MX จะยุติ IPsec ได้ต้องมีอะไรตรงกันก่อน
commit ที่ยอมรับคอนฟิกูเรชันพิสูจน์แค่ตัวแยกวิเคราะห์ ไม่ใช่เส้นทาง ห้าส่วนของทูเพิลแพลตฟอร์มเป็นตัวตัดสินว่าบริการทำงานจริงหรือไม่
คอนฟิกูเรชัน commit ผ่านสะอาด อินเทอร์เฟซขึ้น แต่อุโมงค์ก็ยังปฏิเสธที่จะสร้าง ไม่มีบรรทัดใดในล็อกบอกว่าแพลตฟอร์มทำไม่ได้ มันแค่ไม่ทำ บน Junos นั้น IPsec เป็นบริการที่ชุดค่าผสมเฉพาะของแชสซี ฮาร์ดแวร์บริการหรือเส้นทางซอฟต์แวร์ และรีลีสเท่านั้นจึงจะทำได้ และหน้าฟีเจอร์อธิบายความสามารถของซอฟต์แวร์ ไม่ใช่อุปกรณ์ของคุณ ต้องตรวจทูเพิลทีละส่วน เพราะผลลัพธ์ของ commit พิสูจน์แค่ตัวแยกวิเคราะห์
แพ็กเก็ตไปที่ไหนจริง ๆ
ทราฟฟิกที่เลือกสำหรับ IPsec ต้องไปถึงองค์ประกอบที่เข้ารหัสทราฟฟิกนั้น บนแพลตฟอร์มที่มีโมดูลบริการ โฟลว์ที่เลือกจะถูกส่งไปยังโมดูลนั้นแล้วกลับเข้าสู่เส้นทางส่งต่อ ถ้าโมดูลหายไป ความจุไม่พอ หรือไม่ได้ผูกกับอินเทอร์เฟซ คอนฟิกูเรชันก็ยังมีอยู่ แต่จะไม่มีแพ็กเก็ตใดถูกประมวลผลเลย ไม่มีสิ่งใดในเอาต์พุตของ commit แยกกรณีนั้นออกจากกรณีที่ดีต่อสุขภาพ
การใช้งานที่โฮสต์บนซอฟต์แวร์เก็บงานไว้บน routing engine หรือในฮาร์ดแวร์แบบอินไลน์ โดยมีขีดจำกัดทรัพยากรต่างกันมาก อุโมงค์ที่เห็นในคอนฟิกูเรชันไม่ได้บอกคุณว่าเส้นทางใดกำลังพามันอยู่จริง
ห้าส่วนของทูเพิล
เขียนชุดค่าผสมลงไปก่อนอ่านคำแนะนำใด ๆ เพราะส่วนหนึ่งอาจทำให้ส่วนอื่นใช้ไม่ได้ หมายเลขชิ้นส่วนที่รองรับบริการเมื่อสามปีก่อนไม่ได้บอกอะไรเกี่ยวกับการ์ดและรีลีสในแชสซีนี้ อ่านแถวด้านล่างเป็นเช็กลิสต์ แล้วเติมค่าที่คอนฟิกูเรชันบอกคุณไม่ได้
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
ตระกูลแอดเดรสและภาระงานเป็นสองแถวที่คนข้ามไป และทั้งสองอย่างตรวจถูกแต่ค้นพบทีหลังแพง อ่านทูเพิลจากอุปกรณ์ ไม่ใช่จากสเปรดชีต เพราะคอนฟิกูเรชันรายงานสิ่งที่คุณขอ ไม่ใช่สิ่งที่ติดตั้งไว้ สองคำสั่งพาไปได้เกือบทั้งหมด: show chassis hardware บอกชื่อการ์ดที่ติดตั้งจริง และ show version ให้รีลีสที่แน่นอน ทั้งสองไม่ขึ้นกับว่าคอนฟิกูเรชันถูกหรือไม่ และนั่นคือประเด็น
show chassis hardware
