IPsec läbilaskevõime oodatust väiksem? Kontrollige esmalt aktiivset SA-d
Pikk teisenduste loend ei ole see sessioon, mis teie ülekannet kaitseb. Enne krüpteerimise süüdistamist registreerige kokku lepitud SA, kasuliku koormuse suurus ja tegelikult kohale jõudnud kiirus.
Konfiguratsioon pakub kaheksa teisendust, keegi loeb tugevaima ja läbilaskevõime näitaja kinnitatakse selle külge. Tunnel tõenäoliselt ei valinud seda teisendust ega käitanud ka seda töökoormust, mida keegi ette kujutas. Kokku lepiti üks kirje sellest loendist, ühe paketi suurusega, ühes suunas, ühel koostisel. Mõõtke seda ja vaidlus algoritmide üle lõpeb tavaliselt enne, kui see algab.
Sümptom: näitaja, mis on väiksem kui konfiguratsioon lubab
Pikk teisenduste loend kirjeldab võimalusi ja iga võimalust hinnatakse paberil, mitte sellel riistvaral. Kokku lepitud tulemus on üks kombinatsioon, mille mõlemad pooled vastu võtsid, ja see võib olla nõrgim, mida kumbki pool ühilduvuse huvides veel lubab. See, mida kombinatsioon saavutab, sõltub offloadi olekust, paketi suurusest ja järjekorra käitumisest, nii et kaks seadet, millel on identne poliitikafail, võivad sattuda väga kaugele teineteisest. Loend on menüü; assotsiatsioon on tellimus, mis tagasi tuli.
Loendi lugemine ütleb, mida oleks võinud valida. Assotsiatsiooni lugemine ütleb, mis ülekannet tegelikult kannab, ja ainult seda kirjeldab läbilaskevõime näitaja. Iga loendist algav häälestusaste on oletus, millega kaasneb lisaasjaajamine.
Registreerige assotsiatsioon, mis seda ülekannet kannab
ASA seadmes show crypto ipsec sa loetleb aktiivsed assotsiatsioonid koos nende teisenduste ja suunapõhiste loenduritega ning käsureaviide Cisco dokumenteerib selle väljundi. Valige võrdõiguslane ja suund, mis loevad, ning pange tähele, et võtme ümberläbirääkimine asendab assotsiatsiooni ja nullib selle loendurid, mis teeb vaikselt kehtetuks selle baasjoone, millele te veel lootsite. Salvestage väljund testimärkmete kõrvale, et järgmisel käivitusel oleks millegagi võrrelda. Käivituste vahel triiviv assotsiatsiooni identifikaator muudab iga hilisema võrdluse mõttetuks.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Viiest reast piisab, et mõõtmine oleks korratav, ja iga rida välistab konkreetse selgituse, kui see puudub. Ükski neist ei ole ettepanekuloendi kirje, sest loend ei saa öelda, mis teie baite praegu kaitseb. Täitke tabel korra ja järgmine juhtum algab andmetest, mitte uuest vaidlusest algoritmide üle.
Juurdepääsulingi rida on see, mille inimesed vahele jätavad, ja just see selgitab kõige sagedamini lünka, mis tundub krüptograafiline. Küllastunud alusvõrk või tee peal olev politseinik tekitab sama sümptomi kuju nagu aeglane mootor.
Mõõtke ühte suunda kontrollitud koormusega
Käivitage test LAN-i lõpp-punktist, mis esindab rakendust, mitte lüüsist endast, sest lüüsi loodud sond võib järgida teist kohalikku poliitikat. Mõõtke ühte suunda enne teise voolu lisamist ning registreerige nii pakutud kiirus kui ka see, mida vastuvõtja tegelikult sai. Kiiruspiiranguga UDP käivitus eraldab pakutud koormuse TCP kummistusvastusest, samas kui piiramatu UDP saatja ei ole neutraalne diagnoos. Registreerige ka kasuliku koormuse pikkus, sest suurem datagramm muudab nii paketi kiirust kui ka kapseldamise lisakulu.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Käivitage sama test kaks korda sama kasuliku koormuse pikkuse ja kestusega, sest üks käivitus ei eralda lage halvast minutist. Kui vastuvõtja teatab vähem pakette kui saatja saatis, on kaotus teie leid ja krüpteerimismootor on vaid üks mitmest kandidaadist.
Selgitage lünka enne, kui midagi häälestate
Kontrollige edastuspoliitikat, järjekorra langusi, liidese vigu ja ressursipiiranguid koos krüpteerimisteega, sest ainuüksi kiirusepuudujääk ei tuvasta kunagi protsessorit. Hoidke ka arvestuskihid selged: välimise tunneli baidid sisaldavad kapseldamist ja kordussaatmised nihutavad sisemiste ja välimiste loendurite suhet. Sõltumatute loendurite bait-baidi võrdlemine loob erinevuse, mida kunagi polnud.
Paketi suurus väärib oma kontrollitud võrdlust, mitte vanast näitest kopeeritud arvu. TCP MSS kohandab TCP-d ega mõjuta suvalisi UDP datagramme, seega vanast dokumendist üle toodud fikseeritud 1350 ei mõõda üldse mitte midagi. Muutke kasuliku koormuse pikkust tahtlikult ja vaadake, mida vastuvõtja teatab.
Muutke ühte muutujat ja säilitage töökoormus
Kui baasjoon kordub kitsas ribas, muutke ühte toetatud muutujat ja käivitage algne rakendusülesanne uuesti. Just see aste muudab arvu põhjuseks ja ainult see õigustab konfiguratsiooni puutumist. Korrake sama töökoormust, mitte mugavamat.
Ärge võtke ettepanekuid tagasi, nõrgendage autentimist ega lülitage kaitset välja, et muuta sünteetilist arvu suuremaks. Need käigud muudavad turbeseisu ja mõõdavad siis selle muutuse tulemust, mitte tunneli mahtu.