IPsec caurlaidspēja zemāka par gaidīto? Vispirms pārbaudiet aktīvo SA
Gars transformāciju saraksts nav tā sesija, kas aizsargā jūsu pārsūtīšanu. Pirms vainot šifrēšanu, pierakstiet vienoto SA, lietderīgās kravas lielumu un faktiski piegādāto ātrumu.
Konfigurācija piedāvā astoņas transformācijas, kāds nolasa visspēcīgāko, un caurlaidspējas skaitlis tiek piesaistīts tieši tai. Tunelis, visticamāk, neizvēlējās šo transformāciju un arī neizpildīja to darba slodzi, ko kāds iztēlojās. Vienotā lieta ir viens ieraksts no šī saraksta, ar vienu paketes lielumu, vienā virzienā, vienā būvējumā. Izmēriet to, un diskusija par algoritmiem parasti beidzas pirms tā sākas.
Simptoms: skaitlis, kas ir mazāks par to, ko sola konfigurācija
Gars transformāciju saraksts apraksta iespējas, un katra iespēja tiek vērtēta uz papīra, nevis uz šīs aparatūras. Vienotais rezultāts ir viena kombinācija, ko pieņēma abas puses, un tā var būt vājākā, ko katra puse vēl pieļauj saderības dēļ. To, ko šī kombinācija sasniedz, nosaka offload stāvoklis, paketes lielums un rindas uzvedība, tāpēc divas ierīces ar identisku politikas failu var nonākt ļoti tālu viena no otras. Saraksts ir ēdienkarte; asociācija ir pasūtījums, kas atgriezās.
Saraksta lasīšana pasaka, ko varēja izvēlēties. Asociācijas lasīšana pasaka, kas pārsūtīšanu patiešām nes, un tikai to apraksta caurlaidspējas skaitlis. Katrs regulēšanas solis, kas sākas ar sarakstu, ir minējums ar papildu papīru darbu.
Pierakstiet asociāciju, kas nes šo pārsūtīšanu
ASA ierīcē show crypto ipsec sa uzskaita aktīvās asociācijas ar to transformācijām un skaitītājiem pa virzieniem, un komandu uzziņa Cisco dokumentē šo izvadi. Izvēlieties partneri un virzienu, kas ir svarīgi, un ņemiet vērā, ka atslēgu atkārtota vienošana aizstāj asociāciju un atiestata tās skaitītājus, kas klusi padara nederīgu bāzes līniju, uz kuru jūs vēl paļāvāties. Saglabājiet izvadi blakus testa piezīmēm, lai nākamajai palaišanai būtu ar ko salīdzināt. Asociācijas identifikators, kas mainās starp palaišanām, padara jebkuru vēlāku salīdzinājumu bezjēdzīgu.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Piecas rindas ir pietiekamas, lai mērījums būtu atkārtojams, un katra rinda izslēdz konkrētu skaidrojumu, kad tā trūkst. Neviena no tām nav priekšlikumu saraksta ieraksts, jo saraksts nevar pateikt, kas šobrīd aizsargā jūsu baitus. Aizpildiet tabulu vienreiz, un nākamais incidents sāksies ar datiem, nevis ar jaunu strīdu par algoritmiem.
Pieejas līnijas rinda ir tā, ko cilvēki izlaiž, un tieši tā visbiežāk izskaidro plaisu, kas izskatās kriptogrāfiska. Piesātināts pamattīkls vai policier ceļā rada tādu pašu simptoma formu kā lēns dzinējs.
Izmēriet vienu virzienu ar kontrolētu slodzi
Palaidiet testu no LAN gala punkta, kas pārstāv lietojumprogrammu, nevis no paša vārtejas, jo vārtejas radītais zondes tests var sekot citai vietējai politikai. Izmēriet vienu virzienu pirms otrā plūsma pievienošanas un pierakstiet gan piedāvāto ātrumu, gan to, ko uztvērējs faktiski saņēma. Ātruma ierobežota UDP palaišana atdala piedāvāto slodzi no TCP sastrēguma atbildes, savukārt neierobežots UDP sūtītājs nav neitrāla diagnostika. Pierakstiet arī lietderīgās kravas garumu, jo lielāka datagramma maina gan pakešu ātrumu, gan iekapsulēšanas papildu izmaksas.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Palaidiet to pašu testu divas reizes ar to pašu lietderīgās kravas garumu un ilgumu, jo viena palaišana nevar atdalīt griestus no sliktas minūtes. Ja uztvērējs ziņo par mazāk paketēm, nekā sūtītājs nosūtīja, zudums ir jūsu atradums, un šifrēšanas dzinējs ir tikai viens no vairākiem kandidātiem.
Izskaidrojiet plaisu, pirms kaut ko regulējat
Pārbaudiet pārsūtīšanas politiku, rindas nomešanu, saskarnes kļūdas un resursu ierobežojumus kopā ar šifrēšanas ceļu, jo ātruma deficits pats par sevi nekad neidentificē procesoru. Saglabājiet skaidras arī uzskaites kārtas: ārējā tuneļa baiti ietver iekapsulēšanu, un atkārtotas pārsūtīšanas pārbīda attiecību starp iekšējiem un ārējiem skaitītājiem. Nesaistītu skaitītāju baitu pa baitam salīdzināšana rada neatbilstību, kuras nekad nav bijis.
Paketes lielums ir pelnījis savu kontrolēto salīdzinājumu, nevis skaitli, kas nokopēts no veca piemēra. TCP MSS pielāgo TCP un neietekmē patvaļīgas UDP datagrammas, tāpēc no veca dokumenta pārnestā fiksētā vērtība 1350 nemēra absolūti neko. Apzināti mainiet lietderīgās kravas garumu un vērojiet, ko ziņo uztvērējs.
Mainiet vienu mainīgo un saglabājiet darba slodzi
Kad bāzes līnija atkārtojas šaurā joslā, mainiet vienu atbalstītu mainīgo un palaidiet sākotnējo lietojumprogrammas uzdevumu vēlreiz. Šis solis pārvērš skaitli cēlonī, un tikai tas attaisno konfigurācijas aizskaršanu. Atkārtojiet to pašu darba slodzi, nevis draudzīgāku.
Neatsakieties no priekšlikumiem, nevājiniet autentifikāciju un neizslēdziet aizsardzību, lai palielinātu sintētisku skaitli. Šie gājieni maina drošības stāvokli un pēc tam mēra šīs izmaiņas rezultātu, nevis tuneļa kapacitāti.