IPsec ötürmə qabiliyyəti gözləniləndən aşağıdır? Əvvəlcə aktiv SA-nı yoxlayın
Uzun çevrilmə siyahısı ötürmənizi qoruyan sessiya deyil. Şifrələməni günahlandırmadan əvvəl razılaşdırılmış SA-nı, yük ölçüsünü və faktiki çatdırılan sürəti qeyd edin.
Konfiqurasiya səkkiz çevrilmə təklif edir, kimsə ən güclüsünü oxuyur və ötürmə qabiliyyəti rəqəmi ona bağlanır. Tunel çox güman ki, o çevrilməni seçməyib və kiminsə təsəvvür etdiyi iş yükünü də işlətməyib. Razılaşdırılan şey bu siyahıdan bir girişdir: bir paket ölçüsü, bir istiqamət, bir build. Bunu ölçün və alqoritmlər barədə mübahisə adətən başlamadan bitir.
Simptom: konfiqurasiyanın vəd etdiyindən aşağı rəqəm
Uzun çevrilmə siyahısı imkanları təsvir edir və hər imkan bu avadanlıqda deyil, kağız üzərində qiymətləndirilir. Razılaşdırılmış nəticə hər iki tərəfin qəbul etdiyi tək birləşmədir və uyğunluq üçün hər tərəfin hələ icazə verdiyi ən zəif birləşmə ola bilər. Bu birləşmənin nəyə nail olduğu offload vəziyyətindən, paket ölçüsündən və növbə davranışından asılıdır, ona görə eyni siyasət faylına malik iki cihaz çox uzaq düşə bilər. Siyahı menyudur; assosiasiya geri qayıdan sifarişdir.
Siyahını oxumaq sizə nəyin seçilə biləcəyini deyir. Assosiasiyanı oxumaq sizə ötürməni həqiqətən nəyin daşıdığını deyir və ötürmə qabiliyyəti rəqəminin təsvir etdiyi yeganə şey budur. Siyahıdan başlayan hər tənzimləmə addımı əlavə kağız işi ilə bir təxmindir.
Bu ötürməni daşıyan assosiasiyanı qeyd edin
Bir ASA-da show crypto ipsec sa aktiv assosiasiyaları çevrilmələri və istiqamət üzrə sayğacları ilə siyahıya alır və əmr arayışı Cisco bu çıxışı sənədləşdirir. Vacib olan peer-i və istiqaməti seçin və nəzərə alın ki, açarın yenidən razılaşdırılması assosiasiyanı əvəz edir və sayğaclarını sıfırlayır, bu da hələ güvəndiyiniz baza xəttini səssizcə etibarsız edir. Çıxışı test qeydlərinin yanında saxlayın ki, növbəti işə salmanın müqayisə edəcəyi bir şey olsun. İşə salmalar arasında dəyişən assosiasiya identifikatoru sonrakı hər müqayisəni mənasız edir.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Beş sətir ölçməni təkrarlana bilən etməyə kifayət edir və hər biri olmadıqda konkret izahı istisna edir. Heç biri təklif siyahısından giriş deyil, çünki siyahı baytlarınızı hazırda nəyin qoruduğunu deyə bilməz. Cədvəli bir dəfə doldurun və növbəti hadisə alqoritmlər barədə yeni mübahisə ilə deyil, məlumatla başlasın.
Giriş əlaqəsi sətri insanların atladığı sətirdir, və kriptoqrafik görünən boşluğu ən çox izah edən də elə odur. Doymuş underlay və ya yol boyunca policer yavaş mühərriklə eyni simptom formasını yaradır.
Nəzarətli yüklə bir istiqaməti ölçün
Testi şlüzün özündən deyil, tətbiqi təmsil edən LAN son nöqtəsindən işə salın, çünki şlüzün yaratdığı prob fərqli yerli siyasətə tabe ola bilər. İkinci axın əlavə etməzdən əvvəl bir istiqaməti ölçün və həm təklif olunan sürəti, həm də qəbuledicinin həqiqətən aldığını qeyd edin. Sürətlə məhdudlaşdırılmış UDP işə salması təklif olunan yükü TCP-nin tıxanma cavabından ayırır, halbuki məhdudiyyətsiz UDP göndərən neytral diaqnoz deyil. Yük uzunluğunu da qeyd edin, çünki daha böyük datagram həm paket sürətini, həm də kapsullaşdırma yükünü dəyişir.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Eyni testi eyni yük uzunluğu və müddətlə iki dəfə işə salın, çünki bir işə salma tavanı pis dəqiqədən ayıra bilməz. Qəbuledici göndərənin göndərdiyindən az paket bildirirsə, itki sizin tapıntınızdır və kripto mühərriki bunun yalnız bir neçə namizədindən biridir.
Nəyisə tənzimləməzdən əvvəl boşluğu izah edin
İrəli ötürmə siyasətini, növbə düşmələrini, interfeys xətalarını və resurs məhdudiyyətlərini şifrələmə yolu ilə birlikdə yoxlayın, çünki təkbaşına sürət çatışmazlığı heç vaxt CPU-nu müəyyən etmir. Mühasibat qatlarını da açıq saxlayın: xarici tunel baytlarına kapsullaşdırma daxildir və təkrar ötürmələr daxili və xarici sayğaclar arasındakı əlaqəni sürüşdürür. Əlaqəsiz sayğacları bayt-bayt müqayisə etmək heç vaxt olmamış uyğunsuzluq yaradır.
Paket ölçüsü köhnə nümunədən kopyalanmış rəqəm yerinə öz nəzarətli müqayisəsinə layiqdir. TCP MSS TCP-ni tənzimləyir və ixtiyari UDP datagramlarına heç bir təsiri yoxdur, ona görə köhnə sənəddən götürülmüş sabit 1350 heç nə ölçmür. Yük uzunluğunu qəsdən dəyişin və qəbuledicinin nə bildirdiyinə baxın.
Bir dəyişəni dəyişin və iş yükünü saxlayın
Baza xətti dar zolaqda təkrarlananda dəstəklənən bir dəyişəni dəyişin və ilkin tətbiq tapşırığını yenidən işə salın. Rəqəmi səbəbə çevirən addım budur və konfiqurasiyaya toxunmağı yalnız o əsaslandırır. Daha rahat iş yükü yerinə eyni iş yükünü təkrarlayın.
Sintetik rəqəmi böyütmək üçün təklifləri ləğv etməyin, autentifikasiyanı zəiflətməyin və ya müdafiəni söndürməyin. Bu hərəkətlər təhlükəsizlik mövqeyini dəyişir və sonra həmin dəyişikliyin nəticəsini ölçür, tunelin tutumunu deyil.