IPsec-en abiadura espero baino txikiagoa? Egiaztatu lehenengo SA aktiboa
Transformazio-zerrenda luze bat ez da zure transferentzia babesten duen saioa. Erregistratu negoziatutako SA, karga-multzoaren tamaina eta benetan entregatutako abiadura enkriptazioari errua bota aurretik.
Konfigurazioak zortzi transformazio eskaintzen ditu, norbaitek indartsuena irakurtzen du eta abiadura-zifra hari egotzi ohi zaio. Tuneleak ziurrenik ez zuen transformazio hori aukeratu, eta ez zuen inork imajinatutako karga-lanik ere exekutatu. Negoziatu zena zerrenda horretako sarrera bat da, pakete-tamaina batekin, norabide bakarrean, diseinu bakar batean. Neurtu hori eta algoritmoen inguruko eztabaida, normalean, hasi aurretik amaitzen da.
Sintoma: konfigurazioak agintzen duena baino zifra txikiagoa
Transformazio-zerrenda luze batek aukerak deskribatzen ditu, eta aukera bakoitza paperean baloratzen da, ez hardware honetan. Negoziatutako emaitza bi aldeek onartutako konbinazio bakarra da, eta baliteke bakoitzak bateragarritasunagatik oraindik onartzen duen ahulena izatea. Konbinazio horrek lortzen duena offload egoeraren, pakete-tamainaren eta ilararen portaeraren araberakoa da, beraz, politika-fitxategi berbera duten bi gailu oso urrun egon daitezke elkarrengandik. Zerrenda menu bat da; elkartzea itzuli zen eskaera da.
Zerrenda irakurtzeak zer aukeratu zitekeen esaten dizu. Elkartzea irakurtzeak transferentzia benetan zer daraman esaten dizu, eta hori soilik deskribatzen du abiadura-zifra batek. Zerrendatik hasten den doikuntza-urrats bakoitza paper-lan gehigarria duen susmo bat da.
Erregistratu transferentzia hau daraman elkartzea
ASA batean show crypto ipsec sa elkarte aktiboak zerrendatzen ditu haien transformazioekin eta norabide bakoitzeko kontagailuekin, eta komandoen erreferentzia Cisco-renak irteera hori dokumentatzen du. Aukeratu garrantzitsuak diren parekidea eta norabidea, eta kontuan hartu gakoen birsolaseak elkartzea ordezten duela eta haren kontagailuak berrezartzen dituela, oraindik konfiantza zenuen oinarrizko lerroa isilpean baliogabetuz. Gorde irteera probaren oharren ondoan, hurrengo exekuzioak zerekin alderatu izan dezan. Exekuzioen artean aldatzen den elkarte-identifikatzaileak geroagoko edozein alderaketa zentzurik gabe uzten du.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Bost errenkadak nahikoa dira neurketa erreproduzigarria izan dadin, eta errenkada bakoitzak azalpen zehatz bat baztertzen du falta denean. Horietako bat ere ez da proposamen-zerrendako sarrera, zerrendak ezin baitu esan zer ari den zure byteak babesten une honetan. Bete taula behin eta hurrengo gertaera datuekin hasiko da, algoritmoen inguruko eztabaida berri batekin beharrean.
Sarbide-loturaren errenkada jendeak baztertzen duena da, eta kriptografikoa dirudien hutsune bat sarrien azaltzen duena hura da. Azpiko sare saturatuek edo bidean dagoen policer batek motel dagoen motorraren sintoma-forma bera sortzen du.
Neurtu norabide bat karga kontrolatuarekin
Exekutatu proba aplikazioa ordezkatzen duen LAN-muturretik, ez atebide beretik, atebideak sortutako zundak beste politika lokal bat jarrai baitezake. Neurtu norabide bat bigarren fluxua gehitu aurretik, eta erregistratu bai eskainitako abiadura eta bai hartzaileak benetan jaso duena. Abiadura mugatutako UDP exekuzio batek eskainitako karga TCPren kongestio-erantzunetik bereizten du, mugagabeko UDP igorleak diagnosi neutroa ez den bitartean. Erregistratu kargaren luzera ere, datagrama handiagoak pakete-abiadura eta enkapsulazio-kostua aldatzen baititu.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Exekutatu proba bera bitan, karga-luzera eta iraupen berarekin, exekuzio bakar batek ezin baitu goiko muga minutu txar batetik bereizi. Hartzaileak igorleak bidalitakoak baino pakete gutxiago jakinarazten baditu, galera zure aurkikuntza da, eta kriptografia-motorra hainbat hautagaitako bat besterik ez da.
Azaldu hutsunea ezer doitu aurretik
Egiaztatu birbidaltze-politika, ilara-erorketak, interfaze-erroreak eta baliabide-mugak enkriptazio-bidearekin batera, abiadura-defizitak bakarrik ez baitu inoiz CPU bat identifikatzen. Eutsi kontabilitate-geruzak ere esplizitu: kanpoko tuneleko byteek enkapsulazioa barne hartzen dute, eta birtransmisioek barneko eta kanpoko kontagailuen arteko erlazioa mugitzen dute. Erlaziorik gabeko kontagailuak bytez byte alderatzeak inoiz egon ez zen desadostasun bat sortzen du.
Pakete-tamainak bere konparaketa kontrolatua merezi du, adibide zahar batetik kopiatutako zenbaki bat baino. TCP MSS-k TCP doitzen du eta ez du eraginik UDP datagrama arbitrarioetan, beraz, dokumentu zahar batetik hartutako 1350 finkoak ez du ezer neurtzen. Aldatu kargaren luzera nahita eta behatu hartzaileak zer jakinarazten duen.
Aldatu aldagai bat eta mantendu karga-lana
Oinarrizko lerroa banda estu batean errepikatzen denean, aldatu onartutako aldagai bat eta exekutatu berriro jatorrizko aplikazio-zeregina. Urrats horrek bihurtzen du zifra bat arrazoi, eta horrek soilik justifikatzen du konfigurazioa ukitzea. Errepikatu karga-lan bera, atseginagoa den bat beharrean.
Ez kendu proposamenak, ez ahuldu autentifikazioa eta ez itzali babesa zifra sintetiko bat handitzeko. Mugimendu horiek segurtasun-jarrera aldatzen dute eta gero aldaketa horren emaitza neurtzen dute, ez tunelearen edukiera.