ما الذي يجب أن يتطابق قبل أن يتمكن MX من إنهاء IPsec
الـ commit الذي يقبل الإعداد يثبت المحلل، لا المسار. خمسة أجزاء من مجموعة المنصة تحدد ما إذا كانت الخدمة تعمل فعلاً.
يتم تنفيذ الإعداد بـ commit نظيف، وترتفع الواجهات، ومع ذلك يرفض النفق أن يُنشأ. لا يوجد سطر واحد في السجل يقول إن المنصة غير قادرة على ذلك؛ إنها ببساطة لا تفعله. في Junos، يعد IPsec خدمة لا يمكن أن ينفذها إلا مزيج محدد من الهيكل، أو عتاد الخدمة أو مسار البرمجيات، والإصدار، وصفحة الميزة تصف قدرة البرمجيات، لا جهازك. يجب فحص المجموعة جزءاً بجزء، لأن نتيجة الـ commit تثبت المحلل فقط.
إلى أين تذهب الحزمة فعلاً
يجب أن تصل حركة المرور المختارة لـ IPsec إلى المكوّن الذي يشفرها. على المنصات ذات وحدة الخدمات، يُوجَّه التدفق المختار إلى تلك الوحدة ثم يعود بعد ذلك إلى مسار التمرير. إذا كانت الوحدة غائبة أو صغيرة القياس أو غير مرتبطة بالواجهة، فالإعداد موجود ولا تتم معالجة أي حزمة. لا شيء في مخرجات الـ commit يميز تلك الحالة عن حالة سليمة.
تحتفظ عمليات التنفيذ المستضافة في البرمجيات بالعمل على محرك التوجيه أو في عتاد مضمّن، مع حدود موارد مختلفة جداً. النفق الظاهر في الإعداد لا يخبرك أي من هذه المسارات يحمله فعلاً.
الأجزاء الخمسة للمجموعة
اكتب المزيج قبل قراءة أي توصية، لأن جزءاً واحداً قد يبطل البقية. رقم جزء كان يدعم خدمة قبل ثلاث سنوات لا يقول شيئاً عن البطاقة والإصدار في هذا الهيكل. اقرأ الصفوف أدناه كقائمة تحقق، ثم املأ القيم التي لا يستطيع الإعداد أن يظهرها لك.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
عائلات العناوين وحمل العمل هما الصفان اللذان يتخطاهما الناس، وكلاهما رخيص الفحص ومكلف الاكتشاف لاحقاً. اقرأ المجموعة من الجهاز لا من جدول بيانات، لأن الإعداد يبلّغ بما طلبته لا بما هو مثبّت. أمران يحملان معظم ذلك: show chassis hardware يسمّي البطاقة المثبّتة فعلاً، كما أن show version يعطي الإصدار الدقيق. لا يعتمد أي منهما على صحة الإعداد، وهذا هو بيت القصيد.
show chassis hardware
show versionبوابات الإصدار بوابات حقيقية
تفصيل الإصدار ليس شكلياً. يحدد نظرة عامة على IPsec من Juniper دعم AES-GCM لبطاقات الخدمات المتعددة في Junos 17.3R1، مع بدء وضع FIPS في 17.4R1. لذلك للميزة نفسها حدان حسب طريقة تشغيل المنصة، والوضع الذي تشغله يحدد أيهما ينطبق. افحص الوضع قبل فحص قائمة الميزات.
اقرأ ملاحظات الإصدار للإصدار المثبت بدقة، لا لأحدث إصدار موثق. لا يمكن افتراض قدرة ظهرت في build لاحق في إصدار سابق، ولا ينتقل بيان كُتب لبطاقة واحدة إلى أخرى. انسخ سطر ملاحظات الإصدار إلى سجل التصميم لتحمل الدعوى مصدرها، لأن بيان الدعم المكتوب لعائلة منصات ليس بياناً عن الوضع الذي تشغله أو البطاقة التي لديك.
السعة هي حمل عمل، لا عنوان
رقم الإنتاجية في العنوان دون ظروف قياسه ليس سوى رقم تسويقي. الحزم الصغيرة تكلف أكثر بكثير لكل بت من الحزم الكبيرة، والارتباطات المتزامنة تستهلك الذاكرة، وأي خدمة أخرى تشارك البطاقة تقلل ما يتبقى.
قدّر من حركة المرور التي تتوقعها: أحجام الحزم النموذجية والأسوأ، وعدد الأقران، وما إذا كانت تلك البطاقة تنهي أيضاً NAT أو خدمة أخرى. ثم اترك هامشاً لليوم الذي يحمل فيه مسار واحد حملاً أكبر مما افترضه التصميم. خطة السعة التي تفترض عتاداً خاملاً هي أمنية لا خطة. إذا كان الرقم مهماً لدراسة الجدوى، فقسه مرة واحدة على الجهاز تحت حمل تمثيلي واحتفظ بذلك القياس مع التصميم.
اكتب السجل قبل التصميم
لكل قدرة يحتاجها التصميم، احتفظ بمرجع المنصة والتوثيق المطابق للإصدار وأي قيد لم يُحل في مكان واحد. عندما يفشل صف من المجموعة، قارن بوابة أخرى معتمدة بدلاً من إعادة بناء التصميم حول قائمة شراء قديمة. يجب أن يذكر السجل أي نظام بالضبط ينفذ المهمة وفي أي حدود.
عندها فقط افحص القرين، لأن توافق البروتوكول مع الطرف البعيد هو السؤال التالي ولا يحل أبداً محل الدعم المحلي. القرين الذي يوافق على المقترحات لا يزال لا يستطيع مساعدة هيكل لا يشفر أي حزمة أبداً.