Kas turi sutapti, kol MX galės pabaigti IPsec
Commit, priimantis konfigūraciją, įrodo analizatorių, o ne kelią. Penkios platformos kortežo dalys nusprendžia, ar paslauga tikrai veikia.
Konfigūracija commitinama švariai, sąsajos pakyla, o tunelis vis dar atsisako susieti. Nė viena žurnalo eilutė nesako, kad platforma to negali; ji tiesiog to nedaro. Junos sistemoje IPsec yra paslauga, kurią atlikti gali tik tam tikra korpuso, paslaugos aparatinės įrangos ar programinės kelio ir leidimo kombinacija, o funkcijos puslapis aprašo programinės įrangos galimybę, o ne jūsų įrenginį. Kortežą reikia tikrinti dalis po dalies, nes commit rezultatas įrodo tik analizatorių.
Kur paketas iš tikrųjų nueina
IPsec pasirinktas srautas turi pasiekti komponentą, kuris jį šifruoja. Platformose su paslaugų moduliu pasirinktas srautas nukreipiamas į tą modulį ir po to grįžta į perdavimo kelią. Jei modulio nėra, jis per mažas arba nepririštas prie sąsajos, konfigūracija egzistuoja ir nė vienas paketas neapdorojamas. Niekas commit išvestyje neišskiria to atvejo iš sveiko.
Programinėje įrangoje talpinamos realizacijos laiko darbą maršrutizavimo variklyje arba įterptojoje aparatinėje įrangoje, su labai skirtingomis išteklių ribomis. Konfigūracijoje matomas tunelis nepasako, kuris iš tų kelių jį tikrai neša.
Penkios kortežo dalys
Užrašykite kombinaciją prieš skaitydami bet kokią rekomendaciją, nes viena dalis gali panaikinti kitas. Dalies numeris, kuris prieš trejus metus palaikė paslaugą, nieko nesako apie kortelę ir leidimą šiame korpuse. Skaitykite žemiau esančias eilutes kaip kontrolinį sąrašą, tada užpildykite reikšmes, kurių konfigūracija jums negali parodyti.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
Adresų šeimos ir darbo krūvis yra dvi eilutės, kurias žmonės praleidžia, ir abi yra pigios patikrinti ir brangios vėliau atrasti. Skaitykite kortežą iš įrenginio, o ne iš skaičiuoklės, nes konfigūracija praneša, ko paprašėte, o ne kas įdiegta. Du komandos neša didžiąją dalį: show chassis hardware įvardija kortelę, kuri tikrai įdėta, o show version pateikia tikslią leidimą. Nė viena nepriklauso nuo to, ar konfigūracija teisinga, ir būtent tai yra esmė.
show chassis hardware
show versionLeidimo vartai yra tikri vartai
Leidimo detalė nėra formalumas. Juniper IPsec apžvalga AES-GCM palaikymą daugiaservisėms kortelėms datuoja Junos 17.3R1, o FIPS režimas prasideda nuo 17.4R1. Todėl ta pati funkcija turi dvi ribas priklausomai nuo to, kaip platforma eksploatuojama, ir režimas, kurį vykdote, nusprendžia, kuri taikoma. Patikrinkite režimą prieš tikrindami funkcijų sąrašą.
Skaitykite leidimo pastabas apie tiksliai įdiegtą versiją, o ne apie naujausią dokumentuotą. Gebėjimo, atėjusio vėlesniame build'e, negalima laikyti esančiu ankstesniame, o vienai kortelei parašytas teiginys nepersikelia į kitą. Nukopijuokite leidimo pastabų eilutę į projektavimo įrašą, kad teiginys neštų savo šaltinį, nes platformų šeimai parašytas palaikymo pareiškimas nėra pareiškimas apie režimą, kurį vykdote, ar kortelę, kurią turite.
Talpa yra darbo krūvis, o ne antraštė
Antraštėje nurodytas pralaidumo skaičius be jo matavimo sąlygų yra rinkodaros skaičius. Maži paketai kainuoja daug daugiau vienam bitui nei dideli, vienalaikės asociacijos naudoja atmintį, o kiekviena kita paslauga, bendrinanti kortelę, sumažina tai, kas lieka.
Įvertinkite pagal tikėtiną srautą: įprastus ir blogiausius paketų dydžius, partnerių skaičių ir ar ta kortelė taip pat pabaigia NAT ar kitą paslaugą. Tada palikite atsargą dienai, kai vienas kelias neš didesnį krūvį, nei numatė projektas. Talpos planas, kuris daro prielaidą, kad aparatinė įranga nenaudojama, yra noras, o ne planas. Jei skaičius svarbus verslo pagrindimui, išmatuokite jį vieną kartą įrenginyje esant reprezentatyviam krūviui ir saugokite tą matavimą kartu su projektu.
Rašykite įrašą prieš projektą
Kiekvienam gebėjimui, kurio reikia projektui, laikykite platformos nuorodą, leidimą atitinkančią dokumentaciją ir bet kokį neišspręstą apribojimą vienoje vietoje. Kai kuri nors kortežo eilutė nepavyksta, palyginkite atskirus patvirtintus vartus, o ne perstatykite projektą aplink pasenusį pirkinių sąrašą. Įraše turi būti pasakyta, kuri tiksli sistema atlieka darbą ir kokiose ribose.
Tik tada patikrinkite partnerį, nes protokolo suderinamumas su tolimuoju galu yra kitas klausimas ir niekada nepakeičia vietinės pagalbos. Partneris, sutinkantis su pasiūlymais, vis tiek negali padėti korpusui, kuris niekada nešifruoja paketo.