Kaj se mora ujeti, preden lahko MX zaključi IPsec
Commit, ki sprejme konfiguracijo, dokazuje razčlenjevalnik, ne poti. Pet delov platformnega tuplea odloča, ali storitev res deluje.
Konfiguracija se commita čisto, vmesniki se dvignejo, predor pa se še vedno noče vzpostaviti. Nobena vrstica v dnevniku ne pravi, da platforma tega ne zmore; enostavno tega ne stori. Na Junosu je IPsec storitev, ki jo lahko izvede le določena kombinacija ohišja, storitvene strojne opreme ali programske poti in izdaje, stran s funkcijo pa opisuje zmožnost programske opreme, ne vaše naprave. Tuple je treba preveriti del za delom, ker rezultat commita dokazuje le razčlenjevalnik.
Kam paket v resnici gre
Promet, izbran za IPsec, mora priti do komponente, ki ga šifrira. Na platformah s storitvenim modulom se izbrani tok usmeri v ta modul in se nato vrne na pot posredovanja. Če modul manjka, je premajhen ali ni vezan na vmesnik, konfiguracija obstaja in noben paket se ne obdela. Nič v izpisu commita tega primera ne loči od zdravega.
Izvedbe, gostovane v programski opremi, obdržijo delo na usmerjevalnem motorju ali v vgrajeni strojni opremi, z zelo različnimi omejitvami virov. Predor, viden v konfiguraciji, ne pove, katera od teh poti ga res nosi.
Pet delov tuplea
Zapišite kombinacijo, preden preberete katero koli priporočilo, ker lahko en del razveljavi druge. Številka dela, ki je pred tremi leti podpirala storitev, ne pove ničesar o kartici in izdaji v tem ohišju. Preberite spodnje vrstice kot kontrolni seznam, nato vpišite vrednosti, ki jih konfiguracija ne more pokazati.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
Družine naslovov in delovna obremenitev sta vrstici, ki ju ljudje preskočijo, in obe sta poceni za preverjanje in dragi za poznejše odkritje. Tuple berite z naprave in ne iz preglednice, ker konfiguracija poroča o tem, kar ste zahtevali, ne o tem, kar je nameščeno. Dva ukaza prineseta večino: show chassis hardware poimenuje kartico, ki je res vstavljena, show version pa poda točno izdajo. Noben ni odvisen od tega, ali je konfiguracija pravilna, in prav to je bistvo.
show chassis hardware
show versionPragovi izdaje so resnični pragovi
Podrobnost izdaje ni formalnost. Pregled IPsec podjetja Juniper datira podporo AES-GCM za večstoritvene kartice v Junos 17.3R1, način FIPS pa se začne s 17.4R1. Ista funkcija ima torej dva praga glede na to, kako se platforma upravlja, in način, v katerem tečete, odloča, kateri velja. Preverite način, preden preverite seznam funkcij.
Berite opombe k izdaji za točno nameščeno različico, ne za najnovejšo dokumentirano. Zmožnosti, ki je prišla v poznejši graditvi, ni mogoče domnevati v zgodnejši, in izjava, napisana za eno kartico, se ne prenese na drugo. Kopirajte vrstico iz opomb k izdaji v načrtovalski zapis, da izjava nosi svoj vir, ker izjava o podpori, napisana za družino platform, ni izjava o načinu, v katerem tečete, ali o kartici, ki jo imate.
Zmogljivost je delovna obremenitev, ne naslov
Naslovna številka prepustnosti brez pogojev merjenja je marketinška številka. Majhni paketi stanejo veliko več na bit kot veliki, hkratne asociacije porabljajo pomnilnik, in vsaka druga storitev, ki si deli kartico, zmanjša tisto, kar ostane.
Ocenite iz prometa, ki ga pričakujete: tipične in najslabše velikosti paketov, število partnerjev in ali ta kartica zaključi tudi NAT ali drugo storitev. Nato pustite rezervo za dan, ko bo ena pot nosila večjo obremenitev, kot je predvidevala zasnova. Načrt zmogljivosti, ki predvideva nedejavno strojno opremo, je želja, ne načrt. Če je številka pomembna za poslovno utemeljitev, jo enkrat izmerite na napravi pod reprezentativno obremenitvijo in meritvijo shranite skupaj z zasnovo.
Napišite zapis pred zasnovo
Za vsako zmožnost, ki jo zasnova potrebuje, imejte referenco platforme, dokumentacijo, usklajeno z izdajo, in vsako nerazrešeno omejitev na enem mestu. Kjer katera vrstica tuplea ne uspe, primerjajte ločena odobrena vrata, namesto da bi zasnovo znova gradili okoli zastarelega nakupovalnega seznama. Zapis naj pove, kateri točen sistem opravi delo in v katerih mejah.
Šele nato preverite partnerja, ker je združljivost protokola z oddaljenim koncem naslednje vprašanje in nikoli ne nadomesti lokalne podpore. Partner, ki se strinja s predlogi, vseeno ne more pomagati ohišju, ki nikoli ne šifrira paketa.