Zeri etsi behar dio MX batek IPsec amaitzeko
Konfigurazioa onartzen duen commiteak parserra frogatzen du, ez bidea. Plataformaren tuplaren bost atalek erabakitzen dute zerbitzua benetan exekutatzen den.
Konfigurazioa garbi commit egiten da, interfazeak altxatzen dira, eta tunelek oraindik uko egiten dio ezartzeari. Logean ez dago esaten plataformak hau ezin duenik; besterik gabe, ez du egiten. Junosen, IPsec zerbitzu bat da, eta chasis, zerbitzu-hardware edo software-bide, eta bertsioaren konbinazio jakin batek baino ezin du bete, eta funtzio-orri batek softwarearen gaitasuna deskribatzen du, ez zure gailua. Tupla atalez atal egiaztatu behar da, commitaren emaitzak parserra baino ez baitu frogatzen.
Paketea benetan nora doan
IPsec-erako hautatutako trafikoak zifratzen duen osagairaino iritsi behar du. Zerbitzu-modulua duten plataformetan, hautatutako fluxua modulu horretara bideratzen da eta gero birbidaltze-bidera itzultzen da. Modulua falta bada, txikiegia bada edo interfazera lotuta ez badago, konfigurazioa badago eta pakete bat bera ere ez da prozesatzen. Commitaren irteeran ezerk ez du kasu hori osasuntsu batetik bereizten.
Softwarez ostatatutako inplementazioek lana routing engine-ean edo inline hardwarean uzten dute, baliabide-muga oso desberdinekin. Konfigurazioan ikus daitekeen tunel batek ez dizu esaten zein bidek eramaten duen benetan.
Tuplaren bost atalak
Idatzi konbinazioa edozein gomendio irakurri aurretik, atal batek besteak baliogabe ditzakeelako. Duela hiru urte zerbitzu bat onartzen zuen pieza-zenbakiak ez du ezer esaten chasis honetako txartelari eta bertsioari buruz. Irakurri beheko errenkadak kontrol-zerrenda gisa, eta bete konfigurazioak erakuts ezin dizkizun balioak.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
Helbide-familiek eta karga-lanak dira jendeak saltatzen dituen bi errenkadak, eta biak merkeak dira egiaztatzen eta garestiak geroago aurkitzen. Irakurri tupla gailutik, ez kalkulu-orritik, konfigurazioak eskatu duzuna jakinarazten baitu, ez instalatuta dagoena. Bi komandok daramate zatirik handiena: show chassis hardware komandoak benetan jarrita dagoen txartela izendatzen du, eta show version komandoak bertsio zehatza ematen du. Biak ez dira konfigurazioa zuzena den ala ez mendeko, eta hori da kontua.
show chassis hardware
show versionBertsio-ateak benetako ateak dira
Bertsioaren xehetasuna ez da formalitatea. Juniperren IPsec ikuspegi orokorra lanean AES-GCM euskarria zerbitzu anitzeko txartelentzat Junos 17.3R1ean kokatzen du, FIPS modua 17.4R1ean hasita. Beraz, funtzio berak bi atalase ditu plataforma nola kudeatzen den arabera, eta exekutatzen duzun moduak erabakitzen du zein den aplikagarria. Egiaztatu modua funtzio-zerrenda egiaztatu aurretik.
Irakurri instalatuta dagoen bertsio zehatzaren bertsio-oharrak, ez dokumentatutako berriena. Geroagoko build batean iritsitako gaitasun bat ezin da aurreko batean dagoenik suposatu, eta txartel baterako idatzitako baieztapen bat ez da bestera aldatzen. Kopiatu bertsio-oharren lerroa diseinu-erregistrora, baieztapenak bere iturria eraman dezan, plataforma-familia batentzat idatzitako euskarri-adierazpena ez baita zuk exekutatzen duzun moduari edo duzun txartelari buruzko adierazpena.
Edukiera karga-lana da, ez izenburua
Neurketa-baldintzarik gabeko izenburuko errendimendu-zifra bat marketin-zenbaki bat da. Pakete txikiek askoz gehiago kostatzen dute bit bakoitzeko handiek baino, aldi bereko asoziazioek memoria kontsumitzen dute, eta txartela partekatzen duen beste edozein zerbitzuk geratzen dena murrizten du.
Estimatu espero duzun trafikoaren arabera: pakete-tamaina tipikoak eta okerren kasukoak, peer kopurua, eta txartel horrek NAT edo beste zerbitzu bat ere amaitzen duen. Gero utzi tarte bat egun batean bide batek diseinuak suposatutakoa baino karga handiagoa eramango duenerako. Hardwarea alferrik dagoela suposatzen duen edukiera-plan bat nahia da, ez plana. Zifra negozio-kasurako garrantzitsua bada, neurtu behin gailuan karga adierazgarri baten pean, eta gorde neurketa hori diseinuarekin batera.
Idatzi erregistroa diseinua baino lehen
Diseinuak behar duen gaitasun bakoitzerako, eduki plataforma-erreferentzia, bertsioarekin bat datorren dokumentazioa eta konpondu gabeko murrizketa oro leku berean. Tuplaren errenkada batek huts egiten duenean, konparatu baimendutako gateway bereizi bat, eta ez berreraiki diseinua zaharkitutako erosketa-zerrenda baten inguruan. Erregistroak esan behar du zein sistema zehatzek egiten duen lana eta zein mugetan.
Ondoren baino ez duzu peer-a egiaztatuko, urruneko muturrarekin protokolo-bateragarritasuna hurrengo galdera baita eta ez baitu inoiz tokiko euskarria ordezkatzen. Proposamenekin ados dagoen peer batek ezin dio pakete bat inoiz zifratzen ez duen chasis bati lagundu.