Kva som må stemme før ein MX kan terminere IPsec
Ein commit som godtek konfigurasjonen bevisar parsaren, ikkje vegen. Fem delar av plattformtuppelen avgjer om tenesta faktisk køyrer.
Konfigurasjonen blir committa reint, grensesnitta kjem opp, og tunnelen nektar framleis å etablere seg. Ingenting i loggen seier at plattformen ikkje kan gjere dette; han gjer det berre ikkje. På Junos er IPsec ei teneste som ein bestemt kombinasjon av chassis, tenestemaskinvare eller programvareveg og utgiving kan utføre, og ei funksjonsside skildrar evna til programvaren, ikkje boksen din. Tuppelen må kontrollerast del for del, fordi eit commit-resultat berre bevisar parsaren.
Kvar pakken faktisk tek vegen
Trafikk som er vald for IPsec, må nå komponenten som krypterer han. På plattformer med ein tenestemodul blir den valde flyten styrt til modulen og går deretter tilbake til vidaresendingsvegen. Viss modulen manglar, er underdimensjonert eller ikkje bunden til grensesnittet, finst konfigurasjonen, og ikkje éin einaste pakke blir handsama. Ingenting i commit-utdata skil det tilfellet frå eit friskt.
Programvarebaserte implementasjonar held arbeidet på rutermotoren eller i innebygd maskinvare, med svært ulike ressursgrenser. Ein tunnel som er synleg i konfigurasjonen, fortel deg ikkje kva av desse vegane som faktisk ber han.
Dei fem delane av tuppelen
Skriv ned kombinasjonen før du les noka tilråding, fordi éin del kan gjere dei andre ugyldige. Eit delenummer som støtta ei teneste for tre år sidan, seier ingenting om kortet og utgivinga i dette chassiset. Les radene nedanfor som sjekklista, og fyll deretter inn verdiane konfigurasjonen ikkje kan vise deg.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
Adressefamiliane og arbeidsbelastninga er dei to radene folk hoppar over, og begge er billege å kontrollere og dyre å oppdage seinare. Les tuppelen frå eininga i staden for frå eit rekneark, fordi ein konfigurasjon rapporterer kva du bad om, ikkje kva som er installert. To kommandoar ber det meste: show chassis hardware namngir kortet som faktisk sit i, og show version gir den nøyaktige utgivinga. Ingen av dei avheng av at konfigurasjonen er riktig, og det er nettopp poenget.
show chassis hardware
show versionUtgivingsportar er ekte portar
Utgivingsdetaljen er ingen formalitet. Junipers IPsec-oversikt daterer AES-GCM-støtte for multiservicekort til Junos 17.3R1, med FIPS-modus frå 17.4R1. Den same funksjonen har derfor to tersklar avhengig av korleis plattformen blir driven, og modusen du køyrer avgjer kva som gjeld. Kontroller modusen før du kontrollerer funksjonslista.
Les utgivingsnotata for den nøyaktig installerte versjonen, ikkje den nyaste dokumenterte. Ei eigenskap som kom i ein seinare bygg, kan ikkje antakast å finnast i ein tidlegare, og ei utsegn skriven for eitt kort blir ikkje overført til eit anna. Kopier linja frå utgivingsnotata til designnotatet slik at påstanden ber si eiga kjelde, fordi ei støtteutsegn skriven for ein plattformfamilie ikkje er ei utsegn om modusen du køyrer eller kortet du har.
Kapasitet er ei arbeidsbelastning, ikkje ei overskrift
Eit gjennomstrøymingstal i overskrifta utan målebetingingane er eit marknadsføringstal. Små pakkar kostar langt meir per bit enn store, samtidige assosiasjonar brukar minne, og kvar annan teneste som deler kortet reduserer det som er att.
Anslå ut frå trafikken du forventar: typiske og verste pakkestorleikar, talet på peerar og om kortet også terminerer NAT eller ei anna teneste. La det så vere rom for den dagen éin veg ber meir last enn designet antok. Ein kapasitetsplan som føreset ledig maskinvare er eit ønske, ikkje ein plan. Viss talet betyr noko for forretningscaset, mål det éin gong på eininga under ein representativ last, og ta vare på målinga saman med designet.
Skriv notatet før designet
For kvar eigenskap designet treng, hald plattformreferansen, den utgivingsmatchende dokumentasjonen og kvar uløyst avgrensing på éin stad. Der ei rad i tuppelen ikkje held, samanlikn ein eigen godkjend gateway i staden for å byggje designet på nytt rundt ei utdatert handleliste. Notatet bør seie kva eksakt system som utfører jobben og under kva grenser.
Først deretter kontrollerer du peeren, fordi protokollkompatibilitet med fjernsida er neste spørsmål og aldri ei erstatning for lokal støtte. Ein peer som er samd i framlegga, kan likevel ikkje hjelpe eit chassis som aldri krypterer ein pakke.