Propustnost IPsec nižší, než se očekávalo? Nejprve zkontrolujte aktivní SA
Dlouhý seznam transformací není relace, která chrání váš přenos. Zaznamenejte vyjednanou SA, velikost užitečného zatížení a skutečně dodanou propustnost, než obviníte šifrování.
Konfigurace nabízí osm transformací, někdo přečte tu nejsilnější a číslo propustnosti se na ni přišpendlí. Tunel si tu transformaci pravděpodobně nevybral a nespustil ani zátěž, kterou si kdokoli představoval. Vyjednán byl jediný záznam z tohoto seznamu, s jednou velikostí paketu, v jednom směru, na jednom sestavení. Změřte to a diskuse o algoritmech obvykle skončí dřív, než začne.
Příznak: číslo pod tím, co konfigurace slibuje
Dlouhý seznam transformací popisuje možnosti a každá možnost se hodnotí na papíře, místo na tomto hardwaru. Vyjednaný výsledek je jediná kombinace, kterou obě strany přijaly, a může to být ta nejslabší, kterou ještě některá strana z důvodu kompatibility povoluje. Co tato kombinace dokáže, závisí na stavu offload, velikosti paketu a chování front, takže dvě zařízení s identickým souborem zásad mohou skončit velmi daleko od sebe. Seznam je menu; asociace je objednávka, která se vrátila.
Čtení seznamu vám říká, co mohlo být vybráno. Čtení asociace vám říká, co přenos skutečně nese, a to je jediná věc, kterou číslo propustnosti popisuje. Každý krok ladění, který začíná seznamem, je odhad s papírováním navíc.
Zaznamenejte asociaci, která tento přenos nese
Na zařízení ASA show crypto ipsec sa vypíše aktivní asociace s jejich transformacemi a čítači pro každý směr a referenční příručka příkazů Cisco tento výstup dokumentuje. Vyberte peer a směr, na kterých záleží, a všimněte si, že rekey nahradí asociaci a vynuluje její čítače, což tiše zneplatní základní linii, na kterou jste stále spoléhali. Uložte výstup vedle poznámek k testu, aby příští běh měl co porovnávat. Identifikátor asociace, který se mezi běhy posouvá, činí každé další srovnání bezvýznamným.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Pět řádků stačí k tomu, aby bylo měření reprodukovatelné, a každý z nich vylučuje konkrétní vysvětlení, když chybí. Žádný z nich není položkou seznamu návrhů, protože seznam nemůže říct, co vaše bajty právě teď chrání. Vyplňte tabulku jednou a další incident začne daty místo nové diskuse o algoritmech.
Řádek o přístupovém odkazu je ten, který lidé přeskakují, a je to právě on, který nejčastěji vysvětluje mezeru, jež vypadá kryptograficky. Nasycený underlay nebo policer na cestě vytváří stejný tvar příznaku jako pomalý engine.
Změřte jeden směr s řízenou zátěží
Spusťte test z koncového bodu v síti LAN, který představuje aplikaci, nikoli z brány samotné, protože sonda vytvořená branou může sledovat jiné místní zásady. Změřte jeden směr, než přidáte druhý tok, a zaznamenejte jak nabízenou rychlost, tak to, co přijímač skutečně obdržel. Běh UDP s omezenou rychlostí odděluje nabízenou zátěž od reakce TCP na zahlcení, zatímco odesílač UDP bez omezení není neutrální diagnostikou. Zaznamenejte také délku užitečného zatížení, protože větší datagram mění jak rychlost paketů, tak režii zapouzdření.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Spusťte stejný test dvakrát se stejnou délkou užitečného zatížení a stejnou dobou trvání, protože jeden běh neoddělí strop od špatné minuty. Pokud přijímač hlásí méně paketů, než odesílač vyslal, je ztráta vaším zjištěním a šifrovací engine je jen jedním z několika kandidátů.
Vysvětlete mezeru, než cokoli naladíte
Zkontrolujte zásady předávání, zahazování front, chyby rozhraní a limity prostředků spolu s šifrovací cestou, protože samotný deficit rychlosti nikdy neidentifikuje procesor. Udržujte také explicitní vrstvy účtování: bajty vnějšího tunelu zahrnují zapouzdření a retransmise posouvají vztah mezi vnitřními a vnějšími čítači. Porovnávání nesouvisejících čítačů bajt po bajtu vytváří rozpor, který nikdy neexistoval.
Velikost paketu si zaslouží vlastní řízené srovnání, nikoli číslo opsané ze starého příkladu. TCP MSS upravuje TCP a nemá žádný vliv na libovolné datagramy UDP, takže pevná hodnota 1350 převzatá z archivního dokumentu neměří vůbec nic. Změňte délku užitečného zatížení záměrně a sledujte, co přijímač hlásí.
Změňte jednu proměnnou a zachovejte zátěž
Jakmile se základní linie opakuje v úzkém pásmu, změňte jednu podporovanou proměnnou a znovu spusťte původní úlohu aplikace. Tento krok mění číslo v příčinu a jako jediný ospravedlňuje zásah do konfigurace. Opakujte stejnou zátěž, ne přívětivější.
Nevyvádějte z provozu návrhy, neoslabujte ověřování a nevypínejte ochranu, abyste zvětšili syntetické číslo. Tyto kroky mění bezpečnostní postoj a poté měří výsledek této změny, ne kapacitu tunelu.