IPsec-trochfier leger as ferwachte? Kontrolearje earst de aktive SA
In lange transformaasjelist is net de sesje dy’t jo oerdracht beskermet. Registrearje de ûnderhannele SA, de loaiisgrutte en de feitlik levere faasje foardat jo de fersifering de skuld jouwe.
De konfiguraasje biedt acht transformaasjes, immen lêst de sterkste en it trochfiersifer wurdt dêroan taskreaun. De tunnel hat wierskynlik net dy transformaasje keazen, en hy hat ek net de wurklêst útfierd dy’t immen him foarstelde. Wat ûnderhannele is, is ien ynskriuwing út dy list, mei ien pakketgrutte, yn ien rjochting, op ien bou. Mjit dat en it debat oer algoritmen einiget meast foardat it begjint.
It symptoom: in sifer ûnder wat de konfiguraasje belooft
In lange transformaasjelist beskriuwt mooglikheden, en elke mooglikheid wurdt op papier beoardiele ynstee fan op dizze hardware. It ûnderhannele resultaat is ien kombinaasje dy’t beide partijen akseptearren, en it kin de swakste wêze dy’t ien fan beide partijen noch talit foar kompatibiliteit. Wat dy kombinaasje berikt, hinget ôf fan offload-steat, pakketgrutte en rydgedrach, dus twa apparaten mei in identyk beliedsbestân kinne fier útinoar belânje. De list is in menu; de assosjaasje is de bestelling dy’t weromkaam.
De list lêze fertelt jo wat keazen wurde koe. De assosjaasje lêze fertelt jo wat de oerdracht wier draacht, en dat is it iennige dat in trochfiersifer beskriuwt. Elke ôfstelstap dy’t by de list begjint, is in gissing mei ekstra papierwurk.
Registrearje de assosjaasje dy’t dizze oerdracht draacht
Op in ASA show crypto ipsec sa listet de aktive assosjaasjes mei har transformaasjes en tellers per rjochting, en de kommandoreferinsje fan Cisco dokumintearret dy útfier. Kies de peor en rjochting dy’t fan belang binne, en tink derom dat in werynterhannele kaai de assosjaasje ferfangt en syn tellers weromset, wat stil in basisline ûnjildich makket dêr’t jo noch op fertrouden. Bewarje de útfier njonken de testnotysjes sadat de folgjende run wat hat om te ferlykjen. In assosjaasje-identifikaasje dy’t tusken runs ferskoot, makket elke lettere ferliking sinleas.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Fiif rigen binne genôch om in mjitting werhellber te meitsjen, en elke rige slút in spesifike ferklearring út as dy ûntbrekt. Gjin ien is in ynskriuwing út de foarstellist, want de list kin net sizze wat jo bytes op it stuit beskermet. Folje de tabel ien kear yn en it folgjende foarfal begjint mei gegevens ynstee fan mei in nij debat oer algoritmen.
De rige fan de tagongsferbining is dejinge dy’t minsken oerslane, en dat is dejinge dy’t it meist in gat ferklearret dat kryptografysk liket. In sêde ûnderlaach of in plysje by de rûte lâns produsearret deselde symptoamfoarm as in stadige motor.
Mjit ien rjochting mei in beheinde lading
Rin de test fan in LAN-einpunt dat de tapassing fertsjintwurdiget ynstee fan fan de poarte sels, want in sondy dy’t troch de poarte makke wurdt, kin in oar lokaal belied folgje. Mjit ien rjochting foardat jo in twadde stream tafoegje, en registrearje sawol de oanbeane faasje as wat de ûntfanger wier ûntfong. In faasjebeheinde UDP-run skiedt de oanbeane lading fan TCP syn oerlêstreaksje, wylst in ûnbeheinde UDP-stjoerder gjin neutrale diagnoaze is. Registrearje ek de loaiislingte, want in grutter datagram feroaret sawol de pakketfaasje as de ynkapselingskosten.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Rin deselde test twa kear mei deselde loaiislingte en doer, want ien run kin in plafond net fan in minne minút skiede. As de ûntfanger minder pakketten rapportearret as de stjoerder stjoerde, is it ferlies jo befining, en de kryptomoter is mar ien fan ferskate kandidaten.
Ferklearje it gat foardat jo wat ôfstelle
Kontrolearje trochstjoerbelied, rydelakkings, interfaceflaters en boarnelimiten tegearre mei it fersiferingspaad, want in faasjetekoart allinnich identifisearret nea in CPU. Hâld ek de boekhâldingslagen eksplisyt: bytes fan de bûtentunnel omfetsje ynkapseling, en weromstjoeringen ferskowe de ferhâlding tusken binnen- en bûtentellers. It byte foar byte ferlykjen fan ûnbesibbe tellers makket in ferskil dat der nea wie.
Pakketgrutte fertsjinnet syn eigen beheinde ferliking ynstee fan in sifer dat út in âld foarbyld kopiearre is. TCP MSS past TCP oan en hat gjin effekt op willekeurige UDP-datagrammen, dus in fêste 1350 út in âld dokumint mjit hielendal neat. Feroarje de loaiislingte mei opset en sjoch wat de ûntfanger rapportearret.
Feroarje ien fariabele en hâld de wurklêst
As de basisline him binnen in smelle bân werhellet, feroarje ien stipe fariabele en rin de oarspronklike tapassingstaak opnij. Dy stap makket fan in sifer in oarsaak, en it is de iennige dy’t it rjochtfeardiget om de konfiguraasje oan te reitsjen. Werhelje deselde wurklêst ynstee fan in freonlikere.
Lûk gjin foarstellen werom, ferswakje de ferifikaasje net en set de beskerming net út om in syntetysk sifer grutter te meitsjen. Dy bewegingen feroarje de befeiligingsposysje en mjitte dan it resultaat fan dy feroaring, net de kapasiteit fan de tunnel.