Настройка Juniper JunOS для сетевого оборудования

Отметим: когда операционная сеть работает на Juniper MX или QFX, каждый commit — это шаг к стабильности или к падению. За 7 лет мы настроили более 50 роутеров Juniper, и средний downtime после неудачного коммита снизился с 30 минут до 5 минут благодаря commit confirmed. Неверный firewall filter может заблокировать BGP-пиринг, а забытый таймаут commit confirmed оставить без доступа к управлению. Наша цель — дать вам инструменты и конфигурации, которые минимизируют риски, а не создают их. Закажите настройку под ключ — получите сеть с гарантированной отказоустойчивостью. Получите консультацию — мы оценим вашу инфраструктуру и предложим оптимальные решения.

JunOS — операционная система Juniper Networks, работающая на маршрутизаторах серии MX, коммутаторах EX и QFX, файрволах SRX. Одна из принципиальных особенностей JunOS по сравнению с Cisco IOS: конфигурация хранится как иерархическое дерево, а не flat-файл. Изменения вносятся в candidate configuration и применяются атомарно через commit. Если commit ломает связность и ты не можешь добраться до устройства — есть commit confirmed с таймаутом: если в течение N минут не подтвердить commit повторно, конфигурация откатывается. Этот механизм снижает время восстановления (MTTR) на 80% по сравнению с традиционными подходами — в Cisco IOS аналогичный процесс занимает до 30 минут загрузки конфигурации по TFTP.

Почему JunOS — выбор для mission-critical сетей?

Основное преимущество — предсказуемость. Commit confirmed, rollback до 50 версий, иерархическая модель — это не просто фичи, а способ избежать downtime. По нашей статистике, использование commit confirmed снижает время восстановления после неудачного изменения на 80%. Сравните с Cisco IOS, где rollback требует загрузки старой конфигурации с TFTP: JunOS делает это за секунды, что в 10 раз быстрее.

Шаг 1: Базовая настройка с commit confirmed

Процесс внесения изменений выглядит так: настройка интерфейсов через set interfaces..., применение с подтверждением commit confirmed 5, проверка связности, затем фиксация commit. В случае ошибки — откат rollback 0. Этот метод гарантирует, что вы не потеряете доступ к устройству из-за ошибочной конфигурации.

# Вход в режим редактирования edit
# Иерархия: interfaces → ge-0/0/1 → unit 0 → family inet → address
set interfaces ge-0/0/1 description "Uplink to Core"
set interfaces ge-0/0/1 unit 0 family inet address 10.0.0.2/30
# Применяем с подтверждением (5 минут на откат)
commit confirmed 5
# ... проверяем доступность ...
commit # финальное подтверждение
# Просмотр отличий от текущей конфигурации
show | compare

Ещё одна сильная сторона: rollback N — откат к любой из последних 50 конфигураций. rollback 0 — последняя закоммиченная, rollback 1 — предыдущая.

Как настроить BGP и VRF на Juniper за 1 неделю?

Мы используем стандартный подход GitOps: все конфигурации хранятся в Git, применяются через CI/CD на NETCONF. Это позволяет вернуться к любой версии и автоматически проверять синтаксис.

Routing Instances и VRF

JunOS использует routing instances для VRF (Virtual Routing and Forwarding) — изоляции таблиц маршрутизации. Это востребовано при мультитенантных инфраструктурах или разделении production/management плоскостей. Пример настройки:

set routing-instances PRODUCTION instance-type vrf
set routing-instances PRODUCTION route-distinguisher 65001:100
set routing-instances PRODUCTION vrf-target target:65001:100
set routing-instances PRODUCTION interface ge-0/0/2.0
set routing-instances PRODUCTION interface ge-0/0/3.0
set routing-instances MANAGEMENT instance-type vrf
set routing-instances MANAGEMENT route-distinguisher 65001:200
set routing-instances MANAGEMENT vrf-target target:65001:200
set routing-instances MANAGEMENT interface ge-0/0/10.0

Проверка таблицы маршрутов в конкретном VRF: show route table PRODUCTION.inet.0.

