端口 (UDP/162) 可从设备访问，这允许设备将 SNMP 陷阱发送到 Junos Space 进行故障管理。
从Release 16.1R1开始，您可以创建设备发现专业版file （在“设备”工作区中）设置发现设备的首选项。验证先决条件后，您创建一个设备发现专业版file 从网络管理平台 > 设备 > Device Discovery Profile的页面。设备发现专业版file 包含发现设备的首选项，例如设备目标、探测、身份验证详细信息、SSH 凭据以及专业人员的计划file 应该运行来发现设备。
您还可以手动运行设备发现专业版file 从网络管理平台设备 > 设备发现 Profile的页面。完成发现过程所需的时间取决于多种因素，例如您要发现的设备数量、设备上的配置和清单数据的大小、Junos Space 与设备之间的可用网络带宽等等。
在 Junos Space 中成功发现您的设备后，您可以 view 网络管理平台 > 设备 > 设备管理页面中的设备。已发现设备的连接状态应显示“Up”，托管状态应为“In Sync”，如图 4 所示，这表示 Junos Space 与设备之间的 DMI 会话已启动，并且 Junos 中的配置和清单数据已启动空间与设备上的数据同步。

图 4：设备管理页面

有关发现和管理设备的完整信息，请参阅《Junos Space 网络管理平台工作区用户指南》中的设备工作区文档。

验证设备

从版本 16.1R1 开始，引入了设备身份验证的新增强功能。 Junos Space 网络管理平台可以使用凭据（用户名和密码）、2048 位或 4096 位密钥（使用 RSA、DSS 和 ECDSA 等公钥加密原理）或设备的 SSH 指纹对设备进行身份验证。您可以根据被管理设备所需的安全级别选择认证方式。
认证方式显示在“设备管理”页面的“认证状态”列中。您还可以更改身份验证模式。

您需要确保以下几点才能使用这些身份验证模式：

基于凭据 - 在设备连接到 Junos Space 平台之前，在设备上配置具有管理权限的设备登录凭据。
基于密钥（由 Junos Space 平台生成的密钥）- 默认情况下，Junos Space 安装包括初始公钥和私钥对。您可以从管理工作区生成新的密钥对，并将 Junos Space 的公钥上传到要从设备工作区发现的设备。 Junos Space 通过 SSH 登录这些设备，并在所有设备上配置公钥。您在设备发现过程中无需指定密码；您只需指定用户名。
基于自定义密钥——私钥和可选密码。您可以将私钥上传到 Junos Space Platform 并使用密码来验证私钥。您无需将私钥上传到设备。
有关设备身份验证的完整信息，请参阅《Junos Space 网络管理平台工作区用户指南》中的设备工作区文档。

View查询设备清单

Junos Space Platform 在数据库中维护所有托管设备的最新库存详细信息。这包括每个设备的完整硬件、软件和许可证清单，以及这些设备上所有物理和逻辑接口的详细信息。
您可以将托管设备与 Junos Space Platform 数据库重新同步，以获取当前配置和清单详细信息。
你可以 view 并从 Junos Space 用户界面导出硬件、软件和许可证清单详细信息以及设备的物理和逻辑接口。您可以从 Junos Space 用户界面确认设备上的清单更改。有关这些任务的完整信息，请参阅《Junos Space 网络管理平台工作区用户指南》中的设备工作区文档。

升级设备镜像

Junos Space Platform 可以成为所有设备操作系统映像的中央存储库，并提供在托管设备上下载和安装这些映像的工作流程。您可以上传，stage、验证设备镜像的校验和，并部署设备镜像和Junos
从图像和脚本工作区同时将连续性软件包打包到一个设备或同一设备系列的多个设备。有关升级设备映像的完整信息，请参阅《Junos Space 网络管理平台工作区用户指南》中的映像和脚本工作区文档。

变更历史表

功能支持取决于您使用的平台和版本。使用功能资源管理器确定您的平台是否支持某功能。

发布	描述
16.1R1	从版本 16.1 R1 开始，您可以使用 NAT 服务器来发现和管理 Junos Space 网络外部且无法访问 Junos Space 平台的设备。
16.1R1	从Release 16.1R1开始，您可以创建设备发现专业版file （在“设备”工作区中）设置发现设备的首选项。
16.1R1	从版本 16.1R1 开始，引入了设备身份验证的新增强功能。

Junos Space 平台中的设备配置管理

Junos Space Platform 维护每个受管设备完整配置的最新数据库副本。你可以 view 并从 Junos Space 用户界面修改设备配置。
由于 Junos 设备配置是根据 XML 模式进行描述的，并且 Junos Space 平台可以访问此模式，因此 Junos Space 用户界面使用此模式以图形方式呈现设备配置。
使用最新的架构，您可以 view 并配置所有配置选项，就像从设备 CLI 修改配置一样。
默认情况下，Junos Space Platform 在将网络视为记录系统 (NSOR) 的模式下运行。在此模式下，Junos Space Platform 侦听托管设备上的所有配置更改，并自动将其数据库副本与修改后的设备配置重新同步以反映更改。您可以将其更改为 Junos Space 将自身视为记录系统 (SSOR) 的模式。在此模式下，当 Junos Space Platform 收到有关受管设备上所做的带外配置更改的信息时，它不会自动将其设备配置副本与修改后的设备配置同步。相反，该设备被标记为 Device
改变了就可以了 view 变更并决定是否接受变更。如果您接受更改，更改将写入设备配置的 Junos Space Platform 数据库副本中。
如果您拒绝更改，Junos Space Platform 将从设备中删除配置。
有关 NSOR 和 SSOR 模式的完整信息，请参阅《Junos Space 网络管理平台工作区用户指南》中的设备工作区文档。
以下部分列出了 Junos Space Platform 的设备配置管理功能：

