IPsec-ის გამტარუნარიანობა მოსალოდნელზე დაბალია? ჯერ შეამოწმეთ აქტიური SA
გრძელი ტრანსფორმაციების სია არ არის ის სესია, რომელიც იცავს თქვენს გადაცემას. ჩაწერეთ შეთანხმებული SA, დატვირთვის ზომა და რეალურად მიწოდებული სიჩქარე, სანამ დაშიფვრას დაადანაშაულებთ.
კონფიგურაცია გვთავაზობს რვა ტრანსფორმაციას, ვიღაც კითხულობს ყველაზე ძლიერს და გამტარუნარიანობის მაჩვენებელი სწორედ მას მიეწერება. გვირაბმა, სავარაუდოდ, ეს ტრანსფორმაცია არ აირჩია და არც ის სამუშაო დატვირთვა შეასრულა, რომელიც ვინმემ წარმოიდგინა. შეთანხმებული არის ერთი ჩანაწერი ამ სიიდან, ერთი პაკეტის ზომით, ერთი მიმართულებით, ერთ აწყობაზე. გაზომეთ ეს და ალგორითმებზე კამათი, როგორც წესი, იწურება სანამ დაიწყება.
სიმპტომი: რიცხვი, რომელიც დაბალია კონფიგურაციის დაპირებულზე
გრძელი ტრანსფორმაციების სია აღწერს შესაძლებლობებს და ყოველი შესაძლებლობა ფასდება ქაღალდზე და არა ამ აპარატურაზე. შეთანხმებული შედეგი არის ერთადერთი კომბინაცია, რომელიც ორივე მხარემ მიიღო და შეიძლება იყოს ყველაზე სუსტი, რომელსაც რომელიმე მხარე ჯერ კიდევ უშვებს თავსებადობის გამო. რასაც ეს კომბინაცია აღწევს, დამოკიდებულია offload-ის მდგომარეობაზე, პაკეტის ზომასა და რიგის ქცევაზე, ამიტომ იდენტური პოლიტიკის ფაილის მქონე ორი მოწყობილობა შეიძლება ძალიან შორს აღმოჩნდეს ერთმანეთისგან. სია მენიუა; ასოციაცია დაბრუნებული შეკვეთაა.
სიის კითხვა გეუბნებათ, რისი არჩევა შეიძლებოდა. ასოციაციის კითხვა გეუბნებათ, რა რეალურად ატარებს გადაცემას და მხოლოდ ეს არის ის, რასაც გამტარუნარიანობის რიცხვი აღწერს. სიიდან დაწყებული ყოველი მორგების ნაბიჯი ვარაუდია დამატებითი ქაღალდებით.
ჩაწერეთ ასოციაცია, რომელიც ატარებს ამ გადაცემას
ASA მოწყობილობაზე show crypto ipsec sa ჩამოთვლის აქტიურ ასოციაციებს მათი ტრანსფორმაციებითა და მიმართულების მრიცხველებით, ხოლო ბრძანებების ცნობარი Cisco ადასტურებს ამ გამოსავალს. აირჩიეთ მნიშვნელოვანი პარტნიორი და მიმართულება და გაითვალისწინეთ, რომ გასაღებების ხელახალი მოლაპარაკება ცვლის ასოციაციას და ახდენს მისი მრიცხველების ნულირებას, რაც ჩუმად აუქმებს იმ საბაზისო ხაზს, რომელსაც ჯერ კიდევ ენდობოდით. შეინახეთ გამოსავალი ტესტის ჩანაწერებთან, რომ მომდევნო გაშვებას ჰქონდეს შესადარებელი. ასოციაციის იდენტიფიკატორი, რომელიც გაშვებებს შორის იცვლება, ყოველ შემდგომ შედარებას უაზროს ხდის.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
ხუთი სტრიქონი საკმარისია გაზომვის გასამეორებლად და ყოველი სტრიქონი გამორიცხავს კონკრეტულ ახსნას, როცა ის აკლია. არცერთი მათგანი არ არის წინადადებების სიის ჩანაწერი, რადგან სია ვერ იტყვის, რა იცავს თქვენს ბაიტებს ახლა. შეავსეთ ცხრილი ერთხელ და შემდეგი ინციდენტი დაიწყება მონაცემებით და არა ალგორითმებზე ახალი კამათით.