show versionเกตของรีลีสเป็นเกตจริง
รายละเอียดรีลีสไม่ใช่พิธีการ ภาพรวม IPsec ของ Juniper ระบุว่าการ์ดหลายบริการรองรับ AES-GCM ตั้งแต่ Junos 17.3R1 โดยโหมด FIPS เริ่มที่ 17.4R1 ดังนั้นฟีเจอร์เดียวกันจึงมีสองเกณฑ์ขึ้นกับวิธีใช้งานแพลตฟอร์ม และโหมดที่คุณรันเป็นตัวตัดสินว่าเกณฑ์ใดใช้บังคับ ตรวจโหมดก่อนตรวจรายการฟีเจอร์
อ่านรีลีสโน้ตของเวอร์ชันที่ติดตั้งจริง ไม่ใช่เวอร์ชันล่าสุดที่มีเอกสาร ความสามารถที่มาใน build หลัง ๆ จะถือว่ามีใน build ก่อนหน้าไม่ได้ และข้อความที่เขียนสำหรับการ์ดหนึ่งไม่ย้ายไปอีกการ์ดหนึ่ง คัดลอกบรรทัดในรีลีสโน้ตลงบันทึกการออกแบบเพื่อให้ข้อกล่าวอ้างมีแหล่งที่มาของตัวเอง เพราะถ้อยแถลงการสนับสนุนที่เขียนสำหรับตระกูลแพลตฟอร์มไม่ใช่ถ้อยแถลงเกี่ยวกับโหมดที่คุณรันหรือการ์ดที่คุณมี
ความจุคือภาระงาน ไม่ใช่พาดหัว
ตัวเลขทรูพุตบนพาดหัวที่ไม่มีเงื่อนไขการวัดเป็นตัวเลขการตลาด แพ็กเก็ตเล็กมีต้นทุนต่อบิตสูงกว่าแพ็กเก็ตใหญ่มาก ความเชื่อมโยงที่เกิดพร้อมกันกินหน่วยความจำ และบริการอื่นใดที่ใช้การ์ดร่วมกันก็ลดส่วนที่เหลือ
ประมาณจากทราฟฟิกที่คุณคาดไว้: ขนาดแพ็กเก็ตทั่วไปและกรณีเลวร้าย จำนวนพีียร์ และการ์ดนั้นยุติ NAT หรือบริการอื่นด้วยหรือไม่ จากนั้นเผื่อที่ว่างสำหรับวันที่เส้นทางหนึ่งรับภาระมากกว่าที่การออกแบบสันนิษฐาน แผนความจุที่สมมติว่าฮาร์ดแวร์ว่างเปล่าเป็นความปรารถนา ไม่ใช่แผน ถ้าตัวเลขนั้นสำคัญต่อกรณีธุรกิจ ให้วัดสักครั้งบนอุปกรณ์ภายใต้ภาระที่เป็นตัวแทนและเก็บการวัดนั้นไว้กับการออกแบบ
เขียนบันทึกก่อนการออกแบบ
สำหรับทุกความสามารถที่การออกแบบต้องการ ให้เก็บบันทึกอ้างอิงแพลตฟอร์ม เอกสารที่ตรงกับรีลีส และข้อจำกัดที่ยังไม่คลี่คลายไว้ที่เดียว เมื่อแถวใดของทูเพิลล้มเหลว ให้เทียบกับเกตเวย์อีกเครื่องที่อนุมัติแล้วแทนการสร้างการออกแบบใหม่รอบรายการช้อปปิ้งที่ล้าสมัย บันทึกควรระบุว่าระบบใดทำหน้าที่นั้นและภายใต้ขีดจำกัดใด
จากนั้นจึงตรวจพีียร์ เพราะความเข้ากันได้ของโปรโตคอลกับปลายทางไกลเป็นคำถามถัดไป และไม่เคยใช้แทนการสนับสนุนในเครื่อง พีียร์ที่ตกลงข้อเสนอได้ก็ยังช่วยแชสซีที่ไม่เคยเข้ารหัสแพ็กเก็ตไม่ได้