IPsec થ્રુપુટ અપેક્ષા કરતાં ઓછું? પહેલાં સક્રિય SA તપાસો
લાંબી ટ્રાન્સફોર્મ યાદી એ સત્ર નથી જે તમારા ટ્રાન્સફરને સુરક્ષિત રાખે છે. એન્ક્રિપ્શનને દોષ આપતાં પહેલાં નક્કી થયેલી SA, પેલોડ કદ અને ખરેખર પહોંચેલો દર નોંધો.
રૂપરેખાંકન આઠ ટ્રાન્સફોર્મ રજૂ કરે છે, કોઈ સૌથી મજબૂત વાંચે છે અને થ્રુપુટનો આંકડો તેના પર જ ટાંકવામાં આવે છે. ટનલે સંભવતઃ તે ટ્રાન્સફોર્મ પસંદ કર્યું નથી અને તેણે એ કાર્યભાર પણ ચલાવ્યો નથી જેની કોઈએ કલ્પના કરી હતી. જે નક્કી થયું તે આ યાદીની એક એન્ટ્રી છે, એક પેકેટ કદ, એક દિશા, એક બિલ્ડ પર. આને માપો અને એલ્ગોરિધમ વિશેની ચર્ચા સામાન્ય રીતે શરૂ થવાના પહેલાં જ પૂરી થાય છે.
લક્ષણ: રૂપરેખાંકનના વચન કરતાં ઓછો આંકડો
લાંબી ટ્રાન્સફોર્મ યાદી શક્યતાઓનું વર્ણન કરે છે અને દરેક શક્યતા આ હાર્ડવેર પર નહીં, કાગળ પર આંકવામાં આવે છે. નક્કી થયેલું પરિણામ એક જ સંયોજન છે જે બંને પક્ષોએ સ્વીકાર્યું અને તે સૌથી નબળું સંયોજન હોઈ શકે જેની પરવાનગી કોઈપણ પક્ષ સુસંગતતા માટે હજી આપે છે. તે સંયોજન શું હાંસલ કરે છે તે ઓફલોડ સ્થિતિ, પેકેટ કદ અને કતાર વર્તન પર આધાર રાખે છે, તેથી એકસરખી નીતિ ફાઈલ ધરાવતા બે ઉપકરણો ઘણા દૂર જઈ શકે છે. યાદી એક મેનુ છે; એસોસિએશન એ પાછો આવેલો ઓર્ડર છે.
યાદી વાંચવાથી ખબર પડે કે શું પસંદ કરી શકાયું હોત. એસોસિએશન વાંચવાથી ખબર પડે કે ટ્રાન્સફર ખરેખર શું લઈ જઈ રહ્યું છે, અને થ્રુપુટનો આંકડો ફક્ત તેનું જ વર્ણન કરે છે. યાદીથી શરૂ થતું દરેક ટ્યુનિંગ પગલું વધારાની કાગળની કાર્યવાહી સાથેનું અનુમાન છે.
આ ટ્રાન્સફર લઈ જતું એસોસિએશન નોંધો
ASA પર show crypto ipsec sa સક્રિય એસોસિએશનોને તેમના ટ્રાન્સફોર્મ અને પ્રતિ-દિશા કાઉન્ટર સાથે સૂચિબદ્ધ કરે છે અને કમાન્ડ સંદર્ભ Cisco આ આઉટપુટનું દસ્તાવેજીકરણ કરે છે. જે પીઅર અને દિશા મહત્વના છે તે પસંદ કરો અને ધ્યાન રાખો કે કી-રીકે એસોસિએશનને બદલી નાખે છે અને તેના કાઉન્ટર શૂન્ય કરે છે, જે તમે હજી વિશ્વાસ કરતા હતા તે આધાર રેખાને ચૂપચાપ અમાન્ય કરે છે. આઉટપુટને પરીક્ષણ નોંધો સાથે રાખો જેથી આગલી વખતે સરખાવવા માટે કંઈક હોય. રન વચ્ચે બદલાતું એસોસિએશન ઓળખકર્તા પછીની દરેક સરખામણીને અર્થહીન બનાવે છે.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
પાંચ પંક્તિઓ માપનને પુનરાવર્તનક્ષમ બનાવવા માટે પૂરતી છે અને દરેક પંક્તિ ગેરહાજર હોય ત્યારે ચોક્કસ સમજૂતીને બાદ કરે છે. આમાંથી કોઈ પ્રસ્તાવ-યાદીની એન્ટ્રી નથી, કારણ કે યાદી કહી શકતી નથી કે અત્યારે તમારા બાઇટ્સનું રક્ષણ શું કરી રહ્યું છે. કોષ્ટક એક વાર ભરો અને આગલી ઘટના એલ્ગોરિધમ વિશેની નવી ચર્ચાને બદલે ડેટાથી શરૂ થશે.