წვდომის ბმულის სტრიქონი არის ის, რომელსაც ხალხი გამოტოვებს, და სწორედ ის ხსნის ყველაზე ხშირად იმ სხვაობას, რომელიც კრიპტოგრაფიულად გამოიყურება. გაჯერებული ქვედა ფენა ან გზაზე მდებარე პოლისი იძლევა იმავე სიმპტომის ფორმას, რასაც ნელი ძრავა.
გაზომეთ ერთი მიმართულება კონტროლირებული დატვირთვით
გაუშვით ტესტი LAN-ის ბოლო წერტილიდან, რომელიც წარმოადგენს აპლიკაციას და არა თავად კარიბჭიდან, რადგან კარიბჭის მიერ შექმნილი ზონდი შეიძლება მიჰყვეს სხვა ლოკალურ პოლიტიკას. გაზომეთ ერთი მიმართულება მეორე ნაკადის დამატებამდე და ჩაწერეთ როგორც შემოთავაზებული სიჩქარე, ასევე ის, რაც მიმღებმა რეალურად მიიღო. სიჩქარით შეზღუდული UDP გაშვება ჰყოფს შემოთავაზებულ დატვირთვას TCP-ის გადატვირთვის პასუხისგან, მაშინ როცა შეუზღუდავი UDP გამგზავნი ნეიტრალური დიაგნოსტიკა არ არის. ჩაწერეთ დატვირთვის სიგრძეც, რადგან უფრო დიდი დატაგრამა ცვლის როგორც პაკეტების სიჩქარეს, ასევე ინკაფსულაციის ხარჯს.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30გაუშვით იგივე ტესტი ორჯერ იმავე დატვირთვის სიგრძითა და ხანგრძლივობით, რადგან ერთი გაშვება ვერ გამოყოფს ჭერს ცუდი წუთისგან. თუ მიმღები იტყობინება ნაკლებ პაკეტს, ვიდრე გამგზავნმა გაგზავნა, დანაკარგი თქვენი აღმოჩენაა და დაშიფვრის ძრავა მხოლოდ ერთია რამდენიმე კანდიდატიდან.
ახსენით სხვაობა, სანამ რამეს დაარეგულირებთ
შეამოწმეთ გადამისამართების პოლიტიკა, რიგის ჩამოშლა, ინტერფეისის შეცდომები და რესურსების ლიმიტები დაშიფვრის გზასთან ერთად, რადგან მხოლოდ სიჩქარის დეფიციტი არასოდეს იდენტიფიცირებს პროცესორს. შეინახეთ აღრიცხვის ფენებიც ცხადად: გარე გვირაბის ბაიტები მოიცავს ინკაფსულაციას და ხელახალი გადაცემები ცვლის შიდა და გარე მრიცხველთა შორის კავშირს. დაუკავშირებელი მრიცხველების ბაიტ-ბაიტ შედარება ქმნის შეუსაბამობას, რომელიც არასოდეს არსებობდა.
პაკეტის ზომა იმსახურებს საკუთარ კონტროლირებულ შედარებას ძველი მაგალითიდან კოპირებული რიცხვის ნაცვლად. TCP MSS არეგულირებს TCP-ს და არავითარი გავლენა არ აქვს თვითნებურ UDP დატაგრამებზე, ამიტომ ძველი დოკუმენტიდან აღებული ფიქსირებული 1350 საერთოდ არაფერს ზომავს. შეცვალეთ დატვირთვის სიგრძე განზრახ და დააკვირდით, რას იტყობინება მიმღები.
შეცვალეთ ერთი ცვლადი და შეინარჩუნეთ დატვირთვა
როცა საბაზისო ხაზი ვიწრო ზოლში მეორდება, შეცვალეთ ერთი მხარდაჭერილი ცვლადი და ხელახლა გაუშვით საწყისი აპლიკაციის ამოცანა. სწორედ ეს ნაბიჯი აქცევს რიცხვს მიზეზად და მხოლოდ ის ამართლებს კონფიგურაციაზე ხელის დადებას. გაიმეორეთ იგივე დატვირთვა და არა უფრო მოხერხებული.
ნუ გააუქმებთ წინადადებებს, ნუ დაასუსტებთ ავთენტიფიკაციას და ნუ გამორთავთ დაცვას სინთეტური რიცხვის გასადიდებლად. ეს ნაბიჯები ცვლის უსაფრთხოების პოზიციას და შემდეგ ზომავს იმ ცვლილების შედეგს და არა გვირაბის შესაძლებლობას.