Apa yang perlu sejajar sebelum MX boleh menamatkan IPsec
Commit yang menerima konfigurasi hanya membuktikan penghurai, bukan laluannya. Lima bahagian tuple platform menentukan sama ada perkhidmatan itu benar-benar berjalan.
Konfigurasi di-commit dengan bersih, antara muka naik, tetapi terowong masih enggan terbentuk. Tiada satu baris log pun yang menyatakan platform ini tidak mampu; ia cuma tidak melakukannya. Pada Junos, IPsec ialah perkhidmatan yang hanya boleh dijalankan oleh gabungan tertentu chassis, perkakasan perkhidmatan atau laluan perisian, dan keluaran, manakala halaman ciri menerangkan keupayaan perisian dan bukan peranti anda. Tuple itu mesti diperiksa bahagian demi bahagian, kerana hasil commit hanya membuktikan penghurai.
Ke mana paket sebenarnya pergi
Trafik yang dipilih untuk IPsec mesti sampai ke komponen yang menyulitkannya. Pada platform yang mempunyai modul perkhidmatan, aliran yang dipilih dihalakan ke modul itu dan selepas itu kembali ke laluan penghantaran. Jika modul tiada, kapasitinya tidak mencukupi atau tidak terikat pada antara muka, konfigurasi tetap wujud tetapi tiada satu paket pun diproses. Tiada apa-apa dalam output commit yang membezakan keadaan itu daripada keadaan yang sihat.
Pelaksanaan yang dihoskan perisian meletakkan kerja pada enjin penghalaan atau dalam perkakasan sebaris, dengan had sumber yang sangat berbeza. Terowong yang kelihatan dalam konfigurasi tidak memberitahu anda laluan mana yang sebenarnya membawanya.
Lima bahagian tuple
Tuliskan gabungan itu sebelum membaca sebarang cadangan, kerana satu bahagian boleh membatalkan bahagian yang lain. Nombor bahagian yang menyokong sesuatu perkhidmatan tiga tahun lalu tidak berkata apa-apa tentang kad dan keluaran dalam chassis ini. Baca baris di bawah sebagai senarai semak, kemudian isi nilai yang tidak dapat ditunjukkan oleh konfigurasi kepada anda.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
Keluarga alamat dan beban kerja ialah dua baris yang sering dilangkau orang, dan kedua-duanya murah untuk diperiksa tetapi mahal apabila ditemui kemudian. Baca tuple itu daripada peranti, bukan daripada hamparan, kerana konfigurasi melaporkan apa yang anda minta, bukan apa yang terpasang. Dua arahan membawa sebahagian besar daripadanya: show chassis hardware menamakan kad yang benar-benar terpasang, dan show version memberikan keluaran yang tepat. Kedua-duanya tidak bergantung pada betul atau tidaknya konfigurasi, dan itulah intinya.
show chassis hardware
show versionGerbang keluaran ialah gerbang sebenar
Perincian keluaran bukan formaliti. Gambaran keseluruhan IPsec Juniper menetapkan sokongan AES-GCM untuk kad berbilang perkhidmatan pada Junos 17.3R1, dengan mod FIPS bermula pada 17.4R1. Oleh itu ciri yang sama mempunyai dua ambang bergantung pada cara platform dikendalikan, dan mod yang anda jalankan menentukan ambang mana yang terpakai. Periksa mod sebelum memeriksa senarai ciri.
Baca nota keluaran untuk versi tepat yang terpasang, bukan versi terbaharu yang didokumenkan. Keupayaan yang muncul dalam binaan kemudian tidak boleh dianggap ada dalam binaan terdahulu, dan kenyataan yang ditulis untuk satu kad tidak berpindah kepada kad lain. Salin baris nota keluaran ke dalam rekod reka bentuk supaya dakwaan itu membawa sumbernya sendiri, kerana kenyataan sokongan yang ditulis untuk satu keluarga platform bukanlah kenyataan tentang mod yang anda jalankan atau kad yang anda miliki.
Kapasiti ialah beban kerja, bukan angka tajuk
Angka daya pemprosesan pada tajuk tanpa syarat pengukurannya hanyalah angka pemasaran. Paket kecil jauh lebih mahal setiap bit daripada paket besar, persatuan serentak memakan memori, dan setiap perkhidmatan lain yang berkongsi kad itu mengurangkan bakinya.
Anggarkan daripada trafik yang anda jangkakan: saiz paket biasa dan terburuk, bilangan rakan, dan sama ada kad itu juga menamatkan NAT atau perkhidmatan lain. Kemudian tinggalkan ruang untuk hari apabila satu laluan membawa beban lebih besar daripada yang diandaikan oleh reka bentuk. Pelan kapasiti yang mengandaikan perkakasan menganggur ialah angan-angan, bukan pelan. Jika angka itu penting kepada kes perniagaan, ukurlah sekali pada peranti di bawah beban yang mewakili dan simpan ukuran itu bersama reka bentuk.
Tulis rekod sebelum reka bentuk
Bagi setiap keupayaan yang diperlukan oleh reka bentuk, simpan rujukan platform, dokumentasi yang sepadan dengan keluaran dan sebarang sekatan yang belum selesai di satu tempat. Apabila satu baris tuple gagal, bandingkan gateway lain yang telah diluluskan dan bukannya membina semula reka bentuk mengelilingi senarai beli yang sudah usang. Rekod itu harus menyatakan sistem tepat mana yang melakukan kerja itu dan di bawah had apa.
Hanya selepas itu periksa rakan, kerana keserasian protokol dengan hujung jauh ialah soalan seterusnya dan tidak pernah menjadi pengganti sokongan tempatan. Rakan yang bersetuju tentang cadangan tetap tidak dapat menolong chassis yang tidak pernah menyulitkan satu paket pun.