Що має збігтися, перш ніж MX зможе завершити IPsec
Commit, який приймає конфігурацію, доводить парсер, а не шлях. П'ять частин кортежу платформи вирішують, чи справді працює служба.
Конфігурація комітиться чисто, інтерфейси піднімаються, а тунель усе ще відмовляється встановлюватися. Жоден рядок у журналі не каже, що платформа цього не може; вона просто цього не робить. У Junos IPsec — це служба, яку може виконати лише певна комбінація шасі, сервісного обладнання або програмного шляху і випуску, а сторінка функції описує можливість програмного забезпечення, а не вашого пристрою. Кортеж треба перевіряти частина за частиною, бо результат commit доводить лише парсер.
Куди насправді йде пакет
Трафік, вибраний для IPsec, має дійти до компонента, який його шифрує. На платформах із модулем служб вибраний потік спрямовується до цього модуля, а потім повертається на шлях пересилання. Якщо модуль відсутній, має недостатню ємність або не прив'язаний до інтерфейсу, конфігурація існує, але жоден пакет не обробляється. Ніщо у виводі commit не відрізняє цей випадок від здорового.
Реалізації, розміщені в програмному забезпеченні, залишають роботу на маршрутизаційному рушії або у вбудованому обладнанні, з дуже різними обмеженнями ресурсів. Тунель, видимий у конфігурації, не повідомляє вам, який із цих шляхів насправді його несе.
П'ять частин кортежу
Запишіть комбінацію, перш ніж читати будь-яку рекомендацію, бо одна частина може знецінити інші. Номер деталі, який три роки тому підтримував службу, нічого не каже про карту й випуск у цьому шасі. Прочитайте рядки нижче як контрольний список, а потім заповніть значення, які конфігурація не може вам показати.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
Родини адрес і навантаження — це два рядки, які люди пропускають, і обидва дешеві для перевірки та дорогі, якщо виявити їх пізно. Читайте кортеж з пристрою, а не з таблиці, бо конфігурація повідомляє про те, що ви запросили, а не про те, що встановлено. Дві команди несуть більшість: show chassis hardware називає карту, яка справді встановлена, а show version дає точний випуск. Жодна з них не залежить від того, чи правильна конфігурація, і саме в цьому суть.
show chassis hardware
show versionПороги випуску — справжні пороги
Деталь випуску — не формальність. Огляд IPsec від Juniper датує підтримку AES-GCM для багатосервісних карт у Junos 17.3R1, а режим FIPS починається з 17.4R1. Отже, та сама функція має два пороги залежно від того, як експлуатується платформа, і режим, у якому ви працюєте, вирішує, який із них діє. Перевірте режим, перш ніж перевіряти список функцій.
Читайте примітки до випуску для точно встановленої версії, а не для найновішої задокументованої. Можливість, що з'явилася в пізнішій збірці, не можна припускати наявною в ранішій, і твердження, написане для однієї карти, не переноситься на іншу. Скопіюйте рядок із приміток до випуску в проєктний запис, щоб твердження несло власне джерело, бо заява про підтримку, написана для родини платформ, не є заявою про режим, у якому ви працюєте, чи про карту, яка у вас є.
Ємність — це навантаження, а не заголовок
Цифра пропускної здатності в заголовку без умов вимірювання — це маркетингове число. Малі пакети коштують значно дорожче на біт, ніж великі, одночасні асоціації споживають пам'ять, а будь-яка інша служба, що ділить карту, зменшує те, що залишилося.
Оцінюйте з трафіку, якого очікуєте: типові та найгірші розміри пакетів, кількість партнерів і чи ця карта також завершує NAT або іншу службу. Потім залиште запас на день, коли один шлях нестиме більше навантаження, ніж припускав проєкт. План ємності, який припускає простоююче обладнання, — це бажання, а не план. Якщо цифра важлива для бізнес-обґрунтування, виміряйте її один раз на пристрої під репрезентативним навантаженням і збережіть це вимірювання разом із проєктом.
Напишіть запис раніше за проєкт
Для кожної можливості, потрібної проєкту, тримайте посилання на платформу, документацію, що відповідає випуску, і будь-яке невирішене обмеження в одному місці. Якщо якийсь рядок кортежу не виконується, порівняйте окремий затверджений шлюз замість того, щоб перебудовувати проєкт навколо застарілого списку покупок. Запис має вказувати, яка саме система виконує роботу і в яких межах.
Лише після цього перевірте партнера, бо сумісність протоколу з далеким кінцем — наступне питання, і воно ніколи не замінює локальну підтримку. Партнер, який погоджується з пропозиціями, все одно не допоможе шасі, яке ніколи не шифрує пакет.