IPsec-deurvloei laer as verwag? Kyk eers na die aktiewe SA
’n Lang transformasielys is nie die sessie wat jou oordrag beskerm nie. Teken die onderhandelde SA, die loongrootte en die werklik gelewerde tempo aan voordat jy die enkripsie blameer.
Die konfigurasie bied agt transformasies, iemand lees die sterkste een en die deurvloei-syfer word daaraan toegeskryf. Die tonnel het waarskynlik nie daardie transformasie gekies nie, en dit het ook nie die werklading uitgevoer wat iemand hom voorgestel het nie. Wat beding is, is een inskrywing uit daardie lys, met een pakketgrootte, in een rigting, op een bou. Meet dit en die debat oor algoritmes eindig gewoonlik voordat dit begin.
Die simptoom: ’n syfer onder wat die konfigurasie belowe
’n Lang transformasielys beskryf moontlikhede, en elke moontlikheid word op papier beoordeel eerder as op hierdie hardeware. Die bedinge resultaat is ’n enkele kombinasie wat albei partye aanvaar het, en dit kan die swakste wees wat enige party nog vir versoenbaarheid toelaat. Wat daardie kombinasie bereik, hang af van offload-toestand, pakketgrootte en rygedrag, dus twee toestelle met ’n identiese beleidslêer kan ver uitmekaar beland. Die lys is ’n spyskaart; die assosiasie is die bestelling wat teruggekom het.
Om die lys te lees, sê vir jou wat gekies kon gewees het. Om die assosiasie te lees, sê vir jou wat die oordrag werklik dra, en dit is die enigste ding wat ’n deurvloei-syfer beskryf. Elke instellingsstap wat by die lys begin, is ’n raaiskoot met ekstra papierwerk.
Teken die assosiasie aan wat hierdie oordrag dra
Op ’n ASA show crypto ipsec sa lys die aktiewe assosiasies met hul transformasies en tellers per rigting, en die opdragverwysing van Cisco dokumenteer daardie uitset. Kies die eweknie en rigting wat saak maak, en let op dat ’n heronderhandeling van sleutels die assosiasie vervang en sy tellers herstel, wat stilweg ’n basislyn ongeldig maak wat jy nog vertrou het. Stoor die uitset langs die toetsnotas sodat die volgende lopie iets het om mee te vergelyk. ’n Assosiasie-identifiseerder wat tussen lopies verskuif, maak elke latere vergelyking betekenisloos.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Vyf rye is genoeg om ’n meting herhaalbaar te maak, en elke ry skakel ’n spesifieke verklaring uit wanneer dit ontbreek. Nie een is ’n inskrywing uit die voorstellys nie, want die lys kan nie sê wat jou grepe op die oomblik beskerm nie. Vul die tabel een keer in en die volgende voorval begin met data eerder as met ’n nuwe debat oor algoritmes.
Die toegangsverbinding-ry is die een wat mense oorslaan, en dit is die een wat die meeste ’n gaping verduidelik wat kriptografies lyk. ’n Versadigde onderlaag of ’n polisier langs die pad lewer dieselfde simptoomvorm as ’n stadige enjin.
Meet een rigting met ’n beheerde las
Hardloop die toets vanaf ’n LAN-eindpunt wat die toepassing verteenwoordig eerder as vanaf die poort self, want ’n sonde wat deur die poort geskep word, kan ’n ander plaaslike beleid volg. Meet een rigting voordat jy ’n tweede stroom byvoeg, en teken beide die aangebode tempo en wat die ontvanger werklik ontvang het aan. ’n Tempo-beperkte UDP-lopie skei die aangebode las van TCP se opeenhopingsreaksie, terwyl ’n onbeperkte UDP-afsender nie ’n neutrale diagnose is nie. Teken ook die loonlengte aan, want ’n groter datagram verander beide die pakkettempo en die inkapselingsbokoste.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Hardloop dieselfde toets twee keer met dieselfde loonlengte en duur, want een lopie kan nie ’n plafon van ’n slegte minuut skei nie. As die ontvanger minder pakkette rapporteer as wat die afsender uitgestuur het, is die verlies jou bevinding, en die kripto-enjin is net een van verskeie kandidate.
Verduidelik die gaping voordat jy enigiets instel
Kontroleer aanstuurbeleid, rystortings, koppelvlakfoute en hulpbronbeperkings saam met die enkripsiepad, want ’n tempotekort alleen identifiseer nooit ’n SVE nie. Hou ook die rekenskap-lae eksplisiet: buitenste tonnelgrepe sluit inkapseling in, en herversendings skuif die verhouding tussen binne- en buitetellers. Om onverwante tellers greep vir greep te vergelyk, skep ’n verskil wat nooit bestaan het nie.
Pakketgrootte verdien sy eie beheerde vergelyking eerder as ’n syfer wat uit ’n ou voorbeeld gekopieer is. TCP MSS pas TCP aan en het geen effek op willekeurige UDP-datagramme nie, dus ’n vaste 1350 uit ’n ou dokument meet glad nie iets nie. Verander die loonlengte doelbewus en kyk wat die ontvanger rapporteer.
Verander een veranderlike en behou die werklading
Wanneer die basislyn binne ’n smal band herhaal, verander een ondersteunde veranderlike en hardloop die oorspronklike toepassingstaak weer. Daardie stap maak van ’n syfer ’n oorsaak, en dit is die enigste wat dit regverdig om aan die konfigurasie te raak. Herhaal dieselfde werklading eerder as ’n vriendeliker een.
Moet nie voorstelle onttrek, verifikasie verswak of beskerming afskakel om ’n sintetiese syfer groter te maak nie. Daardie bewegings verander die sekuriteitsposisie en meet dan die resultaat van daardie verandering, nie die kapasiteit van die tonnel nie.