IPsec өткөрүү жөндөмдүүлүгү күтүлгөндөн төмөнбү? Адегенде активдүү SAны текшериңиз
Узун трансформациялар тизмеси — бул сиздин өткөрүүңүздү коргогон сессия эмес. Шифрлөөнү күнөөлөөдөн мурун келишилген SAны, жүктөм өлчөмүн жана иш жүзүндө жеткирилген ылдамдыкты жазып алыңыз.
Конфигурация сегиз трансформацияны сунуштайт, бирөө эң күчтүүсүн окуп, өткөрүү жөндөмдүүлүгүнүн көрсөткүчү ошого байланат. Туннель ал трансформацияны тандабаган болушу мүмкүн жана бирөөнүн элестеткен иш жүктөмүн да аткарган эмес. Келишилген нерсе — бул тизмеден бир жазуу: бир пакет өлчөмү, бир багыт, бир куруу. Ушуну өлчөңүз, анда алгоритмдер жөнүндө талаш адатта башталбай эле бүтөт.
Симптом: конфигурация убада кылгандан төмөн сан
Узун трансформациялар тизмеси мүмкүнчүлүктөрдү сүрөттөйт жана ар бир мүмкүнчүлүк бул аппаратта эмес, кагазда бааланат. Келишилген натыйжа — эки тарап тең кабыл алган жалгыз айкалыш жана ал шайкештик үчүн ар бир тарап али уруксат берген эң алсыз айкалыш болушу мүмкүн. Бул айкалыш эмнеге жеткени offload абалына, пакет өлчөмүнө жана кезек жүрүм-турумуна байланыштуу, ошондуктан бирдей саясат файлы бар эки түзмөк бири-биринен өтө алыс кетиши мүмкүн. Тизме — меню; ассоциация — кайра келген буйрутма.
Тизмени окуу сизге эмнени тандаса болорун айтат. Ассоциацияны окуу сизге өткөрүүнү чындыгында эмне көтөрүп жатканын айтат жана өткөрүү жөндөмдүүлүгүнүн көрсөткүчү сүрөттөгөн жалгыз нерсе — ошол. Тизмеден башталган ар бир жөндөө кадамы — кошумча кагаз иши менен келген божомол.
Бул өткөрүүнү көтөрүп жаткан ассоциацияны жазып алыңыз
ASA түзмөгүндө show crypto ipsec sa активдүү ассоциацияларды алардын трансформациялары жана багыт боюнча эсептегичтери менен тизмелейт, ал эми командалар боюнча колдонмо Cisco бул чыгышты документтештирет. Маанилүү peer менен багытты тандаңыз жана ачкычты кайра келишүү ассоциацияны алмаштырып, эсептегичтерин нөлгө түшүрөрүн эске алыңыз; бул сиз али ишенген базалык сызыкты үнсүз жараксыз кылат. Чыгышты тест жазууларынын жанына сактаңыз, ошондо кийинки иштетүүгө салыштырар нерсе болот. Иштетүүлөр ортосунда жылып турган ассоциация идентификатору кийинки ар кандай салыштырууну маанисиз кылат.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Беш сап өлчөөнү кайталануучу кылууга жетет жана алардын ар бири жок болгондо белгилүү түшүндүрмөнү жокко чыгарат. Эч бири сунуштар тизмесиндеги жазуу эмес, анткени тизме азыр байттарыңызды эмне коргоп жатканын айта албайт. Таблицаны бир жолу толтуруңуз, ошондо кийинки окуя алгоритмдер жөнүндө жаңы талаш менен эмес, маалымат менен башталат.
Кирүү байланышынын сабы — адамдар өткөрүп жиберген сап, жана криптографиялык көрүнгөн ажырымды көбүнчө түшүндүргөн да ошол. Каныккан underlay же жол боюндагы policer жай кыймылдаткыч сыяктуу симптом формасын жаратат.
Көзөмөлдөнгөн жүктөм менен бир багытты өлчөңүз
Тестти шлюздун өзүнөн эмес, колдонмону билдирген LAN акыркы чекитинен иштетиңиз, анткени шлюз жараткан зонд башка жергиликтүү саясатка баш ийиши мүмкүн. Экинчи агымды коштон мурун бир багытты өлчөңүз жана сунушталган ылдамдыкты да, кабыл алуучу чындыгында алган нерсени да жазып алыңыз. Ылдамдык менен чектелген UDP иштетүүсү сунушталган жүктөмдү TCPнин тыгынга жообунан бөлөт, ал эми чектелбеген UDP жөнөтүүчү нейтралдуу диагностика эмес. Жүктөм узундугун да жазып алыңыз, анткени чоңураак датаграмма пакет ылдамдыгын да, инкапсуляция чыгымын да өзгөртөт.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Ошол эле тестти бирдей жүктөм узундугу жана узактыгы менен эки жолу иштетиңиз, анткени бир иштетүү төбөнү жаман мүнөттөн ажырата албайт. Эгер кабыл алуучу жөнөтүүчү жөнөткөндөн аз пакет билдирсе, жоготуу — сиздин тыянагыңыз, ал эми крипто кыймылдаткычы анын бир нече талапкеринин бири гана.
Бир нерсени жөндөөдөн мурун ажырымды түшүндүрүңүз
Кайра жөнөтүү саясатын, кезек таштоолорун, интерфейс каталарын жана ресурс чектөөлөрүн шифрлөө жолу менен бирге текшериңиз, анткени жалгыз ылдамдык тартыштыгы эч качан процессорду аныктабайт. Эсеп катмарларын да ачык кармаңыз: сырткы туннелдин байттарына инкапсуляция кирет, ал эми кайра жөнөтүүлөр ички жана сырткы эсептегичтердин ортосундагы катышты жылдырат. Байланышы жок эсептегичтерди байт-байт салыштыруу эч качан болбогон дал келбестик жаратат.
Пакеттин өлчөмү эски мисалдан көчүрүлгөн сандын ордуна өзүнүн көзөмөлдөнгөн салыштыруусуна татыктуу. TCP MSS TCPни жөндөйт жана эркин UDP датаграммаларына эч кандай таасир этпейт, ошондуктан эски документтен алынган катуу 1350 эч нерсени өлчөбөйт. Жүктөм узундугун атайылап өзгөртүп, кабыл алуучу эмнени билдирерин байкаңыз.
Бир өзгөрмөнү өзгөртүп, иш жүктөмүн сактаңыз
Базалык сызык тар тилкеде кайталанганда, колдоого алынган бир өзгөрмөнү өзгөртүп, баштапкы колдонмо тапшырмасын кайра иштетиңиз. Санды себепке айландырган кадам — ушул жана конфигурацияга тийүүнү ошол гана актайт. Ыңгайлуураак жүктөмдүн ордуна ошол эле жүктөмдү кайталаңыз.
Синтетикалык санды чоңойтуу үчүн сунуштардан баш тартпаңыз, аутентификацияны алсыратпаңыз жана коргоону өчүрбөңүз. Бул аракеттер коопсуздук абалын өзгөртүп, анан ошол өзгөрүүнүн натыйжасын өлчөйт, туннелдин сыйымдуулугун эмес.