Kam jāsakrīt, pirms MX spēj izbeigt IPsec
Komiteja, kas pieņem konfigurāciju, pierāda tikai parseri, nevis ceļu. Piecas platformas korteža daļas izšķir, vai pakalpojums tiešām darbojas.
Konfigurācija tiek komitēta tīri, saskarnes paceļas, un tunelis joprojām atsakās izveidoties. Neviens žurnāla ieraksts nepasaka, ka platforma to nespēj; tā vienkārši to nedara. Junos vidē IPsec ir pakalpojums, ko spēj nodrošināt tikai noteikta šasijas, pakalpojuma aparatūras vai programmatūras ceļa un izlaiduma kombinācija, un funkciju lapa apraksta programmatūras spējas, nevis jūsu ierīci. Kortežs ir jāpārbauda daļu pa daļai, jo komitejas rezultāts pierāda tikai parseri.
Kur pakete patiešām aiziet
IPsec atlasītajai plūsmai jāsasniedz komponente, kas to šifrē. Platformās ar pakalpojumu moduli atlasītā plūsma tiek virzīta uz šo moduli un pēc tam atgriežas pāradresācijas ceļā. Ja moduļa nav, tas ir par mazu vai nav piesaistīts saskarnei, konfigurācija pastāv un neviena pakete netiek apstrādāta. Nekas komitejas izvadē neatšķir šo gadījumu no vesela.
Programmatūrā mitinātas implementācijas patur darbu maršrutēšanas dzinējā vai iekļautajā aparatūrā, ar ļoti atšķirīgiem resursu ierobežojumiem. Konfigurācijā redzamais tunelis nepastāsta, kurš no šiem ceļiem to patiešām nes.
Piecas korteža daļas
Pierakstiet kombināciju pirms jebkura ieteikuma lasīšanas, jo viena daļa var atcelt pārējās. Daļas numurs, kas pirms trim gadiem atbalstīja pakalpojumu, neko nepasaka par karti un izlaidumu šajā šasijā. Lasiet zemāk esošās rindas kā kontrolsarakstu un pēc tam aizpildiet vērtības, ko konfigurācija jums nevar parādīt.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
Adrešu saimes un darba slodze ir tās divas rindas, ko cilvēki izlaiž, un abas ir lētas pārbaudīt un dārgas atklāt vēlāk. Lasiet kortežu no ierīces, nevis no izklājlapas, jo konfigurācija ziņo par to, ko jūs pieprasījāt, nevis par to, kas ir instalēts. Divas komandas nes lielāko daļu: show chassis hardware nosauc karti, kas patiešām ir ligzdā, un show version dod precīzu izlaidumu. Neviens no tiem nav atkarīgs no tā, vai konfigurācija ir pareiza, un tieši tā ir būtība.
show chassis hardware
show versionIzlaiduma sliekšņi ir īsti sliekšņi
Izlaiduma detaļa nav formalitāte. Juniper IPsec pārskats datē AES-GCM atbalstu vairāku pakalpojumu kartēm ar Junos 17.3R1, un FIPS režīms sākas ar 17.4R1. Tādējādi vienai un tai pašai funkcijai ir divi sliekšņi atkarībā no tā, kā platforma tiek darbināta, un režīms, kurā strādājat, izšķir, kurš attiecas. Pārbaudiet režīmu pirms funkciju saraksta pārbaudes.
Lasiet izlaiduma piezīmes par precīzi instalēto versiju, nevis par jaunāko dokumentēto. Spēju, kas parādījās vēlākā būvējumā, nevar uzskatīt par esošu agrākā, un vienai kartei rakstīts apgalvojums nepāriet uz citu. Nokopējiet izlaiduma piezīmju rindu projektēšanas dokumentā, lai apgalvojums nestu savu avotu, jo atbalsta paziņojums, kas rakstīts platformu saimei, nav paziņojums par režīmu, kurā strādājat, vai karti, kas jums ir.
Jauda ir darba slodze, nevis virsraksts
Caurlaides skaitlis virsrakstā bez mērījumu nosacījumiem ir mārketinga skaitlis. Mazas paketes maksā daudz vairāk uz bitu nekā lielas, vienlaicīgas asociācijas patērē atmiņu, un katrs cits pakalpojums, kas dala karti, samazina atlikušo.
Novērtējiet pēc gaidāmās plūsmas: tipiskie un sliktākā gadījuma paketes izmēri, partneru skaits un vai šī karte arī pabeidz NAT vai citu pakalpojumu. Pēc tam atstājiet rezervi dienai, kad viens ceļš nesīs lielāku slodzi, nekā projektējums pieņēma. Jaudas plāns, kas pieņem dīkstāvē esošu aparatūru, ir vēlēšanās, nevis plāns. Ja skaitlis ir svarīgs biznesa gadījumam, izmēriet to vienreiz ierīcē pie reprezentatīvas slodzes un glabājiet mērījumu kopā ar projektējumu.
Uzrakstiet dokumentu pirms projektējuma
Katrai spējai, kas projektējumam vajadzīga, turiet platformas atsauci, izlaidumam atbilstošu dokumentāciju un visus neatrisinātos ierobežojumus vienā vietā. Ja kāda korteža rinda neiztur, salīdziniet ar atsevišķu apstiprinātu vārteju, nevis pārbūvējiet projektējumu ap novecojušu iepirkumu sarakstu. Dokumentam jāsaka, kura precīzā sistēma veic darbu un ar kādiem ierobežojumiem.
Tikai pēc tam pārbaudiet partneri, jo protokola saderība ar tālo galu ir nākamais jautājums un nekad neaizstāj vietējo atbalstu. Partneris, kas piekrīt priekšlikumiem, joprojām nevar palīdzēt šasijai, kas nekad nešifrē nevienu paketi.