Χαμηλότερη από την αναμενόμενη απόδοση IPsec; Ελέγξτε πρώτα την ενεργή SA
Μια μακριά λίστα μετασχηματισμών δεν είναι η συνεδρία που προστατεύει τη μεταφορά σας. Καταγράψτε την SA που διαπραγματεύτηκε, το μέγεθος του ωφέλιμου φορτίου και τον ρυθμό που παραδόθηκε πραγματικά, πριν κατηγορήσετε την κρυπτογράφηση.
Η διαμόρφωση προσφέρει οκτώ μετασχηματισμούς, κάποιος διαβάζει τον ισχυρότερο και το νούμερο απόδοσης του χρεώνεται. Η σήραγγα πιθανότατα δεν επέλεξε αυτόν τον μετασχηματισμό και δεν εκτέλεσε ούτε το φόρτο εργασίας που φαντάστηκε κανείς. Αυτό που διαπραγματεύτηκε είναι μία εγγραφή από αυτή τη λίστα, με ένα μέγεθος πακέτου, σε μία κατεύθυνση, σε μία έκδοση. Μετρήστε το και η συζήτηση για τους αλγόριθμους συνήθως τελειώνει πριν καν αρχίσει.
Το σύμπτωμα: ένα νούμερο κάτω από ό,τι υπόσχεται η διαμόρφωση
Μια μακριά λίστα μετασχηματισμών περιγράφει δυνατότητες, και κάθε δυνατότητα βαθμολογείται στο χαρτί αντί σε αυτό το υλικό. Το αποτέλεσμα της διαπραγμάτευσης είναι ένας μόνο συνδυασμός που δέχτηκαν και οι δύο ομότιμοι, και μπορεί να είναι ο ασθενέστερος που επιτρέπει ακόμη κάθε πλευρά για λόγους συμβατότητας. Το τι πετυχαίνει αυτός ο συνδυασμός εξαρτάται από την κατάσταση offload, το μέγεθος πακέτου και τη συμπεριφορά των ουρών, οπότε δύο συσκευές με πανομοιότυπο αρχείο πολιτικής μπορεί να καταλήξουν πολύ μακριά μεταξύ τους. Η λίστα είναι μενού· η συσχέτιση είναι η παραγγελία που γύρισε.
Το διάβασμα της λίστας σας λέει τι θα μπορούσε να έχει επιλεγεί. Το διάβασμα της συσχέτισης σας λέει τι μεταφέρει στην πραγματικότητα τη μεταφορά, και μόνο αυτό περιγράφει ένα νούμερο απόδοσης. Κάθε βήμα συντονισμού που ξεκινά από τη λίστα είναι μια εικασία με επιπλέον γραφειοκρατία.
Καταγράψτε τη συσχέτιση που μεταφέρει αυτή τη μεταφορά
Σε ένα ASA show crypto ipsec sa εμφανίζει τις ενεργές συσχετίσεις με τους μετασχηματισμούς και τους μετρητές ανά κατεύθυνση, και η αναφορά εντολών της Cisco τεκμηριώνει αυτή την έξοδο. Επιλέξτε τον ομότιμο και την κατεύθυνση που έχουν σημασία, και σημειώστε ότι μια εκ νέου διαπραγμάτευση κλειδιών αντικαθιστά τη συσχέτιση και μηδενίζει τους μετρητές της, κάτι που ακυρώνει σιωπηρά μια βάση αναφοράς στην οποία ακόμη βασιζόσασταν. Αποθηκεύστε την έξοδο δίπλα στις σημειώσεις της δοκιμής ώστε η επόμενη εκτέλεση να έχει κάτι να συγκρίνει. Ένα αναγνωριστικό συσχέτισης που μετατοπίζεται μεταξύ εκτελέσεων κάνει κάθε μεταγενέστερη σύγκριση άνευ νοήματος.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Πέντε γραμμές αρκούν για να γίνει μια μέτρηση αναπαραγώγιμη, και καθεμία αποκλείει μια συγκεκριμένη εξήγηση όταν λείπει. Καμία δεν είναι εγγραφή από τη λίστα προτάσεων, γιατί η λίστα δεν μπορεί να πει τι προστατεύει τα byte σας αυτή τη στιγμή. Συμπληρώστε τον πίνακα μία φορά και το επόμενο περιστατικό θα ξεκινήσει με δεδομένα αντί με μια νέα συζήτηση για αλγόριθμους.
