Что должно совпасть, прежде чем MX сможет завершить IPsec
Commit, принимающий конфигурацию, доказывает работу парсера, а не пути. Пять частей кортежа платформы решают, действительно ли работает служба.
Конфигурация коммитится чисто, интерфейсы поднимаются, а туннель по-прежнему отказывается устанавливаться. Ни одна строка в журнале не говорит, что платформа этого не умеет; она просто этого не делает. В Junos IPsec — это служба, которую может выполнить только определённое сочетание шасси, сервисного оборудования или программного пути и выпуска, а страница функции описывает возможности программного обеспечения, а не вашего устройства. Кортеж нужно проверять часть за частью, потому что результат commit доказывает только парсер.
Куда на самом деле уходит пакет
Трафик, выбранный для IPsec, должен дойти до компонента, который его шифрует. На платформах с модулем сервисов выбранный поток направляется в этот модуль, а затем возвращается на путь пересылки. Если модуль отсутствует, имеет недостаточную ёмкость или не привязан к интерфейсу, конфигурация существует, и ни один пакет не обрабатывается. Ничто в выводе commit не отличает этот случай от здорового.
Реализации, размещённые в программном обеспечении, оставляют работу на маршрутизирующем движке или во встроенном оборудовании, с очень разными ограничениями ресурсов. Туннель, видимый в конфигурации, не говорит вам, какой из этих путей на самом деле его несёт.
Пять частей кортежа
Запишите сочетание, прежде чем читать любую рекомендацию, потому что одна часть может обесценить остальные. Номер детали, который три года назад поддерживал службу, ничего не говорит о карте и выпуске в этом шасси. Читайте строки ниже как контрольный список, а затем заполните значения, которые конфигурация не может вам показать.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
Семейства адресов и нагрузка — это две строки, которые люди пропускают, и обе дёшевы для проверки и дороги, если обнаруживаются поздно. Читайте кортеж с устройства, а не из таблицы, потому что конфигурация сообщает о том, что вы запросили, а не о том, что установлено. Две команды несут большую часть: show chassis hardware называет реально установленную карту, а show version даёт точный выпуск. Ни одна из них не зависит от того, правильна ли конфигурация, и именно в этом суть.
show chassis hardware
show versionПороги выпуска — настоящие пороги
Деталь выпуска — не формальность. Обзор IPsec от Juniper датирует поддержку AES-GCM для многосервисных карт в Junos 17.3R1, а режим FIPS начинается с 17.4R1. Поэтому одна и та же функция имеет два порога в зависимости от того, как эксплуатируется платформа, и режим, в котором вы работаете, решает, какой из них действует. Проверьте режим, прежде чем проверять список функций.
Читайте примечания к выпуску для точно установленной версии, а не для самой новой документированной. Возможность, появившуюся в более поздней сборке, нельзя предполагать в более ранней, а утверждение, написанное для одной карты, не переносится на другую. Скопируйте строку из примечаний к выпуску в проектный документ, чтобы утверждение несло собственный источник, потому что заявление о поддержке, написанное для семейства платформ, не является заявлением о режиме, в котором вы работаете, или о карте, которая у вас есть.
Ёмкость — это нагрузка, а не заголовок
Цифра пропускной способности в заголовке без условий измерения — это маркетинговое число. Малые пакеты стоят гораздо дороже на бит, чем большие, одновременные ассоциации расходуют память, а любая другая служба, делящая карту, уменьшает то, что осталось.
Оценивайте по трафику, которого ожидаете: типичные и наихудшие размеры пакетов, число партнёров и завершает ли эта карта также NAT или другую службу. Затем оставьте запас на день, когда один путь понесёт большую нагрузку, чем предполагал проект. План ёмкости, предполагающий простаивающее оборудование, — это желание, а не план. Если цифра важна для бизнес-обоснования, измерьте её один раз на устройстве под репрезентативной нагрузкой и сохраните это измерение вместе с проектом.
Напишите запись раньше проекта
Для каждой возможности, нужной проекту, держите ссылку на платформу, документацию, соответствующую выпуску, и любое нерешённое ограничение в одном месте. Если какая-то строка кортежа не выполняется, сравните отдельный одобренный шлюз вместо того, чтобы перестраивать проект вокруг устаревшего списка покупок. Запись должна указывать, какая именно система выполняет работу и в каких пределах.
Только после этого проверьте партнёра, потому что совместимость протокола с дальним концом — следующий вопрос, и он никогда не заменяет локальную поддержку. Партнёр, который соглашается с предложениями, всё равно не поможет шасси, которое никогда не шифрует пакет.