Wat moet klop voordat 'n MX IPsec kan termineer
'n Commit wat die konfigurasie aanvaar, bewys die ontleder, nie die pad nie. Vyf dele van die platformtupel bepaal of die diens werklik loop.
Die konfigurasie commit skoon, die interfaces kom op, en die tonnel weier steeds om te vestig. Niks in die log sê die platform kan dit nie doen nie; dit doen dit eenvoudig nie. Op Junos is IPsec 'n diens wat 'n spesifieke kombinasie van chassis, dienshardeware of sagtewarepad en weergawe kan lewer, en 'n funksiebladsy beskryf die sagteware se vermoë, nie jou toestel nie. Die tupel moet deel vir deel nagegaan word, want 'n commit-resultaat bewys net die ontleder.
Waar die pakkie werklik heen gaan
Verkeer wat vir IPsec gekies is, moet die komponent bereik wat dit versleutel. Op platforms met 'n diensmodule word die gekose vloei na daardie module gestuur en keer daarna terug na die aanstuurpad. As die module ontbreek, te klein is of nie aan die interface gebind is nie, bestaan die konfigurasie en word geen pakkie ooit verwerk nie. Niks in die commit-uitset onderskei daardie geval van 'n gesonde een nie.
Sagteware-gehoste implementerings hou die werk op die routing engine of in inline hardeware, met baie verskillende hulpbronbeperkings. 'n Tonnel wat in die konfigurasie sigbaar is, sê nie vir jou watter van daardie paaie dit werklik dra nie.
Die vyf dele van die tupel
Skryf die kombinasie neer voordat jy enige aanbeveling lees, want een deel kan die ander ongeldig maak. 'n Deelnommer wat drie jaar gelede 'n diens ondersteun het, sê niks oor die kaart en weergawe in hierdie chassis nie. Lees die rye hieronder as die kontrolelys en vul dan die waardes in wat die konfigurasie jou nie kan wys nie.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
Die adresfamilies en die werklading is die twee rye wat mense oorslaan, en albei is goedkoop om na te gaan en duur om later te ontdek. Lees die tupel uit die toestel eerder as uit 'n sigblad, want 'n konfigurasie rapporteer wat jy aangevra het, nie wat geïnstalleer is nie. Twee opdragte dra die meeste daarvan: show chassis hardware noem die kaart wat werklik ingesit is, en show version gee die presiese weergawe. Nie een hang daarvan af of die konfigurasie reg is nie, en dit is juis die punt.
show chassis hardware
show versionWeergawe-hekke is regte hekke
Die weergawe-besonderheid is nie 'n formaliteit nie. Juniper se IPsec-oorsig dateer AES-GCM-ondersteuning vir multidiens-kaarte na Junos 17.3R1, met FIPS-modus wat by 17.4R1 begin. Dieselfde funksie het dus twee drempels na gelang van hoe die platform bedryf word, en die modus waarin jy hardloop, bepaal watter een geld. Gaan die modus na voordat jy die funksielys nagaan.
Lees die vrystellingsnotas vir die presiese weergawe wat geïnstalleer is, nie die nuutste gedokumenteerde een nie. 'n Vermoë wat in 'n latere bou gekom het, kan nie in 'n vroeëre een veronderstel word nie, en 'n stelling wat vir een kaart geskryf is, dra nie oor na 'n ander nie. Kopieer die reël uit die vrystellingsnotas na die ontwerpverslag sodat die bewering sy eie bron dra, want 'n ondersteuningsverklaring wat vir 'n platformfamilie geskryf is, is nie 'n verklaring oor die modus wat jy hardloop of die kaart wat jy het nie.
Kapasiteit is 'n werklading, nie 'n opskrif nie
'n Opskrif-deurvloersyfer sonder sy meettoestande is 'n bemarkingsnommer. Klein pakkies kos per bis veel meer as grootes, gelyktydige assosiasies verbruik geheue, en elke ander diens wat die kaart deel, verminder wat oorbly.
Skat uit die verkeer wat jy verwag: tipiese en ergste pakkiegroottes, die aantal eweknieë, en of daardie kaart ook NAT of 'n ander diens termineer. Los dan speling vir die dag wanneer een pad meer las dra as wat die ontwerp aanvaar het. 'n Kapasiteitsplan wat ledige hardeware veronderstel, is 'n wens, nie 'n plan nie. As die syfer saak maak vir die sakeredenasie, meet dit een keer op die toestel onder 'n verteenwoordigende las en hou daardie meting by die ontwerp.
Skryf die verslag voor die ontwerp
Hou vir elke vermoë wat die ontwerp nodig het, die platformverwysing, die weergawe-passende dokumentasie en enige onopgeloste beperking op een plek. Waar 'n ry van die tupel faal, vergelyk 'n aparte goedgekeurde poort eerder as om die ontwerp rondom 'n verouderde inkopielys te herbou. Die verslag moet sê watter presiese stelsel die werk doen en onder watter grense.
Eers daarna gaan jy die eweknie na, want protokolversoenbaarheid met die verre kant is die volgende vraag en nooit 'n plaasvervanger vir plaaslike ondersteuning nie. 'n Eweknie wat oor die voorstelle saamstem, kan steeds nie 'n chassis help wat nooit 'n pakkie versleutel nie.