Η γραμμή του συνδέσμου πρόσβασης είναι αυτή που όλοι προσπερνούν, και είναι εκείνη που εξηγεί συχνότερα ένα χάσμα που μοιάζει κρυπτογραφικό. Ένα κορεσμένο underlay ή ένας policer κατά μήκος της διαδρομής παράγει την ίδια μορφή συμπτώματος με μια αργή μηχανή.
Μετρήστε μία κατεύθυνση με ελεγχόμενο φόρτο
Εκτελέστε τη δοκιμή από ένα τελικό σημείο στο LAN που αντιπροσωπεύει την εφαρμογή και όχι από την ίδια την πύλη, γιατί ένας ανιχνευτής που παράγεται από την πύλη μπορεί να ακολουθεί διαφορετική τοπική πολιτική. Μετρήστε μία κατεύθυνση πριν προσθέσετε δεύτερη ροή, και καταγράψτε τόσο τον ρυθμό που προσφέρεται όσο και το τι έλαβε πραγματικά ο δέκτης. Μια εκτέλεση UDP με όριο ρυθμού διαχωρίζει το προσφερόμενο φόρτο από την απόκριση συμφόρησης του TCP, ενώ ένας αποστολέας UDP χωρίς όριο δεν είναι ουδέτερη διάγνωση. Καταγράψτε και το μήκος του ωφέλιμου φορτίου, αφού ένα μεγαλύτερο datagram αλλάζει και τον ρυθμό πακέτων και την επιβάρυνση ενθυλάκωσης.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Εκτελέστε την ίδια δοκιμή δύο φορές με το ίδιο μήκος ωφέλιμου φορτίου και την ίδια διάρκεια, γιατί μία εκτέλεση δεν μπορεί να ξεχωρίσει ένα ταβάνι από ένα κακό λεπτό. Αν ο δέκτης αναφέρει λιγότερα πακέτα από όσα έστειλε ο αποστολέας, η απώλεια είναι το εύρημά σας, και η κρυπτογραφική μηχανή είναι μόνο ένας από πολλούς υποψηφίους.
Εξηγήστε το χάσμα πριν συντονίσετε οτιδήποτε
Ελέγξτε την πολιτική προώθησης, τις απορρίψεις ουρών, τα σφάλματα διεπαφής και τα όρια πόρων μαζί με τη διαδρομή κρυπτογράφησης, αφού ένα έλλειμμα ρυθμού μόνο του δεν προσδιορίζει ποτέ έναν επεξεργαστή. Κρατήστε και τα επίπεδα λογιστικής ρητά: τα byte της εξωτερικής σήραγγας περιλαμβάνουν την ενθυλάκωση, και οι αναμεταδόσεις μετακινούν τη σχέση μεταξύ εσωτερικών και εξωτερικών μετρητών. Η σύγκριση άσχετων μετρητών byte προς byte κατασκευάζει μια ασυμφωνία που δεν υπήρξε ποτέ.
Το μέγεθος πακέτου αξίζει τη δική του ελεγχόμενη σύγκριση αντί για ένα νούμερο αντιγραμμένο από ένα παλιό παράδειγμα. Το TCP MSS προσαρμόζει το TCP και δεν έχει καμία επίδραση σε αυθαίρετα datagram UDP, οπότε μια σταθερή τιμή 1350 που μεταφέρθηκε από ένα παλιό έγγραφο δεν μετρά τίποτα απολύτως. Αλλάξτε σκόπιμα το μήκος του ωφέλιμου φορτίου και παρακολουθήστε τι αναφέρει ο δέκτης.
Αλλάξτε μία μεταβλητή και κρατήστε τον φόρτο εργασίας
Όταν η βάση αναφοράς επαναλαμβάνεται μέσα σε ένα στενό εύρος, αλλάξτε μία υποστηριζόμενη μεταβλητή και εκτελέστε ξανά την αρχική εργασία της εφαρμογής. Αυτό το βήμα μετατρέπει ένα νούμερο σε αιτία, και είναι το μόνο που δικαιολογεί να αγγίξετε τη διαμόρφωση. Επαναλάβετε τον ίδιο φόρτο εργασίας και όχι έναν φιλικότερο.
Μην αποσύρετε προτάσεις, μην αποδυναμώνετε την αυθεντικοποίηση και μην απενεργοποιείτε την προστασία για να μεγαλώσετε ένα συνθετικό νούμερο. Αυτές οι κινήσεις αλλάζουν τη στάση ασφαλείας και μετά μετρούν το αποτέλεσμα αυτής της αλλαγής, όχι τη χωρητικότητα της σήραγγας.