🔐 Juniper EX 交換器基礎管理入門：帳號密碼設定、權限等級與管理介面存取控制
Juniper EX 系列交換器上機後第一件事，不是先設 VLAN，而是先把「誰能登入、能做什麼、從哪裡登入」這三件事定下來。這篇整理 帳號密碼設定、login class 權限等級，以及 Console、SSH、J-Web 三種管理介面的啟用與存取控制方式，作為後續 VLAN、routing、IRB 系列文章的基礎。
1️⃣ 出廠預設登入與 root 帳號
Junos OS 開機後預設只有 root 帳號，且沒有密碼。第一次進入 CLI 時系統會強制要求設定 root 密碼，在此之前部分操作（如 commit）會被擋下。root 帳號等同 Unix root，擁有 shell 存取權，平時管理不建議直接用它，應另外建立具名管理帳號並分派適當權限。
root@switch% cli
root@switch> configure
root@switch# set system root-authentication plain-text-password
New password:
Retype new password:
root@switch# commit💡 建議 root 密碼與日常管理帳號密碼分開管理，root 只在緊急救援或 recovery 情境使用，平常登入一律用具名帳號 + login class 限權。
2️⃣ 管理介面總覽比較
Junos 提供多種管理存取方式，各自適用情境與風險不同，上線前應該先決定哪些介面要開、哪些要關。
| 管理介面 | 傳輸加密 | 典型用途 | 建議狀態 |
|---|---|---|---|
| Console（RJ45/USB） | 不適用（實體連線） | 初始設定、救援、無網路可達時的最後手段 | 永遠保留，實體機房管制 |
| SSH | 有 | 日常 CLI 管理、自動化腳本（PyEZ / NETCONF over SSH） | 開啟，限制來源 IP |
| Telnet | 無 | 舊環境相容 | 停用 |
| J-Web（HTTPS） | 有（需設憑證） | 圖形化查看狀態、教育訓練展示 | 視需求開啟，限制來源或僅內網 |
| NETCONF/XML-RPC | 依傳輸層（通常搭配 SSH） | 自動化整合、組態備份工具 | 依自動化需求開啟 |
⚠️ Telnet 明碼傳輸帳密，若組態需符合資安基準（如 GCB），這一項通常會被列為必要停用項目，建議直接關閉。
3️⃣ 建立本機帳號與密碼原則
建立具名帳號並指定 login class，密碼建議使用 SHA 系列雜湊格式而非單純明碼輸入。
set system login user jh-admin uid 2001
set system login user jh-admin class super-user
set system login user jh-admin authentication plain-text-password
New password:
Retype new password:
commitJunos 內建密碼複雜度可以強制要求：
set system login password minimum-length 10
set system login password minimum-changes 3
set system login password change-type character-sets
set system login password format sha512💡 政府或受管制環境常見要求：密碼長度 ≥ 10、至少三類字元、定期強制變更。以上參數僅為示意，實際天數與長度仍要以你單位適用的資安規範為準，不要照抄。
4️⃣ login class 權限等級規劃
Junos 內建四種 login class，分工清楚，實務上不建議所有人都掛 super-user。
| 內建 class | 權限範圍 | 適用對象 |
|---|---|---|
| super-user | 完整設定與 shell 權限 | 核心網管人員，人數要少 |
| operator | 可執行操作型指令（clear、request、restart），不能改組態 | 值班人員、一線排障 |
| read-only | 僅能 show 類指令查看狀態 | 稽核、廠商支援協同查看 |
| unauthorized | 幾乎無權限，僅能登出 | 帳號停用但保留紀錄時使用 |
如果內建 class 不夠精細，可以自訂 permissions，例如只開放 VLAN 與介面相關指令：
set system login class vlan-op permissions interface
set system login class vlan-op permissions view
set system login class vlan-op deny-commands "clear"
set system login class vlan-op deny-commands "request system"5️⃣ 啟用並強化 SSH 管理
set system services ssh protocol-version v2
