Co musí sedět, než MX dokáže ukončit IPsec
Commit, který přijme konfiguraci, dokazuje jen parser, ne cestu. Pět částí platformové n-tice rozhoduje, zda služba skutečně běží.
Konfigurace se commitne čistě, rozhraní naskočí, a tunel přesto odmítá vzniknout. Nic v logu neříká, že to platforma neumí; prostě to nedělá. V Junosu je IPsec služba, kterou dokáže zajistit jen určitá kombinace šasi, servisního hardwaru nebo softwarové cesty a verze, a stránka funkce popisuje schopnost softwaru, ne vašeho zařízení. N-tici je nutné kontrolovat část po části, protože výsledek commitu dokazuje pouze parser.
Kam paket skutečně jde
Provoz vybraný pro IPsec musí dorazit ke komponentě, která ho šifruje. Na platformách se servisním modulem je vybraný tok směrován do tohoto modulu a poté se vrací na předávací cestu. Chybí-li modul, je poddimenzovaný nebo není svázán s rozhraním, konfigurace existuje a žádný paket se nikdy nezpracuje. Nic ve výstupu commitu tento případ neodliší od zdravého stavu.
Softwarově hostované implementace nechávají práci na směrovacím enginu nebo v inline hardwaru, s velmi odlišnými limity prostředků. Tunel viditelný v konfiguraci vám neřekne, která z těchto cest ho skutečně nese.
Pět částí n-tice
Zapište kombinaci dřív, než si přečtete jakékoli doporučení, protože jedna část může ostatní zneplatnit. Číslo dílu, které před třemi lety podporovalo službu, nic neříká o kartě a verzi v tomto šasi. Přečtěte si níže uvedené řádky jako kontrolní seznam a potom doplňte hodnoty, které vám konfigurace nemůže ukázat.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
Adresní rodiny a zátěž jsou dva řádky, které lidé přeskakují, a oba jsou levné na kontrolu a drahé na pozdní objev. Čtěte n-tici ze zařízení, ne z tabulkového procesoru, protože konfigurace hlásí, co jste požadovali, ne co je nainstalováno. Většinu toho nesou dva příkazy: show chassis hardware pojmenuje kartu, která je skutečně zasunutá, a show version dá přesnou verzi. Ani jeden nezávisí na tom, zda je konfigurace správná, a právě o to jde.
show chassis hardware
show versionVstupní brány verzí jsou skutečné brány
Detail verze není formalita. Přehled IPsec od Juniperu datuje podporu AES-GCM pro víceúčelové karty na Junos 17.3R1, přičemž režim FIPS začíná od 17.4R1. Stejná funkce má tedy dvě prahové hodnoty podle toho, jak je platforma provozována, a režim, který používáte, rozhoduje, která platí. Zkontrolujte režim dřív, než zkontrolujete seznam funkcí.
Čtěte poznámky k verzi pro přesně nainstalovanou verzi, ne pro nejnovější dokumentovanou. Schopnost, která přišla v pozdějším sestavení, nelze předpokládat v dřívějším, a tvrzení napsané pro jednu kartu se nepřenáší na jinou. Zkopírujte řádek z poznámek k verzi do návrhového záznamu, aby tvrzení neslo vlastní zdroj, protože prohlášení o podpoře napsané pro rodinu platforem není prohlášením o režimu, který provozujete, ani o kartě, kterou máte.
Kapacita je zátěž, ne titulkový údaj
Titulkový údaj o propustnosti bez podmínek měření je marketingové číslo. Malé pakety stojí na bit výrazně víc než velké, souběžné asociace spotřebovávají paměť a každá další služba sdílející kartu snižuje to, co zbývá.
Odhadujte z provozu, který očekáváte: typické a nejhorší velikosti paketů, počet peerů a to, zda karta ukončuje také NAT nebo jinou službu. Pak nechte rezervu na den, kdy jedna cesta ponese větší zátěž, než návrh předpokládal. Kapacitní plán, který předpokládá nečinný hardware, je přání, ne plán. Pokud na čísle záleží pro obchodní případ, změřte ho jednou na zařízení při reprezentativní zátěži a měření si ponechte spolu s návrhem.
Napište záznam dřív než návrh
Pro každou schopnost, kterou návrh potřebuje, držte referenci platformy, dokumentaci odpovídající verzi a všechna nevyřešená omezení na jednom místě. Když některý řádek n-tice neprojde, porovnejte samostatnou schválenou bránu, místo abyste návrh stavěli znovu kolem zastaralého nákupního seznamu. Záznam by měl říct, který přesný systém práci vykonává a v jakých mezích.
Teprve potom zkontrolujte protějšek, protože kompatibilita protokolu se vzdáleným koncem je další otázka a nikdy nenahrazuje místní podporu. Protějšek, který souhlasí s návrhy, přesto nepomůže šasi, které nikdy nezašifruje paket.