Τι πρέπει να ταιριάξει πριν ένα MX τερματίσει το IPsec
Ένα commit που δέχεται τη διαμόρφωση αποδεικνύει τον parser, όχι τη διαδρομή. Πέντε μέρη της πλειάδας της πλατφόρμας καθορίζουν αν η υπηρεσία εκτελείται πραγματικά.
Η διαμόρφωση γίνεται commit καθαρά, οι διεπαφές ανεβαίνουν, και η σήραγγα εξακολουθεί να αρνείται να εγκατασταθεί. Καμία γραμμή στο log δεν λέει ότι η πλατφόρμα δεν μπορεί να το κάνει· απλώς δεν το κάνει. Στο Junos, το IPsec είναι μια υπηρεσία που μόνο ένας συγκεκριμένος συνδυασμός πλαισίου, υλικού υπηρεσιών ή διαδρομής λογισμικού, και έκδοσης μπορεί να εκτελέσει, και μια σελίδα χαρακτηριστικού περιγράφει την ικανότητα του λογισμικού, όχι τη δική σας συσκευή. Η πλειάδα πρέπει να ελεγχθεί μέρος προς μέρος, γιατί το αποτέλεσμα του commit αποδεικνύει μόνο τον parser.
Πού πηγαίνει πραγματικά το πακέτο
Η κίνηση που επιλέγεται για IPsec πρέπει να φτάσει στο στοιχείο που την κρυπτογραφεί. Στις πλατφόρμες με μονάδα υπηρεσιών, η επιλεγμένη ροή κατευθύνεται σε αυτή τη μονάδα και μετά επιστρέφει στη διαδρομή προώθησης. Αν η μονάδα λείπει, είναι υποδιαστασιολογημένη ή δεν είναι δεσμευμένη στη διεπαφή, η διαμόρφωση υπάρχει και κανένα πακέτο δεν επεξεργάζεται ποτέ. Τίποτα στην έξοδο του commit δεν ξεχωρίζει αυτή την περίπτωση από μια υγιή.
Οι υλοποιήσεις που φιλοξενούνται σε λογισμικό κρατούν την εργασία στη μηχανή δρομολόγησης ή σε ενσωματωμένο υλικό, με πολύ διαφορετικά όρια πόρων. Μια σήραγγα ορατή στη διαμόρφωση δεν σας λέει ποια από αυτές τις διαδρομές τη μεταφέρει πραγματικά.
Τα πέντε μέρη της πλειάδας
Γράψτε τον συνδυασμό πριν διαβάσετε οποιαδήποτε σύσταση, γιατί ένα μέρος μπορεί να ακυρώσει τα άλλα. Ένας αριθμός εξαρτήματος που υποστήριζε μια υπηρεσία πριν από τρία χρόνια δεν λέει τίποτα για την κάρτα και την έκδοση σε αυτό το πλαίσιο. Διαβάστε τις παρακάτω γραμμές ως λίστα ελέγχου και μετά συμπληρώστε τις τιμές που η διαμόρφωση δεν μπορεί να σας δείξει.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
Οι οικογένειες διευθύνσεων και το φόρτο εργασίας είναι οι δύο γραμμές που οι άνθρωποι παραλείπουν, και οι δύο είναι φθηνές στον έλεγχο και ακριβές στην καθυστερημένη ανακάλυψη. Διαβάστε την πλειάδα από τη συσκευή και όχι από υπολογιστικό φύλλο, γιατί μια διαμόρφωση αναφέρει τι ζητήσατε, όχι τι είναι εγκατεστημένο. Δύο εντολές μεταφέρουν το μεγαλύτερο μέρος: η show chassis hardware ονομάζει την κάρτα που είναι πραγματικά τοποθετημένη, και η show version δίνει την ακριβή έκδοση. Καμία από τις δύο δεν εξαρτάται από το αν η διαμόρφωση είναι σωστή, και αυτό ακριβώς είναι το ζήτημα.
