Прапускная здольнасць IPsec ніжэйшая за чаканую? Спачатку праверце актыўную SA
Доўгі спіс трансфармацый — гэта не сесія, якая абараняе вашу перадачу. Запішыце ўзгодненую SA, памер карыснай нагрузкі і фактычна дастаўленую хуткасць, перш чым вінаваціць шыфраванне.
Канфігурацыя прапануе восем трансфармацый, нехта чытае самую моцную, і паказчык прапускной здольнасці прывязваюць да яе. Тунель, хутчэй за ўсё, выбраў не яе і выконваў не тую нагрузку, якую хто-небудзь уяўляў. Узгоднены адзін запіс з гэтага спіса, з адным памерам пакета, у адным кірунку, на адной зборцы. Памерайце гэта, і спрэчка пра алгарытмы звычайна сканчаецца, не паспеўшы пачацца.
Сімптом: лічба ніжэйшая за тое, што абяцае канфігурацыя
Доўгі спіс трансфармацый апісвае магчымасці, і кожная магчымасць ацэньваецца на паперы, а не на гэтым абсталяванні. Узгоднены вынік — адзіная камбінацыя, якую прынялі абодва бакі, і яна можа аказацца самай слабай з тых, што кожны бок яшчэ дазваляе дзеля сумяшчальнасці. Што дае гэта камбінацыя, залежыць ад стану offload, памеру пакета і паводзін чэргаў, таму два прылады з аднолькавым файлам палітыкі могуць апынуцца вельмі далёка адно ад аднаго. Спіс — гэта меню; асацыяцыя — гэта заказ, які вярнуўся.
Чытанне спіса кажа пра тое, што магло быць выбрана. Чытанне асацыяцыі кажа пра тое, што насамрэч нясе перадачу, і толькі гэта апісвае паказчык прапускной здольнасці. Кожны крок наладкі, які пачынаецца са спіса, — гэта здагадка з лішняй папяровай працай.
Запішыце асацыяцыю, якая нясе гэтую перадачу
На ASA show crypto ipsec sa выводзіць актыўныя асацыяцыі з іх трансфармацыямі і лічыльнікамі па кірунках, а даведнік каманд Cisco дакументуе гэты вывад. Выберыце вузел і кірунак, якія важныя, і ўлічыце, што паўторнае ўзгадненне ключоў замяняе асацыяцыю і абнуляе яе лічыльнікі, што незаўважна зняцэньвае базавую лінію, на якую вы яшчэ абапіраліся. Захавайце вывад побач з нататкамі пра тэст, каб наступнаму запуску было з чым параўноўваць. Ідэнтыфікатар асацыяцыі, які змяняецца паміж запускамі, робіць любое далейшае параўнанне бессэнсоўным.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Пяці радкоў дастаткова, каб вымярэнне стала ўзнаўляльным, і кожны з іх выключае канкрэтнае тлумачэнне, калі яго бракуе. Ніводзін не з’яўляецца пунктам са спіса прапаноў, бо спіс не можа сказаць, што абараняе вашы байты прама зараз. Запоўніце табліцу адзін раз, і наступны інцыдэнт пачнецца з даных, а не з новай спрэчкі пра алгарытмы.
Радок пра канал доступу — той, які прапускаюць, і менавіта ён найчасцей тлумачыць разрыў, які выглядае крыптаграфічным. Насычаны underlay або policer на шляху дае тую ж форму сімптому, што і павольны рухавік.
Вымярэйце адзін кірунак з кантраляванай нагрузкай
Запускайце тэст з канчатковай кропкі ў LAN, якая прадстаўляе пракладанне, а не з самога шлюза, бо проба, створаная шлюзам, можа прытрымлівацца іншай лакальнай палітыкі. Вымярэйце адзін кірунак, перш чым дадаваць другі паток, і запішыце як прапанаваную хуткасць, так і тое, што прыёмнік сапраўды атрымаў. Запуск UDP з абмежаваннем хуткасці аддзяляе прапанаваную нагрузку ад рэакцыі TCP на перагрузку, тады як адпраўнік UDP без абмежавання не з’яўляецца нейтральнай дыягностыкай. Запішыце і даўжыню карыснай нагрузкі, бо большая дэйтаграма змяняе і частату пакетаў, і накладныя выдаткі інкапсуляцыі.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Запусціце той жа тэст двойчы з аднолькавай даўжынёй карыснай нагрузкі і працягласцю, бо адзін запуск не аддзеліць столь ад дрэннай хвіліны. Калі прыёмнік паведамляе пра меншую колькасць пакетаў, чым адправіў адпраўнік, страта — гэта ваш вынік, а крыптаграфічны рухавік толькі адзін з некалькіх кандыдатаў.
Растлумачце разрыў, перш чым нешта наладжваць
Правярайце палітыку перасылкі, скіды чэргаў, памылкі інтэрфейсаў і абмежаванні рэсурсаў разам са шляхам шыфравання, бо сам дэфіцыт хуткасці ніколі не паказвае на працэсар. Трымайце і ўзроўні ўліку яўнымі: байты знешняга тунеля ўключаюць інкапсуляцыю, а паўторныя перадачы зрушваюць суадносіны паміж унутранымі і знешнімі лічыльнікамі. Параўнанне не звязаных лічыльнікаў байт за байтам стварае разыходжанне, якога ніколі не было.
Памер пакета заслугоўвае асобнага кантраляванага параўнання, а не ліку, скапіяванага са старога прыкладу. TCP MSS наладжвае TCP і не ўплывае на адвольныя дэйтаграмы UDP, таму фіксаванае значэнне 1350, перанесенае са састарэлага дакумента, не вымярае зусім нічога. Змяніце даўжыню карыснай нагрузкі наўмысна і паглядзіце, што паведамляе прыёмнік.
Змяніце адну зменную і захавайце нагрузку
Калі базавая лінія паўтараецца ў вузкім дыяпазоне, змяніце адну падтрымліваемую зменную і паўтарыце першапачатковую прыкладную задачу. Гэты крок ператварае лічбу ў прычыну, і толькі ён апраўдвае ўмяшанне ў канфігурацыю. Паўтарыце тую ж нагрузку, а не зручнейшую.
Не адмаўляйцеся ад прапановаў, не паслабляйце аўтэнтыфікацыю і не выключайце абарону, каб павялічыць сінтэтычную лічбу. Гэтыя крокі змяняюць узровень бяспекі, а потым вымяраюць вынік гэтай змены, а не ёмістасць тунеля.