Ien G.729-pakket telle troch in IPsec-tunnel

Stim oer IPsec wurdt as codec-bitrate oanjûn, en dat nûmer is ferkeard by elke grins útsein dy fan 'e codec sels. It audio is 8 kbit/s, it pakket dat it draacht is grutter, de ESP-omhulling is noch grutter, en it Ethernet-ramt foeget ynraming ta dy't in opname op 'e tunnel nea sjen lit. Ien pakket telle fan in opjûn formaat is de iennige manier om te learen wat de fysike keppeling eins drage moat. De rin hjirûnder docht dat foar ien rjochting allinnich, en elk nûmer hjir is rekkenjen, gjin mjitting.

Begjin by in pakketisearringskar, net by in codec-nûmer

In codec-tabel jout de payload-snelheid en fierder neat: G.729 stjoert 8 kbit/s út, dat is 30 bytes audio elke 30 ms. It seit neat oer kopteksten, beskerming of ynraming, en dy trije behearskje it resultaat. It ynterval is in beliedskeus dêr't beide kanten it oer iens wêze moatte, dus kies it earst en neam it, want elk letter nûmer hinget fan dat iene beslút ôf.

Dit foarbyld brûkt 30 ms, dus is de pakketsnelheid 33.3 yn 'e sekonde. It giet út fan in RTP-koptekst fan 12 bytes, in UDP-koptekst fan 8 bytes en in binnenste IPv4-koptekst fan 20 bytes sûnder opsjes, en gjin SRTP, koptekstkompresje of opfolking foar fertroulikens fan 'e ferkearsstream; elke feroaring skoot it budzjet mei, dêrom hearre de oannames njonken it antwurd.

Foegje de binnenste kopteksten ta, dan de ESP-omhulling

De applikaasje stjoert payload plus RTP plus UDP plus IP, dat by dizze pakketisearring 70 bytes is. Dy binnenstream komt út op 18.7 kbit/s, al mear as twa kear de codec-snelheid, om't kopteksten en net audio it grutste part fan it pakket foarmje. Gjin fan dy bytes is stim; se binne de priis fan adressaasje en folchoarder. In opname boppe de tunnel lit krekt dit nûmer sjen, en dat is it iene dat minsken oanhelje as se sizze dat de oprop lyts is.

It is ek it nûmer dat nea op 'e tried komt. De ESP-tunnelmodus foeget in SPI en folchnûmer fan 8 bytes ta, in eksplisite IV fan 8 bytes foar AES-GCM, in trailer fan 2 bytes en in autentikaasjetag fan 16 bytes. De payload fan 70 bytes plus de trailer komt op 72, dat al foldocht oan 'e rjochting op fjouwer bytes, dus hjir is gjin ekstra opfolking nedich.RFC 4106 fêstiget de grutte fan 'e GCM-IV en de tag, en beide hearre yn it rekkenjen, net yn in fuotnoat:

30  payload, G.729 at 30 ms
12  RTP
 8  UDP
20  inner IPv4
--
70  inner IP packet
 8  ESP SPI and sequence
 8  explicit IV
 2  pad length and next header
16  authentication tag
--
104 ESP packet

Foegje de bûtenste kopteksten ta dy't NAT-trochgong freget

Bûten de ESP-omhulling steane in bûtenste IPv4-koptekst fan 20 bytes en in UDP-koptekst fan 8 bytes foar NAT-trochgong, dus it pakket wurdt 132 bytes. De UDP-ynkapseling is der om't it pakket in oersetapparaat tusken de pearen oerlibje moat, en it feroaret de bûtenste foarm sûnder de beskerme payload oan te reitsjen. By 33.3 pakketten yn 'e sekonde is 132 bytes sa'n 35.2 kbit/s, of rûchwei fjouwer kear de nominale codec-snelheid.

Noch de tag noch de IV kin út 'e skatting weilitten wurde om it lytser te meitsjen, want beide binne part fan wat de keppeling eins drage sil. In skatting dy't se weilitten lit, beskriuwt in pakket dat de ûntfanger ferwerpe soe. Itselde jildt foar de trailer, dy't der is om de grins fan 'e payload en de folgjende koptekst binnen it beskerme gebiet oan te tsjutten.

Neam de grins foardat jo it nûmer oanhelje

In bûtenste IP-nûmer slút Ethernet-ynraming noch altyd út. In tagske keppeling of in keppeling sûnder tag foeget in MAC-koptekst fan 14 bytes en in ramtkontrôlesekwinsje fan 4 bytes ta, wêrtroch it ramt 150 bytes wurdt, de grutte dy't in switchpoarte telt. By deselde pakketsnelheid is dat 40 kbit/s, fiif kear de codec-snelheid, en it ferskil is gjin fergripen mar de priis fan ferfier.

It nûmer fan 40 kbit/s slút noch altyd de preambule, de tuskenramte, VLAN-tags, oanbieder-ynkapseling, RTCP, sinjalisaasje en it audio dat de oare kant út giet út. It is in skatting per rjochting, net in keppelingsreservaasje, en it as sadanich oanhelje oerskat wat de keppeling op ien plak reservearje moat en ûnderskat it op in oar. In opname op 'e host kin ek ynraming misse dy't de keppeling tafoeget, dêrom moat de grins neist it nûmer neamd wurde, en dêrom is in grinstabel brûkberder as ien inkeld haadnûmer. Reservearje apart foar de rjochting dy't jo net teld hawwe.

Kontrolearje it rekkenjen tsjin 'e ynterface

Foardat jo de skatting fertrouwe, ferlykje it mei wat de ynterface foar in bekend oantal pakketten rapportearret. Meitsje de opname op 'e fysike ynterface, net op it tunnelapparaat, sadat de ynraming dy't jo besykje te ferantwurdzjen der yn sit, en ferwachtsje in lyts ferskil yn stee fan in perfekte oerienkomst.

sudo tcpdump -ni eth0 -c 50 'udp port 4500'
ip -s link show eth0

De opname befêstiget de bûtenste pakketgrutte, wylst de ynterface-tellers de snelheid ynklusyf ynraming sjen litte. As de beide sa'n Ethernet-mjitte ferskille, is it rekkenjen goed en wie allinnich de grins ferkeard neamd. In ferskil folle grutter as ien ramtekoptekst wiist op eat oars op 'e keppeling, lykas werhellings of in oare stream dy't de ynterface dielt. Skriuw it pakketisearringsynterval, de beskermingssuite en de grins neist it nûmer, want in skatting sûnder dy trije wurdt troch de folgjende lêzer as mjitting oanhelle.