Wat oerienkomme moat foardat in MX IPsec ôfslute kin
In commit dy't de konfiguraasje akseptearret bewiist de parser, net it paad. Fiif dielen fan 'e platfoarmtuple beslisse oft de tsjinst echt rint.
De konfiguraasje commit skjin, de ynterfaces komme omheech, en de tunnel wegert noch hieltyd him te festigjen. Neat yn it logboek seit dat it platfoarm dit net kin; it docht it gewoan net. Op Junos is IPsec in tsjinst dy't in spesifike kombinaasje fan chassis, tsjinsthardware of softwarepaad en ferzje leverje kin, en in funksjepage beskriuwt de kapasiteit fan 'e software, net dyn apparaat. De tuple moat diel foar diel neigien wurde, want in commitresultaat bewiist allinne de parser.
Wêr't it pakket echt hinne giet
Ferkeer dat foar IPsec keazen is, moat it ûnderdiel berikke dat it fersiferet. Op platfoarmen mei in tsjinstmodule wurdt de keazen flow nei dy module stjoerd en komt dêrnei werom nei it trochstjoerpaad. As de module ûntbrekt, te lyts is of net oan 'e ynterface bûn is, bestiet de konfiguraasje en wurdt gjin pakket ea ferwurke. Neat yn 'e commit-útgong ûnderskiedt dat gefal fan in sûn gefal.
Software-hostearre ymplemintaasjes hâlde it wurk op 'e routing engine of yn inline hardware, mei hiel ferskillende boarnemarjes. In tunnel dy't yn 'e konfiguraasje sichtber is, fertelt dy net hokker fan dy paden him echt draacht.
De fiif dielen fan 'e tuple
Skriuw de kombinaasje op foardatst wat foar oanbefelling dan ek lêst, want ien diel kin de oare ûnjildich meitsje. In ûnderdielnûmer dat trije jier lyn in tsjinst stipe, seit neat oer de kaart en ferzje yn dit chassis. Lês de rigen hjirûnder as de kontrolelist en folje dan de wearden yn dy't de konfiguraasje dy net sjen litte kin.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
De adresfamyljes en de wurklêst binne de twa rigen dy't minsken oerslaan, en beide binne goedkeap om nei te gean en djoer om letter te ûntdekken. Lês de tuple út it apparaat ynstee fan út in rekkenblêd, want in konfiguraasje rapportearret watst frege hast, net wat ynstallearre is. Twa opdrachten drage it measte: show chassis hardware neamt de kaart dy't echt ynsit, en show version jout de krekte ferzje. Gjin fan beide hinget derfan ôf oft de konfiguraasje goed is, en dat is krekt it punt.
show chassis hardware
show versionFerzjehekken binne echte hekken
It ferzjedetail is gjin formaliteit. Juniper syn IPsec-oersjoch datearret AES-GCM-stipe foar multytsjinstkaarten op Junos 17.3R1, mei FIPS-modus dy't by 17.4R1 begjint. Deselde funksje hat dus twa drompels ôfhinklik fan hoe't it platfoarm bedreaun wurdt, en de modus wêryn'tsto rinste beslútt hokker jildt. Gie de modus nei foardatst de funksjelist neigiest.
Lês de ferzjenotysjes foar de krekte ynstallearre ferzje, net de nijste dokumintearre. In kapasiteit dy't yn in lettere build kaam, kin net yn in eardere oannommen wurde, en in bewearing skreaun foar ien kaart giet net oer op in oare. Kopiearje de rigel út 'e ferzjenotysjes nei it ûntwerpferhaal, sadat de bewearing syn eigen boarne draacht, want in stipeferklearring skreaun foar in platfoarmfamylje is gjin ferklearring oer de modus wêryn'tsto rinste of de kaart dy'tsto hast.
Kapasiteit is in wurklêst, net in kop
In kop-sifer foar trochfier as syn mjitbetingsten binne in marketingnûmer. Lytse pakketten kostje per bit folle mear as grutte, tagelyk assosjaasjes brûke ûnthâld, en elke oare tsjinst dy't de kaart dielt ferminderet wat oerbliuwt.
Skat út it ferkeer datst ferwachtet: typyske en slimste pakketgrutten, it oantal peers, en oft dy kaart ek NAT of in oare tsjinst beëiniget. Litte dan romte foar de dei dat ien paad mear lading draacht as it ûntwerp oannaam. In kapasiteitsplan dat lege hardware oannimt is in winsk, gjin plan. As it sifer fan belang is foar de saaklike redenaasje, mjit it dan ien kear op it apparaat ûnder in fertsjintwurdigjende lading en hâld dy mjitting by it ûntwerp.
Skriuw it ferhaal foar it ûntwerp
Hâld foar elke kapasiteit dy't it ûntwerp nedich hat, de platfoarmferwizing, de ferzje-passende dokumintaasje en elke ûnoploste beheining op ien plak. Wêr't in rigel fan 'e tuple mist, ferlykje in apart goedkarde gateway ynstee fan it ûntwerp op 'e nij te bouwen om in ferâldere winkelbrieve. It ferhaal moat sizze hokker krekte systeem it wurk docht en ûnder hokker grinzen.
Pas dêrnei gie de peer nei, want protokolkompatibiliteit mei de fiere kant is de folgjende fraach en nea in ferfanging foar pleatslike stipe. In peer dy't it iens is oer de foarstellen kin in chassis dat nea in pakket fersiferet dochs net helpe.