MX IPsec-ті тоқтата алуы үшін нелер сәйкес болуы керек
Конфигурацияны қабылдайтын commit тек парсерді дәлелдейді, жолды емес. Платформалық кортеждің бес бөлігі қызметтің шынымен жұмыс істейтінін анықтайды.
Конфигурация таза commit жасалады, интерфейстер көтеріледі, ал туннель құрылудан бас тарта береді. Логта платформа мұны жасай алмайды деген бірде-бір жол жоқ; ол жай ғана жасамайды. Junos-та IPsec — тек шасси, қызмет жабдығы немесе бағдарламалық жол және шығарылымның белгілі бір үйлесімі ғана орындай алатын қызмет, ал мүмкіндік беті бағдарламалық жасақтаманың мүмкіндігін сипаттайды, сіздің құрылғыңызды емес. Кортежді бөлік-бөлігімен тексеру керек, өйткені commit нәтижесі тек парсерді дәлелдейді.
Пакет шынымен қайда барады
IPsec үшін таңдалған трафик оны шифрлайтын құрамдас бөлікке жетуі керек. Қызмет модулі бар платформаларда таңдалған ағын сол модульге бағытталады, содан кейін forwarding жолына қайтады. Модуль болмаса, сыйымдылығы жеткіліксіз болса немесе интерфейске байланыспаған болса, конфигурация бар, бірақ бірде-бір пакет өңделмейді. Commit шығысында ештеңе бұл жағдайды сау жағдайдан ажыратпайды.
Бағдарламалық жасақтамада орналасқан іске асырулар жұмысты routing engine-де немесе inline жабдықта ұстайды, ресурс шектеулері өте ерекшеленеді. Конфигурацияда көрінетін туннель сізге осы жолдардың қайсысы оны шын мәнінде тасымалдайтынын айтпайды.
Кортеждің бес бөлігі
Кез келген ұсынымды оқымас бұрын үйлесімді жазып қойыңыз, өйткені бір бөлік қалғандарын жарамсыз етуі мүмкін. Үш жыл бұрын қызметті қолдаған бөлшек нөмірі осы шассидегі карта мен шығарылым туралы ештеңе айтпайды. Төмендегі жолдарды тексеру тізімі ретінде оқып, содан кейін конфигурация сізге көрсете алмайтын мәндерді толтырыңыз.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
Мекенжай отбасылары мен жұмыс жүктемесі адамдар өткізіп жіберетін екі жол, екеуі де тексеруге арзан, кейін анықтауға қымбат. Кортежді кестеден емес, құрылғыдан оқыңыз, өйткені конфигурация нені сұрағаныңызды хабарлайды, нені орнатқанын емес. Көбін екі команда тасиды: show chassis hardware шын мәнінде орнатылған картаны атайды, show version нақты шығарылымды береді. Екеуі де конфигурацияның дұрыстығына тәуелді емес, мәселе де осында.
show chassis hardware
show versionШығарылым қақпалары нақты қақпалар
Шығарылым егжей-тегжейі формальдылық емес. Juniper-дің IPsec шолуы көпқызметті карталар үшін AES-GCM қолдауын Junos 17.3R1-ге, FIPS режимін 17.4R1-ден бастап белгілейді. Сондықтан бір функцияның платформаны қалай пайдалануға байланысты екі шегі бар, ал сіз іске қосатын режим қайсысының қолданылатынын анықтайды. Мүмкіндіктер тізімін тексермес бұрын режимді тексеріңіз.
Шығарылым жазбаларын нақты орнатылған нұсқа үшін оқыңыз, құжатталған ең жаңасы үшін емес. Кейінгі build-те келген мүмкіндікті бұрынғыда бар деп болжауға болмайды, ал бір картаға жазылған тұжырым екіншісіне ауыспайды. Шығарылым жазбасының жолын дизайн жазбасына көшіріңіз, тұжырым өз дереккөзін алып жүрсін, өйткені платформалар тобына жазылған қолдау мәлімдемесі сіз іске қосатын режим немесе сізде бар карта туралы мәлімдеме емес.
Сыйымдылық — бұл жұмыс жүктемесі, тақырып емес
Өлшеу шарттары жоқ тақырыптық өткізу қабілетінің саны — маркетингтік сан. Кіші пакеттер әр бит үшін үлкендерден әлдеқайда қымбат, бір мезгілдегі ассоциациялар жадты жұмсайды, ал картаны бөлісетін кез келген басқа қызмет қалғанын азайтады.
Күтетін трафигіңізден есептеңіз: қалыпты және ең нашар пакет өлшемдері, peer саны және сол карта NAT немесе басқа қызметті де тоқтата ма. Содан кейін бір күні бір жол дизайн болжағанынан көп жүк таситыны үшін қор қалдырыңыз. Жабдықты бос деп есептейтін сыйымдылық жоспары — тілек, жоспар емес. Сан бизнес ісі үшін маңызды болса, оны бір рет құрылғыда өкілдік жүктеме астында өлшеп, өлшеуді дизайнмен бірге сақтаңыз.
Жазбаны дизайннан бұрын жазыңыз
Дизайнға қажет әрбір мүмкіндік үшін платформа сілтемесін, шығарылымға сәйкес құжаттаманы және шешілмеген шектеулерді бір жерде ұстаңыз. Кортеждің қандай да бір жолы орындалмаса, ескірген сатып алу тізімінің айналасында дизайнды қайта құрудың орнына бөлек бекітілген шлюзбен салыстырыңыз. Жазба нақты қай жүйенің жұмысты орындайтынын және қандай шектерде екенін айтуы керек.
Содан кейін ғана peer-ді тексеріңіз, өйткені алыс ұшпен протокол үйлесімділігі — келесі сұрақ және ол ешқашан жергілікті қолдауды алмастырмайды. Ұсыныстармен келісетін peer те бірде-бір пакетті шифрламайтын шассиге көмектесе алмайды.