Што треба да се совпадне пред да може MX да прекине IPsec
Commit што ја прифаќа конфигурацијата го докажува парсерот, а не патеката. Пет дела од торката на платформата одлучуваат дали услугата навистина работи.
Конфигурацијата се commit-ува чисто, интерфејсите се креваат, а тунелот сѐ уште одбива да се воспостави. Ништо во логот не вели дека платформата не може да го направи тоа; едноставно не го прави. На Junos, IPsec е услуга што само одредена комбинација од шасија, сервис хардвер или софтверска патека, и издание може да ја изврши, а страницата со функции ја опишува можноста на софтверот, не вашиот уред. Торката мора да се провери дел по дел, зашто резултатот од commit го докажува само парсерот.
Каде навистина оди пакетот
Сообраќајот избран за IPsec мора да стигне до компонентата што го шифрира. На платформи со модул за услуги, избраниот тек се насочува кон тој модул и потоа се враќа на патеката за препраќање. Ако модулот недостасува, е со недоволен капацитет или не е врзан за интерфејсот, конфигурацијата постои и ниту еден пакет не се обработува. Ништо во излезот од commit не го разликува тој случај од здрав.
Софтверски хостираните имплементации ја задржуваат работата на рутирачкиот мотор или во вградениот хардвер, со многу различни ограничувања на ресурсите. Тунел видлив во конфигурацијата не ви кажува која од тие патеки навистина го носи.
Петте дела од торката
Запишете ја комбинацијата пред да прочитате каква било препорака, зашто еден дел може да ги поништи другите. Број на дел што пред три години поддржувал услуга не кажува ништо за картичката и изданието во оваа шасија. Прочитајте ги редовите подолу како контролна листа, потоа пополнете ги вредностите што конфигурацијата не може да ви ги покаже.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
Семејствата адреси и работното оптоварување се двата реда што луѓето ги прескокнуваат, и двете се евтини за проверка и скапи за откривање подоцна. Читајте ја торката од уредот, а не од табела, зашто конфигурацијата известува што сте побарале, а не што е инсталирано. Две наредби го носат поголемиот дел: show chassis hardware ја именува картичката што навистина е ставена, а show version го дава точното издание. Ниту една од нив не зависи од тоа дали конфигурацијата е точна, и токму тоа е поентата.
show chassis hardware
show versionПрагот на изданието е вистински праг
Деталот на изданието не е формалност. Прегледот на IPsec на Juniper ја датира поддршката за AES-GCM за повеќесервисни картички на Junos 17.3R1, а режимот FIPS започнува од 17.4R1. Затоа истата функција има два прага зависно од тоа како се работи со платформата, и режимот во кој работите одлучува кој се применува. Проверете го режимот пред да ја проверите листата со функции.
Читајте ги белешките за изданието за точно инсталираната верзија, не за најновата документирана. Можноста што се појавила во подоцнежен билд не може да се претпостави во поранешен, а тврдење напишано за една картичка не се пренесува на друга. Копирајте го редот од белешките за изданието во проектниот запис за тврдењето да го носи сопствениот извор, зашто изјава за поддршка напишана за семејство платформи не е изјава за режимот во кој работите ниту за картичката што ја имате.
Капацитетот е работно оптоварување, не наслов
Бројка за пропусна моќ во насловот без условите за мерење е маркетинг број. Малите пакети чинат многу повеќе на бит од големите, истовремените асоцијации трошат меморија, а секоја друга услуга што ја дели картичката го намалува остатокот.
Проценете од сообраќајот што го очекувате: типични и најлоши големини на пакети, број партнери и дали таа картичка исто така прекинува NAT или друга услуга. Потоа оставете резерва за денот кога една патека ќе носи поголемо оптоварување отколку што претпоставуваше проектот. План за капацитет што претпоставува неактивен хардвер е желба, не план. Ако бројката е важна за деловната оправданост, измерете ја еднаш на уредот под представително оптоварување и чувајте го тоа мерење со проектот.
Напишете го записот пред проектот
За секоја можност што му е потребна на проектот, држете ја референцата за платформата, документацијата што одговара на изданието и секое нерешено ограничување на едно место. Кога некој ред од торката не издржува, споредете одделна одобрена порта наместо да го преуредувате проектот околу застарен список за купување. Записот треба да каже кој точно систем ја врши работата и под кои граници.
Дури потоа проверете го партнерот, зашто компатибилноста на протоколот со далечниот крај е следното прашање и никогаш не ја заменува локалната поддршка. Партнер што се согласува со предлозите сепак не може да помогне шасија што никогаш не шифрира пакет.