Kio devas kongrui antaŭ ol MX povas fini IPsec
Commit-sendo kiu akceptas la agordon pruvas la analizilon, ne la vojon. Kvin partoj de la platforma tupleo decidas ĉu la servo vere funkcias.
La agordo commitiĝas pure, la interfacoj leviĝas, kaj la tunelo ankoraŭ rifuzas establiĝi. Neniu linio en la protokolo diras, ke la platformo ne povas tion fari; ĝi simple ne faras tion. En Junos, IPsec estas servo, kiun nur difinita kombinaĵo de ĉasio, serva aparataro aŭ programara vojo, kaj eldono povas plenumi, kaj funkcia paĝo priskribas la kapablon de la programaro, ne vian aparaton. La tupleo devas esti kontrolata parton post parto, ĉar commit-rezulto pruvas nur la analizilon.
Kien la paketo vere iras
Trafiko elektita por IPsec devas atingi la komponanton, kiu ĉifras ĝin. Sur platformoj kun serva modulo, la elektita fluo estas direktata al tiu modulo kaj poste revenas al la plusenda vojo. Se la modulo mankas, estas subdimensionita aŭ ne ligita al la interfaco, la agordo ekzistas kaj neniu paketo iam estas prilaborata. Nenio en la commit-eligo distingas tiun kazon de sana.
Programare gastigitaj realigoj tenas la laboron sur la enkursiga motoro aŭ en enlinia aparataro, kun tre malsamaj rimedlimoj. Tunelo videbla en la agordo ne diras al vi, kiu el tiuj vojoj vere portas ĝin.
La kvin partoj de la tupleo
Skribu la kombinaĵon antaŭ ol legi iun ajn rekomendon, ĉar unu parto povas nuligi la aliajn. Parta numero, kiu antaŭ tri jaroj subtenis servon, diras nenion pri la karto kaj eldono en ĉi tiu ĉasio. Legu la subajn vicojn kiel kontrol-liston, poste plenigu la valorojn, kiujn la agordo ne povas montri al vi.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
La adresfamilioj kaj la laborŝarĝo estas la du vicoj, kiujn homoj preterlasas, kaj ambaŭ estas malmultekostaj kontroli kaj multekostaj malkovri poste. Legu la tupleon el la aparato, ne el kalkultabelo, ĉar agordo raportas tion, kion vi petis, ne tion, kio estas instalita. Du komandoj portas la plej grandan parton: show chassis hardware nomas la karton, kiu vere estas enŝovita, kaj show version donas la ekzaktan eldonon. Neniu el ili dependas de tio, ĉu la agordo estas ĝusta, kaj ĝuste tio estas la punto.
show chassis hardware
show versionEldonaj pordegoj estas veraj pordegoj
La eldondetalo ne estas formaleco. La superrigardo pri IPsec de Juniper datigas AES-GCM-subtenon por plurservaj kartoj al Junos 17.3R1, kun FIPS-reĝimo komenciĝanta ĉe 17.4R1. La sama funkcio do havas du sojlojn laŭ tio, kiel la platformo estas operaciata, kaj la reĝimo, kiun vi rulas, decidas, kiu validas. Kontrolu la reĝimon antaŭ ol kontroli la funkcioliston.
Legu la eldonnotojn por la ekzakte instalita versio, ne por la plej nova dokumentita. Kapablon, kiu venis en posta konstruo, oni ne povas supozi en antaŭa, kaj aserto verkita por unu karto ne transiras al alia. Kopiu la linion el la eldonnotoj en la dezajnprotokolon, por ke la aserto portu sian propran fonton, ĉar subtena deklaro verkita por platforma familio ne estas deklaro pri la reĝimo, kiun vi rulas, aŭ pri la karto, kiun vi havas.
Kapacito estas laborŝarĝo, ne titolo
Titola trafluo-cifero sen siaj mezurkondiĉoj estas merkatika nombro. Malgrandaj paketoj kostas multe pli por bito ol grandaj, samtempaj asocioj konsumas memoron, kaj ĉiu alia servo, kiu dividas la karton, malgrandigas tion, kio restas.
Taksu el la trafiko, kiun vi atendas: tipaj kaj plej malbonaj paketgrandoj, la nombro de kunuloj, kaj ĉu tiu karto ankaŭ finas NAT aŭ alian servon. Poste lasu marĝenon por la tago, kiam unu vojo portos pli da ŝarĝo ol la dezajno supozis. Kapacita plano, kiu supozas senokupan aparataron, estas deziro, ne plano. Se la nombro gravas por la komerca kazo, mezuru ĝin unufoje sur la aparato sub reprezenta ŝarĝo kaj konservu tiun mezuradon kun la dezajno.
Skribu la protokolon antaŭ ol la dezajno
Por ĉiu kapablo, kiun la dezajno bezonas, tenu la platforman referencon, la eldon-kongruan dokumentaron kaj ĉiun nesolvitan limigon en unu loko. Kie vico de la tupleo malsukcesas, komparu apartan aprobitan pordegon anstataŭ rekonstrui la dezajnon ĉirkaŭ eksdata aĉetlisto. La protokolo devus diri, kiu ekzakta sistemo plenumas la taskon kaj sub kiuj limoj.
Nur poste kontrolu la kunulon, ĉar protokola kongrueco kun la malproksima fino estas la sekva demando kaj neniam anstataŭas lokan subtenon. Kunulo, kiu konsentas pri la proponoj, tamen ne povas helpi ĉasion, kiu neniam ĉifras paketon.