Apa yang harus selaras sebelum MX bisa menerminasi IPsec
Commit yang menerima konfigurasi hanya membuktikan parser, bukan jalurnya. Lima bagian tuple platform menentukan apakah layanan itu benar-benar berjalan.
Konfigurasi ter-commit dengan bersih, antarmuka naik, tetapi terowongan tetap menolak terbentuk. Tidak ada satu pun baris log yang menyatakan platform ini tidak mampu; ia sekadar tidak melakukannya. Di Junos, IPsec adalah layanan yang hanya dapat dijalankan oleh kombinasi tertentu dari chassis, perangkat keras layanan atau jalur perangkat lunak, serta rilis, dan halaman fitur menjelaskan kemampuan perangkat lunak, bukan perangkat Anda. Tuple harus diperiksa bagian demi bagian, karena hasil commit hanya membuktikan parser.
Ke mana paket sebenarnya pergi
Lalu lintas yang dipilih untuk IPsec harus mencapai komponen yang mengenkripsinya. Pada platform dengan modul layanan, aliran yang dipilih diarahkan ke modul itu dan setelah itu kembali ke jalur penerusan. Jika modul tidak ada, kapasitasnya kurang, atau tidak terikat ke antarmuka, konfigurasi tetap ada tetapi tidak satu paket pun diproses. Tidak ada apa pun dalam keluaran commit yang membedakan keadaan itu dari keadaan yang sehat.
Implementasi yang dihosting perangkat lunak menaruh pekerjaan di routing engine atau di perangkat keras inline, dengan batas sumber daya yang sangat berbeda. Terowongan yang terlihat di konfigurasi tidak memberi tahu Anda jalur mana yang sebenarnya membawanya.
Lima bagian tuple
Tuliskan kombinasinya sebelum membaca rekomendasi apa pun, karena satu bagian dapat membatalkan bagian lainnya. Nomor part yang tiga tahun lalu mendukung sebuah layanan tidak mengatakan apa pun tentang kartu dan rilis di chassis ini. Bacalah baris di bawah sebagai daftar periksa, lalu isi nilai yang tidak dapat ditunjukkan konfigurasi kepada Anda.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
Keluarga alamat dan beban kerja adalah dua baris yang sering dilewati orang, dan keduanya murah diperiksa tetapi mahal ditemukan belakangan. Bacalah tuple dari perangkat, bukan dari spreadsheet, karena konfigurasi melaporkan apa yang Anda minta, bukan apa yang terpasang. Dua perintah membawa sebagian besar isinya: show chassis hardware menyebutkan kartu yang benar-benar terpasang, dan show version memberikan rilis yang tepat. Keduanya tidak bergantung pada benar atau tidaknya konfigurasi, dan itulah intinya.
show chassis hardware
show versionGerbang rilis adalah gerbang sungguhan
Rincian rilis bukan formalitas. Ikhtisar IPsec dari Juniper menetapkan dukungan AES-GCM untuk kartu multiservice pada Junos 17.3R1, dengan mode FIPS dimulai pada 17.4R1. Karena itu fitur yang sama memiliki dua ambang tergantung bagaimana platform dioperasikan, dan mode yang Anda jalankan menentukan ambang mana yang berlaku. Periksa mode sebelum memeriksa daftar fitur.
Bacalah catatan rilis untuk versi persis yang terpasang, bukan versi terbaru yang didokumentasikan. Kemampuan yang muncul pada build yang lebih baru tidak dapat dianggap ada pada build yang lebih lama, dan pernyataan yang ditulis untuk satu kartu tidak berlaku untuk kartu lain. Salin baris catatan rilis ke dalam catatan desain agar klaim itu membawa sumbernya sendiri, karena pernyataan dukungan yang ditulis untuk satu keluarga platform bukanlah pernyataan tentang mode yang Anda jalankan atau kartu yang Anda miliki.
Kapasitas adalah beban kerja, bukan angka di judul
Angka throughput di judul tanpa kondisi pengukurannya hanyalah angka pemasaran. Paket kecil jauh lebih mahal per bit daripada paket besar, asosiasi bersamaan memakan memori, dan setiap layanan lain yang berbagi kartu mengurangi sisanya.
Perkirakan dari lalu lintas yang Anda harapkan: ukuran paket tipikal dan terburuk, jumlah peer, dan apakah kartu itu juga menerminasi NAT atau layanan lain. Lalu sisakan ruang untuk hari ketika satu jalur membawa beban lebih besar daripada yang diasumsikan desain. Rencana kapasitas yang mengasumsikan perangkat keras menganggur adalah angan-angan, bukan rencana. Jika angka itu penting bagi kasus bisnis, ukurlah sekali di perangkat di bawah beban yang representatif dan simpan pengukuran itu bersama desain.
Tulis catatan sebelum desain
Untuk setiap kemampuan yang dibutuhkan desain, simpan referensi platform, dokumentasi yang cocok dengan rilis, dan batasan yang belum terselesaikan di satu tempat. Jika satu baris tuple tidak terpenuhi, bandingkan gateway lain yang sudah disetujui alih-alih membangun ulang desain di sekitar daftar belanja yang sudah usang. Catatan itu harus menyebutkan sistem persis mana yang mengerjakan tugas tersebut dan dalam batas apa.
Baru setelah itu periksa peer, karena kompatibilitas protokol dengan ujung jauh adalah pertanyaan berikutnya dan tidak pernah menjadi pengganti dukungan lokal. Peer yang menyetujui proposal tetap tidak dapat menolong chassis yang tidak pernah mengenkripsi satu paket pun.