IPsec-Duerchsetz méi niddereg wéi erwaart? Préift als éischt déi aktiv SA
Eng laang Transformatiounslëscht ass net d’Sessioun, déi Ären Transfer schützt. Registréiert déi ausgehandelt SA, d’Gréisst vum Payload an déi tatsächlech geliwwert Taux, ier Dir d’Verschlësselung beschëllegt.
D’Konfiguratioun bitt aacht Transformatiounen, een liest déi stäerkst an d’Duerchsetz-Zuel gëtt dorun ugehaangen. Den Tunnel huet wahrscheinlech déi Transformatioun net gewielt, an en huet och net déi Aarbechtslaascht gefuer, déi sech een virgestallt huet. Wat ausgehandelt gëtt, ass eng eenzeg Andro aus där Lëscht, mat enger Pakgréisst, an enger Richtung, op engem Build. Messt dat an d’Diskussioun iwwer Algorithmen endet meeschtens, ier se ufänkt.
D’Symptom: eng Zuel ënner deem, wat d’Konfiguratioun versprécht
Eng laang Transformatiounslëscht beschreift Méiglechkeeten, an all Méiglechkeet gëtt um Pabeier bewäertt amplaz op dëser Hardware. D’ausgehandelt Resultat ass eng eenzeg Kombinatioun, déi béid Säiten akzeptéiert hunn, an et kann déi schwaachst sinn, déi all Säit nach aus Kompatibilitéitsgrënn zouloossen. Wat déi Kombinatioun erreecht, hänkt vum Offload-Zoustand, der Pakgréisst an dem Queueverhalen of, soudatt zwou Apparater mat identescher Policy-Datei wäit auserneene konnte landen. D’Lëscht ass e Menü; d’Associatioun ass d’Bestellung, déi zréckkoum.
D’Lëscht liese seet Iech, wat hätt kënnen ausgewielt ginn. D’Associatioun liese seet Iech, wat den Transfer wierklech dréit, an nëmmen dat beschreift eng Duerchsetz-Zuel. All Upassungsschratt, dee vun der Lëscht ufänkt, ass eng Vermutung mat zousätzlecher Pabeieraarbecht.
Registréiert d’Associatioun, déi dësen Transfer dréit
Op enger ASA show crypto ipsec sa lëscht d’aktiv Associatiounen mat hire Transformatiounen an Teller pro Richtung op, an de Kommandoreferenz vum Cisco dokumentéiert dës Ausgab. Wielt de Peer an d’Richtung, déi wichteg sinn, a bemerkt, datt eng Rekey d’Associatioun ersetzt an hir Teller zrécksetzt, wat eng Basislinie, op déi Dir nach vertraut huet, stëll ongëlteg mécht. Späichert d’Ausgab nieft den Testnotizen, sou datt déi nächst Ausféierung eppes ze vergläichen huet. En Associatiouns-Identifiant, deen tëscht Ausféierungen drifft, mécht all spéider Verglach sënnlos.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Fënnef Reie sinn duergeet, fir eng Miessung reproduzéierbar ze maachen, an all Rei schléisst eng spezifesch Erklärung aus, wann se feelt. Keng dovun ass eng Andro aus der Virschlaglëscht, well d’Lëscht net ka soen, wat Är Byten elo schützt. Fëllt den Table eemol aus an de nächsten Tëschefall fänkt mat Daten un amplaz mat enger neier Diskussioun iwwer Algorithmen.
D’Rei vum Access-Link ass déi, déi d’Leit iwwersprangen, an et ass déi, déi am dacksten eng Lück erklärt, déi kryptografesch ausgesäit. En saturéierten Underlay oder e Policer laanscht de Wee produzéiert déiselwecht Symptomform wéi eng lues Maschinn.
Messt eng Richtung mat enger kontrolléierter Laascht
Féiert den Test vun engem LAN-Endpunkt aus, deen d’Applikatioun representéiert, amplaz vum Gateway selwer, well eng vum Gateway generéiert Sonde kann en aner lokal Policy befollegen. Messt eng Richtung, ier Dir en zweete Stream bäisetzt, a registréiert souwuel déi ugebueden Taux wéi och dat, wat den Empfänger tatsächlech kritt huet. Eng tauxbegrenzt UDP-Ausféierung trennt déi ugebueden Laascht vun der TCP-Stauantwort, wärend en onbegrenzten UDP-Sender keng neutral Diagnos ass. Registréiert och d’Payload-Längt, well en gréisseren Datagramm souwuel d’Pakstaux wéi och den Encapsulatiouns-Overhead ännert.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Féiert deen selwechten Test zweemol mat der selwechter Payload-Längt an Dauer aus, well eng eenzeg Ausféierung en Uewerlimit net vun enger schlechter Minutt trenne kann. Wann den Empfänger manner Päck mellt wéi de Sender geschéckt huet, ass de Verloscht Äre Befund, an de Krypto-Motor ass just ee vu verschiddene Kandidaten.
Erkläert d’Lück, ier Dir eppes upasst
Préift Forwarding-Policy, Queue-Drops, Interface-Feeler a Ressourcegrenzen zesumme mam Verschlësselungswee, well en Tauxdefizit eleng ni eng CPU identifizéiert. Halt och d’Comptabilitéitsschichten explizit: baussecht Tunnelbyten enthalen d’Encapsulatioun, an d’Retransmissioune réckelen d’Verhältnis tëscht banneschten an baussechten Teller. Byte fir Byte Verglach vun net verbonnene Teller fabrizéiert eng Diskrepanz, déi et ni gouf.
D’Pakgréisst verdéngt hire eegene kontrolléierte Verglach amplaz eng Zuel, déi aus engem ale Beispill kopéiert gouf. TCP MSS passt TCP un an huet keen Effekt op willkürlech UDP-Datagrammen, soudatt en fixe 1350 aus engem ale Dokument guer näischt misst. Ännert d’Payload-Längt bewosst a kuckt, wat den Empfänger mellt.
Ännert eng Variabel a behält d’Aarbechtslaascht
Wann d’Basislinie sech an engem schmuele Band widderhëlt, ännert eng ënnerstëtzt Variabel a féiert déi ursprénglech Applikatiounsaufgab nach eng Kéier aus. Dee Schratt mécht aus enger Zuel eng Ursaach, an nëmmen e gerechtfertegt d’Konfiguratioun ze beréieren. Widderhëlt déiselwecht Aarbechtslaascht amplaz eng méi frëndlech.
Zieft keng Virschléi zréck, schwächt d’Authentifikatioun net a schalt de Schutz net aus, fir eng synthetesch Zuel méi grouss ze maachen. Déi Beweegungen änneren d’Sécherheetspositioun a moossen da just d’Resultat vun där Ännerung, net d’Kapazitéit vum Tunnel.