Throughput IPsec lebih rendah dari yang diharapkan? Periksa SA aktif terlebih dahulu
Daftar transformasi yang panjang bukanlah sesi yang melindungi transfer Anda. Catat SA yang dinegosiasikan, ukuran muatan, dan laju yang benar-benar terkirim sebelum menyalahkan enkripsi.
Konfigurasi menawarkan delapan transformasi, seseorang membaca yang terkuat, dan angka throughput dilekatkan padanya. Tunnel kemungkinan tidak memilih transformasi itu, dan juga tidak menjalankan beban kerja yang dibayangkan siapa pun. Yang dinegosiasikan adalah satu entri dari daftar itu, dengan satu ukuran paket, dalam satu arah, pada satu build. Ukur itu dan perdebatan tentang algoritme biasanya berakhir sebelum dimulai.
Gejalanya: angka di bawah yang dijanjikan konfigurasi
Daftar transformasi yang panjang menggambarkan kemungkinan, dan setiap kemungkinan dinilai di atas kertas, bukan pada perangkat keras ini. Hasil yang dinegosiasikan adalah satu kombinasi yang diterima kedua pihak, dan itu bisa menjadi yang paling lemah yang masih diizinkan salah satu pihak demi kompatibilitas. Apa yang dicapai kombinasi itu bergantung pada status offload, ukuran paket, dan perilaku antrean, sehingga dua perangkat dengan berkas kebijakan yang identik bisa berakhir sangat jauh berbeda. Daftar adalah menu; asosiasi adalah pesanan yang kembali.
Membaca daftar memberi tahu Anda apa yang mungkin dipilih. Membaca asosiasi memberi tahu Anda apa yang sebenarnya membawa transfer, dan hanya itu yang dijelaskan oleh angka throughput. Setiap langkah penyetelan yang dimulai dari daftar adalah dugaan dengan dokumen tambahan.
Catat asosiasi yang membawa transfer ini
Pada ASA show crypto ipsec sa mencantumkan asosiasi aktif beserta transformasi dan penghitung per arahnya, dan referensi perintah Cisco mendokumentasikan keluaran itu. Pilih peer dan arah yang penting, dan perhatikan bahwa negosiasi ulang kunci menggantikan asosiasi dan mereset penghitungnya, yang diam-diam membatalkan garis dasar yang masih Anda percayai. Simpan keluaran di samping catatan pengujian agar proses berikutnya punya pembanding. Pengenal asosiasi yang bergeser antarrun membuat setiap perbandingan berikutnya tidak berarti.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Lima baris cukup untuk membuat pengukuran dapat direproduksi, dan setiap baris menyingkirkan penjelasan tertentu ketika hilang. Tidak satu pun merupakan entri daftar usulan, karena daftar tidak dapat mengatakan apa yang melindungi byte Anda saat ini. Isi tabel sekali dan insiden berikutnya dimulai dari data, bukan dari perdebatan baru tentang algoritme.
Baris tautan akses adalah yang orang lewati, dan itulah yang paling sering menjelaskan kesenjangan yang tampak kriptografis. Underlay yang jenuh atau policer di sepanjang jalur menghasilkan bentuk gejala yang sama dengan mesin yang lambat.
Ukur satu arah dengan beban terkendali
Jalankan pengujian dari endpoint LAN yang mewakili aplikasi, bukan dari gateway itu sendiri, karena probe yang dihasilkan gateway dapat mengikuti kebijakan lokal yang berbeda. Ukur satu arah sebelum menambahkan aliran kedua, dan catat laju yang ditawarkan serta apa yang benar-benar diterima penerima. Jalur UDP berbatas laju memisahkan beban yang ditawarkan dari respons kongesti TCP, sedangkan pengirim UDP tanpa batas bukanlah diagnosis netral. Catat juga panjang muatan, karena datagram yang lebih besar mengubah laju paket dan biaya enkapsulasi.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Jalankan pengujian yang sama dua kali dengan panjang muatan dan durasi yang sama, karena satu jalur tidak dapat memisahkan batas atas dari satu menit yang buruk. Jika penerima melaporkan lebih sedikit paket daripada yang dikirim pengirim, kehilangan itu adalah temuan Anda, dan mesin kripto hanyalah salah satu dari beberapa kandidat.
Jelaskan kesenjangan sebelum menyetel apa pun
Periksa kebijakan penerusan, pembuangan antrean, kesalahan antarmuka, dan batas sumber daya bersama jalur enkripsi, karena defisit laju saja tidak pernah mengidentifikasi CPU. Jaga juga lapisan akuntansi tetap eksplisit: byte tunnel luar mencakup enkapsulasi, dan pengiriman ulang menggeser hubungan antara penghitung dalam dan luar. Membandingkan penghitung yang tidak berhubungan byte demi byte menciptakan perbedaan yang tidak pernah ada.
Ukuran paket layak mendapat perbandingan terkendali sendiri, bukan angka yang disalin dari contoh lama. TCP MSS menyesuaikan TCP dan tidak berpengaruh pada datagram UDP sembarang, sehingga nilai tetap 1350 yang diambil dari dokumen warisan sama sekali tidak mengukur apa pun. Ubah panjang muatan dengan sengaja dan perhatikan apa yang dilaporkan penerima.
Ubah satu variabel dan pertahankan beban kerja
Setelah garis dasar berulang dalam pita sempit, ubah satu variabel yang didukung dan jalankan kembali tugas aplikasi asli. Langkah itulah yang mengubah angka menjadi penyebab, dan hanya itu yang membenarkan menyentuh konfigurasi. Ulangi beban kerja yang sama, bukan yang lebih ramah.
Jangan mencabut usulan, melemahkan autentikasi, atau mematikan perlindungan untuk memperbesar angka sintetis. Langkah tersebut mengubah postur keamanan lalu mengukur hasil perubahan itu, bukan kapasitas tunnel.