¿Rendimiento IPsec menor de lo esperado? Compruebe primero la SA activa
Una lista larga de transformaciones no es la sesión que protege su transferencia. Registre la SA negociada, el tamaño de carga útil y la tasa realmente entregada antes de culpar al cifrado.
La configuración ofrece ocho transformaciones, alguien lee la más fuerte y la cifra de rendimiento se le atribuye a ella. Es probable que el túnel no haya elegido esa transformación, y tampoco ejecutó la carga de trabajo que cualquiera hubiera imaginado. Lo que se negoció es una entrada de esa lista, con un tamaño de paquete, en un sentido, sobre una compilación. Mida eso y la discusión sobre algoritmos suele terminar antes de empezar.
El síntoma: una cifra por debajo de lo que promete la configuración
Una lista larga de transformaciones describe posibilidades, y cada posibilidad se puntúa sobre el papel en lugar de sobre este hardware. El resultado negociado es una única combinación que ambos pares aceptaron, y puede ser la más débil que cualquiera de los dos aún permite por compatibilidad. Lo que logra esa combinación depende del estado de offload, del tamaño de paquete y del comportamiento de las colas, así que dos equipos con un archivo de políticas idéntico pueden acabar muy lejos uno del otro. La lista es un menú; la asociación es el pedido que volvió.
Leer la lista le dice qué se podría haber elegido. Leer la asociación le dice qué está transportando la transferencia, y eso es lo único que describe una cifra de rendimiento. Cada paso de ajuste que parte de la lista es una suposición con papeleo adicional.
Registre la asociación que transporta esta transferencia
En un ASA show crypto ipsec sa enumera las asociaciones activas con sus transformaciones y contadores por sentido, y la referencia de comandos de Cisco documenta esa salida. Elija el par y el sentido que importan, y tenga en cuenta que un rekey sustituye la asociación y reinicia sus contadores, lo que invalida en silencio una línea base en la que aún confiaba. Guarde la salida junto a las notas de la prueba para que la siguiente ejecución tenga algo que comparar. Un identificador de asociación que deriva entre ejecuciones hace que toda comparación posterior carezca de sentido.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Cinco filas bastan para que una medición sea reproducible, y cada una descarta una explicación concreta cuando falta. Ninguna es una entrada de la lista de propuestas, porque la lista no puede decir qué está protegiendo sus bytes ahora mismo. Rellene la tabla una vez y el siguiente incidente empezará con datos en lugar de con un nuevo debate sobre algoritmos.
La fila del enlace de acceso es la que todos se saltan, y es la que con más frecuencia explica una brecha que parece criptográfica. Un underlay saturado o un policer en el camino produce la misma forma de síntoma que un motor lento.
Mida un solo sentido con una carga controlada
Ejecute la prueba desde un extremo de la LAN que represente a la aplicación en lugar de desde la propia puerta de enlace, porque una sonda generada por la puerta de enlace puede seguir una política local distinta. Mida un sentido antes de añadir un segundo flujo, y registre tanto la tasa ofrecida como lo que el receptor recibió realmente. Una ejecución UDP limitada en tasa separa la carga ofrecida de la respuesta de congestión de TCP, mientras que un emisor UDP sin límite no es un diagnóstico neutro. Registre también la longitud de carga útil, ya que un datagrama mayor cambia tanto la tasa de paquetes como la sobrecarga de encapsulación.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Ejecute la misma prueba dos veces con la misma longitud de carga útil y la misma duración, porque una sola ejecución no separa un techo de un mal minuto. Si el receptor informa de menos paquetes de los que emitió el emisor, la pérdida es su hallazgo, y el motor criptográfico es solo uno de varios candidatos.
Explique la brecha antes de ajustar nada
Revise la política de reenvío, las colas descartadas, los errores de interfaz y los límites de recursos junto con la ruta de cifrado, ya que un déficit de tasa por sí solo nunca identifica una CPU. Mantenga también explícitas las capas de contabilidad: los bytes del túnel exterior incluyen la encapsulación, y las retransmisiones mueven la relación entre los contadores internos y externos. Comparar byte a byte contadores no relacionados fabrica una discrepancia que nunca existió.
El tamaño de paquete merece su propia comparación controlada en lugar de un número copiado de un ejemplo antiguo. TCP MSS ajusta TCP y no tiene ningún efecto sobre datagramas UDP arbitrarios, así que un valor fijo de 1350 heredado de un documento antiguo no mide absolutamente nada. Cambie la longitud de carga útil a propósito y observe qué informa el receptor.
Cambie una variable y conserve la carga de trabajo
Cuando la línea base se repita dentro de una banda estrecha, cambie una variable admitida y vuelva a ejecutar la tarea de la aplicación original. Ese paso es lo que convierte una cifra en una causa, y es el único que justifica tocar la configuración. Repita la misma carga de trabajo en lugar de una más amable.
No retire propuestas, debilite la autenticación ni desactive la protección para agrandar una cifra sintética. Esos movimientos cambian la postura de seguridad y luego miden el resultado de ese cambio, no la capacidad del túnel.