Какво трябва да съвпадне, преди MX да може да прекрати IPsec
Commit, който приема конфигурацията, доказва парсера, а не пътя. Пет части от кортежа на платформата решават дали услугата наистина работи.
Конфигурацията се commit-ва чисто, интерфейсите се вдигат, а тунелът все още отказва да се установи. Нищо в журнала не казва, че платформата не може да го направи; тя просто не го прави. В Junos IPsec е услуга, която само определена комбинация от шаси, хардуер за услуги или софтуерен път, и издание може да изпълни, а страницата с функции описва възможността на софтуера, не вашето устройство. Кортежът трябва да се проверява част по част, защото резултатът от commit доказва само парсера.
Къде всъщност отива пакетът
Трафикът, избран за IPsec, трябва да достигне до компонента, който го криптира. На платформи с модул за услуги избраният поток се насочва към този модул и след това се връща към пътя за препращане. Ако модулът липсва, е с недостатъчен капацитет или не е обвързан с интерфейса, конфигурацията съществува и нито един пакет не се обработва. Нищо в изхода от commit не различава този случай от здрав.
Софтуерно хостваните реализации оставят работата на маршрутизиращия двигател или във вграден хардуер, с много различни ограничения на ресурсите. Тунел, видим в конфигурацията, не ви казва кой от тези пътища всъщност го носи.
Петте части на кортежа
Запишете комбинацията, преди да прочетете каквато и да е препоръка, защото една част може да обезсили останалите. Номер на част, който преди три години е поддържал услуга, не казва нищо за картата и изданието в това шаси. Прочетете редовете по-долу като контролен списък и след това попълнете стойностите, които конфигурацията не може да ви покаже.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
Семействата адреси и натоварването са двата реда, които хората прескачат, и двете са евтини за проверка и скъпи за откриване по-късно. Четете кортежа от устройството, а не от електронна таблица, защото конфигурацията отчита това, което сте поискали, а не това, което е инсталирано. Две команди носят по-голямата част: show chassis hardware посочва картата, която действително е поставена, а show version дава точното издание. Нито една от тях не зависи от това дали конфигурацията е правилна, и точно това е смисълът.
show chassis hardware
show versionПрагът на изданието е истински праг
Детайлът на изданието не е формалност. Прегледът на IPsec на Juniper датира поддръжката на AES-GCM за многосервизни карти на Junos 17.3R1, като режимът FIPS започва от 17.4R1. Следователно една и съща функция има два прага в зависимост от това как се експлоатира платформата, и режимът, в който работите, решава кой се прилага. Проверете режима, преди да проверите списъка с функции.
Четете бележките към изданието за точно инсталираната версия, а не за най-новата документирана. Възможност, появила се в по-късен билд, не може да се предполага в по-ранен, а твърдение, написано за една карта, не се пренася върху друга. Копирайте реда от бележките към изданието в проектния запис, така че твърдението да носи собствения си източник, защото декларация за поддръжка, написана за семейство платформи, не е декларация за режима, в който работите, нито за картата, която имате.
Капацитетът е натоварване, не заглавие
Цифра за пропускателна способност в заглавието без условията на измерване е маркетингово число. Малките пакети струват много повече на бит от големите, едновременните асоциации консумират памет, а всяка друга услуга, която споделя картата, намалява останалото.
Оценявайте от трафика, който очаквате: типични и най-лоши размери на пакетите, брой партньори и дали тази карта също прекратява NAT или друга услуга. След това оставете резерв за деня, в който един път ще носи по-голямо натоварване, отколкото проектът е предполагал. План за капацитет, който предполага неактивен хардуер, е желание, не план. Ако цифрата е важна за бизнес обосновката, измерете я веднъж на устройството при представително натоварване и запазете това измерване заедно с проекта.
Напишете записа преди проекта
За всяка възможност, от която проектът се нуждае, дръжте препратката към платформата, документацията, съответстваща на изданието, и всяко неразрешено ограничение на едно място. Когато някой ред от кортежа не издържи, сравнете отделен одобрен шлюз, вместо да преустройвате проекта около остарял списък за пазаруване. Записът трябва да казва коя точно система върши работата и при какви граници.
Едва след това проверете партньора, защото съвместимостта на протокола с далечния край е следващият въпрос и никога не замества локалната поддръжка. Партньор, който се съгласява с предложенията, все още не може да помогне на шаси, което никога не криптира пакет.