Vad som måste stämma innan en MX kan terminera IPsec
En commit som accepterar konfigurationen bevisar parsern, inte vägen. Fem delar av plattformstupeln avgör om tjänsten faktiskt körs.
Konfigurationen committas rent, gränssnitten kommer upp och tunneln vägrar fortfarande att etableras. Inget i loggen säger att plattformen inte kan göra det; den gör det bara inte. På Junos är IPsec en tjänst som en viss kombination av chassi, servicehårdvara eller mjukvaruväg och release kan utföra, och en funktionssida beskriver mjukvarans förmåga, inte din burk. Tupeln måste kontrolleras del för del, eftersom ett commit-resultat bara bevisar parsern.
Vart paketet faktiskt tar vägen
Trafik som valts för IPsec måste nå komponenten som krypterar den. På plattformar med en servicemodul styrs det valda flödet till modulen och återvänder därefter till vidarebefordringsvägen. Om modulen saknas, är underdimensionerad eller inte bunden till gränssnittet finns konfigurationen och inte ett enda paket behandlas. Inget i commit-utdata skiljer det fallet från ett friskt.
Mjukvarubaserade implementationer behåller arbetet på routingmotorn eller i inline-hårdvara, med mycket olika resursgränser. En tunnel som syns i konfigurationen säger inte vilken av dessa vägar som faktiskt bär den.
Tupelns fem delar
Skriv ner kombinationen innan du läser någon rekommendation, eftersom en del kan ogiltigförklara de andra. Ett artikelnummer som stödde en tjänst för tre år sedan säger inget om kortet och releasen i detta chassi. Läs raderna nedan som checklistan och fyll sedan i de värden som konfigurationen inte kan visa dig.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
Adressfamiljerna och arbetsbelastningen är de två rader som folk hoppar över, och båda är billiga att kontrollera och dyra att upptäcka senare. Läs tupeln från enheten i stället för från ett kalkylblad, eftersom en konfiguration rapporterar vad du bad om, inte vad som är installerat. Två kommandon bär det mesta: show chassis hardware namnger kortet som faktiskt sitter i, och show version ger den exakta releasen. Ingen av dem beror på att konfigurationen är rätt, och det är just poängen.
show chassis hardware
show versionRelease-grindar är riktiga grindar
Releasedetaljen är ingen formalitet. Junipers IPsec-översikt daterar AES-GCM-stöd för multiservicekort till Junos 17.3R1, med FIPS-läge från 17.4R1. Samma funktion har alltså två trösklar beroende på hur plattformen drivs, och läget du kör avgör vilken som gäller. Kontrollera läget innan du kontrollerar funktionslistan.
Läs release notes för den exakt installerade versionen, inte den senaste dokumenterade. En förmåga som kom i ett senare bygge kan inte antas finnas i ett tidigare, och ett uttalande skrivet för ett kort överförs inte till ett annat. Kopiera raden från release notes till designunderlaget så att påståendet bär sin egen källa, eftersom ett supportuttalande skrivet för en plattformsfamilj inte är ett uttalande om läget du kör eller kortet du har.
Kapacitet är en arbetsbelastning, inte en rubrik
En genomströmningssiffra i rubriken utan dess mätvillkor är ett marknadsföringstal. Små paket kostar långt mer per bit än stora, samtidiga associationer tar minne, och varje annan tjänst som delar kortet minskar det som återstår.
Uppskatta utifrån trafiken du förväntar dig: typiska och värsta paketstorlekar, antalet peers och om kortet också terminerar NAT eller en annan tjänst. Lämna sedan utrymme för den dag då en väg bär mer last än designen antog. En kapacitetsplan som förutsätter stillastående hårdvara är en önskan, inte en plan. Om siffran spelar roll för affärsfallet, mät den en gång på enheten under en representativ last och spara mätningen tillsammans med designen.
Skriv underlaget före designen
För varje förmåga som designen behöver, håll plattformsreferens, release-matchad dokumentation och varje olöst begränsning på ett ställe. Där en rad i tupeln inte håller, jämför en separat godkänd gateway i stället för att bygga om designen kring en föråldrad inköpslista. Underlaget bör säga vilket exakt system som utför jobbet och under vilka gränser.
Först därefter kontrollerar du peeren, eftersom protokollkompatibilitet med fjärrsidan är nästa fråga och aldrig en ersättning för lokalt stöd. En peer som är överens om förslagen kan ändå inte hjälpa ett chassi som aldrig krypterar ett paket.