Пропускателна способност на IPsec по-ниска от очакваната? Проверете първо активната SA
Дълъг списък от трансформации не е сесията, която защитава трансфера ви. Запишете договорената SA, размера на полезния товар и действително доставената скорост, преди да обвините криптирането.
Конфигурацията предлага осем трансформации, някой прочита най-силната и показателят за пропускателна способност се закача за нея. Тунелът вероятно не е избрал тази трансформация и не е изпълнил натоварването, което някой е представял. Договорен е един запис от този списък, с един размер на пакета, в една посока, върху една сборка. Измерете това и спорът за алгоритмите обикновено приключва, преди да е започнал.
Симптомът: число под това, което конфигурацията обещава
Дългият списък от трансформации описва възможности и всяка възможност се оценява на хартия, а не на този хардуер. Договореният резултат е една комбинация, която двете страни са приели, и тя може да е най-слабата, която някоя от страните все още допуска заради съвместимост. Какво постига тази комбинация зависи от състоянието на offload, размера на пакета и поведението на опашките, затова две устройства с идентичен файл с правила могат да се окажат много далеч едно от друго. Списъкът е меню; асоциацията е поръчката, която се върна.
Четенето на списъка ви казва какво е могло да бъде избрано. Четенето на асоциацията ви казва какво всъщност носи трансфера, и само това описва показателя за пропускателна способност. Всяка стъпка за настройка, която започва от списъка, е догадка с допълнителна документация.
Запишете асоциацията, която носи този трансфер
На ASA show crypto ipsec sa извежда активните асоциации с техните трансформации и броячи по посоки, а справочникът за команди на Cisco документира този изход. Изберете партньора и посоката, които имат значение, и имайте предвид, че повторното договаряне на ключове заменя асоциацията и нулира броячите ѝ, което тихо обезсмисля базова линия, на която все още сте разчитали. Запазете изхода до бележките от теста, за да има следващото изпълнение какво да сравнява. Идентификатор на асоциацията, който се измества между изпълненията, прави всяко следващо сравнение безсмислено.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Пет реда са достатъчни, за да стане измерването възпроизводимо, и всеки от тях изключва конкретно обяснение, когато липсва. Нито един не е запис от списъка с предложения, защото списъкът не може да каже какво защитава байтовете ви точно сега. Попълнете таблицата веднъж и следващият инцидент ще започне с данни, а не с нов спор за алгоритмите.
Редът за канала за достъп е този, който хората пропускат, и именно той най-често обяснява разлика, която изглежда криптографска. Наситен underlay или policer по пътя дава същата форма на симптом като бавен двигател.
Измерете една посока с контролирано натоварване
Стартирайте теста от крайна точка в LAN, която представлява приложението, а не от самия шлюз, защото проба, генерирана от шлюза, може да следва друга локална политика. Измерете една посока, преди да добавите втори поток, и запишете както предложената скорост, така и това, което получателят действително е получил. Изпълнение на UDP с ограничение на скоростта отделя предложеното натоварване от реакцията на TCP на задръстване, докато изпращач на UDP без ограничение не е неутрална диагностика. Запишете и дължината на полезния товар, защото по-голямата датаграма променя както честотата на пакетите, така и разходите за капсулиране.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Изпълнете същия тест два пъти с еднаква дължина на полезния товар и еднаква продължителност, защото едно изпълнение не отделя таван от лоша минута. Ако получателят отчете по-малко пакети, отколкото изпращачът е изпратил, загубата е вашето откритие, а криптографският двигател е само един от няколко кандидата.
Обяснете разликата, преди да настройвате каквото и да е
Проверявайте политиката за препращане, отпаданията на опашки, грешките на интерфейсите и ограниченията на ресурсите заедно с пътя на криптиране, защото дефицитът на скорост сам по себе си никога не идентифицира процесор. Поддържайте и слоевете на отчитане явни: байтовете на външния тунел включват капсулиране, а повторните предавания изместват връзката между вътрешните и външните броячи. Сравняването на несвързани броячи байт по байт създава разлика, която никога не е съществувала.
Размерът на пакета заслужава собствено контролирано сравнение, а не число, копирано от стар пример. TCP MSS настройва TCP и няма никакъв ефект върху произволни UDP датаграми, затова фиксирана стойност 1350, пренесена от стар документ, не измерва абсолютно нищо. Променете дължината на полезния товар нарочно и наблюдавайте какво отчита получателят.
Променете една променлива и запазете натоварването
Когато базовата линия се повтаря в тесен диапазон, променете една поддържана променлива и стартирайте отново първоначалната приложна задача. Тази стъпка превръща числото в причина и е единствената, която оправдава намеса в конфигурацията. Повторете същото натоварване, а не по-удобно.
Не се отказвайте от предложения, не отслабвайте удостоверяването и не изключвайте защитата, за да увеличите синтетично число. Тези ходове променят нивото на сигурност и след това измерват резултата от тази промяна, а не капацитета на тунела.