Ample de banda IPsec inferior a l’esperat? Comproveu primer la SA activa
Una llista llarga de transformacions no és la sessió que protegeix la vostra transferència. Enregistreu la SA negociada, la mida de la càrrega útil i la velocitat realment lliurada abans de culpar el xifratge.
La configuració ofereix vuit transformacions, algú llegeix la més forta i la xifra de rendiment s’hi atribueix. És probable que el túnel no hagi triat aquesta transformació, i tampoc ha executat la càrrega de treball que algú imaginava. El que s’ha negociat és una sola entrada d’aquesta llista, amb una mida de paquet, en una direcció, en una compilació. Mesureu-ho i la discussió sobre algorismes sol acabar abans de començar.
El símptoma: una xifra per sota del que promet la configuració
Una llista llarga de transformacions descriu possibilitats, i cada possibilitat es puntua sobre el paper en lloc d’aquest maquinari. El resultat negociat és una única combinació que ambdues parts han acceptat, i pot ser la més feble que qualsevol part encara permet per compatibilitat. El que aconsegueix aquesta combinació depèn de l’estat d’offload, de la mida del paquet i del comportament de la cua, així que dos dispositius amb un fitxer de política idèntic poden acabar molt lluny l’un de l’altre. La llista és un menú; l’associació és la comanda que va tornar.
Llegir la llista us diu què s’hauria pogut triar. Llegir l’associació us diu què està portant realment la transferència, i només això descriu una xifra de rendiment. Cada pas d’ajustament que comença per la llista és una suposició amb paperassa addicional.
Enregistreu l’associació que porta aquesta transferència
En un ASA show crypto ipsec sa llista les associacions actives amb les seves transformacions i comptadors per direcció, i la referència de comandes de Cisco documenta aquesta sortida. Trieu el parell i la direcció que importen, i tingueu en compte que una renegociació de claus substitueix l’associació i reinicia els seus comptadors, cosa que invalida en silenci una línia base en la qual encara confiàveu. Deseu la sortida al costat de les notes de la prova perquè la propera execució tingui amb què comparar. Un identificador d’associació que varia entre execucions fa que qualsevol comparació posterior sigui sense sentit.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Cinc files són prou per fer una mesura reproduïble, i cada fila descarta una explicació concreta quan falta. Cap d’elles no és una entrada de la llista de propostes, perquè la llista no pot dir què protegeix els vostres bytes ara mateix. Ompliu la taula un cop i el proper incident començarà amb dades en lloc d’un debat nou sobre algorismes.
La fila de l’enllaç d’accés és la que la gent omet, i és la que més sovint explica una diferència que sembla criptogràfica. Un underlay saturat o un policer al llarg del camí produeix la mateixa forma de símptoma que un motor lent.
Mesureu una direcció amb una càrrega controlada
Executeu la prova des d’un extrem de la LAN que representi l’aplicació en lloc de des de la pròpia passarel·la, perquè una sonda generada per la passarel·la pot seguir una política local diferent. Mesureu una direcció abans d’afegir un segon flux, i enregistreu tant la velocitat oferta com el que el receptor ha rebut realment. Una execució UDP limitada en velocitat separa la càrrega oferta de la resposta de congestió del TCP, mentre que un emissor UDP sense límit no és un diagnòstic neutre. Enregistreu també la longitud de la càrrega útil, ja que un datagrama més gran canvia tant la taxa de paquets com el cost d’encapsulament.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Executeu la mateixa prova dues vegades amb la mateixa longitud de càrrega útil i la mateixa durada, perquè una sola execució no separa un sostre d’un mal minut. Si el receptor informa de menys paquets que els que l’emissor ha enviat, la pèrdua és la vostra troballa, i el motor criptogràfic només és un dels diversos candidats.
Expliqueu la diferència abans d’ajustar res
Reviseu la política de reenviament, els descarts de cua, els errors d’interfície i els límits de recursos juntament amb el camí de xifratge, ja que un dèficit de velocitat per si sol no identifica mai una CPU. Manteniu també explícites les capes de comptabilitat: els bytes del túnel exterior inclouen l’encapsulament, i les retransmissions mouen la relació entre els comptadors interns i externs. Comparar byte a byte comptadors no relacionats fabrica una discrepància que mai no va existir.
La mida del paquet mereix una comparació controlada pròpia en lloc d’un número copiat d’un exemple antic. El TCP MSS ajusta el TCP i no té cap efecte sobre datagrames UDP arbitraris, així que un valor fix de 1350 heretat d’un document antic no mesura absolutament res. Canvieu la longitud de la càrrega útil a propòsit i observeu què informa el receptor.
Canvieu una variable i manteniu la càrrega de treball
Quan la línia base es repeteixi dins d’una banda estreta, canvieu una variable admesa i torneu a executar la tasca original de l’aplicació. Aquest pas és el que converteix una xifra en una causa, i és l’únic que justifica tocar la configuració. Repetiu la mateixa càrrega de treball en lloc d’una de més còmoda.
No retireu propostes, no debiliteu l’autenticació ni apagueu la protecció per fer més gran una xifra sintètica. Aquests moviments canvien la postura de seguretat i després mesuren el resultat d’aquest canvi, no la capacitat del túnel.