IPsec थ्रूपुट उम्मीद से कम? पहले सक्रिय SA जाँचें
लंबी ट्रांसफ़ॉर्म सूची वह सत्र नहीं है जो आपके ट्रांसफ़र की रक्षा करता है। एन्क्रिप्शन को दोष देने से पहले तय हुई SA, पेलोड आकार और वास्तव में पहुँची दर दर्ज करें।
कॉन्फ़िगरेशन आठ ट्रांसफ़ॉर्म पेश करता है, कोई सबसे मज़बूत पढ़ता है और थ्रूपुट का आंकड़ा उसी पर टिका दिया जाता है। टनेल ने संभवतः वह ट्रांसफ़ॉर्म नहीं चुना और उसने वह कार्यभार भी नहीं चलाया जिसकी किसी ने कल्पना की थी। जो तय हुआ वह इस सूची की एक प्रविष्टि है, एक पैकेट आकार, एक दिशा, एक बिल्ड पर। इसे मापें और एल्गोरिदम पर बहस आमतौर पर शुरू होने से पहले खत्म हो जाती है।
लक्षण: कॉन्फ़िगरेशन के वादे से कम आंकड़ा
लंबी ट्रांसफ़ॉर्म सूची संभावनाओं का वर्णन करती है और हर संभावना इस हार्डवेयर पर नहीं, कागज़ पर आँकी जाती है। तय परिणाम एक ही संयोजन है जिसे दोनों पक्षों ने स्वीकार किया और यह वह सबसे कमज़ोर संयोजन हो सकता है जिसकी अनुमति कोई भी पक्ष अनुकूलता के लिए अब भी देता है। वह संयोजन क्या हासिल करता है यह ऑफ़लोड स्थिति, पैकेट आकार और कतार व्यवहार पर निर्भर है, इसलिए एक जैसी नीति फ़ाइल वाले दो उपकरण बहुत दूर जा सकते हैं। सूची एक मेन्यू है; एसोसिएशन वह ऑर्डर है जो लौटकर आया।
सूची पढ़ना बताता है कि क्या चुना जा सकता था। एसोसिएशन पढ़ना बताता है कि ट्रांसफ़र वास्तव में क्या ले जा रहा है, और थ्रूपुट का आंकड़ा केवल उसी का वर्णन करता है। सूची से शुरू होने वाला हर ट्यूनिंग कदम अतिरिक्त कागज़ी कार्रवाई वाला अनुमान है।
इस ट्रांसफ़र को ले जाने वाली एसोसिएशन दर्ज करें
एक ASA पर show crypto ipsec sa सक्रिय एसोसिएशनों को उनके ट्रांसफ़ॉर्म और प्रति-दिशा काउंटरों के साथ सूचीबद्ध करता है और कमांड संदर्भ Cisco इस आउटपुट का दस्तावेज़ीकरण करता है। वह पीयर और दिशा चुनें जो मायने रखते हैं, और ध्यान दें कि की-रीके एसोसिएशन को बदल देता है और उसके काउंटर शून्य कर देता है, जिससे वह आधार रेखा चुपचाप अमान्य हो जाती है जिस पर आप अब भी भरोसा कर रहे थे। आउटपुट को परीक्षण नोट्स के साथ रखें ताकि अगली बार तुलना करने को कुछ हो। रनों के बीच बदलने वाला एसोसिएशन पहचानकर्ता हर बाद की तुलना को अर्थहीन बना देता है।
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
पाँच पंक्तियाँ मापन को दोहराने योग्य बनाने के लिए काफी हैं और हर पंक्ति अनुपस्थित होने पर एक विशिष्ट व्याख्या को बाहर करती है। इनमें से कोई प्रस्ताव-सूची की प्रविष्टि नहीं है, क्योंकि सूची यह नहीं बता सकती कि अभी आपके बाइट्स की रक्षा क्या कर रहा है। तालिका एक बार भरें और अगली घटना एल्गोरिदम पर नई बहस के बजाय डेटा से शुरू होगी।
