Az IPsec átviteli sebessége a vártnál alacsonyabb? Először az aktív SA-t ellenőrizze
A hosszú transzformlista nem az a munkamenet, amely az átvitelét védi. Rögzítse a tárgyalt SA-t, a hasznos teher méretét és a ténylegesen leszállított sebességet, mielőtt a titkosítást hibáztatja.
A konfiguráció nyolc transzformációt kínál, valaki elolvassa a legerősebbet, és az átviteli sebesség számát ahhoz kötik. Az alagút valószínűleg nem azt a transzformációt választotta, és nem is azt a munkaterhelést futtatta, amelyet valaki elképzelt. A tárgyalt dolog egyetlen bejegyzés ebből a listából, egyetlen csomagmérettel, egy irányban, egy builden. Mérje meg ezt, és az algoritmusokról szóló vita általában azelőtt véget ér, hogy elkezdődne.
A tünet: a konfiguráció ígéreténél alacsonyabb szám
A hosszú transzformlista lehetőségeket ír le, és minden lehetőséget papíron pontoznak, nem ezen a hardveren. A tárgyalt eredmény egyetlen kombináció, amelyet mindkét fél elfogadott, és ez lehet a leggyengébb, amelyet bármelyik fél a kompatibilitás miatt még engedélyez. Az, hogy ez a kombináció mit ér el, az offload állapotától, a csomagmérettől és a sor viselkedésétől függ, ezért két azonos házirendfájllal rendelkező eszköz nagyon messze kerülhet egymástól. A lista menü; az asszociáció a visszaérkezett rendelés.
A lista olvasása megmondja, mi lett volna választható. Az asszociáció olvasása megmondja, mi hordozza valójában az átvitelt, és csak ezt írja le egy átviteli sebesség szám. Minden listáról induló hangolási lépés találgatás extra papírmunkával.
Rögzítse az asszociációt, amely ezt az átvitelt hordozza
Egy ASA-n show crypto ipsec sa felsorolja az aktív asszociációkat azok transzformációival és irányonkénti számlálóival, és a parancsreferencia Cisco dokumentálja ezt a kimenetet. Válassza ki a fontos társat és irányt, és vegye figyelembe, hogy a kulcs újratárgyalása lecseréli az asszociációt és nullázza a számlálóit, ami csendben érvényteleníti azt az alapvonalat, amelyben még bízott. Mentse a kimenetet a tesztjegyzetek mellé, hogy a következő futásnak legyen mihez hasonlítania. A futások között elcsúszó asszociáció-azonosító minden későbbi összehasonlítást értelmetlenné tesz.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Öt sor elég ahhoz, hogy a mérés megismételhető legyen, és mindegyik kizár egy konkrét magyarázatot, amikor hiányzik. Egyik sem javaslatlista-bejegyzés, mert a lista nem tudja megmondani, mi védi a bájtjait éppen most. Töltse ki a táblázatot egyszer, és a következő eset adatokkal indul az algoritmusokról szóló új vita helyett.
A hozzáférési kapcsolat sora az, amelyet az emberek kihagynak, és leggyakrabban ez magyarázza a titkosításinak tűnő rést. Egy telített alaphálózat vagy az útvonalon lévő policer ugyanazt a tünetformát produkálja, mint egy lassú motor.
Mérjen meg egy irányt ellenőrzött terheléssel
A tesztet egy LAN-végpontból futtassa, amely az alkalmazást képviseli, ne magából az átjáróból, mert az átjáró által létrehozott próba más helyi házirendet követhet. Mérjen meg egy irányt, mielőtt hozzáadna egy második adatfolyamot, és rögzítse mind a kínált sebességet, mind azt, amit a fogadó valóban megkapott. A sebességkorlátozott UDP-futtatás elválasztja a kínált terhelést a TCP torlódási válaszától, míg a korlátlan UDP-küldő nem semleges diagnózis. Rögzítse a hasznos teher hosszát is, mert a nagyobb datagram egyszerre változtatja a csomagsebességet és a beágyazási többletet.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Futtassa ugyanazt a tesztet kétszer ugyanazzal a hasznos teher hosszal és időtartammal, mert egy futás nem választja el a plafont egy rossz perctől. Ha a fogadó kevesebb csomagot jelent, mint amennyit a küldő elküldött, a veszteség az Ön megállapítása, és a titkosítási motor csak egy a több jelölt közül.
Magyarázza meg a rést, mielőtt bármit hangolna
Ellenőrizze a továbbítási házirendet, a sorok eldobását, az interfészhibákat és az erőforráskorlátokat a titkosítási útvonal mellett, mert a sebességhiány önmagában soha nem azonosít processzort. Tartsa explicit módon az elszámolási rétegeket is: a külső alagút bájtjai tartalmazzák a beágyazást, és az újraküldések elmozdítják a belső és külső számlálók viszonyát. Nem összetartozó számlálók bájtonkénti összehasonlítása olyan eltérést gyárt, amely soha nem létezett.
A csomagméret saját ellenőrzött összehasonlítást érdemel, nem egy régi példából másolt számot. A TCP MSS a TCP-t igazítja, és nincs hatása tetszőleges UDP-datagramokra, ezért egy régi dokumentumból átvett rögzített 1350 semmit sem mér. Változtassa meg szándékosan a hasznos teher hosszát, és figyelje, mit jelent a fogadó.
Változtasson meg egy változót, és tartsa meg a munkaterhelést
Amikor az alapvonal szűk sávon belül ismétlődik, változtasson meg egy támogatott változót, és futtassa újra az eredeti alkalmazásfeladatot. Ez a lépés fordítja a számot okká, és csak ez indokolja a konfiguráció megérintését. Ismételje ugyanazt a munkaterhelést, ne egy barátságosabbat.
Ne vonjon vissza javaslatokat, ne gyengítse a hitelesítést, és ne kapcsolja ki a védelmet, hogy nagyobb legyen egy szintetikus szám. Ezek a lépések megváltoztatják a biztonsági helyzetet, majd annak a változásnak az eredményét mérik, nem az alagút kapacitását.