MX IPsecni tugatishidan oldin nimalar mos kelishi kerak
Konfiguratsiyani qabul qiladigan commit faqat parserni isbotlaydi, yo'lni emas. Platforma tuple'ining besh qismi xizmat haqiqatan ishlaydimi-yo'qmi shuni hal qiladi.
Konfiguratsiya toza commit qilinadi, interfeyslar ko'tariladi, tunnel esa baribir o'rnatilishdan bosh tortadi. Logda platforma buni qila olmaydi degan birorta satr yo'q; u shunchaki qilmaydi. Junosda IPsec shunday xizmatki, uni faqat chassis, xizmat apparati yoki dasturiy yo'l va relizning muayyan birikmasi bajarishi mumkin, funksiya sahifasi esa dasturiy ta'minot imkoniyatini tasvirlaydi, sizning qurilmangizni emas. Tuple'ni qism-qism tekshirish kerak, chunki commit natijasi faqat parserni isbotlaydi.
Paket aslida qayerga ketadi
IPsec uchun tanlangan trafik uni shifrlaydigan komponentga yetib borishi kerak. Xizmat moduli bor platformalarda tanlangan oqim shu modulga yo'naltiriladi, so'ngra forwarding yo'liga qaytadi. Modul yo'q bo'lsa, quvvati yetarli bo'lmasa yoki interfeysga bog'lanmagan bo'lsa, konfiguratsiya mavjud, ammo birorta paket ishlanmaydi. Commit chiqishida hech narsa bu holatni sog'lom holatdan ajratmaydi.
Dasturiy ta'minotda joylashgan tatbiqlar ishni routing engine'da yoki inline apparatda saqlaydi, resurs chegaralari juda farq qiladi. Konfiguratsiyada ko'rinadigan tunnel sizga bu yo'llardan qaysi biri uni aslida olib borayotganini aytmaydi.
Tuple'ning besh qismi
Har qanday tavsiyani o'qishdan oldin birikmani yozib qo'ying, chunki bir qism boshqalarini bekor qilishi mumkin. Uch yil oldin xizmatni qo'llab-quvvatlagan qism raqami bu chassisidagi karta va reliz haqida hech narsa demaydi. Quyidagi satrlarni nazorat ro'yxati sifatida o'qing, so'ngra konfiguratsiya sizga ko'rsata olmaydigan qiymatlarni to'ldiring.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
Manzil oilalari va ish yuki odamlar o'tkazib yuboradigan ikki satrdir va ikkalasi ham tekshirish uchun arzon, keyin aniqlash uchun qimmat. Tuple'ni jadvaldan emas, qurilmadan o'qing, chunki konfiguratsiya nima so'raganingizni bildiradi, nima o'rnatilganini emas. Ko'p qismini ikki buyruq olib boradi: show chassis hardware haqiqatan o'rnatilgan kartani nomlaydi, show version esa aniq relizni beradi. Ikkalasi ham konfiguratsiya to'g'ri yoki noto'g'riligiga bog'liq emas, gap shunda.
show chassis hardware
show versionReliz chegaralari haqiqiy chegaralardir
Reliz tafsiloti rasmiyatchilik emas. Juniperning IPsec sharhi ko'p xizmatli kartalar uchun AES-GCM qo'llab-quvvatlashini Junos 17.3R1 ga, FIPS rejimini esa 17.4R1 dan boshlab belgilaydi. Shu sababli bir xil funksiyaning platforma qanday boshqarilishiga qarab ikki chegarasi bor va siz ishlatayotgan rejim qaysi biri amal qilishini hal qiladi. Funksiyalar ro'yxatini tekshirishdan oldin rejimni tekshiring.
Reliz qaydlarini o'rnatilgan aniq versiya uchun o'qing, hujjatlashtirilgan eng yangisi uchun emas. Keyingi buildda kelgan imkoniyatni avvalgisida mavjud deb hisoblash mumkin emas va bitta karta uchun yozilgan bayonot boshqasiga o'tmaydi. Reliz qaydidagi satrni dizayn yozuviga ko'chiring, da'vo o'z manbasini olib yursin, chunki platforma oilasi uchun yozilgan qo'llab-quvvatlash bayonoti siz ishlatayotgan rejim yoki ega bo'lgan kartangiz haqidagi bayonot emas.
Sig'im bu ish yuki, sarlavha emas
O'lchash shartlarisiz sarlavhadagi o'tkazuvchanlik raqami marketing raqamidir. Kichik paketlar har bir bit uchun kattalaridan ancha qimmatga tushadi, bir vaqtdagi assotsiatsiyalar xotirani sarflaydi va kartani bo'lishadigan har qanday boshqa xizmat qolganini kamaytiradi.
Kutayotgan trafigingizdan hisoblang: odatiy va eng yomon paket o'lchamlari, peerlar soni va o'sha karta NAT yoki boshqa xizmatni ham tugatadimi. So'ngra bir kuni bir yo'l dizayn taxmin qilganidan ko'proq yuk olib borishi uchun zaxira qoldiring. Apparat bo'sh deb hisoblaydigan sig'im rejasi orzu, reja emas. Agar raqam biznes ishi uchun muhim bo'lsa, uni bir marta qurilmada vakillik yuki ostida o'lchang va o'lchovni dizayn bilan birga saqlang.
Dizayndan oldin yozuvni yozing
Dizaynga kerak bo'lgan har bir imkoniyat uchun platforma havolasini, relizga mos hujjatlarni va hal qilinmagan cheklovlarni bir joyda saqlang. Tuple'ning biror satri yetishmasa, eskirgan xarid ro'yxati atrofida dizaynni qaytadan qurish o'rniga alohida tasdiqlangan gateway bilan solishtiring. Yozuv qaysi aniq tizim ishni bajarishini va qanday chegaralarda bajarishini aytishi kerak.
Shundan keyingina peerni tekshiring, chunki uzoq uch bilan protokol mosligi keyingi savol va hech qachon mahalliy qo'llab-quvvatlashning o'rnini bosmaydi. Takliflarga rozi bo'lgan peer ham hech qachon paketni shifrlamaydigan chassisga yordam bera olmaydi.