MX IPsec-ти токтото алышы үчүн эмнелер дал келиши керек
Конфигурацияны кабыл алган commit парсерди гана далилдейт, жолду эмес. Платформалык кортеждин беш бөлүгү кызматтын чын эле иштешин аныктайт.
Конфигурация таза commit болот, интерфейстер көтөрүлөт, ал эми туннель түзүлүүдөн баш тарта берет. Логдо платформа муну жасай албайт деген бир да сап жок; ал жөн гана жасабайт. Junos'то IPsec — бул шасси, кызмат жабдуусу же программалык жол, жана чыгарылыштын белгилүү бир айкалышы гана аткара ала турган кызмат, ал эми функция барагы программалык камсыздоонун мүмкүнчүлүгүн сүрөттөйт, сиздин түзмөгүңүздү эмес. Кортежди бөлүк-бөлүгү менен текшерүү керек, анткени commit жыйынтыгы парсерди гана далилдейт.
Пакет чын эле кайда барат
IPsec үчүн тандалган трафик аны шифрлаган компонентке жетиши керек. Кызмат модулу бар платформаларда тандалган агым ошол модулга багытталат, анан forwarding жолуна кайтат. Модул жок болсо, сыйымдуулугу аз болсо же интерфейске байланбаган болсо, конфигурация бар, бирок бир да пакет иштетилбейт. Commit чыгышында эч нерсе бул абалды соо абалдан айырбаштабайт.
Программалык камсыздоодо жайгашкан ишке ашыруулар ишти routing engine'де же inline жабдууда кармайт, ресурс чектөөлөрү абдан башкача. Конфигурацияда көрүнгөн туннель сизге бул жолдордун кайсынысы аны чын эле алып жүргөнүн айтпайт.
Кортеждин беш бөлүгү
Каалаган сунушту окуудан мурун айкалышты жазып коюңуз, анткени бир бөлүк калгандарын жараксыз кылышы мүмкүн. Үч жыл мурун кызматты колдогон бөлүк номери бул шассидеги карта жана чыгарылыш жөнүндө эч нерсе айтпайт. Төмөнкү саптарды текшерүү тизмеси катары окуп, анан конфигурация сизге көрсөтө албаган маанилерди толтуруңуз.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
Дарек үй-бүлөлөрү жана жумуш жүгү адамдар өткөрүп жиберген эки сап, экөө тең текшерүүгө арзан, кийин табууга кымбат. Кортежди таблицадан эмес, түзмөктөн окуңуз, анткени конфигурация эмнени сураганыңызды билдирет, эмне орнотулганын эмес. Көбүн эки буйрук ташыйт: show chassis hardware чын эле орнотулган картаны атайт, show version так чыгарылышты берет. Экөө тең конфигурациянын тууралыгына көз каранды эмес, маселе да ушунда.
show chassis hardware
show versionЧыгарылыш дарбазалары чыныгы дарбазалар
Чыгарылыш деталы формалдуулук эмес. Juniper'дин IPsec сереби көп кызматтуу карталар үчүн AES-GCM колдоосун Junos 17.3R1'ге, FIPS режимин 17.4R1'ден баштап белгилейт. Ошондуктан бир эле функциянын платформаны кантип иштетүүгө жараша эки босогосу бар, ал эми сиз иштеткен режим кайсынысы колдонуларын аныктайт. Функциялар тизмесин текшерүүдөн мурун режимди текшериңиз.
Чыгарылыш жазууларын так орнотулган версия үчүн окуңуз, документтелген эң жаңысы үчүн эмес. Кийинки build'де келген мүмкүнчүлүктү мурункусунда бар деп болжолдоого болбойт, ал эми бир карта үчүн жазылган ырастоо экинчисине өтпөйт. Чыгарылыш жазуусунун сабын дизайн жазуусуна көчүрүңүз, ырастоо өз булагын алып жүрсүн, анткени платформалар үй-бүлөсү үчүн жазылган колдоо билдирүүсү сиз иштеткен режим же сиздеги карта жөнүндө билдирүү эмес.
Сыйымдуулук — жумуш жүгү, аталыш эмес
Өлчөө шарттары жок аталыштагы өткөрүү жөндөмүнүн саны — маркетингдик сан. Кичине пакеттер ар бир бит үчүн чоңдорунан алда канча кымбат, бир убакта ассоциациялар эстутумду сарптайт, ал эми картаны бөлүшкөн ар кандай башка кызмат калганын азайтат.
Күткөн трафигиңизден эсептеңиз: кадимки жана эң начар пакет өлчөмдөрү, peer'лердин саны жана ал карта NAT же башка кызматты да токтото бу. Анан бир күнү бир жол дизайн болжолдогондон көп жүк ташыган күнгө кам калтырыңыз. Жабдууну бош деп эсептеген сыйымдуулук планы — тилек, план эмес. Сан бизнес иши үчүн маанилүү болсо, аны бир жолу түзмөктө өкүлдүк жүк астында өлчөп, өлчөөнү дизайн менен бирге сактаңыз.
Жазууну дизайндан мурун жазыңыз
Дизайнга керек болгон ар бир мүмкүнчүлүк үчүн платформа шилтемесин, чыгарылышка дал келген документтерди жана чечилбеген чектөөлөрдү бир жерде сактаңыз. Кортеждин кайсы бир сабы аткарылбаса, эскирген сатып алуу тизмесинин айланасында дизайнды кайра куруунун ордуна өзүнчө бекитилген шлюз менен салыштырыңыз. Жазуу так кайсы система ишти аткарарын жана кандай чектерде экенин айтышы керек.
Андан кийин гана peer'ди текшериңиз, анткени алыскы уч менен протокол шайкештиги — кийинки суроо жана ал эч качан жергиликтүү колдоону алмаштырбайт. Сунуштарга макул болгон peer да бир да пакетти шифрлабаган шассиге жардам бере албайт.