Mikä pitää olla kohdallaan, ennen kuin MX voi päättää IPsecin
Konfiguraation hyväksyvä commit todistaa jäsentimen, ei polkua. Viisi alustan monikon osaa ratkaisee, toimiiko palvelu todella.
Konfiguraatio committoituu siististi, rajapinnat nousevat, ja tunneli kieltäytyy silti muodostumasta. Missään lokissa ei sanota, ettei alusta pysty tähän; se yksinkertaisesti jättää tekemättä. Junosissa IPsec on palvelu, jonka vain tietty yhdistelmä alustaa, palvelulaitteistoa tai ohjelmistopolkua ja julkaisua voi toteuttaa, ja ominaisuussivu kuvaa ohjelmiston kykyä, ei sinun laitetta. Monikko on tarkistettava osa osalta, koska commit-tulos todistaa vain jäsentimen.
Minne paketti todella menee
IPsecille valittu liikenne on saatava sitä salaavaan komponenttiin. Alustoilla, joissa on palvelumoduuli, valittu vuo ohjataan kyseiseen moduuliin ja palaa sen jälkeen edelleenlähetyspolulle. Jos moduuli puuttuu, on alimitoitettu tai sitä ei ole sidottu rajapintaan, konfiguraatio on olemassa eikä yhtään pakettia koskaan käsitellä. Mikään commit-tulosteessa ei erota tätä tapausta terveestä.
Ohjelmistopohjaiset toteutukset pitävät työn reititysmoottorilla tai inline-laitteistossa, ja resurssirajat poikkeavat hyvin paljon. Konfiguraatiossa näkyvä tunneli ei kerro, kumpi näistä poluista sitä todella kuljettaa.
Monikon viisi osaa
Kirjoita yhdistelmä muistiin ennen kuin luet yhtään suositusta, koska yksi osa voi tehdä muut mitättömiksi. Osanumero, joka tuki palvelua kolme vuotta sitten, ei kerro mitään tämän alustan kortista ja julkaisusta. Lue alla olevat rivit tarkistuslistana ja täytä sitten arvot, joita konfiguraatio ei voi sinulle näyttää.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
Osoiteperheet ja työkuorma ovat ne kaksi riviä, jotka ihmiset ohittavat, ja molemmat ovat halpoja tarkistaa ja kalliita löytää myöhemmin. Lue monikko laitteesta eikä taulukkolaskennasta, koska konfiguraatio raportoi sen, mitä pyysit, ei sitä, mitä on asennettu. Kaksi komentoa kantaa suurimman osan: show chassis hardware nimeää kortin, joka on todella paikallaan, ja show version antaa tarkan julkaisun. Kumpikaan ei riipu siitä, onko konfiguraatio oikein, ja juuri se on pointti.
show chassis hardware
show versionJulkaisuportit ovat oikeita porteja
Julkaisun yksityiskohta ei ole muodollisuus. Juniperin IPsec-yleiskatsaus ajoittaa AES-GCM-tuen monipalvelukorteille Junos 17.3R1:een ja FIPS-tilan alkamaan versiosta 17.4R1. Samalla ominaisuudella on siis kaksi kynnystä riippuen siitä, miten alustaa käytetään, ja käyttämäsi tila ratkaisee, kumpi pätee. Tarkista tila ennen kuin tarkistat ominaisuusluettelon.
Lue sen tarkan asennetun version julkaisumuistiinpanot, älä uusinta dokumentoitua. Myöhemmässä buildissa tullutta kykyä ei voi olettaa olevan aiemmassa, eikä yhdelle kortille kirjoitettu väite siirry toiselle. Kopioi julkaisumuistiinpanojen rivi suunnittelumuistioon, jotta väite kantaa oman lähteensä, koska alustaperheelle kirjoitettu tukilausunto ei ole lausunto käyttämästäsi tilasta tai omistamastasi kortista.
Kapasiteetti on työkuorma, ei otsikko
Otsikon läpäisykykyluku ilman mittausolosuhteitaan on markkinointiluku. Pienet paketit maksavat bittiä kohden paljon enemmän kuin suuret, samanaikaiset assosiaatiot kuluttavat muistia, ja jokainen muu kortin jakava palvelu vähentää jäljelle jäävää.
Arvioi odottamastasi liikenteestä: tyypilliset ja pahimman tapauksen pakettikoot, vertaisten määrä ja se, päättääkö kortti myös NATin tai muun palvelun. Jätä sen jälkeen pelivaraa päivälle, jona yksi polku kantaa enemmän kuormaa kuin suunnittelu oletti. Kapasiteettisuunnitelma, joka olettaa laitteiston olevan joutilaana, on toive eikä suunnitelma. Jos luvulla on merkitystä liiketoimintaperustelulle, mittaa se kerran laitteella edustavalla kuormalla ja säilytä mittaus suunnittelun yhteydessä.
Kirjoita muistio ennen suunnittelua
Pidä jokaisesta kyvystä, jonka suunnittelu tarvitsee, alustaviite, julkaisun mukaista dokumentaatiota ja kaikki ratkaisemattomat rajoitukset yhdessä paikassa. Jos monikon rivi ei pidä, vertaa erilliseen hyväksyttyyn yhdyskäytävään sen sijaan, että rakentaisit suunnittelun uudelleen vanhentuneen ostoslistan ympärille. Muistiossa pitää kertoa, mikä tarkka järjestelmä tekee työn ja millä rajoilla.
Vasta sen jälkeen tarkista vertaislaite, koska protokollayhteensopivuus kauimmaisen pään kanssa on seuraava kysymys eikä koskaan korvaa paikallista tukea. Vertaislaite, joka hyväksyy ehdotukset, ei silti pysty auttamaan alustaa, joka ei koskaan salaa pakettia.