show chassis hardware
show versionΤα όρια έκδοσης είναι πραγματικά όρια
Η λεπτομέρεια της έκδοσης δεν είναι τυπικότητα. Η επισκόπηση IPsec της Juniper χρονολογεί την υποστήριξη AES-GCM για κάρτες πολλαπλών υπηρεσιών στο Junos 17.3R1, με τη λειτουργία FIPS να ξεκινά στο 17.4R1. Επομένως το ίδιο χαρακτηριστικό έχει δύο όρια ανάλογα με το πώς λειτουργεί η πλατφόρμα, και η λειτουργία που εκτελείτε καθορίζει ποιο ισχύει. Ελέγξτε τη λειτουργία πριν ελέγξετε τη λίστα χαρακτηριστικών.
Διαβάστε τις σημειώσεις έκδοσης για την ακριβώς εγκατεστημένη έκδοση, όχι για την πιο πρόσφατη τεκμηριωμένη. Μια ικανότητα που ήρθε σε μεταγενέστερο build δεν μπορεί να προϋποτεθεί σε προγενέστερο, και μια δήλωση γραμμένη για μία κάρτα δεν μεταφέρεται σε άλλη. Αντιγράψτε τη γραμμή από τις σημειώσεις έκδοσης στο αρχείο σχεδιασμού ώστε ο ισχυρισμός να φέρει τη δική του πηγή, γιατί μια δήλωση υποστήριξης γραμμένη για μια οικογένεια πλατφορμών δεν είναι δήλωση για τη λειτουργία που εκτελείτε ή την κάρτα που έχετε.
Η χωρητικότητα είναι φόρτος εργασίας, όχι τίτλος
Ένας αριθμός διεκπεραιωτικότητας στον τίτλο χωρίς τις συνθήκες μέτρησής του είναι αριθμός μάρκετινγκ. Τα μικρά πακέτα κοστίζουν πολύ περισσότερο ανά bit από τα μεγάλα, οι ταυτόχρονες συσχετίσεις καταναλώνουν μνήμη, και κάθε άλλη υπηρεσία που μοιράζεται την κάρτα μειώνει ό,τι απομένει.
Εκτιμήστε από την κίνηση που περιμένετε: τυπικά και χειρότερα μεγέθη πακέτων, τον αριθμό των peers, και αν αυτή η κάρτα τερματίζει επίσης NAT ή άλλη υπηρεσία. Μετά αφήστε περιθώριο για την ημέρα που μια διαδρομή θα μεταφέρει περισσότερο φόρτο απ' όσο υπέθεσε ο σχεδιασμός. Ένα σχέδιο χωρητικότητας που υποθέτει αδρανές υλικό είναι μια ευχή, όχι ένα σχέδιο. Αν ο αριθμός μετράει για την επιχειρηματική υπόθεση, μετρήστε τον μία φορά στη συσκευή υπό αντιπροσωπευτικό φόρτο και κρατήστε τη μέτρηση μαζί με τον σχεδιασμό.
Γράψτε το αρχείο πριν τον σχεδιασμό
Για κάθε ικανότητα που χρειάζεται ο σχεδιασμός, κρατήστε την αναφορά πλατφόρμας, την τεκμηρίωση που ταιριάζει με την έκδοση και οποιονδήποτε άλυτο περιορισμό σε ένα σημείο. Όπου μια γραμμή της πλειάδας αποτυγχάνει, συγκρίνετε μια ξεχωριστή εγκεκριμένη πύλη αντί να ξαναχτίσετε τον σχεδιασμό γύρω από μια παρωχημένη λίστα αγορών. Το αρχείο πρέπει να λέει ποιο ακριβώς σύστημα εκτελεί την εργασία και υπό ποια όρια.
Μόνο τότε ελέγξτε τον peer, γιατί η συμβατότητα πρωτοκόλλου με το απομακρυσμένο άκρο είναι το επόμενο ερώτημα και ποτέ δεν αντικαθιστά την τοπική υποστήριξη. Ένας peer που συμφωνεί στις προτάσεις δεν μπορεί να βοηθήσει ένα πλαίσιο που δεν κρυπτογραφεί ποτέ ένα πακέτο.