إنتاجية IPsec أقل من المتوقع؟ تحقق من SA النشطة أولاً
قائمة تحويلات طويلة ليست الجلسة التي تحمي نقل بياناتك. سجّل الـ SA المتفاوض عليها وحجم الحمولة والمعدل الذي وصل فعلاً قبل أن تلوم التشفير.
يقدّم الإعداد ثمانية تحويلات، ويقرأ أحدهم الأقوى منها، فتُنسب إليه نتيجة الإنتاجية. من المرجح أن النفق لم يختر ذلك التحويل، ولم يشغّل حتى حجم العمل الذي تخيّله أحد. ما تم التفاوض عليه هو بند واحد من تلك القائمة، بحجم حزمة واحد، في اتجاه واحد، على بناء واحد. قِس ذلك، فتنتهي المناقشة حول الخوارزميات عادةً قبل أن تبدأ.
العَرَض: رقم أقل مما يعد به الإعداد
تصف قائمة التحويلات الطويلة إمكانات، ويُقيَّم كل احتمال على الورق لا على هذه العتاد. النتيجة المتفاوض عليها هي تركيبة واحدة قبِلها الطرفان، وقد تكون الأضعف التي لا يزال كل طرف يسمح بها من أجل التوافق. وما تحققه هذه التركيبة يعتمد على حالة offload وحجم الحزمة وسلوك الطوابير، لذلك قد ينتهي جهازان بملف سياسة متطابق إلى نتائج متباعدة جداً. القائمة قائمة طعام؛ والاقتران هو الطلب الذي عاد.
قراءة القائمة تخبرك بما كان يمكن أن يُختار. وقراءة الاقتران تخبرك بما يحمل النقل فعلاً، وهذا وحده ما تصفه نتيجة الإنتاجية. وكل خطوة ضبط تبدأ من القائمة هي تخمين مصحوب بأوراق إضافية.
سجّل الاقتران الذي يحمل هذا النقل
على ASA show crypto ipsec sa يسرد الاقترانات النشطة مع تحويلاتها وعدّاداتها لكل اتجاه، و مرجع الأوامر من Cisco يوثّق هذا الخرج. اختر النظير والاتجاه المهمين، ولاحظ أن إعادة التفاوض على المفاتيح تستبدل الاقتران وتصفّر عدّاداته، ما يبطل بصمت خط أساس كنت ما زلت تثق به. احفظ الخرج بجانب ملاحظات الاختبار حتى يكون للتشغيل التالي ما يقارنه. معرّف اقتران يتغير بين التشغيلات يجعل كل مقارنة لاحقة بلا معنى.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
خمسة صفوف تكفي لجعل القياس قابلاً للتكرار، وكل صف يستبعد تفسيراً محدداً عند غيابه. لا شيء منها بند من قائمة المقترحات، لأن القائمة لا تستطيع أن تقول ما يحمي بايتاتك الآن. املأ الجدول مرة واحدة، وستبدأ الحادثة التالية ببيانات لا بجدال جديد حول الخوارزميات.
صف رابط الوصول هو الذي يتخطاه الناس، وهو الأكثر تفسيراً لفجوة تبدو تشفيرية. فشبكة تحتية مشبعة أو محدّد سرعة على طول المسار ينتج الشكل نفسه من العَرَض الذي ينتجه محرك بطيء.
قِس اتجاهاً واحداً بحمل مُدار
شغّل الاختبار من نقطة طرفية في الشبكة المحلية تمثل التطبيق لا من البوابة نفسها، لأن مسباراً تولده البوابة قد يتبع سياسة محلية مختلفة. قِس اتجاهاً واحداً قبل إضافة تدفق ثانٍ، وسجّل المعدل المعروض وما استلمه المستقبل فعلاً. تشغيل UDP محدود المعدل يفصل الحمل المعروض عن استجابة TCP للازدحام، أما مرسل UDP بلا حد فليس تشخيصاً محايداً. سجّل طول الحمولة أيضاً، لأن حزمة بيانات أكبر تغيّر معدل الحزم وحمل التغليف معاً.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30شغّل الاختبار نفسه مرتين بالطول والمدة نفسيهما، لأن تشغيلاً واحداً لا يفصل السقف عن دقيقة سيئة. فإن أبلغ المستقبل عن حزم أقل مما أرسله المرسل، فالفقد هو نتيجتك، ومحرك التشفير ليس إلا أحد عدة مرشحين.
اشرح الفجوة قبل أن تضبط أي شيء
افحص سياسة التمرير وإسقاطات الطوابير وأخطاء الواجهات وحدود الموارد إلى جانب مسار التشفير، لأن عجز المعدل وحده لا يحدد معالجاً أبداً. أبقِ طبقات المحاسبة صريحة أيضاً: بايتات النفق الخارجي تشمل التغليف، وإعادة الإرسال تحرّك العلاقة بين العدّادات الداخلية والخارجية. مقارنة عدّادات غير مترابطة بايتاً ببايت تصنع فرقاً لم يوجد قط.
يستحق حجم الحزمة مقارنة مُدارة خاصة به بدل رقم منسوخ من مثال قديم. يضبط TCP MSS بروتوكول TCP ولا أثر له على حزم UDP الاعتباطية، لذا فقيمة ثابتة 1350 منقولة من مستند قديم لا تقيس شيئاً على الإطلاق. غيّر طول الحمولة عن قصد وراقب ما يبلغ به المستقبل.
غيّر متغيراً واحداً واحتفظ بحجم العمل
حين يتكرر خط الأساس داخل نطاق ضيق، غيّر متغيراً مدعوماً واحداً وأعد تشغيل مهمة التطبيق الأصلية. تلك الخطوة هي ما يحوّل رقماً إلى سبب، وهي الوحيدة التي تبرر لمس الإعداد. أعد نفس حجم العمل لا حجماً أرحم.
لا تسحب مقترحات ولا تضعف المصادقة ولا تطفئ الحماية لتكبّر رقماً صناعياً. فتلك التحركات تغير الوضع الأمني ثم تقيس نتيجة ذلك التغيير، لا سعة النفق.