Hva som må stemme før en MX kan terminere IPsec
En commit som godtar konfigurasjonen beviser parseren, ikke veien. Fem deler av plattformtuppelen avgjør om tjenesten faktisk kjører.
Konfigurasjonen committes rent, grensesnittene kommer opp, og tunnelen nekter fortsatt å etablere seg. Ingenting i loggen sier at plattformen ikke kan gjøre dette; den gjør det bare ikke. På Junos er IPsec en tjeneste som en bestemt kombinasjon av chassis, tjenestemaskinvare eller programvarevei og utgivelse kan utføre, og en funksjonsside beskriver programvarens evne, ikke boksen din. Tuppelen må kontrolleres del for del, fordi et commit-resultat bare beviser parseren.
Hvor pakken faktisk tar veien
Trafikk som er valgt for IPsec, må nå komponenten som krypterer den. På plattformer med en tjenestemodul styres den valgte flyten til modulen og går deretter tilbake til videresendingsveien. Hvis modulen mangler, er underdimensjonert eller ikke bundet til grensesnittet, finnes konfigurasjonen, og ikke én eneste pakke blir behandlet. Ingenting i commit-utdata skiller det tilfellet fra et friskt.
Programvarebaserte implementasjoner beholder arbeidet på rutermotoren eller i innebygd maskinvare, med svært ulike ressursgrenser. En tunnel som er synlig i konfigurasjonen, forteller deg ikke hvilken av disse veiene som faktisk bærer den.
De fem delene av tuppelen
Skriv ned kombinasjonen før du leser noen anbefaling, fordi én del kan ugyldiggjøre de andre. Et delenummer som støttet en tjeneste for tre år siden, sier ingenting om kortet og utgivelsen i dette chassiset. Les radene nedenfor som sjekklisten, og fyll deretter inn verdiene konfigurasjonen ikke kan vise deg.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
Adressefamiliene og arbeidsbelastningen er de to radene folk hopper over, og begge er billige å kontrollere og dyre å oppdage senere. Les tuppelen fra enheten i stedet for fra et regneark, fordi en konfigurasjon rapporterer hva du ba om, ikke hva som er installert. To kommandoer bærer det meste: show chassis hardware navngir kortet som faktisk sitter i, og show version gir den nøyaktige utgivelsen. Ingen av dem avhenger av at konfigurasjonen er riktig, og det er nettopp poenget.
show chassis hardware
show versionUtgivelsesporter er ekte porter
Utgivelsesdetaljen er ingen formalitet. Junipers IPsec-oversikt daterer AES-GCM-støtte for multiservicekort til Junos 17.3R1, med FIPS-modus fra 17.4R1. Den samme funksjonen har derfor to terskler avhengig av hvordan plattformen drives, og modusen du kjører avgjør hvilken som gjelder. Kontroller modusen før du kontrollerer funksjonslisten.
Les utgivelsesnotatene for den nøyaktig installerte versjonen, ikke den nyeste dokumenterte. En egenskap som kom i en senere bygg, kan ikke antas å finnes i en tidligere, og en uttalelse skrevet for ett kort overføres ikke til et annet. Kopier linjen fra utgivelsesnotatene til designnotatet slik at påstanden bærer sin egen kilde, fordi en støtteuttalelse skrevet for en plattformfamilie ikke er en uttalelse om modusen du kjører eller kortet du har.
Kapasitet er en arbeidsbelastning, ikke en overskrift
Et gjennomstrømningstall i overskriften uten målebetingelsene er et markedsføringstall. Små pakker koster langt mer per bit enn store, samtidige assosiasjoner bruker minne, og enhver annen tjeneste som deler kortet reduserer det som er igjen.
Anslå ut fra trafikken du forventer: typiske og verste pakkestørrelser, antall peerer og om kortet også terminerer NAT eller en annen tjeneste. La det så være rom for den dagen én vei bærer mer last enn designet antok. En kapasitetsplan som forutsetter ledig maskinvare er et ønske, ikke en plan. Hvis tallet betyr noe for forretningscaset, mål det én gang på enheten under en representativ last, og ta vare på målingen sammen med designet.
Skriv notatet før designet
For hver egenskap designet trenger, hold plattformreferansen, den utgivelsesmachende dokumentasjonen og enhver uløst begrensning på ett sted. Der en rad i tuppelen ikke holder, sammenlign en egen godkjent gateway i stedet for å bygge designet på nytt rundt en utdatert handleliste. Notatet bør si hvilket eksakt system som utfører jobben og under hvilke grenser.
Først deretter kontrollerer du peeren, fordi protokollkompatibilitet med fjernsiden er neste spørsmål og aldri en erstatning for lokal støtte. En peer som er enig i forslagene, kan likevel ikke hjelpe et chassis som aldri krypterer en pakke.