Juniper路由器安全配置基线
abc123是trap-group组的名称，可自行设置。 基线符合性判定依据 1、 判定条件 查看最终配置确认是version 2即可 2、 检测操作 使用show configuration snmp命令查看配置 3、 补充说明 备注 4.1.9 配置可接收SNMP消息的主机地址
安全基线项目名称 安全基线编号 安全基线项说明 检测操作步骤 配置可接收SNMP消息的主机地址安全基线要求项 SBL-JuniperRouter-04-01-09 系统应配置可接收SNMP消息的主机地址。 1、参考配置操作 set snmp trap-group abc123 targets 10.1.1.1 set snmp trap-group abc123 targets 10.1.2.1 2、补充操作说明 1）、abc123是trap-group组的名称，可自行设置 2）、10.1.1.1和10.1.2.1是主机IP地址，即允许10.1.1.1.和10.1.2.1主机接收该网络设备的SNMP消息。 基线符合性判定依据 1、 判定条件 主机10.1.1.1和10.1.2.1可以收到路由器发过来的SNMP信息 2、 检测操作 1）、使用show configuration snmp命令查看配置 2）、查看IP 地址为10.1.1.1和10.1.2.1的主机 中国移动通信有限公司 第 22 页 共 42 页
Juniper路由器安全配置基线
补充说明 备注 4.1.10 RSVP标签分发协议*
安全基线项目名称 安全基线编号 安全基线项说明 检测操作步骤 RSVP标签分发协议安全基线要求项 SBL-JuniperRouter-04-01-10 启用RSVP标签分发协议时，打开RSVP协议认证功能，如MD5加密，确保与可信方进行RSVP协议交互 1、参考配置操作 set protocols rsvp interface fe-0/0/0.0 authentication-key abc123 2、补充操作说明 abc123为MD5加密密码。 基线符合性判定依据 1、 判定条件 各邻居状态为UP正常 各RSVP session状为 UP正常 2、 检测操作 1）、使用show configuration protocols rsvp命令查看配置 2）、使用show rsvp neighbor 命令查看rsvp邻居状态 3）、使用show rsvp session命令查看rsvp session 3、 补充说明 备注 根据应用场景的不同，如部署场景需开启此功能，则强制要求此项。 中国移动通信有限公司 第 23 页 共 42 页
Juniper路由器安全配置基线
第5章 其他安全要求
5.1 其他配置
5.1.1 定时账户自动登出
安全基线项目名称 安全基线编号 安全基线项说明 检测操作步骤 定时账户自动登出安全基线要求项 SBL-JuniperRouter-05-01-01 对于Juniper路由器，应配置定时账户自动登出。 1、参考配置操作 set system login class abc idle-timeout 5 2、补充操作说明 1）、abc是class组的名称； 2）、配置定时账户自动登出功能，仅能在自定义的class组里定义，不能在系统默认的组（如：super-user、read-only）中配置，因此，建议自定义class组。 基线符合性判定依据 1、 判定条件 当时间超时（这里设了10分钟），用户会自动退出路由器 2、 检测操作 1)、使用show configuration system login class abc查看配置 2)、在终端上用telnet方式登录路由器,输入用户名密码 3)、让用户处于空闲状态，查看当时间超时是否自动登出 3、 补充说明 备注 中国移动通信有限公司 第 24 页 共 42 页
Juniper路由器安全配置基线
5.1.2 配置consol口密码保护功能
安全基线项目名称 安全基线编号 安全基线项说明 检测操作步骤 consol口密码保护功能安全基线要求项 SBL-JuniperRouter-05-01-02 对于具备consol口的设备，应配置consol口密码保护功能。 1、参考配置操作 Juniper设备不具有console密码，登录方式是通过用户名和该用户名的密码登录。 2、补充操作说明 基线符合性判定依据 1、 判定条件 2、 检测操作 Juniper设备不具有console密码，登录方式是通过用户名和该用户名的密码登录。 3、 补充说明 备注 5.1.3 定期备份配置文件
安全基线项目名称 安全基线编号 安全基线项说明 检测操作步骤 定期备份配置文件安全基线要求项 SBL-JuniperRouter-05-01-03 开启配置文件定期备份功能，定期备份配置文件。 1、参考配置操作 set system archival configuration transfer-interval 2880 set system archival configuration archive-sites ftp://juniper@10.1.1.1 password abc123 中国移动通信有限公司
第 25 页 共 42 页
Juniper路由器安全配置基线
set system archival configuration archive-sites ftp://juniper@10.1.1.2 password abc123 2、补充操作说明 1）、2880是时间间隔，单位是分钟，时间间隔可设置的范围为15－2880; 2）、juniper是ftp的用户名称，10.1.1.1和10.1.1.2是ftp服务器的IP地址，abc123是登录frp服务器的密码；建议设置两个IP地址作为互备； 3）、定期备份仅能通过ftp服务备份； 4）、通过定期备份配置文件，时间间隔较短，即备份比较频繁，建议采用transfer-on-commit 方式，即只要执行commit指令，配置将自动备份到ftp服务器，指令为 set system archival configuration transfer-on-commit； 5）、transfer-interval和transfer-on-commit 方式不能共存。 基线符合性判定依据 1、 判定条件 在路由器上执行commit后，路由器将发送当前配置文件到FTP服务器，在FTP服务器上可查看到最新的配置备份文件。 2、 检测操作 1）、使用show configuration system archival命令查看配置 2）、设定为transfer-on-commit模式 3）、在路由器上执行commit命令 4）、在FTP服务器10.1.1.1和10.1.1.2上查看备份文件 3、 补充说明 备注 5.1.4 关闭不必要的服务*
安全基线项目名称 安全基线编号 安全基线项说明 检测操作步骤 关闭不必要的服务安全基线要求项 SBL-JuniperRouter-05-01-04 关闭网络设备不必要的服务，比如FTP、TFTP服务等 1、参考配置操作 中国移动通信有限公司 第 26 页 共 42 页