IPsec-ի թողունակությունը սպասվածից ցածր է? Նախ ստուգեք ակտիվ SA-ն
Երկար փոխակերպումների ցանկը այն սեսիան չէ, որը պաշտպանում է ձեր փոխանցումը։ Գրանցեք պայմանավորված SA-ն, ծանրաբեռնվածության չափը և փաստացի հասցված արագությունը, նախքան գաղտնագրումը մեղադրելը։
Կոնֆիգուրացիան առաջարկում է ութ փոխակերպում, ինչ-որ մեկը կարդում է ամենաուժեղը, և թողունակության ցուցանիշը կապվում է հենց դրա հետ։ Թունելը, ամենայն հավանականությամբ, չի ընտրել այդ փոխակերպումը և չի էլ կատարել այն աշխատանքը, որը ինչ-որ մեկը պատկերացրել է։ Պայմանավորվածը այդ ցանկից մեկ գրառում է՝ մեկ փաթեթի չափով, մեկ ուղղությամբ, մեկ հավաքածուի վրա։ Չափեք դա, և ալգորիթմների մասին վեճը սովորաբար ավարտվում է մինչև սկսվելը։
Ախտանիշը՝ թվանշան, որը ցածր է կոնֆիգուրացիայի խոստացածից
Երկար փոխակերպումների ցանկը նկարագրում է հնարավորություններ, և յուրաքանչյուր հնարավորություն գնահատվում է թղթի վրա, ոչ այս սարքաշարի վրա։ Պայմանավորված արդյունքը մեկ միակ համակցություն է, որն ընդունել են երկու կողմերը, և այն կարող է լինել ամենաթույլը, որը կողմերից յուրաքանչյուրը դեռ թույլատրում է համատեղելիության համար։ Այդ համակցության հասածը կախված է offload-ի վիճակից, փաթեթի չափից և հերթի վարքից, ուստի նույնական քաղաքականության ֆայլ ունեցող երկու սարք կարող են հայտնվել շատ հեռու միմյանցից։ Ցանկը մենյու է, համակցությունը՝ վերադարձած պատվերը։
Ցանկը կարդալը ձեզ ասում է, թե ինչ կարող էր ընտրվել։ Համակցությունը կարդալը ձեզ ասում է, թե ինչն է իրականում կրում փոխանցումը, և միայն դա է նկարագրում թողունակության ցուցանիշը։ Ցանկից սկսվող յուրաքանչյուր կարգավորման քայլ ենթադրություն է՝ հավելյալ թղթաբանությամբ։
Գրանցեք այն համակցությունը, որը կրում է այս փոխանցումը
ASA սարքում show crypto ipsec sa ցանկը ցուցադրում է ակտիվ համակցությունները՝ իրենց փոխակերպումներով և ուղղության հաշվիչներով, իսկ հրամանների տեղեկագիրք Cisco-ն փաստաթղթավորում է այդ արտածումը։ Ընտրեք կարևոր գործընկերոջը և ուղղությունը, և նկատեք, որ բանալիների վերաբանակցումը փոխարինում է համակցությունը և զրոյացնում դրա հաշվիչները, ինչը լուռ անվավեր է դարձնում այն հիմքը, որին դեռ վստահում էիք։ Պահեք արտածումը թեստի նշումների կողքին, որպեսզի հաջորդ գործարկումը համեմատելու բան ունենա։ Գործարկումների միջև տեղաշարժվող համակցության նույնացուցիչը անիմաստ է դարձնում ցանկացած հետագա համեմատություն։
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Հինգ տողը բավարար է չափումը վերարտադրելի դարձնելու համար, և յուրաքանչյուր տող բացառում է կոնկրետ բացատրություն, երբ այն բացակայում է։ Դրանցից ոչ մեկը առաջարկների ցանկի գրառում չէ, քանի որ ցանկը չի կարող ասել, թե ինչն է հիմա պաշտպանում ձեր բայթերը։ Լրացրեք աղյուսակը մեկ անգամ, և հաջորդ դեպքը կսկսվի տվյալներից, ոչ ալգորիթմների մասին նոր վեճից։
