Trwybwn IPsec yn is na’r disgwyl? Gwiriwch yr SA actif yn gyntaf
Nid yw rhestr drawsffurf hir yn y sesiwn sy’n gwarchod eich trosglwyddiad. Cofnodwch yr SA a drafodwyd, maint y llwyth a’r gyfradd a ddanfonwyd mewn gwirionedd cyn beio’r amgryptiad.
Mae’r cyfluniad yn cynnig wyth trawsffurf, mae rhywun yn darllen yr un gryfaf ac mae ffigur y trwybwn yn cael ei briodoli iddi. Mae’n debyg na wnaeth y tiwnel ddewis y trawsffurf hwnnw, ac ni wnaeth ychwaith redeg y llwyth gwaith a ddychmygwyd gan unrhyw un. Yr hyn a drafodwyd yw un cofnod o’r rhestr honno, gydag un maint pecyn, mewn un cyfeiriad, ar un adeiladwaith. Mesurwch hynny ac mae’r ddadl am algorithmau fel arfer yn gorffen cyn iddi ddechrau.
Y symptom: ffigur o dan yr hyn y mae’r cyfluniad yn ei addo
Mae rhestr drawsffurf hir yn disgrifio posibiliadau, a phob posibilrwydd yn cael ei sgorio ar bapur yn hytrach nag ar y caledwedd hwn. Y canlyniad a drafodwyd yw un cyfuniad a dderbyniwyd gan y ddwy ochr, a gall fod y gwannaf y mae’r naill ochr neu’r llall yn dal i’w ganiatáu er mwyn cydnawsedd. Mae’r hyn y mae’r cyfuniad hwnnw yn ei gyflawni yn dibynnu ar gyflwr offload, maint pecyn ac ymddygiad ciw, felly gall dau ddyfais â ffeil polisi unfath fod yn bell iawn oddi wrth ei gilydd. Mae’r rhestr yn fwytai; yr assosiad yw’r archeb a ddychwelodd.
Mae darllen y rhestr yn dweud wrthych beth y gellid bod wedi’i ddewis. Mae darllen yr assosiad yn dweud wrthych beth sy’n cario’r trosglwyddiad mewn gwirionedd, a dim ond hynny y mae ffigur trwybwn yn ei ddisgrifio. Mae pob cam tiwnio sy’n dechrau gyda’r rhestr yn ddyfaliad gyda phapurau ychwanegol.
Cofnodwch yr assosiad sy’n cario’r trosglwyddiad hwn
Ar ASA show crypto ipsec sa yn rhestr yr assosiadau byw gyda’u trawsffurfiau a’u cyfrifwyr fesul cyfeiriad, a’r cyfeirlyfr gorchmynion Cisco yn dogfennu’r allbwn hwnnw. Dewiswch y cymar a’r cyfeiriad sy’n bwysig, a sylwch fod ail-drafod allweddi yn disodli’r assosiad ac yn ailosod ei gyfrifwyr, sy’n ddi-rybudd yn gwneud llinell sylfaen yr oeddech yn dal i ymddiried ynddi yn annilys. Storiwch yr allbwn wrth nodiadau’r prawf fel bod gan y rhediad nesaf rywbeth i’w gymharu. Mae dynodwr assosiad sy’n symud rhwng rhediadau yn gwneud pob cymhariaeth ddiweddarach yn ddiystyr.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Mae pum rhes yn ddigon i wneud mesuriad yn ailadroddadwy, ac mae pob rhes yn dileu esboniad penodol pan fydd ar goll. Nid oes yr un ohonynt yn gofnod o’r rhestr gynigion, oherwydd ni all y rhestr ddweud beth sy’n gwarchod eich beitiau ar hyn o bryd. Llenwch y tabl unwaith a bydd y digwyddiad nesaf yn dechrau gyda data yn hytrach na dadl newydd am algorithmau.
Y rhes cyswllt mynediad yw’r un y mae pobl yn ei hepgor, a honno yw’r un sy’n aml yn esbonio bwlch sy’n edrych yn amgryptiadol. Mae is-haen dirlawn neu blismon ar hyd y llwybr yn cynhyrchu’r un siâp symptom â pheiriant araf.
Mesurwch un cyfeiriad â llwyth rheoledig
Rhedwch y prawf o bwynt terfyn LAN sy’n cynrychioli’r rhaglen yn hytrach nag o’r giât ei hun, oherwydd gall chwiliedydd a gynhyrchir gan y giât ddilyn polisi lleol gwahanol. Mesurwch un cyfeiriad cyn ychwanegu ail ffrwd, a chofnodwch y gyfradd a gynigiwyd a’r hyn a dderbyniodd y derbynnydd mewn gwirionedd. Mae rhediad UDP wedi’i gyfyngu gan gyfradd yn gwahanu’r llwyth a gynigiwyd oddi wrth ymateb tagfa TCP, tra nad yw anfonydd UDP heb gyfyngiad yn ddiagnosis niwtral. Cofnodwch hyd y llwyth hefyd, oherwydd mae datagram mwy yn newid cyfradd pecynnau a chost encapswleiddio.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Rhedwch yr un prawf ddwywaith gyda’r un hyd llwyth a’r un hyd amser, oherwydd ni all un rhediad wahanu nenfwd oddi wrth funud wael. Os yw’r derbynnydd yn adrodd llai o becynnau nag a anfonodd yr anfonydd, y golled yw eich canfyddiad, a’r peiriant amgryptio yw dim ond un o sawl ymgeisydd.
Esboniwch y bwlch cyn tiwnio unrhyw beth
Gwiriwch y polisi anfon ymlaen, cwympiadau ciw, gwallau rhyngwyneb a chyfyngiadau adnoddau ochr yn ochr â llwybr amgryptio, oherwydd nid yw diffyg cyfradd ar ei ben ei hun byth yn nodi CPU. Cadwch y haenau cyfrifyddu yn eglur hefyd: mae beitiau’r tiwnel allanol yn cynnwys encapswleiddio, ac mae ail-drosglwyddiadau yn symud y berthynas rhwng cyfrifwyr mewnol ac allanol. Mae cymharu cyfrifwyr diberthynas fesul beit yn creu anghysondeb na fu erioed.
Mae maint pecyn yn haeddu ei gymhariaeth reoledig ei hun yn hytrach na rhif a gopïwyd o hen enghraifft. Mae TCP MSS yn addasu TCP ac nid oes ganddo unrhyw effaith ar ddatagramau UDP mympwyol, felly nid yw gwerth sefydlog o 1350 a gludwyd o hen ddogfen yn mesur unrhyw beth o gwbl. Newidiwch hyd y llwyth yn fwriadol a sylwch beth mae’r derbynnydd yn ei adrodd.
Newidiwch un newidyn a chadwch y llwyth gwaith
Unwaith y bydd y llinell sylfaen yn ailadrodd o fewn band cul, newidiwch un newidyn a gefnogir ac ailredwch y dasg rhaglen wreiddiol. Y cam hwnnw sy’n troi ffigur yn achos, a dim ond hynny sy’n cyfiawnhau cyffwrdd â’r cyfluniad. Ailadroddwch yr un llwyth gwaith yn hytrach nag un hawsach.
Peidiwch â chilio cynigion, gwanhau dilysu nac analluogi gwarchodaeth er mwyn gwneud ffigur synthetig yn fwy. Mae’r symudiadau hynny yn newid y sefyllfa ddiogelwch ac yna’n mesur canlyniad y newid hwnnw, nid gallu’r tiwnel.