Hvad der skal stemme, før en MX kan terminere IPsec
Et commit, der accepterer konfigurationen, beviser parseren, ikke vejen. Fem dele af platformstuplen afgør, om tjenesten faktisk kører.
Konfigurationen committes rent, grænsefladerne kommer op, og tunnelen nægter stadig at blive etableret. Intet i loggen siger, at platformen ikke kan gøre det; den gør det bare ikke. På Junos er IPsec en tjeneste, som en bestemt kombination af chassis, servicehardware eller softwarevej og release kan udføre, og en funktionsside beskriver softwarens evne, ikke din boks. Tuplen skal kontrolleres del for del, fordi et commitresultat kun beviser parseren.
Hvor pakken faktisk ender
Trafik, der er valgt til IPsec, skal nå den komponent, der krypterer den. På platforme med et servicemodul styres den valgte flow til modulet og vender derefter tilbage til videresendelsesvejen. Hvis modulet mangler, er underdimensioneret eller ikke bundet til grænsefladen, findes konfigurationen, og ikke en eneste pakke bliver behandlet. Intet i commit-outputtet skelner den situation fra en sund.
Softwarebaserede implementeringer beholder arbejdet på routing engine eller i inline-hardware med meget forskellige ressourcegrænser. En tunnel, der er synlig i konfigurationen, fortæller ikke, hvilken af disse veje der faktisk bærer den.
Tuplens fem dele
Skriv kombinationen ned, før du læser nogen anbefaling, fordi én del kan ugyldiggøre de andre. Et delenummer, der understøttede en tjeneste for tre år siden, siger intet om kortet og releasen i dette chassis. Læs rækkerne nedenfor som tjeklisten, og udfyld derefter de værdier, konfigurationen ikke kan vise dig.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
Adressefamilierne og arbejdsbyrden er de to rækker, folk springer over, og begge er billige at kontrollere og dyre at opdage senere. Læs tuplen fra enheden i stedet for fra et regneark, fordi en konfiguration rapporterer, hvad du bad om, ikke hvad der er installeret. To kommandoer bærer det meste: show chassis hardware navngiver det kort, der faktisk sidder i, og show version giver den præcise release. Ingen af dem afhænger af, at konfigurationen er rigtig, og det er netop pointen.
show chassis hardware
show versionRelease-gates er rigtige gates
Releasedetaljen er ikke en formalitet. Junipers IPsec-oversigt daterer AES-GCM-support til multiservicekort til Junos 17.3R1, med FIPS-tilstand fra 17.4R1. Den samme funktion har derfor to tærskler afhængigt af, hvordan platformen drives, og den tilstand, du kører, afgør, hvilken der gælder. Kontrollér tilstanden, før du kontrollerer funktionslisten.
Læs release notes for den præcist installerede version, ikke den nyeste dokumenterede. En egenskab, der kom i et senere build, kan ikke antages at være til stede i et tidligere, og en udtalelse skrevet for ét kort overføres ikke til et andet. Kopiér linjen fra release notes til designnotatet, så påstanden bærer sin egen kilde, fordi en supportudtalelse skrevet for en platformfamilie ikke er en udtalelse om den tilstand, du kører, eller det kort, du har.
Kapacitet er en arbejdsbyrde, ikke en overskrift
Et throughput-tal i overskriften uden dets målebetingelser er et marketingtal. Små pakker koster langt mere pr. bit end store, samtidige associationer bruger hukommelse, og enhver anden tjeneste, der deler kortet, reducerer det, der er tilbage.
Anslå ud fra den trafik, du forventer: typiske og værste pakkestørrelser, antallet af peers, og om kortet også terminerer NAT eller en anden tjeneste. Lad derefter plads til den dag, hvor én vej bærer mere last, end designet antog. En kapacitetsplan, der forudsætter ledig hardware, er et ønske og ikke en plan. Hvis tallet betyder noget for business casen, mål det én gang på enheden under en repræsentativ last, og gem målingen sammen med designet.
Skriv notatet før designet
For hver egenskab, designet har brug for, skal du holde platformreference, den release-matchene dokumentation og enhver uafklaret begrænsning på ét sted. Hvor en række i tuplen ikke holder, så sammenlign en separat godkendt gateway i stedet for at bygge designet omkring en forældet indkøbsliste. Notatet bør sige, hvilket præcist system der udfører opgaven, og under hvilke grænser.
Først derefter kontrollerer du peeren, fordi protokolkompatibilitet med den fjerne ende er det næste spørgsmål og aldrig en erstatning for lokal support. En peer, der er enig i forslagene, kan stadig ikke hjælpe et chassis, der aldrig krypterer en pakke.