1. Junos设备首次上线基础配置
任务场景与初始状态
一台新到货的 Juniper 路由器（以 MX 系列为例）出厂时处于出厂默认配置状态：无主机名、无管理 IP、无默认路由，仅可通过 Console 口登录。本案例的目标是完成基础初始化，使设备能被网管系统通过 SSH 纳管。
需要明确的关键对象与约束：
- 管理接口：
fxp0（MX 系列控制板管理口），属于带外管理通道，与业务转发口分离。 - 管理网段示例：
192.168.10.0/24，网关192.168.10.1，设备规划地址192.168.10.11/24。 - 远程登录：启用 SSH，禁用 Telnet，限制源地址为网管网段。
- 主机名规划：
MX-CORE-01，与网管系统资产命名一致。
配置实施过程
通过 Console 登录后进入 CLI，依次完成以下配置。Junos 采用“候选配置—提交”模型，所有修改先进入 candidate 配置，确认无误后 commit 生效。
# 进入配置模式
configure
# 1. 设置主机名
set system host-name MX-CORE-01
# 2. 配置管理接口 IP
set interfaces fxp0 unit 0 family inet address 192.168.10.11/24
# 3. 配置默认路由（指向管理网关）
set routing-options static route 0.0.0.0/0 next-hop 192.168.10.1
# 4. 启用 SSH 并限制源地址
set system services ssh
delete system services telnet
set system services ssh connection-limit 5
set firewall family inet filter MGMT-TERM term allow-ssh from source-address 192.168.10.0/24
set firewall family inet filter MGMT-TERM term allow-ssh from protocol tcp
set firewall family inet filter MGMT-TERM term allow-ssh from destination-port ssh
set firewall family inet filter MGMT-TERM term allow-ssh then accept
set firewall family inet filter MGMT-TERM term deny-all then discard
set interfaces fxp0 unit 0 family inet filter input MGMT-TERM
# 5. 提交配置
commit
首次上线建议使用
commit confirmed 5，若 5 分钟内未再次执行 commit，配置自动回滚，可防止远程配置错误导致失联。确认远程可达后再执行 commit 固化。配置生效后的数据流与验证路径
下图展示管理流量从网管系统到设备的完整路径，以及各验证点的对应关系。理解这条路径有助于判断“设备是否真正可被纳管”。
关键配置项与验证命令对照
| 配置目标 | 配置命令 | 验证命令 | 预期结果 |
|---|---|---|---|
| 主机名 | set system host-name MX-CORE-01 | show system host-name | MX-CORE-01 |
| 管理 IP | set interfaces fxp0 unit 0 family inet address 192.168.10.11/24 | show interfaces fxp0 terse | up up，地址正确 |
| 默认路由 | set routing-options static route 0.0.0.0/0 next-hop 192.168.10.1 | show route 0.0.0.0/0 | 下一跳 192.168.10.1 |
| SSH 启用 | set system services ssh | show system services | ssh 已启用 |
| Telnet 禁用 | delete system services telnet | show system services | 无 telnet 条目 |
| 源地址限制 | set firewall family inet filter MGMT-TERM ... | show firewall filter MGMT-TERM | 规则正确应用 |
若
commit confirmed 后远程 SSH 仍无法登录，设备将在超时后自动回滚到之前配置。此时需通过 Console 重新登录，检查 fxp0 接口状态、默认路由和防火墙过滤器是否存在误配。常见问题与排查要点
fxp0接口 down：检查物理连线、对端交换机端口状态和速率双工匹配。- 能 ping 通网关但无法 SSH：检查
MGMT-TERM过滤器是否误丢弃了源地址或目的端口。 - 提交后配置丢失：确认执行的是
commit而非仅commit check，或commit confirmed超时后未再次提交。 - 网管系统无法发现设备：确认 SNMP 团体字或 SNMPv3 用户已配置（本案例聚焦 SSH 纳管，SNMP 可在后续案例补充）。