IPsec өткізу қабілеті күткеннен төмен бе? Алдымен белсенді SA-ны тексеріңіз
Ұзын түрлендіру тізімі — бұл сіздің жіберуіңізді қорғайтын сессия емес. Шифрлауды кінәламас бұрын келісілген SA-ны, жүктеме өлшемін және нақты жеткізілген жылдамдықты жазып алыңыз.
Конфигурация сегіз түрлендіруді ұсынады, біреу ең күштісін оқиды және өткізу қабілеті көрсеткіші соған байланыстырылады. Туннель бұл түрлендіруді таңдамаған болуы ықтимал және біреудің елестеткен жұмыс жүктемесін де орындамаған. Келісілген нәрсе — осы тізімдегі бір жазба: бір пакет өлшемі, бір бағыт, бір жинақ. Осыны өлшеңіз, сонда алгоритмдер туралы дау әдетте басталмай жатып бітеді.
Симптом: конфигурация уәде еткеннен төмен сан
Ұзын түрлендіру тізімі мүмкіндіктерді сипаттайды және әр мүмкіндік осы аппаратта емес, қағазда бағаланады. Келісілген нәтиже — екі жақ та қабылдаған жалғыз комбинация және ол үйлесімділік үшін әр жақ әлі рұқсат ететін ең әлсіз комбинация болуы мүмкін. Бұл комбинацияның неге қол жеткізетіні offload күйіне, пакет өлшеміне және кезек мінез-құлқына байланысты, сондықтан бірдей саясат файлы бар екі құрылғы бір-бірінен өте алыс кетуі мүмкін. Тізім — мәзір; ассоциация — қайта оралған тапсырыс.
Тізімді оқу сізге ненің таңдалуы мүмкін екенін айтады. Ассоциацияны оқу сізге жіберуді шын мәнінде ненің көтеріп жатқанын айтады және өткізу қабілеті көрсеткіші сипаттайтын жалғыз нәрсе — осы. Тізімнен басталатын әрбір реттеу қадамы — қосымша қағазбастылықпен келген болжам.
Осы жіберуді көтеріп жатқан ассоциацияны жазып алыңыз
ASA құрылғысында show crypto ipsec sa белсенді ассоциацияларды олардың түрлендірулерімен және бағыт бойынша есептегіштерімен тізімдейді, ал командалар анықтамалығы Cisco осы шығысты құжаттайды. Маңызды peer мен бағытты таңдаңыз және кілтті қайта келісу ассоциацияны алмастырып, есептегіштерін нөлге түсіретінін ескеріңіз; бұл сіз әлі сенген базалық сызықты үнсіз жарамсыз етеді. Шығысты тест жазбаларының қасына сақтаңыз, сонда келесі іске қосуға салыстыратын нәрсе болады. Іске қосулар арасында жылжитын ассоциация идентификаторы кейінгі кез келген салыстыруды мағынасыз етеді.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Бес жол өлшеуді қайталанатын етуге жетеді және олардың әрқайсысы жоқ кезде нақты түсіндірмені жоққа шығарады. Ешқайсысы ұсыныстар тізіміндегі жазба емес, өйткені тізім қазір байттарыңызды ненің қорғап жатқанын айта алмайды. Кестені бір рет толтырыңыз, сонда келесі оқиға алгоритмдер туралы жаңа даумен емес, деректермен басталады.
Қатынас арнасы жолы — адамдар өткізіп жіберетін жол, және криптографиялық көрінетін алшақтықты жиі түсіндіретін де сол. Қаныққан underlay немесе жол бойындағы policer баяу қозғалтқыш сияқты симптом пішінін тудырады.
Бақыланатын жүктемемен бір бағытты өлшеңіз
Тесті шлюздің өзінен емес, қолданбаны білдіретін LAN соңғы нүктесінен іске қосыңыз, өйткені шлюз жасаған зонд басқа жергілікті саясатқа бағынуы мүмкін. Екінші ағынды қоспас бұрын бір бағытты өлшеңіз және ұсынылған жылдамдықты да, қабылдағыш шын мәнінде алған нәрсені де жазып алыңыз. Жылдамдықпен шектелген UDP іске қосуы ұсынылған жүктемені TCP-нің кептеліс жауабынан ажыратады, ал шектелмеген UDP жіберуші бейтарап диагностика емес. Жүктеме ұзындығын да жазып алыңыз, өйткені үлкенірек датаграмма пакет жылдамдығын да, инкапсуляция шығынын да өзгертеді.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Дәл сол тестті бірдей жүктеме ұзындығымен және ұзақтықпен екі рет іске қосыңыз, өйткені бір іске қосу төбені нашар минуттан ажырата алмайды. Егер қабылдағыш жіберуші жібергеннен аз пакет хабарласа, жоғалту — сіздің қорытындыңыз, ал крипто қозғалтқышы соның бірнеше үміткерінің бірі ғана.
Бірдеңені реттемес бұрын алшақтықты түсіндіріңіз
Қайта жіберу саясатын, кезек тастауларын, интерфейс қателерін және ресурс шектеулерін шифрлау жолымен бірге тексеріңіз, өйткені жалғыз жылдамдық тапшылығы ешқашан процессорды анықтамайды. Есеп қабаттарын да ашық ұстаңыз: сыртқы туннель байттарына инкапсуляция кіреді, ал қайта жіберулер ішкі және сыртқы есептегіштер арасындағы қатынасты жылжытады. Байланысы жоқ есептегіштерді байт-байт салыстыру ешқашан болмаған сәйкессіздік жасайды.
Пакет өлшемі ескі мысалдан көшірілген санның орнына өзінің бақыланатын салыстыруына лайық. TCP MSS TCP-ні реттейді және еркін UDP датаграммаларына ешқандай әсер етпейді, сондықтан ескі құжаттан алынған қатаң 1350 ешнәрсені өлшемейді. Жүктеме ұзындығын әдейі өзгертіңіз және қабылдағыш нені хабарлайтынын бақылаңыз.
Бір айнымалыны өзгертіп, жұмыс жүктемесін сақтаңыз
Базалық сызық тар жолақта қайталанғанда, қолдау көрсетілетін бір айнымалыны өзгертіп, бастапқы қолданба тапсырмасын қайта іске қосыңыз. Санды себепке айналдыратын қадам — осы және конфигурацияға тиюді тек сол ақтайды. Ыңғайлырақ жұмыс жүктемесінің орнына сол жүктемені қайталаңыз.
Синтетикалық санды үлкейту үшін ұсыныстардан бас тартпаңыз, аутентификацияны әлсіретпеңіз және қорғанысты өшірмеңіз. Бұл әрекеттер қауіпсіздік жағдайын өзгертіп, содан кейін сол өзгерістің нәтижесін өлшейді, туннель сыйымдылығын емес.