چه چیزهایی باید هم‌راستا باشند تا MX بتواند IPsec را پایان دهد
کامیتی که پیکربندی را می‌پذیرد فقط تجزیه‌گر را اثبات می‌کند، نه مسیر را. پنج بخش از چندگانهٔ پلتفرم تعیین می‌کنند که سرویس واقعاً اجرا می‌شود یا نه.
پیکربندی به‌صورت تمیز کامیت می‌شود، رابط‌ها بالا می‌آیند و تونل همچنان از برقراری امتناع می‌کند. هیچ سطری در لاگ نمی‌گوید که پلتفرم نمی‌تواند این کار را بکند؛ فقط انجامش نمی‌دهد. در Junos، IPsec سرویسی است که تنها ترکیب مشخصی از شاسی، سخت‌افزار سرویس یا مسیر نرم‌افزاری و نسخه می‌تواند آن را اجرا کند، و صفحهٔ ویژگی توانایی نرم‌افزار را توصیف می‌کند، نه دستگاه شما را. چندگانه باید بخش‌به‌بخش بررسی شود، زیرا نتیجهٔ کامیت فقط تجزیه‌گر را اثبات می‌کند.
بسته در واقع کجا می‌رود
ترافیکی که برای IPsec انتخاب می‌شود باید به مؤلفه‌ای برسد که آن را رمزنگاری می‌کند. در پلتفرم‌های دارای ماژول سرویس، جریان انتخاب‌شده به آن ماژول هدایت می‌شود و سپس به مسیر ارسال بازمی‌گردد. اگر ماژول نباشد، ظرفیتش کم باشد یا به رابط متصل نباشد، پیکربندی وجود دارد و هیچ بسته‌ای پردازش نمی‌شود. هیچ چیز در خروجی کامیت آن حالت را از حالت سالم جدا نمی‌کند.
پیاده‌سازی‌های میزبانی‌شده در نرم‌افزار کار را روی موتور مسیریابی یا در سخت‌افزار درون‌خطی نگه می‌دارند، با محدودیت‌های منابع بسیار متفاوت. تونلی که در پیکربندی دیده می‌شود به شما نمی‌گوید کدام یک از این مسیرها واقعاً آن را حمل می‌کند.
پنج بخش چندگانه
پیش از خواندن هر توصیه‌ای ترکیب را بنویسید، زیرا یک بخش می‌تواند بقیه را باطل کند. شمارهٔ قطعه‌ای که سه سال پیش از سرویسی پشتیبانی می‌کرد چیزی دربارهٔ کارت و نسخه در این شاسی نمی‌گوید. ردیف‌های زیر را به‌عنوان فهرست بررسی بخوانید، سپس مقادیری را پر کنید که پیکربندی نمی‌تواند به شما نشان دهد.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
خانواده‌های نشانی و بار کاری دو ردیفی هستند که مردم از آن‌ها می‌گذرند، و هر دو ارزان برای بررسی و گران برای کشف دیرهنگام‌اند. چندگانه را از دستگاه بخوانید نه از صفحه‌گسترده، زیرا پیکربندی آنچه را درخواست کرده‌اید گزارش می‌کند، نه آنچه نصب شده است. دو فرمان بیشتر آن را حمل می‌کنند: show chassis hardware کارتی را که واقعاً نصب است نام می‌برد، و show version نسخهٔ دقیق را می‌دهد. هیچ‌کدام به درست بودن پیکربندی وابسته نیست، و دقیقاً همین نکته است.
show chassis hardware
show versionدروازه‌های نسخه دروازه‌های واقعی‌اند
جزئیات نسخه تشریفاتی نیست. مرور کلی IPsec از Juniper پشتیبانی AES-GCM برای کارت‌های چندسرویسی را به Junos 17.3R1 و شروع حالت FIPS را به 17.4R1 نسبت می‌دهد. بنابراین همان ویژگی بسته به نحوهٔ بهره‌برداری از پلتفرم دو آستانه دارد، و حالتی که اجرا می‌کنید تعیین می‌کند کدام اعمال می‌شود. پیش از بررسی فهرست ویژگی‌ها حالت را بررسی کنید.
یادداشت‌های نسخه را برای نسخهٔ دقیقاً نصب‌شده بخوانید، نه برای جدیدترین نسخهٔ مستندشده. توانایی‌ای که در بیلد بعدی آمده را نمی‌توان در بیلد قبلی موجود فرض کرد، و بیانیه‌ای که برای یک کارت نوشته شده به کارت دیگر منتقل نمی‌شود. خط یادداشت نسخه را در سند طراحی کپی کنید تا ادعا منبع خودش را همراه داشته باشد، زیرا بیانیهٔ پشتیبانی نوشته‌شده برای یک خانوادهٔ پلتفرم، بیانیه‌ای دربارهٔ حالتی که اجرا می‌کنید یا کارتی که دارید نیست.
ظرفیت یک بار کاری است، نه تیتر
رقم توان عملیاتی در تیتر بدون شرایط اندازه‌گیری‌اش یک عدد بازاریابی است. بسته‌های کوچک به‌ازای هر بیت بسیار گران‌تر از بزرگ‌ها هستند، انجمن‌های هم‌زمان حافظه مصرف می‌کنند، و هر سرویس دیگری که کارت را شریک می‌شود باقی‌مانده را کم می‌کند.
از ترافیکی که انتظار دارید برآورد کنید: اندازه‌های معمول و بدترین حالت بسته‌ها، تعداد همتاها، و اینکه آیا آن کارت NAT یا سرویس دیگری را هم پایان می‌دهد. سپس برای روزی که یک مسیر باری بیش از آنچه طراحی فرض کرده بود حمل می‌کند جا بگذارید. طرح ظرفیتی که سخت‌افزار بی‌کار را فرض می‌کند یک آرزوست، نه طرح. اگر این رقم برای توجیه کسب‌وکار مهم است، یک بار آن را روی دستگاه تحت بار نماینده اندازه بگیرید و آن اندازه‌گیری را همراه طراحی نگه دارید.
سند را پیش از طراحی بنویسید
برای هر توانایی که طراحی نیاز دارد، مرجع پلتفرم، مستندات منطبق با نسخه و هر محدودیت حل‌نشده را در یک جا نگه دارید. جایی که ردیفی از چندگانه برآورده نمی‌شود، با یک دروازهٔ جداگانهٔ تأییدشده مقایسه کنید، نه اینکه طراحی را حول فهرست خرید منسوخ بازسازی کنید. سند باید بگوید کدام سیستم دقیق کار را انجام می‌دهد و در چه محدوده‌ای.
تنها پس از آن همتا را بررسی کنید، زیرا سازگاری پروتکل با انتهای دور پرسش بعدی است و هرگز جایگزین پشتیبانی محلی نمی‌شود. همتایی که با پیشنهادها موافق است باز هم نمی‌تواند به شاسی‌ای کمک کند که هرگز بسته‌ای را رمزنگاری نمی‌کند.