IPsec propusnost niža od očekivane? Prvo provjerite aktivnu SA
Dugačak popis transformacija nije sesija koja štiti vaš prijenos. Zabilježite dogovorenu SA, veličinu korisnog tereta i stvarno isporučenu brzinu prije nego što optužite enkripciju.
Konfiguracija nudi osam transformacija, netko pročita najjaču i brojka propusnosti se prikvači za nju. Tunel vjerojatno nije odabrao tu transformaciju, a nije izvršio ni radno opterećenje koje je itko zamišljao. Dogovoren je jedan unos s tog popisa, s jednom veličinom paketa, u jednom smjeru, na jednoj verziji. Izmjerite to i rasprava o algoritmima obično završi prije nego što počne.
Simptom: brojka ispod onoga što konfiguracija obećava
Dugačak popis transformacija opisuje mogućnosti, a svaka se mogućnost ocjenjuje na papiru umjesto na ovom hardveru. Dogovoreni rezultat je jedna kombinacija koju su prihvatili oba peer-a, a to može biti najslabija koju bilo koja strana još dopušta zbog kompatibilnosti. Što ta kombinacija postiže ovisi o stanju offloada, veličini paketa i ponašanju redova, pa dva uređaja s identičnom datotekom pravila mogu završiti vrlo daleko jedan od drugoga. Popis je jelovnik; asocijacija je narudžba koja se vratila.
Čitanje popisa govori vam što je moglo biti odabrano. Čitanje asocijacije govori vam što prijenos stvarno nosi, i to je jedino što brojka propusnosti opisuje. Svaki korak ugađanja koji počinje s popisom je nagađanje s dodatnom papirologijom.
Zabilježite asocijaciju koja nosi ovaj prijenos
Na uređaju ASA show crypto ipsec sa ispisuje aktivne asocijacije s njihovim transformacijama i brojačima po smjeru, a referenca naredbi Cisco dokumentira taj izlaz. Odaberite peer i smjer koji su važni i imajte na umu da rekey zamjenjuje asocijaciju i poništava njezine brojače, što tiho poništava osnovnu liniju na koju ste se još oslanjali. Spremite izlaz uz bilješke o testu kako bi sljedeće pokretanje imalo što usporediti. Identifikator asocijacije koji se mijenja između pokretanja čini svaku kasniju usporedbu besmislenom.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Pet redaka dovoljno je da mjerenje bude ponovljivo, a svaki od njih isključuje određeno objašnjenje kada nedostaje. Nijedan nije unos s popisa prijedloga, jer popis ne može reći što trenutačno štiti vaše bajtove. Ispunite tablicu jednom i sljedeći incident počinje s podacima umjesto s novom raspravom o algoritmima.
Redak o pristupnoj vezi je onaj koji ljudi preskaču, i upravo on najčešće objašnjava jaz koji izgleda kriptografski. Zasićeni underlay ili policer duž putanje stvara isti oblik simptoma kao spor motor.
Izmjerite jedan smjer s kontroliranim opterećenjem
Pokrenite test s krajnje točke u LAN-u koja predstavlja aplikaciju, umjesto s pristupnika samog, jer sonda koju generira pristupnik može slijediti drukčija lokalna pravila. Izmjerite jedan smjer prije dodavanja drugog toka i zabilježite i ponuđenu brzinu i ono što je primatelj stvarno primio. Pokretanje UDP-a s ograničenom brzinom odvaja ponuđeno opterećenje od TCP-ovog odgovora na zagušenje, dok pošiljatelj UDP-a bez ograničenja nije neutralna dijagnostika. Zabilježite i duljinu korisnog tereta, jer veći datagram mijenja i brzinu paketa i režijski trošak enkapsulacije.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Pokrenite isti test dvaput s istom duljinom korisnog tereta i istim trajanjem, jer jedno pokretanje ne može odvojiti gornju granicu od loše minute. Ako primatelj prijavi manje paketa nego što ih je pošiljatelj poslao, gubitak je vaš nalaz, a kriptografski motor samo je jedan od nekoliko kandidata.
Objasnite jaz prije nego što bilo što prilagodite
Provjerite pravila prosljeđivanja, odbacivanja redova, pogreške sučelja i ograničenja resursa zajedno s putanjom enkripcije, jer manjak brzine sam po sebi nikada ne identificira procesor. Držite i slojeve obračuna eksplicitnima: bajtovi vanjskog tunela uključuju enkapsulaciju, a retransmisije pomiču odnos između unutarnjih i vanjskih brojača. Uspoređivanje nepovezanih brojača bajt po bajt stvara razliku koje nikada nije bilo.
Veličina paketa zaslužuje vlastitu kontroliranu usporedbu, a ne brojku prepisanu iz starog primjera. TCP MSS prilagođava TCP i nema nikakav učinak na proizvoljne UDP datagrame, pa fiksna vrijednost 1350 prenesena iz arhivskog dokumenta ne mjeri baš ništa. Namjerno promijenite duljinu korisnog tereta i promatrajte što primatelj prijavljuje.
Promijenite jednu varijablu i zadržite radno opterećenje
Kada se osnovna linija ponovi unutar uskog pojasa, promijenite jednu podržanu varijablu i ponovno pokrenite izvorni aplikacijski zadatak. Taj korak pretvara brojku u uzrok i jedini je koji opravdava diranje konfiguracije. Ponovite isto radno opterećenje, a ne ugodnije.
Ne ukidajte prijedloge, ne slabite autentifikaciju i ne isključujte zaštitu kako biste povećali sintetičku brojku. Ti potezi mijenjaju sigurnosno stanje i zatim mjere rezultat te promjene, a ne kapacitet tunela.