એક્સેસ-લિંક પંક્તિ એ છે જે લોકો છોડી દે છે, અને ક્રિપ્ટોગ્રાફિક દેખાતું અંતર ઘણી વાર તે જ સમજાવે છે. ભરાયેલું અંડરલે અથવા માર્ગ પરનું પોલિસર ધીમા એન્જિન જેવો જ લક્ષણ-આકાર ઉત્પન્ન કરે છે.
નિયંત્રિત ભાર સાથે એક દિશા માપો
પરીક્ષણ ગેટવેથી નહીં પણ એપ્લિકેશનનું પ્રતિનિધિત્વ કરતા LAN છેડેથી ચલાવો, કારણ કે ગેટવે દ્વારા બનાવેલી પ્રોબ અલગ સ્થાનિક નીતિ અનુસરી શકે છે. બીજી સ્ટ્રીમ ઉમેરતાં પહેલાં એક દિશા માપો અને બંને નોંધો: આપેલો દર અને રીસીવરને ખરેખર શું મળ્યું. દર-મર્યાદિત UDP રન આપેલા ભારને TCPની ભીડ-પ્રતિક્રિયાથી અલગ કરે છે, જ્યારે અમર્યાદિત UDP મોકલનાર તટસ્થ નિદાન નથી. પેલોડ લંબાઈ પણ નોંધો, કારણ કે મોટું ડેટાગ્રામ પેકેટ દર અને એન્કેપ્સ્યુલેશન ઓવરહેડ બંને બદલે છે.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30તે જ પરીક્ષણ બે વાર તે જ પેલોડ લંબાઈ અને સમયગાળા સાથે ચલાવો, કારણ કે એક રન ઉપલી મર્યાદાને ખરાબ મિનિટથી અલગ કરી શકતો નથી. જો રીસીવર મોકલનારે મોકલ્યા કરતાં ઓછા પેકેટ જણાવે, તો નુકસાન તમારું તારણ છે, અને ક્રિપ્ટો એન્જિન તેના ઘણા ઉમેદવારોમાંથી ફક્ત એક છે.
કંઈપણ ટ્યુન કરતાં પહેલાં અંતર સમજાવો
ફોરવર્ડિંગ નીતિ, કતાર ડ્રોપ, ઇન્ટરફેસ ભૂલો અને સંસાધન મર્યાદાઓ એન્ક્રિપ્શન માર્ગ સાથે તપાસો, કારણ કે ફક્ત દરની ઘટ ક્યારેય CPU ઓળખતી નથી. હિસાબી સ્તરો પણ સ્પષ્ટ રાખો: બાહ્ય ટનલ બાઇટ્સમાં એન્કેપ્સ્યુલેશન સમાયેલું છે, અને ફરી મોકલવું આંતરિક અને બાહ્ય કાઉન્ટર વચ્ચેનો સંબંધ ખસેડે છે. અસંબંધિત કાઉન્ટરની બાઇટ-બાય-બાઇટ સરખામણી એવો ફરક ઘડે છે જે ક્યારેય હતો જ નહીં.
પેકેટ કદ જૂના ઉદાહરણમાંથી કૉપિ કરેલા આંકડાને બદલે પોતાની નિયંત્રિત સરખામણીને લાયક છે. TCP MSS TCPને સમાયોજિત કરે છે અને મનસ્વી UDP ડેટાગ્રામ પર કોઈ અસર કરતું નથી, તેથી જૂના દસ્તાવેજમાંથી લીધેલી સ્થિર 1350 કંઈપણ માપતી નથી. પેલોડ લંબાઈ જાણી જોઈને બદલો અને જુઓ રીસીવર શું જણાવે છે.
એક ચલ બદલો અને કાર્યભાર જાળવી રાખો
જ્યારે આધાર રેખા સાંકડી પટ્ટીમાં પુનરાવર્તિત થાય, ત્યારે એક સમર્થિત ચલ બદલો અને મૂળ એપ્લિકેશન કાર્ય ફરી ચલાવો. આ પગલું જ આંકડાને કારણમાં બદલે છે અને રૂપરેખાંકનને સ્પર્શવાનું વાજબીપણું ફક્ત આ જ આપે છે. વધુ અનુકૂળ કાર્યભારને બદલે એ જ ભાર પુનરાવર્તિત કરો.
કૃત્રિમ આંકડો મોટો કરવા માટે પ્રસ્તાવ પાછા ખેંચશો નહીં, પ્રમાણીકરણ નબળું કરશો નહીં અને સુરક્ષા બંધ કરશો નહીં. આ પગલાં સુરક્ષા સ્થિતિ બદલે છે અને પછી તે બદલાવનું પરિણામ માપે છે, ટનલની ક્ષમતા નહીં.