set system services ssh root-login deny
set system services ssh connection-limit 4
set system services ssh rate-limit 4重點三個設定：強制只用 SSHv2、禁止 root 直接 SSH 登入（逼你用具名帳號登入再依權限操作）、限制連線數與速率避免暴力破解。
6️⃣ J-Web 圖形介面設定與風險
J-Web 對新手或教育訓練展示很方便，但它是額外的攻擊面，尤其若沒換掉自簽憑證，瀏覽器會一直跳警告，久了使用者反而養成「看到憑證警告就無腦按繼續」的壞習慣。
set system services web-management https interface fxp0.0
set system services web-management https port 443
delete system services web-management http⚠️ 建議至少停用 HTTP、只留 HTTPS，並且把 J-Web 限定在管理介面（如 fxp0）上，不要開放在業務 VLAN 的介面上。
7️⃣ 管理介面存取來源限制
光是啟用/停用服務還不夠，建議額外用 firewall filter 限制能連進管理服務（SSH/HTTPS/NETCONF）的來源 IP 範圍，通常是管理 VLAN 或跳板機 IP。
set firewall family inet filter mgmt-acl term allow-mgmt from source-address 10.10.10.0/24
set firewall family inet filter mgmt-acl term allow-mgmt then accept
set firewall family inet filter mgmt-acl term deny-all then discard
set interfaces vme unit 0 family inet filter input mgmt-acl依機型不同，管理介面可能是 vme、me0 或 fxp0，套用前先用 show interfaces terse 確認實際名稱。
8️⃣ 登入逾時、失敗鎖定與 banner
set system login idle-timeout 10
set system login retry-options tries-before-disconnect 3
set system login retry-options backoff-threshold 2
set system login retry-options backoff-factor 5
set system login retry-options lockout-period 15
set system login message "本設備僅限授權人員存取，所有操作均予以記錄。"閒置 10 分鐘自動登出、連續登入失敗會遞增延遲並最終鎖定一段時間，是最基本的暴力破解防護，搭配前面的來源 IP 限制效果更完整。
9️⃣ 上線前檢查清單
| 項目 | 確認內容 |
|---|---|
| Root 密碼 | 已設定且非空白，與管理帳號密碼不同 |
| 具名帳號 | 每位管理人員各自獨立帳號，不共用 |
| login class | 依職責分派，super-user 人數最小化 |
| Telnet | 已停用 |
| SSH | v2 only，root-login deny，已限制來源 |
| J-Web | HTTP 已停用，僅 HTTPS，已限定介面 |
| 閒置逾時／失敗鎖定 | 已設定 |
| Login banner | 已加上授權存取聲明 |
📚 延伸閱讀（站內相關文章）
- Juniper 網路設備介紹 – Juniper 產品線與基本概念總覽，適合作為本篇的前置閱讀。
- Juniper RIP / RIP v2 設定 – 管理介面設定好之後，進一步的動態路由協定實作。
- Juniper DHCP（Junos OS）設定教學 – 交換器／路由器上的 DHCP 服務設定。
- Junos OS IRB 介面設定 – VLAN 間路由的核心概念，是本系列後續文章的主題之一。
- Junos PyEZ 自動化管理 – 當帳號與管理介面都設好之後，如何用 Python 做組態自動化。
- VLSM 子網路規劃 – 規劃管理 VLAN 與存取控制來源網段時的基礎知識。
- FortiGate 自動備份與組態比對（CLI/Schedule/Diff） – 同樣是網路設備管理主題，可對照 Juniper 與 FortiGate 在帳號與組態治理上的異同。
- FortiGate HA（FGCP）組態同步指南 – 多台設備管理一致性的實務案例。
✅ 結論與行動建議
這篇把「能不能登入、登入後能做什麼、從哪裡能登入」三層防線建起來，是 VLAN、routing、IRB 這些後續設定的前提。建議先在測試環境依序驗證 root 密碼、具名帳號、login class、SSH 強化與存取來源限制，確認無誤後再套用到正式環境。下一篇會接著把帳密安全這塊做深一點：本機帳號怎麼跟 RADIUS/TACACS+ 這類集中認證系統整合，以及密碼原則在稽核情境下常見的補強項目。
沒有留言: