Шта мора да се поклопи пре него што MX може да оконча IPsec
Commit који прихвата конфигурацију доказује парсер, а не путању. Пет делова кортежа платформе одлучују да ли услуга заиста ради.
Конфигурација се commit-ује чисто, интерфејси се подижу, а тунел и даље одбија да се успостави. Ништа у логу не каже да платформа то не може; једноставно то не ради. На Junos-у, IPsec је услуга коју само одређена комбинација шасије, сервисног хардвера или софтверске путање, и издања може да изврши, а страница са функцијама описује могућност софтвера, не ваш уређај. Кортеж мора да се провери део по део, јер резултат commit-а доказује само парсер.
Куда пакет заиста одлази
Саобраћај изабран за IPsec мора да стигне до компоненте која га шифрује. На платформама са модулом за услуге, изабрани ток се усмерава ка том модулу и затим се враћа на путању прослеђивања. Ако модул недостаје, недовољног је капацитета или није повезан са интерфејсом, конфигурација постоји и ниједан пакет се не обрађује. Ништа у излазу commit-а не разликује тај случај од здравог.
Софтверски хостоване имплементације задржавају посао на рутирајућем мотору или у инлине хардверу, са веома различитим ограничењима ресурса. Тунел видљив у конфигурацији не говори вам која од тих путања га заиста носи.
Пет делова кортежа
Запишите комбинацију пре него што прочитате било коју препоруку, јер један део може да поништи остале. Број дела који је пре три године подржавао услугу не говори ништа о картици и издању у овој шасији. Прочитајте редове испод као контролну листу, а затим попуните вредности које конфигурација не може да вам покаже.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
Породице адреса и радно оптерећење су два реда која људи прескачу, и оба су јефтина за проверу и скупа за касније откривање. Читајте кортеж са уређаја, а не из табеле, јер конфигурација извештава шта сте затражили, а не шта је инсталирано. Две команде носе већину: show chassis hardware именује картицу која је заиста постављена, а show version даје тачно издање. Ниједна од њих не зависи од тога да ли је конфигурација тачна, и управо је то поента.
show chassis hardware
show versionПрагови издања су прави прагови
Детаљ издања није формалност. Преглед IPsec-а компаније Juniper датира подршку за AES-GCM за вишесервисне картице на Junos 17.3R1, а режим FIPS почиње од 17.4R1. Зато иста функција има два прага у зависности од тога како се платформа користи, и режим у ком радите одлучује који се примењује. Проверите режим пре него што проверите листу функција.
Читајте белешке о издању за тачно инсталирану верзију, не за најновију документовану. Могућност која се појавила у каснијем билду не може се претпоставити у ранијем, а тврдња написана за једну картицу не преноси се на другу. Копирајте ред из белешки о издању у пројектни запис да би тврдња носила сопствени извор, јер изјава о подршци написана за породицу платформи није изјава о режиму у ком радите ни о картици коју имате.
Капацитет је радно оптерећење, не наслов
Бројка пропусне моћи у наслову без услова мерења је маркетиншки број. Мали пакети коштају много више по биту од великих, истовремене асоцијације троше меморију, а свака друга услуга која дели картицу смањује остатак.
Процените из саобраћаја који очекујете: типичне и најгоре величине пакета, број партнера и да ли та картица такође окончава NAT или другу услугу. Затим оставите резерву за дан када једна путања буде носила веће оптерећење него што је пројекат претпоставио. План капацитета који претпоставља неактиван хардвер је жеља, не план. Ако је бројка важна за пословну оправданост, измерите је једном на уређају под репрезентативним оптерећењем и сачувајте то мерење уз пројекат.
Напишите запис пре пројекта
За сваку могућност која је пројекту потребна, држите референцу платформе, документацију усклађену са издањем и свако нерешено ограничење на једном месту. Када неки ред кортежа не издржи, упоредите одвојен одобрен гејтвеј уместо да преуређујете пројекат око застарелог списка за куповину. Запис треба да каже који тачно систем обавља посао и под којим границама.
Тек онда проверите партнера, јер компатибилност протокола са далеким крајем је следеће питање и никада не замењује локалну подршку. Партнер који се слаже са предлозима ипак не може да помогне шасији која никада не шифрује пакет.