使用基于架构的方法修改设备配置

配置编辑器

您可以使用基于架构的配置编辑器修改单个设备上的配置。
要修改设备上的设备配置，请右键单击设备管理页面（在设备工作区中）列出的设备，然后选择修改配置。

你可以 view 以下细节：

设备上的当前配置
树 view 设备的配置层次结构。单击并展开此树以找到感兴趣的配置节。
有关设备上配置选项的更多信息，请参阅 Junos OS 技术文档。
用于过滤配置并在树中搜索特定配置选项的选项
单击树中的节点时显示配置节点的详细信息
在配置节点中导航时用于创建、编辑、删除和排序列表上的条目的选项
选择 view 有关各个参数的信息（蓝色信息图标）、添加有关各个参数的注释（黄色注释图标）以及激活或停用配置选项
预选选项view、验证配置并将其部署到设备
有关使用基于架构的配置编辑器修改和部署配置的完整信息，请参阅 Junos Space Network 中的设备工作区文档

管理平台工作区用户指南。

使用设备模板修改设备配置您可能需要创建通用配置更改并将其推送到多个设备。
您可以使用 Junos Space Platform 中的设备模板功能从 Junos Space 用户界面创建和部署更改。您首先创建一个模板定义，将设备模板的范围限制为特定设备系列和 Juno 操作系统版本。然后，您可以使用模板定义创建设备模板。
您还可以使用快速模板（不使用模板定义）创建和部署配置。您可以验证模板， view 多种格式的配置，并将配置部署（或计划部署）到多个设备。有关使用设备模板创建配置并将其部署到设备的完整信息，请参阅《Junos Space 网络管理平台工作区用户指南》中的设备模板工作区文档。

View配置更改

Junos Space Platform 跟踪在受管设备上进行的所有配置更改（来自基于架构的配置编辑器、设备模板功能、Junos Space 应用程序或设备 CLI）。
你可以 view 通过 Junos Space 用户界面以多种格式显示设备上的配置更改列表。到 view 配置更改列表，右键单击设备并选择 View 配置更改日志。每个配置更改日志条目都包含诸如时间之类的详细信息amp 更改的内容、进行更改的用户、XML 格式的配置更改、更改是从 Junos Space 进行还是带外进行，以及用于更改配置的应用程序或功能的名称。如果您已将 Junos Space Platform 设置为记录系统，设备上的带外配置更改会将设备的托管状态修改为“设备已更改”。
你可以 view 并通过选择设备并选择“解决带外更改”来解决此类带外更改。你可以 view 在设备上进行的所有带外更改的列表。您可以接受或拒绝更改。
有关完整信息 view有关配置更改的信息，请参阅《Junos Space 网络管理平台工作区用户指南》中的设备模板工作区文档。

备份和恢复设备配置 Files

Junos Space Platform 允许您维护多个版本的设备配置 fileJunos Space Platform 数据库中的 s（受管设备的运行、候选和备份配置）。
您可以恢复设备配置 file以防出现系统故障并在多个设备之间保持一致的配置。您可以从配置中选择并备份多个设备的配置 File的工作区。
单独的配置 file 在数据库中为每个受管设备创建。有关备份和恢复设备配置的完整信息 files，查看配置 File《Junos Space 网络管理平台工作区用户指南》中的工作区文档。
瞻博网络公司
1133创新方式
加利福尼亚州桑尼维尔 94089
美国
408-745-2000
www.juniper.net
瞻博网络、瞻博网络徽标、瞻博网络和 Junos 是瞻博网络公司的注册商标。
在美国和其他国家。所有其他商标、服务标志、注册标志或注册服务标志均为其各自所有者的财产。
Juniper Networks 对本文档中的任何不准确之处不承担任何责任。瞻博网络保留更改、修改、转让或以其他方式修改本出版物的权利，恕不另行通知。
Junos Space 网络管理平台入门指南 24.1
本文档中的信息截至标题页上的日期是最新的。

2000年通知

瞻博网络硬件和软件产品符合 2000 年标准。到 2038 年，Junos OS 没有已知的时间相关限制。但是，众所周知，NTP 应用程序在 2036 年会遇到一些困难。

最终用户许可协议

作为本技术文档主题的瞻博网络产品由瞻博网络软件组成（或旨在与瞻博网络软件一起使用）。
使用此类软件须遵守最终用户许可协议（“EULA”）的条款和条件，该协议发布于 https://support.juniper.net/support/eula/.
下载、安装或使用此类软件即表示您同意该 EULA 的条款和条件。

文件/资源

Juniper NETWORKS Junos Space 网络管理平台软件 [pdf] 用户指南
Junos Space 网络管理平台软件、Space 网络管理平台软件、网络管理平台软件、管理平台软件、平台软件、软件

参考

用户手册

Juniper NETWORKS Junos Space 网络管理平台软件

产品使用说明

Junos Space Fabric 架构