MX, IPsec'i sonlandırmadan önce neyin uyuşması gerekir
Yapılandırmayı kabul eden bir commit ayrıştırıcıyı kanıtlar, yolu değil. Platform demetinin beş parçası hizmetin gerçekten çalışıp çalışmadığını belirler.
Yapılandırma temiz şekilde commit ediliyor, arayüzler açılıyor ama tünel kurulmayı yine reddediyor. Günlükte platformun bunu yapamadığını söyleyen tek bir satır yok; yalnızca yapmıyor. Junos'ta IPsec, yalnızca belirli bir şasi, hizmet donanımı ya da yazılım yolu ve sürüm bileşiminin yerine getirebileceği bir hizmet, özellik sayfası ise yazılımın yeteneğini anlatır, sizin cihazınızı değil. Demet parça parça kontrol edilmelidir, çünkü commit sonucu yalnızca ayrıştırıcıyı kanıtlar.
Paketin gerçekte nereye gittiği
IPsec için seçilen trafik onu şifreleyen bileşene ulaşmalıdır. Hizmet modülü olan platformlarda seçilen akış o modüle yönlendirilir ve ardından iletim yoluna döner. Modül yoksa, kapasitesi yetersizse ya da arayüze bağlı değilse yapılandırma vardır ama tek bir paket bile işlenmez. Commit çıktısında hiçbir şey bu durumu sağlıklı olandan ayırmaz.
Yazılım tabanlı uygulamalar işi yönlendirme motorunda ya da satır içi donanımda tutar, kaynak sınırları çok farklıdır. Yapılandırmada görünen bir tünel, onu gerçekte bu yollardan hangisinin taşıdığını söylemez.
Demetin beş parçası
Herhangi bir öneriyi okumadan önce bileşimi yazın, çünkü bir parça diğerlerini geçersiz kılabilir. Üç yıl önce bir hizmeti destekleyen parça numarası, bu şasideki kart ve sürüm hakkında hiçbir şey söylemez. Aşağıdaki satırları kontrol listesi olarak okuyun, sonra yapılandırmanın size gösteremeyeceği değerleri doldurun.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
Adres aileleri ve iş yükü insanların atladığı iki satırdır ve ikisi de kontrol etmesi ucuz, sonradan keşfetmesi pahalıdır. Demeti elektronik tablodan değil cihazdan okuyun, çünkü yapılandırma ne istediğinizi bildirir, ne kurulu olduğunu değil. Çoğunu iki komut taşır: show chassis hardware gerçekte takılı kartı adlandırır, show version tam sürümü verir. İkisi de yapılandırmanın doğru olmasına bağlı değildir ve asıl mesele de budur.
show chassis hardware
show versionSürüm kapıları gerçek kapılardır
Sürüm ayrıntısı formalite değildir. Juniper'in IPsec genel bakışı, çok hizmetli kartlar için AES-GCM desteğini Junos 17.3R1'e, FIPS modunu ise 17.4R1'den başlayarak tarihlendirir. Bu nedenle aynı özelliğin platformun nasıl işletildiğine bağlı iki eşiği vardır ve çalıştırdığınız mod hangisinin geçerli olduğunu belirler. Özellik listesini kontrol etmeden önce modu kontrol edin.
Sürüm notlarını tam olarak kurulu sürüm için okuyun, belgelenmiş en yenisini değil. Sonraki bir derlemede gelen bir yeteneğin öncekinde var olduğu varsayılamaz ve bir kart için yazılmış bir ifade diğerine geçmez. Sürüm notundaki satırı tasarım kaydına kopyalayın ki iddia kendi kaynağını taşısın, çünkü bir platform ailesi için yazılmış destek beyanı, çalıştırdığınız mod ya da sahip olduğunuz kart hakkında bir beyan değildir.
Kapasite bir iş yüküdür, manşet değil
Ölçüm koşulları olmayan manşet verim rakamı bir pazarlama sayısıdır. Küçük paketler bit başına büyüklerden çok daha pahalıdır, eşzamanlı ilişkilendirmeler bellek tüketir ve kartı paylaşan diğer her hizmet kalanı azaltır.
Beklediğiniz trafikten tahmin edin: tipik ve en kötü paket boyutları, eş sayısı ve o kartın NAT ya da başka bir hizmeti de sonlandırıp sonlandırmadığı. Sonra bir gün bir yolun tasarımın varsaydığından fazla yük taşıyacağı gün için pay bırakın. Donanımın boşta olduğunu varsayan kapasite planı bir dilektir, plan değil. Rakam iş gerekçesi için önemliyse, cihazda temsili bir yük altında bir kez ölçün ve ölçümü tasarımla birlikte saklayın.
Kaydı tasarımdan önce yazın
Tasarımın ihtiyaç duyduğu her yetenek için platform referansını, sürümle eşleşen belgeleri ve çözülmemiş her kısıtı tek bir yerde tutun. Demetin bir satırı başarısız olduğunda, modası geçmiş bir alışveriş listesi etrafında tasarımı yeniden kurmak yerine ayrı, onaylanmış bir ağ geçidiyle karşılaştırın. Kayıt, işi hangi tam sistemin yaptığını ve hangi sınırlar içinde yaptığını söylemelidir.
Ancak ondan sonra eşi kontrol edin, çünkü uzak uçla protokol uyumluluğu bir sonraki sorudur ve yerel desteğin yerini asla tutmaz. Teklifler üzerinde anlaşan bir eş, bir paketi bile hiç şifrelemeyen bir şasiye yine de yardım edemez.