IPsec-läpäisykyky odotettua pienempi? Tarkista ensin aktiivinen SA
Pitkä muunnosluettelo ei ole se istunto, joka suojaa siirtoasi. Kirjaa neuvoteltu SA, hyötykuorman koko ja todella toimitettu nopeus ennen kuin syytät salausta.
Määritys tarjoaa kahdeksan muunnosta, joku lukee vahvimman ja läpäisykyvyn luku kiinnitetään siihen. Tunneli ei todennäköisesti valinnut sitä muunnosta, eikä se myöskään ajanut sitä työkuormaa, jonka joku kuvitteli. Neuvoteltu asia on yksi merkintä tuosta luettelosta, yhdellä pakettikoolla, yhdessä suunnassa, yhdellä koontiversiolla. Mittaa se, ja algoritmeista käytävä väittely päättyy yleensä ennen kuin se ehtii alkaa.
Oire: luku, joka on pienempi kuin määritys lupaa
Pitkä muunnosluettelo kuvaa mahdollisuuksia, ja jokainen mahdollisuus pisteytetään paperilla eikä tällä laitteistolla. Neuvoteltu tulos on yksi yhdistelmä, jonka molemmat osapuolet hyväksyivät, ja se voi olla heikoin, jonka kumpikin osapuoli vielä sallii yhteensopivuuden vuoksi. Se, mitä yhdistelmä saavuttaa, riippuu offload-tilasta, pakettikoosta ja jonokäyttäytymisestä, joten kaksi laitetta, joilla on sama käytäntötiedosto, voivat päätyä hyvin kauas toisistaan. Luettelo on menu; assosiaatio on se tilaus, joka tuli takaisin.
Luettelon lukeminen kertoo, mitä olisi voitu valita. Assosiaation lukeminen kertoo, mikä siirtoa todella kantaa, ja vain sitä läpäisykyvyn luku kuvaa. Jokainen luettelosta alkava viritysaskel on arvaus, johon liittyy ylimääräistä paperityötä.
Kirjaa assosiaatio, joka kantaa tätä siirtoa
ASA-laitteessa show crypto ipsec sa luettelee aktiiviset assosiaatiot muunnoksineen ja suuntakohtaisine laskureineen, ja komentoviite Cisco dokumentoi tämän tulosteen. Valitse vertaislaite ja suunta, joilla on merkitystä, ja huomaa, että avainten uudelleenneuvottelu korvaa assosiaation ja nollaa sen laskurit, mikä tekee hiljaisesti tyhjäksi sen perustason, johon vielä luotit. Tallenna tuloste testimuistiinpanojen viereen, jotta seuraavalla ajokerralla on jotain verrattavaa. Ajokertojen välillä liikkuva assosiaatiotunniste tekee jokaisesta myöhemmästä vertailusta merkityksettömän.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Viisi riviä riittää tekemään mittauksesta toistettavan, ja jokainen rivi sulkee pois tietyn selityksen, kun se puuttuu. Mikään niistä ei ole ehdotusluettelon merkintä, koska luettelo ei voi kertoa, mikä suojaa tavujasi juuri nyt. Täytä taulukko kerran, ja seuraava tapaus alkaa tiedoista eikä uudesta väittelystä algoritmeista.
Liityntälinkin rivi on se, jonka ihmiset ohittavat, ja juuri se selittää useimmiten kuilun, joka näyttää salaukselliselta. Kylläinen allaverkko tai polun varrella oleva poliisi tuottaa saman oireen muodon kuin hidas moottori.
Mittaa yksi suunta hallitulla kuormalla
Aja testi LAN-päätepisteestä, joka edustaa sovellusta, eikä yhdyskäytävästä itsestään, koska yhdyskäytävän luoma testi voi noudattaa toista paikallista käytäntöä. Mittaa yksi suunta ennen toisen virran lisäämistä ja kirjaa sekä tarjottu nopeus että se, mitä vastaanottaja todella sai. Nopeusrajoitettu UDP-ajo erottaa tarjotun kuorman TCP:n ruuhkavasteesta, kun taas rajoittamaton UDP-lähettäjä ei ole neutraali diagnoosi. Kirjaa myös hyötykuorman pituus, koska suurempi datagrammi muuttaa sekä pakettinopeutta että kapselointilisää.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Aja sama testi kahdesti samalla hyötykuorman pituudella ja kestolla, koska yksi ajo ei erota kattoa huonosta minuutista. Jos vastaanottaja ilmoittaa vähemmän paketteja kuin lähettäjä lähetti, häviö on löydöksesi, ja salausmoottori on vain yksi useista ehdokkaista.
Selitä kuilu ennen kuin virität mitään
Tarkista edelleenlähetyskäytäntö, jonopudotukset, liitäntävirheet ja resurssirajat salauspolun ohella, koska pelkkä nopeusvaje ei koskaan yksilöi suoritinta. Pidä myös laskentakerrokset selkeinä: ulomman tunnelin tavut sisältävät kapseloinnin, ja uudelleenlähetykset siirtävät sisäisten ja ulkoisten laskureiden suhdetta. Siihen liittymättömien laskureiden tavu tavulta -vertailu valmistaa poikkeaman, jota ei koskaan ollut.
Pakettikoko ansaitsee oman hallitun vertailunsa eikä vanhasta esimerkistä kopioitua lukua. TCP MSS säätää TCP:tä eikä vaikuta mielivaltaisiin UDP-datagrammeihin, joten vanhasta asiakirjasta siirretty kiinteä 1350 ei mittaa yhtään mitään. Muuta hyötykuorman pituutta tarkoituksella ja katso, mitä vastaanottaja ilmoittaa.
Muuta yhtä muuttujaa ja säilytä työkuorma
Kun perustaso toistuu kapealla kaistalla, muuta yhtä tuettua muuttujaa ja aja alkuperäinen sovellustehtävä uudelleen. Juuri tämä askel muuttaa luvun syyksi, ja vain se oikeuttaa määritykseen koskemisen. Toista sama työkuorma eikä helpompaa.
Älä poista ehdotuksia, heikennä todentamista tai kytke suojausta pois tehdäksesi synteettisestä luvusta suuremman. Ne liikkeet muuttavat turvallisuusasentoa ja mittaavat sitten tuon muutoksen tuloksen, eivät tunnelin kapasiteettia.