Пропусната моќ на IPsec помала од очекуваното? Прво проверете ја активната SA
Долгата листа на трансформации не е сесијата што го штити вашиот пренос. Забележете ја договорената SA, големината на носивиот товар и навистина доставената брзина пред да го обвините шифрирањето.
Конфигурацијата нуди осум трансформации, некој ја чита најсилната и бројката за пропусната моќ се врзува за неа. Тунелот веројатно не ја избрал таа трансформација и не го извршил ни товарот што некој го замислил. Она што е договорено е еден запис од таа листа, со една големина на пакет, во еден правец, на една изградба. Измерете го тоа и расправата за алгоритмите обично завршува пред да почне.
Симптом: бројка под она што го ветува конфигурацијата
Долгата листа на трансформации опишува можности и секоја можност се оценува на хартија, а не на овој хардвер. Договорениот резултат е една комбинација што ја прифатија двете страни и може да биде најслабата што која било страна сѐ уште ја дозволува поради компатибилност. Што постигнува таа комбинација зависи од состојбата на offload, големината на пакетот и однесувањето на редот, па два уреда со идентична датотека со правила можат да завршат многу далеку еден од друг. Листата е мени; асоцијацијата е нарачката што се врати.
Читањето на листата ви кажува што можело да биде избрано. Читањето на асоцијацијата ви кажува што навистина го носи преносот, и само тоа го опишува бројката за пропусната моќ. Секој чекор за подесување што започнува од листата е претпоставка со дополнителна документација.
Забележете ја асоцијацијата што го носи овој пренос
На ASA уред show crypto ipsec sa ги наведува активните асоцијации со нивните трансформации и бројачи по правец, а референца за команди Cisco ја документира оваа излезна информација. Изберете го партнерот и правецот што се важни и имајте на ум дека повторното договарање клучеви ја заменува асоцијацијата и ги нулира нејзините бројачи, што тивко ја поништува основната линија на која сѐ уште се потпиравте. Зачувајте ја излезната информација до белешките од тестот за следното извршување да има што да спореди. Идентификатор на асоцијацијата што се менува меѓу извршувањата го прави секое подоцнежно споредување бесмислено.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Пет реда се доволни за мерењето да биде повторливо и секој ред исклучува конкретно објаснување кога недостасува. Ниту еден не е запис од листата со предлози, бидејќи листата не може да каже што ги штити вашите бајти во моментов. Пополнете ја табелата еднаш и следниот инцидент ќе започне со податоци, а не со нова расправа за алгоритмите.
Редот за пристапната врска е оној што луѓето го прескокнуваат, и токму тој најчесто објаснува јаз што изгледа криптографски. Заситен основен слој или полицаец по патеката создава ист облик на симптом како бавен мотор.
Измерете еден правец со контролиран товар
Стартувајте го тестот од крајна точка во LAN што ја претставува апликацијата, а не од самата порта, бидејќи сондата што ја создава портата може да следи друга локална политика. Измерете еден правец пред да додадете втор тек и забележете ја и понудената брзина и она што приемникот навистина го примил. Извршувањето UDP со ограничена брзина го одвојува понудениот товар од одговорот на TCP на заситување, додека неограничениот UDP испраќач не е неутрална дијагностика. Забележете ја и должината на носивиот товар, бидејќи поголем датаграм ја менува и брзината на пакетите и трошокот за капсулирање.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Извршете го истиот тест двапати со иста должина на носивиот товар и исто времетраење, бидејќи едно извршување не може да го одвои таванот од лоша минута. Ако приемникот пријави помалку пакети од она што го испратил испраќачот, загубата е вашиот наод, а криптографскиот мотор е само еден од неколкуте кандидати.
Објаснете го јазот пред да подесите нешто
Проверете ја политиката за препраќање, отфрлањата на редот, грешките на интерфејсот и ограничувањата на ресурсите заедно со патеката на шифрирање, бидејќи дефицитот на брзина сам по себе никогаш не идентификува процесор. Одржувајте ги и слоевите за пресметување експлицитни: бајтите на надворешниот тунел вклучуваат капсулирање, а повторните праќања ја поместуваат врската меѓу внатрешните и надворешните бројачи. Споредувањето на неповрзани бројачи бајт по бајт создава разлика што никогаш не постоела.
Големината на пакетот заслужува сопствено контролирано споредување, а не бројка препишана од стар пример. TCP MSS го прилагодува TCP и нема никакво влијание врз произволни UDP датаграми, па фиксна вредност 1350 пренесена од стар документ не мери апсолутно ништо. Променете ја должината на носивиот товар намерно и гледајте што пријавува приемникот.
Променете една променлива и задржете го товарот
Кога основната линија се повторува во тесен појас, променете една поддржана променлива и повторно извршете ја првобитната апликациска задача. Тој чекор ја претвора бројката во причина и единствен е што го оправдува допирањето на конфигурацијата. Повторете го истиот товар, а не поудобен.
Не повлекувајте предлози, не ослабувајте автентикација и не исклучувајте заштита за да зголемите синтетичка бројка. Тие потези ја менуваат безбедносната состојба и потоа го мерат резултатот од таа промена, а не капацитетот на тунелот.