Minek kell egyeznie ahhoz, hogy az MX lezárhassa az IPsecet
A konfigurációt elfogadó commit csak az elemzőt bizonyítja, nem az útvonalat. A platform-tuple öt eleme dönti el, hogy a szolgáltatás valóban fut-e.
A konfiguráció tisztán commitolódik, az interfészek feljönnek, a tunnel mégis megtagadja a felépülést. A naplóban semmi sem mondja, hogy a platform erre nem képes; egyszerűen nem teszi. A Junoson az IPsec olyan szolgáltatás, amelyet csak a chassis, a szolgáltatási hardver vagy szoftveres útvonal és a kiadás meghatározott kombinációja tud ellátni, és egy funkcióoldal a szoftver képességét írja le, nem az Ön készülékét. A tuple-t elemenként kell ellenőrizni, mert a commit eredménye csak az elemzőt bizonyítja.
Hová kerül valójában a csomag
Az IPsec számára kiválasztott forgalomnak el kell jutnia a titkosító komponenshez. A szolgáltatásmodullal rendelkező platformokon a kiválasztott folyam ahhoz a modulhoz kerül, majd visszatér a továbbítási útvonalra. Ha a modul hiányzik, alulméretezett, vagy nincs az interfészhez kötve, a konfiguráció létezik, és egyetlen csomag sem kerül feldolgozásra. A commit kimenetében semmi sem különbözteti meg ezt az esetet az egészségestől.
A szoftveres implementációk a routing engine-en vagy inline hardverben tartják a munkát, nagyon eltérő erőforrás-korlátokkal. A konfigurációban látható tunnel nem árulja el, melyik útvonal viszi valójában.
A tuple öt eleme
Írja le a kombinációt, mielőtt bármilyen ajánlást elolvasna, mert egy elem érvénytelenítheti a többit. Egy alkatrészszám, amely három éve támogatott egy szolgáltatást, semmit sem mond az ebben a chassisban lévő kártyáról és kiadásról. Olvassa a lenti sorokat ellenőrzőlistaként, majd töltse ki azokat az értékeket, amelyeket a konfiguráció nem tud megmutatni.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
A címcsaládok és a terhelés az a két sor, amelyet az emberek kihagynak, és mindkettő olcsó ellenőrizni és drága később felfedezni. A tuple-t a készülékről olvassa, ne táblázatból, mert a konfiguráció azt jelenti, amit kért, nem azt, ami telepítve van. Két parancs hordozza a legtöbbet: show chassis hardware megnevezi a ténylegesen behelyezett kártyát, és show version megadja a pontos kiadást. Egyik sem függ attól, hogy a konfiguráció helyes-e, és éppen ez a lényeg.
show chassis hardware
show versionA kiadási kapuk valódi kapuk
A kiadás részlete nem formalitás. A Juniper IPsec áttekintése a többfunkciós kártyák AES-GCM támogatását a Junos 17.3R1-hez datálja, a FIPS mód pedig a 17.4R1-gyel kezdődik. Ugyanannak a funkciónak tehát két küszöbe van attól függően, hogyan üzemeltetik a platformot, és az Ön által futtatott mód dönti el, melyik érvényes. A módot ellenőrizze, mielőtt a funkciólistát ellenőrizné.
A pontosan telepített verzió kiadási megjegyzéseit olvassa, nem a legújabb dokumentáltat. Egy későbbi buildben megjelent képességet nem lehet egy korábbiban meglévőnek feltételezni, és az egyik kártyára írt állítás nem vihető át a másikra. Másolja a kiadási megjegyzés sorát a tervezési feljegyzésbe, hogy az állítás saját forrást hordozzon, mert egy platformcsaládra írt támogatási nyilatkozat nem nyilatkozat az Ön által futtatott módról vagy a birtokában lévő kártyáról.
A kapacitás terhelés, nem főcím
A főcímben szereplő átbocsátóképesség mérési feltételek nélkül marketing szám. A kis csomagok bitenként sokkal drágábbak a nagyoknál, az egyidejű asszociációk memóriát fogyasztanak, és minden más, a kártyát megosztó szolgáltatás csökkenti a maradékot.
A várt forgalomból becsüljön: tipikus és legrosszabb csomagméretek, a peer-ek száma, és hogy a kártya lezár-e NAT-ot vagy más szolgáltatást. Utána hagyjon tartalékot arra a napra, amikor egy útvonal nagyobb terhelést visz, mint a tervezés feltételezte. A tétlen hardvert feltételező kapacitásterv kívánság, nem terv. Ha a szám számít az üzleti esethez, mérje meg egyszer a készüléken reprezentatív terhelés mellett, és őrizze meg a mérést a tervezés mellett.
Előbb a feljegyzés, aztán a tervezés
Minden képességhez, amelyre a tervezésnek szüksége van, egy helyen tartsa a platformreferenciát, a kiadáshoz illeszkedő dokumentációt és minden megoldatlan korlátozást. Ahol a tuple egy sora nem teljesül, hasonlítson össze egy külön jóváhagyott átjárót, ahelyett hogy a tervezést egy elavult bevásárlólista köré építené újra. A feljegyzésnek meg kell mondania, melyik pontos rendszer végzi a munkát, és milyen korlátok között.
Csak ezután ellenőrizze a peer-t, mert a protokoll-kompatibilitás a távoli végponttal a következő kérdés, és soha nem helyettesíti a helyi támogatást. Az a peer, amely egyetért a javaslatokkal, még mindig nem segít egy chassis-on, amely soha nem titkosít egyetlen csomagot sem.