Што мусіць сысціся, перш чым MX зможа завяршыць IPsec
Каміт, які прымае канфігурацыю, даказвае парсер, а не шлях. Пяць частак картэжу платформы вырашаюць, ці сапраўды працуе служба.
Канфігурацыя чыста каміціцца, інтэрфейсы ўздымаюцца, а тунель па-ранейшаму адмаўляецца ўстанаўлівацца. Ніводзін радок у логу не кажа, што платформа гэтага не можа; яна проста гэтага не робіць. У Junos IPsec — гэта служба, якую можа выканаць толькі пэўная камбінацыя шасі, службовага абсталявання або праграмнага шляху і выпуску, а старонка функцыі апісвае магчымасць праграмнага забеспячэння, а не вашай прылады. Картэж трэба правяраць частка за часткай, бо вынік каміта даказвае толькі парсер.
Куды насамрэч ідзе пакет
Трафік, выбраны для IPsec, павінен дайсці да кампанента, які яго шыфруе. На платформах з модулем службаў выбраны паток накіроўваецца ў гэты модуль, а потым вяртаецца на шлях перасылкі. Калі модуль адсутнічае, мае недастатковую ёмістасць або не прывязаны да інтэрфейсу, канфігурацыя існуе, але ніводзін пакет не апрацоўваецца. Нішто ў выхадных даных каміта не адрознівае гэты выпадак ад здаровага.
Рэалізацыі, якія працуюць у праграмным забеспячэнні, пакідаюць працу на рухавіку маршрутызацыі або ва ўбудаваным абсталяванні, з вельмі рознымі абмежаваннямі рэсурсаў. Тунель, бачны ў канфігурацыі, не паведамляе вам, які з гэтых шляхоў насамрэч яго нясе.
Пяць частак картэжа
Запішыце камбінацыю, перш чым чытаць любую рэкамендацыю, бо адна частка можа зрабіць іншыя несапраўднымі. Нумар дэталі, які тры гады таму падтрымліваў службу, нічога не кажа пра карту і выпуск у гэтым шасі. Чытайце радкі ніжэй як кантрольны спіс, а потым запоўніце значэнні, якія канфігурацыя не можа вам паказаць.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
Сямействы адрасоў і нагрузка — гэта два радкі, якія людзі прапускаюць, і абодва танныя для праверкі і дарагія, калі выявяцца позна. Чытайце картэж з прылады, а не з табліцы, бо канфігурацыя паведамляе пра тое, што вы запыталі, а не пра тое, што ўсталявана. Дзве каманды нясуць большасць: show chassis hardware называе карту, якая сапраўды ўсталявана, а show version дае дакладны выпуск. Ні адна з іх не залежыць ад таго, ці правільная канфігурацыя, і менавіта ў гэтым справа.
show chassis hardware
show versionПарогі выпуску — сапраўдныя парогі
Дэталь выпуску — не фармальнасць. Агляд IPsec ад Juniper датуе падтрымку AES-GCM для шматсярвісных карт у Junos 17.3R1, а рэжым FIPS пачынаецца з 17.4R1. Такім чынам, адна і тая ж функцыя мае два парогі ў залежнасці ад таго, як эксплуатуецца платформа, і рэжым, у якім вы працуеце, вырашае, які з іх дзейнічае. Праверце рэжым, перш чым правяраць спіс функцый.
Чытайце заўвагі да выпуску для дакладна ўсталяванай версіі, а не для самай новай дакументаванай. Магчымасць, якая з'явілася ў пазнейшай зборцы, нельга меркаваць наяўнай у ранейшай, і сцвярджэнне, напісанае для адной карты, не пераносіцца на другую. Скапіруйце радок з заўваг да выпуску ў запіс праекта, каб сцвярджэнне несла ўласную крыніцу, бо заява аб падтрымцы, напісаная для сямейства платформ, не з'яўляецца заявай пра рэжым, у якім вы працуеце, ці пра карту, якая ў вас ёсць.
Ёмістасць — гэта нагрузка, а не загаловак
Лічба прапускной здольнасці ў загалоўку без умоў вымярэння — гэта маркетынгавы лік. Дробныя пакеты каштуюць значна даражэй на біт, чым буйныя, адначасовыя асацыяцыі спажываюць памяць, а любая іншая служба, якая дзеліць карту, памяньшае тое, што засталося.
Ацэньвайце з трафіку, якога чакаеце: тыповыя і найгоршыя памеры пакетаў, колькасць партнёраў і ці гэтая карта таксама завяршае NAT або іншую службу. Затым пакіньце запас на дзень, калі адзін шлях будзе несці большую нагрузку, чым меркаваў праект. План ёмістасці, які мяркуе прастойнае абсталяванне, — гэта жаданне, а не план. Калі лік важны для бізнес-абгрунтавання, вымерайце яго адзін раз на прыладзе пад рэпрэзентатыўнай нагрузкай і захавайце гэтае вымярэнне разам з праектам.
Напішыце запіс раней за праект
Для кожнай магчымасці, якая патрэбна праекту, трымайце спасылку на платформу, дакументацыю, якая адпавядае выпуску, і любое нявырашанае абмежаванне ў адным месцы. Калі нейкі радок картэжа не выконваецца, параўнайце асобны зацверджаны шлюз замест таго, каб перабудоўваць праект вакол састарэлага спісу пакупак. Запіс павінен паказваць, якая менавіта сістэма выконвае працу і ў якіх межах.
Толькі пасля гэтага праверце партнёра, бо сумяшчальнасць пратакола з далёкім канцом — наступнае пытанне, і яно ніколі не замяняе лакальную падтрымку. Партнёр, які згаджаецца з прапановамі, усё роўна не дапаможа шасі, якое ніколі не шыфруе пакет.