Rendemento IPsec inferior ao esperado? Comprobe primeiro a SA activa
Unha lista longa de transformacións non é a sesión que protexe a súa transferencia. Rexistre a SA negociada, o tamaño da carga útil e a taxa realmente entregada antes de culpar o cifrado.
A configuración ofrece oito transformacións, alguén le a máis forte e a cifra de rendemento atribúeselle a ela. Probablemente o túnel non escolleu esa transformación, e tampouco executou a carga de traballo que alguén imaxinaba. O que se negociou é unha única entrada desa lista, cun tamaño de paquete, nunha dirección, nunha compilación. Mídao e a discusión sobre algoritmos adoita rematar antes de comezar.
O síntoma: unha cifra por debaixo do que promete a configuración
Unha lista longa de transformacións describe posibilidades, e cada posibilidade puntúase sobre o papel en vez de neste hardware. O resultado negociado é unha única combinación que ambas as partes aceptaron, e pode ser a máis feble que calquera parte aínda permite por compatibilidade. O que acada esa combinación depende do estado de offload, do tamaño do paquete e do comportamento da cola, así que dous dispositivos cun ficheiro de política idéntico poden acabar moi lonxe un do outro. A lista é un menú; a asociación é a orde que volveu.
Ler a lista dinos que se podería ter escollido. Ler a asociación dinos que está a levar realmente a transferencia, e só iso describe unha cifra de rendemento. Cada paso de axuste que comeza pola lista é unha suposición con papeleo adicional.
Rexistre a asociación que leva esta transferencia
Nun ASA show crypto ipsec sa lista as asociacións activas coas súas transformacións e contadores por dirección, e a referencia de comandos de Cisco documenta esa saída. Escolla o par e a dirección que importan, e teña en conta que unha renegociación de chaves substitúe a asociación e reinicia os seus contadores, o que invalida en silencio unha liña base na que aínda confiaba. Garde a saída xunto ás notas da proba para que a próxima execución teña con que comparar. Un identificador de asociación que varía entre execucións fai que calquera comparación posterior careza de sentido.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Cinco filas abondan para facer unha medida reproducible, e cada fila descarta unha explicación concreta cando falta. Ningunha delas é unha entrada da lista de propostas, porque a lista non pode dicir que protexe os seus bytes agora mesmo. Encha a táboa unha vez e o próximo incidente comezará con datos en lugar dun novo debate sobre algoritmos.
A fila da ligazón de acceso é a que a xente omite, e é a que máis a miúdo explica unha diferenza que parece criptográfica. Un underlay saturado ou un policer ao longo do camiño produce a mesma forma de síntoma que un motor lento.
Mida unha dirección cunha carga controlada
Execute a proba desde un extremo da LAN que represente a aplicación en vez de desde a propia pasarela, porque unha sonda xerada pola pasarela pode seguir unha política local distinta. Mida unha dirección antes de engadir un segundo fluxo, e rexistre tanto a taxa ofrecida como o que o receptor recibiu realmente. Unha execución UDP limitada en taxa separa a carga ofrecida da resposta de conxestión do TCP, mentres que un emisor UDP sen límite non é un diagnóstico neutro. Rexistre tamén a lonxitude da carga útil, xa que un datagrama maior cambia tanto a taxa de paquetes como o custo de encapsulación.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Execute a mesma proba dúas veces coa mesma lonxitude de carga útil e a mesma duración, porque unha soa execución non separa un teito dun mal minuto. Se o receptor informa de menos paquetes dos que o emisor enviou, a perda é o seu achado, e o motor criptográfico só é un dos varios candidatos.
Explique a diferenza antes de axustar nada
Revise a política de reenvío, os descartes de cola, os erros de interface e os límites de recursos xunto co camiño de cifrado, xa que un déficit de taxa por si só nunca identifica unha CPU. Manteña tamén explícitas as capas de contabilidade: os bytes do túnel exterior inclúen a encapsulación, e as retransmisións moven a relación entre os contadores internos e externos. Comparar byte a byte contadores non relacionados fabrica unha discrepancia que nunca existiu.
O tamaño do paquete merece unha comparación controlada propia en vez dun número copiado dun exemplo antigo. O TCP MSS axusta o TCP e non ten ningún efecto sobre datagramas UDP arbitrarios, así que un valor fixo de 1350 herdado dun documento antigo non mide absolutamente nada. Cambie a lonxitude da carga útil a propósito e observe que informa o receptor.
Cambie unha variable e manteña a carga de traballo
Cando a liña base se repita dentro dunha banda estreita, cambie unha variable admitida e execute de novo a tarefa orixinal da aplicación. Ese paso é o que converte unha cifra nunha causa, e é o único que xustifica tocar a configuración. Repita a mesma carga de traballo en vez dunha máis cómoda.
Non retire propostas, non debilite a autenticación nin apague a protección para facer máis grande unha cifra sintética. Eses movementos cambian a postura de seguridade e despois miden o resultado desa cambio, non a capacidade do túnel.