IPsec pralaidumas mažesnis nei tikėtasi? Pirmiausia patikrinkite aktyvią SA
Ilgas transformacijų sąrašas nėra ta sesija, kuri apsaugo jūsų perdavimą. Užregistruokite suderintą SA, naudingosios apkrovos dydį ir faktiškai pristatytą spartą, prieš kaltindami šifravimą.
Konfigūracija siūlo aštuonias transformacijas, kažkas perskaito stipriausią, ir pralaidumo skaičius priskiriamas būtent jai. Tunelis greičiausiai nepasirinko tos transformacijos ir neatliko to darbo krūvio, kurį kas nors įsivaizdavo. Suderinta yra viena įtrauka iš šio sąrašo, su vienu paketo dydžiu, viena kryptimi, viename kūrinyje. Išmatuokite tai, ir diskusija apie algoritmus paprastai baigiasi prieš prasidedant.
Simptomas: skaičius, mažesnis už tai, ką žada konfigūracija
Ilgas transformacijų sąrašas apibūdina galimybes, ir kiekviena galimybė vertinama popieriuje, o ne šioje aparatinėje įrangoje. Suderintas rezultatas yra viena kombinacija, kurią priėmė abi pusės, ir ji gali būti silpniausia, kurią kiekviena pusė dar leidžia dėl suderinamumo. Ką ši kombinacija pasiekia, priklauso nuo offload būsenos, paketo dydžio ir eilės elgsenos, todėl du įrenginiai su identišku politikos failu gali atsidurti labai toli vienas nuo kito. Sąrašas yra meniu; asociacija yra užsakymas, kuris grįžo.
Sąrašo skaitymas pasako, kas galėjo būti pasirinkta. Asociacijos skaitymas pasako, kas iš tikrųjų neša perdavimą, ir tik tai apibūdina pralaidumo skaičių. Kiekvienas derinimo žingsnis, prasidedantis nuo sąrašo, yra spėjimas su papildomu popierizmu.
Užregistruokite asociaciją, kuri neša šį perdavimą
ASA įrenginyje show crypto ipsec sa išvardija aktyvias asociacijas su jų transformacijomis ir krypties skaitikliais, o komandų žinynas Cisco dokumentuoja šią išvestį. Pasirinkite partnerį ir kryptį, kurie svarbūs, ir atkreipkite dėmesį, kad raktų pakartotinis derinimas pakeičia asociaciją ir iš naujo nustato jos skaitiklius, o tai tyliai panaikina bazinę liniją, kuria dar pasitikėjote. Išsaugokite išvestį prie testo užrašų, kad kitas paleidimas turėtų ką palyginti. Asociacijos identifikatorius, kuris slenka tarp paleidimų, daro kiekvieną vėlesnį palyginimą beprasmį.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Penkių eilučių pakanka, kad matavimas būtų pakartojamas, ir kiekviena eilutė atmeta konkrečią paaiškinimą, kai jos trūksta. Nė viena nėra pasiūlymų sąrašo įtrauka, nes sąrašas negali pasakyti, kas šiuo metu saugo jūsų baitus. Užpildykite lentelę vieną kartą, ir kitas incidentas prasidės nuo duomenų, o ne nuo naujos diskusijos apie algoritmus.
Prieigos linijos eilutė yra ta, kurią žmonės praleidžia, ir būtent ji dažniausiai paaiškina atotrūkį, kuris atrodo kriptografinis. Prisotintas pagrindinis tinklas arba kelyje esantis policininkas sukuria tą pačią simptomo formą kaip lėtas variklis.
Išmatuokite vieną kryptį su kontroliuojama apkrova
Paleiskite testą iš LAN galinio taško, kuris atstovauja programai, o ne iš paties šliuzo, nes šliuzo sukurtas zondas gali laikytis kitos vietinės politikos. Išmatuokite vieną kryptį prieš pridėdami antrą srautą ir užregistruokite tiek siūlomą spartą, tiek tai, ką imtuvas faktiškai gavo. Spartos apribotas UDP paleidimas atskiria siūlomą apkrovą nuo TCP perkrovos atsako, o neribotas UDP siuntėjas nėra neutrali diagnostika. Užregistruokite ir naudingosios apkrovos ilgį, nes didesnė datagrama keičia tiek paketų spartą, tiek inkapsuliavimo sąnaudas.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Paleiskite tą patį testą du kartus su tuo pačiu naudingosios apkrovos ilgiu ir trukme, nes vienas paleidimas neatskiria lubų nuo blogos minutės. Jei imtuvas praneša mažiau paketų nei siuntėjas išsiuntė, nuostoliai yra jūsų radinys, o šifravimo variklis tėra vienas iš kelių kandidatų.
Paaiškinkite atotrūkį prieš ką nors derindami
Patikrinkite persiuntimo politiką, eilės metimus, sąsajos klaidas ir išteklių ribas kartu su šifravimo keliu, nes vien spartos trūkumas niekada neidentifikuoja procesoriaus. Laikykite aiškius ir apskaitos sluoksnius: išorinio tunelio baitai apima inkapsuliavimą, o pakartotiniai siuntimai pastumia vidinių ir išorinių skaitiklių santykį. Nesusijusių skaitiklių baitas po baito palyginimas sukuria neatitikimą, kurio niekada nebuvo.
Paketo dydis nusipelno savo kontroliuojamo palyginimo, o ne skaičiaus, nukopijuoto iš seno pavyzdžio. TCP MSS koreguoja TCP ir neturi jokios įtakos savavališkoms UDP datagramoms, todėl fiksuota 1350, perkelta iš seno dokumento, nematuoja visiškai nieko. Tyčia pakeiskite naudingosios apkrovos ilgį ir stebėkite, ką praneša imtuvas.
Pakeiskite vieną kintamąjį ir išlaikykite darbo krūvį
Kai bazinė linija kartojasi siauroje juostoje, pakeiskite vieną palaikomą kintamąjį ir dar kartą paleiskite pradinę programos užduotį. Šis žingsnis paverčia skaičių priežastimi, ir tik jis pateisina konfigūracijos keitimą. Pakartokite tą patį darbo krūvį, o ne patogesnį.
Nepanaikinkite pasiūlymų, nesusilpninkite autentifikavimo ir neišjunkite apsaugos, kad padidintumėte sintetinį skaičių. Šie veiksmai pakeičia saugumo padėtį ir tada matuoja to pokyčio rezultatą, o ne tunelio talpą.