Çfarë duhet të përputhet përpara se një MX të përfundojë IPsec
Një commit që pranon konfigurimin vërteton parserin, jo rrugën. Pesë pjesë të tuple-it të platformës vendosin nëse shërbimi ekzekutohet vërtet.
Konfigurimi commit-ohet pastër, ndërfaqet ngrihen, dhe tuneli vazhdon të refuzojë të krijohet. Asnjë rresht në regjistër nuk thotë se platforma nuk mund ta bëjë këtë; thjesht nuk e bën. Në Junos, IPsec është një shërbim që vetëm një kombinim i caktuar i shasisë, harduerit të shërbimit ose rrugës softuerike, dhe versionit mund ta kryejë, dhe faqja e veçorisë përshkruan aftësinë e softuerit, jo pajisjen tuaj. Tuple-i duhet kontrolluar pjesë pjesë, sepse rezultati i commit-it vërteton vetëm parserin.
Ku shkon në të vërtetë paketa
Trafiku i zgjedhur për IPsec duhet të arrijë komponentin që e kripton. Në platformat me modul shërbimi, rrjedha e zgjedhur drejtohet te ai modul dhe më pas kthehet në rrugën e përcjelljes. Nëse moduli mungon, është i nëndimensionuar ose nuk është i lidhur me ndërfaqen, konfigurimi ekziston dhe asnjë paketë nuk përpunohet. Asgjë në daljen e commit-it nuk e dallon atë rast nga një i shëndetshëm.
Implementimet e strehuara në softuer e mbajnë punën në motorin e rrugëzimit ose në harduer inline, me kufizime burimesh shumë të ndryshme. Një tunel i dukshëm në konfigurim nuk ju tregon se cila nga këto rrugë po e mban vërtet.
Pesë pjesët e tuple-it
Shkruajeni kombinimin përpara se të lexoni çdo rekomandim, sepse një pjesë mund të anulojë të tjerat. Një numër pjese që mbështeste një shërbim tre vjet më parë nuk thotë asgjë për kartën dhe versionin në këtë shasi. Lexoni rreshtat më poshtë si listë kontrolli, pastaj plotësoni vlerat që konfigurimi nuk mund t'ju tregojë.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
Familjet e adresave dhe ngarkesa e punës janë dy rreshtat që njerëzit i anashkalojnë, dhe të dyja janë të lira për t'u kontrolluar dhe të shtrenjta për t'u zbuluar më vonë. Lexoni tuple-in nga pajisja dhe jo nga një fletëllogaritëse, sepse konfigurimi raporton atë që kërkuat, jo atë që është instaluar. Dy komanda mbajnë pjesën më të madhe: show chassis hardware emërton kartën e vendosur vërtet, dhe show version jep versionin e saktë. Asnjëra nuk varet nga fakti nëse konfigurimi është i saktë, dhe pikërisht ky është thelbi.
show chassis hardware
show versionPortat e versionit janë porta të vërteta
Detaji i versionit nuk është formalitet. Përmbledhja e IPsec e Juniper e daton mbështetjen e AES-GCM për kartat me shumë shërbime në Junos 17.3R1, me regjimin FIPS që fillon në 17.4R1. Prandaj e njëjta veçori ka dy pragje në varësi të mënyrës si operohet platforma, dhe regjimi që ekzekutoni vendos cili zbatohet. Kontrolloni regjimin përpara se të kontrolloni listën e veçorive.
Lexoni shënimet e versionit për versionin e instaluar saktësisht, jo për më të rejtën e dokumentuar. Një aftësi që erdhi në një build të mëvonshëm nuk mund të supozohet se është e pranishme në një të mëparshëm, dhe një deklaratë e shkruar për një kartë nuk transferohet te një tjetër. Kopjoni rreshtin e shënimeve të versionit në regjistrin e projektimit, që pohimi të mbajë burimin e vet, sepse një deklaratë mbështetjeje e shkruar për një familje platformash nuk është deklaratë për regjimin që ekzekutoni ose kartën që keni.
Kapaciteti është ngarkesë pune, jo titull
Një shifër xhiroje në titull pa kushtet e matjes është një numër marketingu. Paketat e vogla kushtojnë shumë më tepër për bit se sa të mëdhatë, shoqatat e njëkohshme konsumojnë memorie, dhe çdo shërbim tjetër që ndan kartën zvogëlon atë që mbetet.
Vlerësoni nga trafiku që prisni: madhësitë tipike dhe më të këqija të paketave, numri i kolegëve, dhe nëse ajo kartë përfundon gjithashtu NAT ose një shërbim tjetër. Pastaj lini hapësirë për ditën kur një rrugë do të mbajë më shumë ngarkesë sesa supozoi projektimi. Një plan kapaciteti që supozon harduer të papunë është një dëshirë, jo një plan. Nëse shifra ka rëndësi për rastin e biznesit, mateni një herë në pajisje nën një ngarkesë përfaqësuese dhe mbani atë matje me projektimin.
Shkruani regjistrin përpara projektimit
Për çdo aftësi që i nevojitet projektimit, mbani referencën e platformës, dokumentacionin që përputhet me versionin dhe çdo kufizim të pazgjidhur në një vend. Kur dështon një rresht i tuple-it, krahasoni një portë tjetër të miratuar në vend që të rindërtoni projektimin rreth një liste blerjesh të vjetruar. Regjistri duhet të thotë cili sistem i saktë e kryen punën dhe nën çfarë kufizimesh.
Vetëm atëherë kontrolloni kolegun, sepse përputhshmëria e protokollit me skajin e largët është pyetja tjetër dhe nuk zëvendëson kurrë mbështetjen lokale. Një koleg që pajtohet me propozimet përsëri nuk mund të ndihmojë një shasi që nuk kripton kurrë një paketë.