Մուտքի կապի տողը այն է, որը մարդիկ բաց են թողնում, և հենց այն է ամենից հաճախ բացատրում այն բացը, որը կրիպտոգրաֆիկ է թվում։ Հագեցած ենթակառուցվածքը կամ ուղու վրա գտնվող պոլիսերը ստեղծում է նույն ախտանշի ձևը, ինչ դանդաղ շարժիչը։
Չափեք մեկ ուղղություն վերահսկվող ծանրաբեռնվածությամբ
Գործարկեք թեստը LAN-ի վերջնակետից, որը ներկայացնում է հավելվածը, ոչ թե հենց դարպասից, որովհետև դարպասի ստեղծած զոնդը կարող է հետևել այլ տեղական քաղաքականության։ Չափեք մեկ ուղղություն՝ նախքան երկրորդ հոսք ավելացնելը, և գրանցեք թե՛ առաջարկված արագությունը, թե՛ այն, ինչ ստացողը փաստացի ստացել է։ Արագությամբ սահմանափակված UDP գործարկումը բաժանում է առաջարկված ծանրաբեռնվածությունը TCP-ի գերբեռնվածության պատասխանից, մինչդեռ անսահմանափակ UDP ուղարկողը չեզոք ախտորոշում չէ։ Գրանցեք նաև ծանրաբեռնվածության երկարությունը, քանի որ ավելի մեծ դատագրամը փոխում է և՛ փաթեթների արագությունը, և՛ ինկապսուլյացիայի ծախսը։
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Գործարկեք նույն թեստը երկու անգամ նույն ծանրաբեռնվածության երկարությամբ և տևողությամբ, որովհետև մեկ գործարկումը չի տարբերի առաստաղը վատ րոպեից։ Եթե ստացողը հաղորդում է ավելի քիչ փաթեթ, քան ուղարկողն է ուղարկել, կորուստը ձեր հայտնաբերումն է, և գաղտնագրման շարժիչը միայն մի քանի թեկնածուներից մեկն է։
Բացատրեք բացը, նախքան որևէ բան կարգավորելը
Ստուգեք փոխանցման քաղաքականությունը, հերթի կորուստները, ինտերֆեյսի սխալները և ռեսուրսների սահմանները գաղտնագրման ուղու հետ միասին, որովհետև արագության պակասը միայնակ երբեք չի բացահայտում պրոցեսոր։ Պահեք նաև հաշվառման շերտերը հստակ՝ արտաքին թունելի բայթերը ներառում են ինկապսուլյացիա, իսկ կրկնակի փոխանցումները տեղաշարժում են ներքին և արտաքին հաշվիչների հարաբերությունը։ Անկապ հաշվիչների բայթ առ բայթ համեմատությունը ստեղծում է անհամապատասխանություն, որը երբեք չի եղել։
Փաթեթի չափը արժանի է իր սեփական վերահսկվող համեմատությանը՝ հին օրինակից պատճենված թվի փոխարեն։ TCP MSS-ը կարգավորում է TCP-ն և ոչ մի ազդեցություն չունի կամայական UDP դատագրամների վրա, ուստի հին փաստաթղթից վերցված 1350 հաստատուն արժեքը բացարձակապես ոչինչ չի չափում։ Փոխեք ծանրաբեռնվածության երկարությունը դիտավորյալ և դիտեք, թե ինչ է հաղորդում ստացողը։
Փոխեք մեկ փոփոխական և պահպանեք աշխատանքը
Երբ հիմքը կրկնվում է նեղ շերտում, փոխեք մեկ աջակցվող փոփոխական և կրկին գործարկեք սկզբնական հավելվածային առաջադրանքը։ Հենց այդ քայլն է թվանշանը դարձնում պատճառ, և միայն այն է արդարացնում կոնֆիգուրացիային դիպչելը։ Կրկնեք նույն աշխատանքը, ոչ ավելի հարմարավետը։
Չեղարկեք առաջարկները, չթուլացնեք նույնականացումը և չանջատեք պաշտպանությունը՝ սինթետիկ թվանշանը մեծացնելու համար։ Այդ քայլերը փոխում են անվտանգության դիրքը, ապա չափում այդ փոփոխության արդյունքը, ոչ թունելի հզորությունը։