Débit IPsec inférieur aux attentes ? Vérifiez d’abord la SA active
Une longue liste de transformations n’est pas la session qui protège votre transfert. Relevez la SA négociée, la taille de charge utile et le débit réellement livré avant d’accuser le chiffrement.
La configuration propose huit transformations, quelqu’un lit la plus forte, et le chiffre de débit lui est attribué. Le tunnel n’a probablement pas choisi cette transformation, et il n’a pas non plus exécuté la charge de travail que quiconque imaginait. Ce qui a été négocié est une entrée de cette liste, avec une taille de paquet, dans un sens, sur une version donnée. Mesurez cela et le débat sur les algorithmes se termine généralement avant même d’avoir commencé.
Le symptôme : un chiffre inférieur à ce que la configuration promet
Une longue liste de transformations décrit des possibilités, et chaque possibilité est évaluée sur le papier plutôt que sur ce matériel. Le résultat négocié est une combinaison unique que les deux pairs ont acceptée, et ce peut être la plus faible que l’un ou l’autre autorise encore pour des raisons de compatibilité. Ce que cette combinaison permet dépend de l’état d’offload, de la taille des paquets et du comportement des files, si bien que deux appareils dotés d’un fichier de politique identique peuvent aboutir très loin l’un de l’autre. La liste est un menu ; l’association est la commande qui est revenue.
Lire la liste vous dit ce qui aurait pu être choisi. Lire l’association vous dit ce qui porte réellement le transfert, et c’est la seule chose qu’un chiffre de débit décrit. Chaque étape de réglage qui part de la liste est une supposition assortie de paperasse supplémentaire.
Relevez l’association qui porte ce transfert
Sur un ASA show crypto ipsec sa liste les associations actives avec leurs transformations et leurs compteurs par sens, et la référence de commandes de Cisco documente cette sortie. Choisissez le pair et le sens qui comptent, et notez qu’un rééchange de clés remplace l’association et remet ses compteurs à zéro, ce qui invalide discrètement une référence à laquelle vous faisiez encore confiance. Conservez la sortie à côté des notes de test pour que l’exécution suivante ait de quoi comparer. Un identifiant d’association qui dérive entre les exécutions rend toute comparaison ultérieure dénuée de sens.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Cinq lignes suffisent à rendre une mesure reproductible, et chacune écarte une explication précise lorsqu’elle manque. Aucune n’est une entrée de la liste de propositions, car la liste ne peut pas dire ce qui protège vos octets en ce moment. Remplissez le tableau une fois et l’incident suivant partira de données au lieu d’un nouveau débat sur les algorithmes.
La ligne du lien d’accès est celle que tout le monde saute, et c’est celle qui explique le plus souvent un écart qui semble cryptographique. Un underlay saturé ou un policer sur le chemin produit la même forme de symptôme qu’un moteur lent.
Mesurez un sens avec une charge contrôlée
Lancez le test depuis un point de terminaison du LAN qui représente l’application plutôt que depuis la passerelle elle-même, car une sonde générée par la passerelle peut suivre une politique locale différente. Mesurez un sens avant d’ajouter un second flux, et relevez à la fois le débit offert et ce que le récepteur a réellement reçu. Une exécution UDP limitée en débit sépare la charge offerte de la réponse de congestion de TCP, tandis qu’un émetteur UDP sans limite n’est pas un diagnostic neutre. Notez aussi la longueur de charge utile, car un datagramme plus grand change à la fois le débit de paquets et la surcharge d’encapsulation.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Exécutez le même test deux fois avec la même longueur de charge utile et la même durée, car une seule exécution ne permet pas de distinguer un plafond d’une mauvaise minute. Si le récepteur signale moins de paquets que l’émetteur n’en a émis, la perte est votre conclusion, et le moteur cryptographique n’est qu’un candidat parmi plusieurs.
Expliquez l’écart avant de régler quoi que ce soit
Vérifiez la politique de transfert, les abandons de file, les erreurs d’interface et les limites de ressources en même temps que le chemin de chiffrement, car un déficit de débit seul n’identifie jamais un processeur. Gardez aussi les couches de comptabilité explicites : les octets du tunnel externe incluent l’encapsulation, et les retransmissions déplacent la relation entre les compteurs internes et externes. Comparer octet par octet des compteurs sans rapport fabrique un écart qui n’a jamais existé.
La taille des paquets mérite sa propre comparaison contrôlée plutôt qu’un nombre recopié d’un vieil exemple. TCP MSS ajuste TCP et n’a aucun effet sur des datagrammes UDP arbitraires, si bien qu’une valeur fixe de 1350 reprise d’un document ancien ne mesure rien du tout. Changez la longueur de charge utile exprès et observez ce que le récepteur signale.
Changez une variable et conservez la charge de travail
Une fois que la référence se répète dans une bande étroite, changez une variable prise en charge et relancez la tâche applicative d’origine. Cette étape transforme un chiffre en cause, et c’est la seule qui justifie de toucher à la configuration. Répétez la même charge de travail plutôt qu’une charge plus accommodante.
Ne retirez pas de propositions, n’affaiblissez pas l’authentification et ne désactivez pas la protection pour grossir un chiffre synthétique. Ces manœuvres changent la posture de sécurité puis mesurent le résultat de ce changement, pas la capacité du tunnel.