Mis peab klappima enne, kui MX suudab IPsec-i lõpetada
Konfiguratsiooni vastuvõttev commit tõestab ainult parserit, mitte teekonda. Viis platvormi tuple'i osa otsustavad, kas teenus tegelikult töötab.
Konfiguratsioon commit'itakse puhtalt, liidesed tulevad üles ja tunnel keeldub ikka püstitamast. Ükski logirida ei ütle, et platvorm ei suuda seda teha; ta lihtsalt ei tee seda. Junosel on IPsec teenus, mida suudab osutada ainult kindel kombinatsioon šassiist, teenuse riistvarast või tarkvarateest ja väljalaskest, ning funktsioonileht kirjeldab tarkvara võimet, mitte sinu seadet. Tuple'i tuleb osa osa haaval kontrollida, sest commit'i tulemus tõestab ainult parserit.
Kuhu pakett tegelikult läheb
IPsec-i jaoks valitud liiklus peab jõudma komponendini, mis selle krüpteerib. Platvormidel, millel on teenusemoodul, suunatakse valitud voog sellesse moodulisse ja pöördub seejärel tagasi edastusteele. Kui moodul puudub, on aladimensioneeritud või pole liidesega seotud, on konfiguratsioon olemas ja ühtegi paketti ei töödelda kunagi. Miski commit'i väljundis ei erista seda juhtu tervest.
Tarkvarapõhised lahendused hoiavad tööd marsruutimismootoris või inline-riistvaras, väga erinevate ressursipiirangutega. Konfiguratsioonis nähtav tunnel ei ütle, milline neist teedest seda tegelikult kannab.
Tuple'i viis osa
Kirjuta kombinatsioon üles enne, kui loed ükskõik millist soovitust, sest üks osa võib muud kehtetuks teha. Osanumber, mis toetas teenust kolm aastat tagasi, ei ütle midagi selle šassi karbi kaardi ja väljalaske kohta. Loe allolevaid ridu kontrollnimekirjana ja täida seejärel väärtused, mida konfiguratsioon sulle näidata ei suuda.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
Aadressiperekonnad ja töökoormus on need kaks rida, mille inimesed vahele jätavad, ja mõlemad on odavad kontrollida ning kallid hiljem avastada. Loe tuple'it seadmest, mitte arvutustabelist, sest konfiguratsioon raporteerib seda, mida sa küsisid, mitte seda, mis on paigaldatud. Kaks käsku kannavad suurema osa sellest: show chassis hardware nimetab kaardi, mis on tegelikult pesas, ja show version annab täpse väljalaske. Kumbki ei sõltu sellest, kas konfiguratsioon on õige, ja just see ongi mõte.
show chassis hardware
show versionVäljalaskepiirid on tõelised piirid
Väljalaske üksikasjad ei ole formaalsus. Juniperi IPsec-i ülevaade dateerib AES-GCM-i toe mitmikteenusekaartidele Junos 17.3R1-le, kusjuures FIPS-režiim algab versioonis 17.4R1. Samal funktsioonil on seega kaks lävendit sõltuvalt sellest, kuidas platvormi käitatakse, ja režiim, mida sa jooksutad, otsustab, milline kehtib. Kontrolli režiimi enne funktsioonide nimekirja kontrollimist.
Loe täpselt paigaldatud versiooni väljalaskemärkmeid, mitte kõige uuemat dokumenteeritut. Hilisemas buildis tulnud võimet ei saa eeldada varasemas, ja ühele kaardile kirjutatud väide ei kandu teisele üle. Kopeeri väljalaskemärkmete rida projekteerimisdokumenti, et väide kannaks oma allikat, sest platvormiperekonnale kirjutatud toeavaldus ei ole avaldus režiimi ega kaardi kohta, mis sul on.
Mahutavus on töökoormus, mitte pealkiri
Pealkirja läbilaskevõime number ilma oma mõõtmistingimusteta on turundusnumber. Väikesed paketid maksavad biti kohta palju rohkem kui suured, samaaegsed assotsiatsioonid kulutavad mälu ja iga teine kaarti jagav teenus vähendab järelejäävat.
Hinda oodatava liikluse põhjal: tüüpilised ja halvima juhtumi paketisuurused, partnerite arv ja kas see kaart lõpetab ka NAT-i või mõne muu teenuse. Jäta seejärel varu päeva jaoks, mil üks tee kannab suuremat koormust, kui projekteerimine eeldas. Mahutavusplaan, mis eeldab jõudeolevat riistvara, on soov, mitte plaan. Kui number on ärikasumi jaoks oluline, mõõda seda üks kord seadmel esindusliku koormuse all ja hoia mõõtmist projekteerimise juures.
Kirjuta dokument enne projekteerimist
Iga võime jaoks, mida projekteerimine vajab, hoia platvormiviidet, väljalaskega sobivat dokumentatsiooni ja kõiki lahendamata piiranguid ühes kohas. Kui mõni tuple'i rida ei pea, võrdle eraldi kinnitatud lüüsiga, selle asemel et ehitada projekteerimine ümber aegunud ostunimekirja. Dokument peaks ütlema, milline täpne süsteem töö ära teeb ja milliste piirangutega.
Alles siis kontrolli partnerit, sest protokolli ühilduvus kauge otsaga on järgmine küsimus ega asenda kunagi kohalikku tuge. Partner, kes nõustub ettepanekutega, ei suuda ikkagi aidata šassiid, mis ei krüpteeri kunagi ühtegi paketti.