Što se mora poklopiti prije nego MX može završiti IPsec
Commit koji prihvaća konfiguraciju dokazuje parser, a ne put. Pet dijelova platformskog tuplea odlučuje radi li usluga doista.
Konfiguracija se čisto commita, sučelja se dižu, a tunel ipak odbija uspostaviti se. Nijedan redak u logu ne kaže da platforma to ne može; ona to jednostavno ne radi. Na Junosu je IPsec usluga koju može izvršiti samo određena kombinacija kućišta, servisnog hardvera ili softverskog puta, i izdanja, a stranica značajke opisuje sposobnost softvera, ne vašeg uređaja. Tuple treba provjeriti dio po dio, jer rezultat commita dokazuje samo parser.
Kamo paket zapravo odlazi
Promet odabran za IPsec mora doći do komponente koja ga šifrira. Na platformama sa servisnim modulom, odabrani tok usmjerava se na taj modul i zatim se vraća na put prosljeđivanja. Ako modul nedostaje, slabije je dimenzioniran ili nije vezan uz sučelje, konfiguracija postoji i nijedan paket se ne obrađuje. Ništa u izlazu commita ne razlikuje taj slučaj od zdravog.
Implementacije smještene u softveru zadržavaju posao na usmjerivačkom motoru ili u inline hardveru, s vrlo različitim ograničenjima resursa. Tunel vidljiv u konfiguraciji ne govori vam koja od tih putanja ga zaista nosi.
Pet dijelova tuplea
Zapišite kombinaciju prije nego pročitate bilo koju preporuku, jer jedan dio može poništiti ostale. Broj dijela koji je prije tri godine podržavao uslugu ne govori ništa o kartici i izdanju u ovom kućištu. Čitajte donje retke kao kontrolni popis, zatim ispunite vrijednosti koje vam konfiguracija ne može pokazati.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
Obitelji adresa i radno opterećenje dva su retka koja ljudi preskaču, i oba su jeftina za provjeru i skupa za kasnije otkrivanje. Čitajte tuple s uređaja, a ne iz proračunske tablice, jer konfiguracija izvješćuje o onome što ste zatražili, a ne o onome što je instalirano. Dvije naredbe nose većinu: show chassis hardware imenuje karticu koja je doista ugrađena, a show version daje točno izdanje. Nijedna ne ovisi o tome je li konfiguracija ispravna, i upravo je to poanta.
show chassis hardware
show versionPragovi izdanja pravi su pragovi
Detalj izdanja nije formalnost. Pregled IPsec-a tvrtke Juniper datira podršku za AES-GCM na višeservisnim karticama u Junos 17.3R1, a FIPS način rada počinje od 17.4R1. Ista značajka stoga ima dva praga ovisno o tome kako se platforma koristi, a način rada koji pokrećete odlučuje koji se primjenjuje. Provjerite način rada prije nego provjerite popis značajki.
Čitajte bilješke o izdanju za točno instaliranu verziju, a ne za najnoviju dokumentiranu. Sposobnost koja je došla u kasnijem buildu ne može se pretpostaviti u ranijem, a izjava napisana za jednu karticu ne prenosi se na drugu. Kopirajte redak iz bilješki o izdanju u projektni zapis kako bi tvrdnja nosila vlastiti izvor, jer izjava o podršci napisana za obitelj platformi nije izjava o načinu rada koji pokrećete ni o kartici koju imate.
Kapacitet je radno opterećenje, a ne naslov
Naslovni broj propusnosti bez uvjeta mjerenja marketinški je broj. Mali paketi stoje mnogo više po bitu od velikih, istodobne asocijacije troše memoriju, a svaka druga usluga koja dijeli karticu smanjuje ono što ostaje.
Procijenite iz prometa koji očekujete: tipične i najgore veličine paketa, broj partnera i završava li ta kartica također NAT ili drugu uslugu. Zatim ostavite rezervu za dan kada jedna putanja ponese veće opterećenje nego što je projekt pretpostavio. Plan kapaciteta koji pretpostavlja neaktivni hardver je želja, a ne plan. Ako je broj važan za poslovno opravdanje, izmjerite ga jednom na uređaju pod reprezentativnim opterećenjem i čuvajte to mjerenje uz projekt.
Napišite zapis prije projekta
Za svaku sposobnost koja projektu treba, držite referencu platforme, dokumentaciju usklađenu s izdanjem i svako neriješeno ograničenje na jednome mjestu. Gdje neki redak tuplea ne prolazi, usporedite zaseban odobreni gateway umjesto da pregradite projekt oko zastarjelog popisa za kupnju. Zapis treba reći koji točno sustav obavlja posao i pod kojim granicama.
Tek tada provjerite partnera, jer kompatibilnost protokola s udaljenim krajem sljedeće je pitanje i nikada ne zamjenjuje lokalnu podršku. Partner koji se slaže s prijedlozima ipak ne može pomoći kućištu koje nikad ne šifrira paket.