リモート管理のためのセキュアなWebアクセス

J-Webインターフェイスを介して、ジュニパーネットワークスのデバイスをリモートで管理できます。デバイスと通信するために、J-Webインターフェイスはハイパーテキスト転送プロトコル(HTTP)を使用します。HTTP を使用すると Web に簡単にアクセスできますが、暗号化はできません。HTTPを介してWebブラウザとデバイス間で送信されるデータは、傍受や攻撃に対して脆弱です。セキュアなWebアクセスを有効にするために、ジュニパーネットワークスのデバイスはHTTP over Secure Sockets Layer(HTTPS)をサポートしています。必要に応じて、特定のインターフェイスとポートでHTTPまたはHTTPSアクセスを有効にできます。

ジュニパーネットワークスのデバイスは、SSL(Secure Sockets Layer)プロトコルを使用して、Web インターフェイスを介してセキュアなデバイス管理を提供します。SSLは、SSLサービスを提供するためにペアなプライベートキーと認証証明書を必要とする公開-プライベートキー技術を使用しています。SSLは、SSLサーバー証明書でネゴシエートされたセッションキーでデバイスとWebブラウザ間の通信を暗号化します。

SSL証明書には、認証機関(CA)が作成した公開キーや署名などの識別情報が含まれます。HTTPS経由でデバイスにアクセスすると、SSLハンドシェイクがサーバーとクライアントを認証し、セキュアなセッションを開始します。情報が一致しない場合、または証明書の有効期限が切れている場合、HTTPSを介してデバイスにアクセスすることはできません。

SSL暗号化を使用しないと、デバイスとブラウザ間の通信がオープンに送信され、傍受される可能性があります。WANインターフェイスでHTTPSアクセスを有効にすることをお勧めします。

HTTPアクセスは、組み込みの管理インターフェイスでデフォルトで有効になっています。デフォルトでは、HTTPSアクセスはSSLサーバー証明書を持つすべてのインターフェイスでサポートされています。

ジュニパーネットワークスのEXシリーズイーサネットスイッチを工場出荷時のデフォルト設定で初期化すると、スイッチが自己署名証明書を生成し、SSL(Secure Sockets Layer)プロトコルを介してスイッチに安全にアクセスできます。Hypertext Transfer Protocol over Secure Sockets Layer (HTTPS) と XML Network Management over Secure Sockets Layer (XNM-SSL) は、自己署名証明書を使用できる 2 つのサービスです。

スイッチには、自己署名証明書を生成するための 2 つの方法があります。

• 自動生成

  この場合、証明書の作成者はスイッチです。デフォルトでは、自動生成された(「システム生成」とも呼ばれる)自己署名証明書がスイッチに設定されます。

  スイッチが初期化された後、自動生成された自己署名証明書の存在を確認します。見つからない場合は、スイッチが生成してファイルシステムに保存します。

  スイッチによって自動的に生成される自己署名証明書は、SSHホストキーに似ています。これは、設定の一部としてではなく、ファイルシステムに保存されます。スイッチが再起動されてもこの情報は維持され、 request system snapshot コマンドを発行しても保持されます。

  スイッチは、自動生成された証明書に次の識別名を使用します。

  " CN=<デバイスのシリアル番号>、CN=システム生成、CN=自己署名"

  スイッチ上でシステム生成された自己署名証明書を削除すると、スイッチは自動的に自己署名証明書を生成します。

• 手動生成

  ここでは、スイッチの自己署名証明書を作成します。いつでもCLIを使用して自己署名証明書を生成できます。手動で生成された自己署名証明書は、設定の一部としてではなく、ファイルシステムに保存されます。

自己署名証明書は、生成されてから5年間有効です。自動生成された自己署名証明書の有効期限が切れたら、スイッチから削除して、スイッチが新しい自己署名証明書を生成するようにすることができます。

システム生成の自己署名証明書と手動で生成された自己署名証明書は、スイッチ上で共存できます。

この例では、デバイス上でセキュアなWebアクセスを設定する方法を示しています。