Čo musí sedieť, kým MX dokáže ukončiť IPsec
Commit, ktorý prijme konfiguráciu, dokazuje len parser, nie cestu. Päť častí platformovej n-tice rozhoduje, či služba skutočne beží.
Konfigurácia sa commitne čisto, rozhrania naskočia a tunel napriek tomu odmieta vzniknúť. Nič v logu nehovorí, že to platforma nevie; jednoducho to nerobí. V Junose je IPsec služba, ktorú dokáže zabezpečiť len určitá kombinácia šasi, servisného hardvéru alebo softvérovej cesty a verzie, a stránka funkcie opisuje schopnosť softvéru, nie vášho zariadenia. N-ticu treba kontrolovať časť po časti, pretože výsledok commitu dokazuje iba parser.
Kam paket skutočne ide
Prevádzka vybraná pre IPsec musí doraziť ku komponentu, ktorý ju šifruje. Na platformách so servisným modulom je vybraný tok smerovaný do tohto modulu a potom sa vracia na preposielaciu cestu. Ak modul chýba, je poddimenzovaný alebo nie je zviazaný s rozhraním, konfigurácia existuje a žiadny paket sa nikdy nespracuje. Nič vo výstupe commitu tento prípad neodlíši od zdravého stavu.
Softvérovo hostované implementácie nechávajú prácu na smerovacom engine alebo v inline hardvéri, s veľmi odlišnými limitmi prostriedkov. Tunel viditeľný v konfigurácii vám nepovie, ktorá z týchto ciest ho skutočne nesie.
Päť častí n-tice
Zapíšte kombináciu skôr, než si prečítate akékoľvek odporúčanie, pretože jedna časť môže ostatné zneplatniť. Číslo dielu, ktoré pred tromi rokmi podporovalo službu, nič nehovorí o karte a verzii v tomto šasi. Prečítajte si nižšie uvedené riadky ako kontrolný zoznam a potom doplňte hodnoty, ktoré vám konfigurácia nemôže ukázať.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
Adresné rodiny a záťaž sú dva riadky, ktoré ľudia preskakujú, a oba sú lacné na kontrolu a drahé na neskorý objav. Čítajte n-ticu zo zariadenia, nie z tabuľkového procesora, pretože konfigurácia hlási, čo ste požadovali, nie čo je nainštalované. Väčšinu toho nesú dva príkazy: show chassis hardware pomenuje kartu, ktorá je skutočne zasunutá, a show version dá presnú verziu. Ani jeden nezávisí od toho, či je konfigurácia správna, a práve o to ide.
show chassis hardware
show versionVstupné brány verzií sú skutočné brány
Detail verzie nie je formalita. Prehľad IPsec od Juniperu datuje podporu AES-GCM pre viacúčelové karty na Junos 17.3R1, pričom režim FIPS začína od 17.4R1. Tá istá funkcia má teda dve prahové hodnoty podľa toho, ako je platforma prevádzkovaná, a režim, ktorý používate, rozhoduje, ktorá platí. Skontrolujte režim skôr, než skontrolujete zoznam funkcií.
Čítajte poznámky k verzii pre presne nainštalovanú verziu, nie pre najnovšiu dokumentovanú. Schopnosť, ktorá prišla v neskoršom zostavení, nemožno predpokladať v skoršom, a tvrdenie napísané pre jednu kartu sa neprenáša na inú. Skopírujte riadok z poznámok k verzii do návrhového záznamu, aby tvrdenie nieslo vlastný zdroj, pretože vyhlásenie o podpore napísané pre rodinu platforiem nie je vyhlásením o režime, ktorý prevádzkujete, ani o karte, ktorú máte.
Kapacita je záťaž, nie titulkový údaj
Titulkový údaj o priepustnosti bez podmienok merania je marketingové číslo. Malé pakety stoja na bit výrazne viac ako veľké, súbežné asociácie spotrebúvajú pamäť a každá ďalšia služba zdieľajúca kartu znižuje to, čo zostáva.
Odhadujte z prevádzky, ktorú očakávate: typické a najhoršie veľkosti paketov, počet peerov a to, či karta ukončuje aj NAT alebo inú službu. Potom nechajte rezervu na deň, keď jedna cesta ponesie väčšiu záťaž, než návrh predpokladal. Kapacitný plán, ktorý predpokladá nečinný hardvér, je želanie, nie plán. Ak na čísle záleží pre obchodný prípad, zmerajte ho raz na zariadení pri reprezentatívnej záťaži a meranie si ponechajte spolu s návrhom.
Napíšte záznam skôr než návrh
Pre každú schopnosť, ktorú návrh potrebuje, držte referenciu platformy, dokumentáciu zodpovedajúcu verzii a všetky nevyriešené obmedzenia na jednom mieste. Keď niektorý riadok n-tice neprejde, porovnajte samostatnú schválenú bránu, namiesto toho, aby ste návrh stavali znova okolo zastaraného nákupného zoznamu. Záznam by mal povedať, ktorý presný systém prácu vykonáva a v akých medziach.
Až potom skontrolujte protistranu, pretože kompatibilita protokolu so vzdialeným koncom je ďalšia otázka a nikdy nenahrádza miestnu podporu. Protistrana, ktorá súhlasí s návrhmi, napriek tomu nepomôže šasi, ktoré nikdy nezašifruje paket.