एक्सेस-लिंक पंक्ति वह है जिसे लोग छोड़ देते हैं, और यही वह है जो अक्सर ऐसा अंतर समझाती है जो क्रिप्टोग्राफ़िक दिखता है। संतृप्त अंडरले या मार्ग पर लगा पुलिसर धीमे इंजन जैसा ही लक्षण-आकार पैदा करता है।
नियंत्रित लोड के साथ एक दिशा मापें
परीक्षण को गेटवे से नहीं बल्कि LAN के उस सिरे से चलाएँ जो एप्लिकेशन का प्रतिनिधित्व करता है, क्योंकि गेटवे द्वारा बनाई गई प्रोब भिन्न स्थानीय नीति का पालन कर सकती है। दूसरी स्ट्रीम जोड़ने से पहले एक दिशा मापें और दोनों दर्ज करें: दी गई दर और जो रिसीवर ने वास्तव में पाया। दर-सीमित UDP रन दी गई लोड को TCP की भीड़-प्रतिक्रिया से अलग करता है, जबकि असीमित UDP प्रेषक तटस्थ निदान नहीं है। पेलोड लंबाई भी दर्ज करें, क्योंकि बड़ा डेटाग्राम पैकेट दर और एनकैप्सुलेशन ओवरहेड दोनों बदल देता है।
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30वही परीक्षण दो बार उसी पेलोड लंबाई और अवधि के साथ चलाएँ, क्योंकि एक रन एक ऊपरी सीमा को खराब मिनट से अलग नहीं कर सकता। यदि रिसीवर प्रेषक द्वारा भेजे गए से कम पैकेट बताता है, तो हानि आपका निष्कर्ष है, और क्रिप्टो इंजन उसके कई उम्मीदवारों में से केवल एक है।
कुछ भी ट्यून करने से पहले अंतर समझाएँ
फ़ॉरवर्डिंग नीति, कतार ड्रॉप, इंटरफ़ेस त्रुटियाँ और संसाधन सीमाएँ एन्क्रिप्शन पथ के साथ जाँचें, क्योंकि केवल दर की कमी कभी CPU की पहचान नहीं करती। लेखांकन परतों को भी स्पष्ट रखें: बाहरी टनेल बाइट्स में एनकैप्सुलेशन शामिल है, और पुनःप्रेषण भीतरी और बाहरी काउंटरों के बीच संबंध को खिसका देते हैं। असंबंधित काउंटरों की बाइट-दर-बाइट तुलना ऐसा अंतर गढ़ती है जो कभी था ही नहीं।
पैकेट आकार पुराने उदाहरण से नकल किए गए आंकड़े के बजाय अपनी नियंत्रित तुलना का हकदार है। TCP MSS TCP को समायोजित करता है और मनमाने UDP डेटाग्राम पर कोई प्रभाव नहीं डालता, इसलिए पुराने दस्तावेज़ से लिया गया स्थिर 1350 कुछ भी नहीं मापता। पेलोड लंबाई जानबूझकर बदलें और देखें कि रिसीवर क्या बताता है।
एक चर बदलें और कार्यभार बनाए रखें
जब आधार रेखा एक संकीर्ण पट्टी में दोहराई जाए, तो एक समर्थित चर बदलें और मूल एप्लिकेशन कार्य फिर चलाएँ। यही कदम आंकड़े को कारण में बदलता है और केवल यही कॉन्फ़िगरेशन छूने को उचित ठहराता है। अधिक अनुकूल कार्यभार के बजाय वही कार्यभार दोहराएँ।
सिंथेटिक आंकड़ा बड़ा करने के लिए प्रस्ताव हटाएँ नहीं, प्रमाणीकरण कमज़ोर न करें और सुरक्षा बंद न करें। ये कदम सुरक्षा स्थिति बदलते हैं और फिर उस बदलाव का परिणाम मापते हैं, टनेल की क्षमता नहीं।