Què ha de quadrar abans que un MX pugui acabar IPsec
Un commit que accepta la configuració demostra l'analitzador, no el camí. Cinc parts de la tupla de plataforma decideixen si el servei s'executa de debò.
La configuració es confirma neta, les interfícies pugen i el túnel encara es nega a establir-se. Res al registre diu que la plataforma no ho pugui fer; simplement no ho fa. A Junos, IPsec és un servei que només pot prestar una combinació concreta de xassís, maquinari de serveis o camí de programari, i versió, i una pàgina de funcionalitats descriu la capacitat del programari, no el vostre equip. La tupla s'ha de comprovar part per part, perquè el resultat del commit només demostra l'analitzador.
On va realment el paquet
El trànsit seleccionat per a IPsec ha d'arribar al component que el xifra. A les plataformes amb mòdul de serveis, el flux seleccionat es dirigeix a aquest mòdul i després torna al camí de reenviament. Si el mòdul falta, és insuficient o no està associat a la interfície, la configuració existeix i no es processa ni un sol paquet. Res a la sortida del commit no distingeix aquest cas d'un de saludable.
Les implementacions allotjades en programari deixen la feina al motor d'encaminament o en maquinari en línia, amb límits de recursos molt diferents. Un túnel visible a la configuració no us diu quin d'aquests camins el transporta realment.
Les cinc parts de la tupla
Anoteu la combinació abans de llegir qualsevol recomanació, perquè una part pot invalidar les altres. Un número de peça que fa tres anys suportava un servei no diu res sobre la targeta ni la versió d'aquest xassís. Llegiu les files següents com a llista de comprovació i després ompliu els valors que la configuració no us pot mostrar.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
Les famílies d'adreces i la càrrega de treball són les dues files que la gent s'estalvia, i totes dues són barates de comprovar i cares de descobrir tard. Llegiu la tupla a l'equip i no en un full de càlcul, perquè una configuració informa del que heu demanat, no del que està instal·lat. Dues ordres aporten gairebé tot: show chassis hardware anomena la targeta realment instal·lada i show version dóna la versió exacta. Cap de les dues no depèn que la configuració sigui correcta, i aquí hi ha la clau.
show chassis hardware
show versionEls llindars de versió són llindars reals
El detall de la versió no és una formalitat. La descripció general d'IPsec de Juniper situa el suport d'AES-GCM per a targetes multiservei a Junos 17.3R1, amb el mode FIPS a partir de 17.4R1. Per tant, la mateixa funció té dos llindars segons com s'opera la plataforma, i el mode que executeu decideix quin s'aplica. Comproveu el mode abans de comprovar la llista de funcions.
Llegiu les notes de la versió exacta instal·lada, no la més recent documentada. Una capacitat que va arribar en una compilació posterior no es pot donar per present en una d'anterior, i una afirmació escrita per a una targeta no es trasllada a una altra. Copieu la línia de les notes de la versió al registre de disseny perquè l'afirmació porti la seva pròpia font, perquè una declaració de suport escrita per a una família de plataformes no és una declaració sobre el mode que executeu ni sobre la targeta que teniu.
La capacitat és una càrrega de treball, no un titular
Una xifra de rendiment de titular sense les seves condicions de mesura és un número de màrqueting. Els paquets petits costen molt més per bit que els grans, les associacions simultànies consumeixen memòria i qualsevol altre servei que comparteixi la targeta redueix el que queda.
Estimeu a partir del trànsit que espereu: mides de paquet típiques i en el pitjor cas, nombre de parells i si aquesta targeta també acaba NAT o un altre servei. Després deixeu marge per al dia que un camí porti més càrrega de la que va suposar el disseny. Un pla de capacitat que dóna per fet maquinari inactiu és un desig, no un pla. Si la xifra importa per al cas de negoci, mesureu-la una vegada a l'equip sota una càrrega representativa i guardeu aquesta mesura amb el disseny.
Escriviu el registre abans del disseny
Per a cada capacitat que necessiti el disseny, guardeu la referència de plataforma, la documentació ajustada a la versió i qualsevol restricció no resolta en un mateix lloc. Quan falli una fila de la tupla, compareu una altra passarel·la ja aprovada en lloc de refer el disseny al voltant d'una llista de la compra obsoleta. El registre ha de dir quin sistema exacte fa la feina i sota quins límits.
Només llavors comproveu el parell, perquè la compatibilitat de protocol amb l'extrem remot és la pregunta següent i no substitueix mai el suport local. Un parell que accepta les propostes no pot ajudar un xassís que no xifra mai un paquet.