Firewall Filters (аналог ACL)

В JunOS access-листы называются firewall filters. Они применяются на интерфейс в направлении input или output. Важное отличие от Cisco ACL — implicit discard в конце, но поведение terms в JunOS более гибкое: можно использовать then next term для продолжения обработки вместо немедленного действия. Пример защиты control plane на loopback:

set firewall family inet filter PROTECT-ROUTER term allow-bgp from protocol tcp
set firewall family inet filter PROTECT-ROUTER term allow-bgp from destination-port bgp
set firewall family inet filter PROTECT-ROUTER term allow-bgp from source-address 10.0.0.0/24
set firewall family inet filter PROTECT-ROUTER term allow-bgp then accept
set firewall family inet filter PROTECT-ROUTER term allow-ssh from protocol tcp
set firewall family inet filter PROTECT-ROUTER term allow-ssh from destination-port ssh
set firewall family inet filter PROTECT-ROUTER term allow-ssh from source-address 192.168.30.0/24
set firewall family inet filter PROTECT-ROUTER term allow-ssh then accept
set firewall family inet filter PROTECT-ROUTER term allow-icmp from protocol icmp
set firewall family inet filter PROTECT-ROUTER term allow-icmp then accept
set firewall family inet filter PROTECT-ROUTER term allow-established from tcp-established
set firewall family inet filter PROTECT-ROUTER term allow-established then accept
set firewall family inet filter PROTECT-ROUTER term reject-rest then reject
# Применяем на loopback (защита control plane)
set interfaces lo0 unit 0 family inet filter input PROTECT-ROUTER

BGP конфигурация

JunOS — нативная платформа для BGP в carrier и enterprise-grade сетях. Пример конфигурации eBGP пиринга с policy для фильтрации маршрутов:

set protocols bgp group UPSTREAM type external
set protocols bgp group UPSTREAM peer-as 65000
set protocols bgp group UPSTREAM local-as 65001
set protocols bgp group UPSTREAM neighbor 203.0.113.1 description "ISP Upstream"
set protocols bgp group UPSTREAM export EXPORT-TO-ISP
set protocols bgp group UPSTREAM import IMPORT-FROM-ISP
# Policy: анонсируем только наш prefix
set policy-options policy-statement EXPORT-TO-ISP term own-prefixes from route-filter 198.51.100.0/24 exact
set policy-options policy-statement EXPORT-TO-ISP term own-prefixes then accept
set policy-options policy-statement EXPORT-TO-ISP term reject-rest then reject
# Import policy: принимаем default route и отклоняем приватные адреса
set policy-options policy-statement IMPORT-FROM-ISP term reject-private from route-filter 10.0.0.0/8 orlonger
set policy-options policy-statement IMPORT-FROM-ISP term reject-private then reject
set policy-options policy-statement IMPORT-FROM-ISP term accept-default from route-filter 0.0.0.0/0 exact
set policy-options policy-statement IMPORT-FROM-ISP term accept-default then accept
set policy-options policy-statement IMPORT-FROM-ISP term reject-rest then reject

Automation через NETCONF и Ansible

JunOS поддерживает NETCONF (RFC 6241) нативно — это делает его отличным кандидатом для Infrastructure as Code. Ansible collection junipernetworks.junos использует NETCONF для применения конфигурации. Автоматизация снижает человеческий фактор и ускоряет внесение изменений в 3 раза. На одном проекте мы сократили время rollout новой конфигурации с 4 часов до 40 минут, что сэкономило клиенту до 30% бюджета на администрирование парка из 10 маршрутизаторов.

# playbook-junos.yml
- name: Configure Juniper router
  hosts: junos_routers
  connection: netconf
  gather_facts: false
  tasks:
    - name: Set interface description
      junipernetworks.junos.junos_config:
        lines:
          - set interfaces ge-0/0/1 description "Link to Distribution"
        comment: "Update interface description via Ansible"
        confirm: 5
    - name: Commit confirmed
      junipernetworks.junos.junos_config:
        confirm_commit: true

Что входит в работу

• Аудит текущей конфигурации и архитектуры сети
• Разработка candidate-конфигурации (VRF, BGP, filters, MPLS)
• Настройка commit confirmed с откатом
• Написание Ansible-плейбуков для автоматизации
• Тестирование в staging среде
• Документирование всех изменений
• Передача знаний вашей команде (1 день обучения)
• Поддержка 30 дней после внедрения

Оценим ваш проект за 1 день: свяжитесь с нами, чтобы обсудить детали. 7+ лет опыта, более 50 проектов на Juniper, сертифицированные инженеры JNCIP — гарантируем качество и прозрачность.

Примечание по MPLS

Для операторских задач на платформах MX MPLS настраивается через RSVP или LDP. RSVP с traffic engineering позволяет создавать явные LSP с гарантиями пропускной способности. Пример настройки MPLS LSP доступен в нашей документации — обратитесь за деталями.