Ĉu la IPsec-trafiko malpli alta ol atendite? Unue kontrolu la aktivan SA
Longa transforma listo ne estas la seanco, kiu protektas vian transigon. Registru la intertraktitan SA, la grandon de la utilaĵo kaj la efektive liveritan rapidon antaŭ ol kulpigi la ĉifradon.
La agordo proponas ok transformojn, iu legas la plej fortan kaj la trafika cifero estas alkroĉita al ĝi. La tunelo verŝajne ne elektis tiun transformon, kaj ĝi ankaŭ ne plenumis la laborŝarĝon, kiun iu imagis. Tio, pri kio oni interkonsentis, estas unu ero el tiu listo, kun unu paketa grando, en unu direkto, sur unu konstruo. Mezuru tion kaj la debato pri algoritmoj kutime finiĝas antaŭ ol ĝi komenciĝas.
La simptomo: cifero sub tio, kion promesas la agordo
Longa transforma listo priskribas eblecojn, kaj ĉiu ebleco estas taksata surpapera anstataŭ sur ĉi tiu aparataro. La intertraktita rezulto estas unu sola kombinaĵo, kiun ambaŭ flankoj akceptis, kaj ĝi povas esti la plej malforta, kiun ĉiu flanko ankoraŭ permesas pro kongrueco. Kion tiu kombinaĵo atingas, dependas de la offload-stato, la paketa grando kaj la konduto de la atendovico, do du aparatoj kun identa politika dosiero povas fini tre malproksime unu de la alia. La listo estas menuo; la asocio estas la mendo, kiu revenis.
Legi la liston diras al vi, kio povus esti elektita. Legi la asocion diras al vi, kio efektive portas la transigon, kaj nur tion priskribas trafika cifero. Ĉiu agorda paŝo, kiu komenciĝas de la listo, estas konjekto kun plia paperaro.
Registru la asocion, kiu portas ĉi tiun transigon
Sur ASA show crypto ipsec sa listigas la aktivajn asociojn kun iliaj transformoj kaj nombriloj por ĉiu direkto, kaj la komanda referenco de Cisco dokumentas tiun eligon. Elektu la samtavolan partneron kaj la direkton, kiuj gravas, kaj notu, ke rekonsento de ŝlosiloj anstataŭigas la asocion kaj restarigas ĝiajn nombrilojn, kio silente malvalidigas bazlinion, kiun vi ankoraŭ fidis. Konservu la eligon apud la testaj notoj, por ke la sekva rulo havu ion por kompari. Asocia identigilo, kiu ŝoviĝas inter ruloj, igas ĉiun postan komparon sensignifa.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Kvin vicoj sufiĉas por igi mezuron ripetebla, kaj ĉiu vico ekskludas specifan klarigon, kiam ĝi mankas. Neniu el ili estas ero de la propona listo, ĉar la listo ne povas diri, kio protektas viajn bitokojn nun. Plenigu la tabelon unufoje kaj la sekva okazaĵo komenciĝos per datumoj anstataŭ per nova debato pri algoritmoj.
La vico pri la alira ligilo estas tiu, kiun homoj preterlasas, kaj ĝi estas tiu, kiu plej ofte klarigas breĉon, kiu aspektas ĉifrada. Satuĝinta suba tavolo aŭ policisto laŭ la vojo produktas la saman simptomformon kiel malrapida motoro.
Mezuru unu direkton kun kontrolita ŝarĝo
Rulu la teston de LAN-finpunkto, kiu reprezentas la aplikaĵon, anstataŭ de la pordego mem, ĉar sondilo generita de la pordego povas sekvi alian lokan politikon. Mezuru unu direkton antaŭ ol aldoni duan fluon, kaj registru kaj la ofertitan rapidon kaj tion, kion la ricevanto efektive ricevis. UDP-rulo kun rapidlimigo apartigas la ofertitan ŝarĝon de la kongesta respondo de TCP, dum sendinto de UDP sen limo ne estas neŭtrala diagnozo. Registru ankaŭ la longon de la utilaĵo, ĉar pli granda datagramo ŝanĝas kaj la pakedan rapidon kaj la kapsuligan koston.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Rulu la saman teston dufoje kun la sama longo de utilaĵo kaj la sama daŭro, ĉar unu rulo ne apartigas plafonon de malbona minuto. Se la ricevanto raportas malpli da pakaĵoj ol la sendinto elsendis, la perdo estas via trovitaĵo, kaj la ĉifra motoro estas nur unu el pluraj kandidatoj.
Klarigu la breĉon antaŭ ol agordi ion ajn
Kontrolu la plusendan politikon, vicoajn falojn, interfacajn erarojn kaj rimedajn limojn kune kun la ĉifra vojo, ĉar rapidomanko sola neniam identigas procesoron. Tenu ankaŭ la kontadajn tavolojn eksplicitaj: bitokoj de la ekstera tunelo inkluzivas kapsuligon, kaj retransmetoj movas la rilaton inter internaj kaj eksteraj nombriloj. Kompari nerilatajn nombrilojn bitoke post bitoko fabrikas malkongruon, kiu neniam ekzistis.
La paketa grando meritas sian propran kontrolitan komparon anstataŭ nombron kopiitan el malnova ekzemplo. TCP MSS adaptas TCP kaj havas neniun efikon sur arbitrajn UDP-datagramojn, do fiksita valoro 1350 prenita el malnova dokumento mezuras tute nenion. Ŝanĝu la longon de la utilaĵo intence kaj observu, kion raportas la ricevanto.
Ŝanĝu unu variablon kaj konservu la laborŝarĝon
Kiam la bazlinio ripetiĝas ene de mallarĝa bando, ŝanĝu unu subtenatan variablon kaj relanĉu la originalan aplikaĵan taskon. Tiu paŝo estas tio, kio igas ciferon kaŭzo, kaj nur ĝi pravigas tuŝi la agordon. Ripetu la saman laborŝarĝon anstataŭ pli komfortan.
Ne retiru proponojn, ne malfortigu aŭtentikigon kaj ne malŝaltu protekton por pligrandigi sintezan ciferon. Tiuj movoj ŝanĝas la sekurecan sintenon kaj poste mezuras la rezulton de tiu ŝanĝo, ne la kapaciton de la tunelo.