IPsec ത്രൂപുട്ട് പ്രതീക്ഷിച്ചതിലും കുറവാണോ? ആദ്യം സജീവ SA പരിശോധിക്കുക
നീണ്ട രൂപാന്തരണ ലിസ്റ്റ് നിങ്ങളുടെ കൈമാറ്റം സംരക്ഷിക്കുന്ന സെഷൻ അല്ല. എൻക്രിപ്ഷനെ കുറ്റപ്പെടുത്തുന്നതിന് മുമ്പ് ചർച്ച ചെയ്ത SA, പേലോഡ് വലുപ്പം, യഥാർത്ഥത്തിൽ എത്തിയ നിരക്ക് എന്നിവ രേഖപ്പെടുത്തുക.
കോൺഫിഗറേഷൻ എട്ട് രൂപാന്തരണങ്ങൾ വാഗ്ദാനം ചെയ്യുന്നു, ആരോ ഏറ്റവും ശക്തമായത് വായിക്കുന്നു, ത്രൂപുട്ട് സംഖ്യ അതിനോട് ചേർത്തു വയ്ക്കുന്നു. ടണൽ ആ രൂപാന്തരണം തിരഞ്ഞെടുത്തിരിക്കാൻ സാധ്യതയില്ല, ആരോ സങ്കൽപ്പിച്ച ജോലിഭാരവും അത് നടത്തിയിട്ടില്ല. ചർച്ച ചെയ്തത് ഈ ലിസ്റ്റിലെ ഒരു എൻട്രിയാണ്, ഒരു പാക്കറ്റ് വലുപ്പം, ഒരു ദിശ, ഒരു ബിൽഡിൽ. അത് അളക്കുക, അൽഗോരിതങ്ങളെപ്പറ്റിയുള്ള തർക്കം സാധാരണയായി തുടങ്ങുന്നതിന് മുമ്പേ അവസാനിക്കും.
ലക്ഷണം: കോൺഫിഗറേഷൻ വാഗ്ദാനം ചെയ്തതിനേക്കാൾ കുറഞ്ഞ സംഖ്യ
നീണ്ട രൂപാന്തരണ ലിസ്റ്റ് സാധ്യതകൾ വിവരിക്കുന്നു, ഓരോ സാധ്യതയും ഈ ഹാർഡ്‌വെയറിൽ അല്ല, കടലാസിൽ വിലയിരുത്തുന്നു. ചർച്ച ചെയ്ത ഫലം ഇരുവിഭാഗവും അംഗീകരിച്ച ഒരൊറ്റ സംയോജനമാണ്, അത് ഏതെങ്കിലും വിഭാഗം പൊരുത്തപ്പെടുത്തലിനായി ഇപ്പോഴും അനുവദിക്കുന്ന ഏറ്റവും ദുർബലമായതാകാം. ആ സംയോജനം എന്ത് നേടുന്നു എന്നത് ഓഫ്‌ലോഡ് അവസ്ഥ, പാക്കറ്റ് വലുപ്പം, ക്യൂ പെരുമാറ്റം എന്നിവയെ ആശ്രയിച്ചിരിക്കുന്നു, അതിനാൽ ഒരേ പോളിസി ഫയലുള്ള രണ്ട് ഉപകരണങ്ങൾ വളരെ ദൂരെ എത്താം. ലിസ്റ്റ് ഒരു മെനുവാണ്; സംയോജനം തിരികെ വന്ന ഓർഡറാണ്.
ലിസ്റ്റ് വായിക്കുന്നത് എന്ത് തിരഞ്ഞെടുക്കാമായിരുന്നു എന്ന് പറയുന്നു. സംയോജനം വായിക്കുന്നത് കൈമാറ്റം യഥാർത്ഥത്തിൽ എന്താണ് വഹിക്കുന്നത് എന്ന് പറയുന്നു, ത്രൂപുട്ട് സംഖ്യ വിവരിക്കുന്നത് അത് മാത്രമാണ്. ലിസ്റ്റിൽ നിന്ന് തുടങ്ങുന്ന ഓരോ ട്യൂണിംഗ് ഘട്ടവും അധിക കടലാസുപണിയുള്ള ഒരു ഊഹമാണ്.
ഈ കൈമാറ്റം വഹിക്കുന്ന സംയോജനം രേഖപ്പെടുത്തുക
ഒരു ASA യിൽ show crypto ipsec sa സജീവ സംയോജനങ്ങൾ അവയുടെ രൂപാന്തരണങ്ങളും ഓരോ ദിശയിലെ കൗണ്ടറുകളും സഹിതം ലിസ്റ്റ് ചെയ്യുന്നു, കൂടാതെ കമാൻഡ് റഫറൻസ് Cisco ആ ഔട്ട്‌പുട്ട് പ്രമാണീകരിക്കുന്നു. പ്രധാനമായ പിയറും ദിശയും തിരഞ്ഞെടുക്കുക, കീ പുനർച്ചർച്ച അസോസിയേഷനെ മാറ്റി അതിന്റെ കൗണ്ടറുകൾ പുനഃസജ്ജീകരിക്കുന്നു എന്ന് ശ്രദ്ധിക്കുക—ഇത് നിങ്ങൾ ഇപ്പോഴും വിശ്വസിച്ച അടിസ്ഥാന രേഖയെ നിശ്ശബ്ദമായി അസാധുവാക്കുന്നു. അടുത്ത ഓട്ടത്തിന് താരതമ്യം ചെയ്യാൻ എന്തെങ്കിലും ഉണ്ടാകാൻ ഔട്ട്‌പുട്ട് പരീക്ഷണ കുറിപ്പുകൾക്കൊപ്പം സൂക്ഷിക്കുക. ഓട്ടങ്ങൾക്കിടയിൽ മാറുന്ന അസോസിയേഷൻ ഐഡന്റിഫയർ തുടർന്നുള്ള എല്ലാ താരതമ്യങ്ങളെയും അർത്ഥശൂന്യമാക്കുന്നു.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
അഞ്ച് വരികൾ അളവ് പുനരാവർത്തിക്കാൻ മതി, ഓരോ വരിയും ഇല്ലാത്തപ്പോൾ ഒരു പ്രത്യേക വിശദീകരണം ഒഴിവാക്കുന്നു. ഇവയൊന്നും നിർദ്ദേശ ലിസ്റ്റിലെ എൻട്രിയല്ല, കാരണം ഇപ്പോൾ നിങ്ങളുടെ ബൈറ്റുകളെ എന്താണ് സംരക്ഷിക്കുന്നത് എന്ന് ലിസ്റ്റിന് പറയാനാവില്ല. പട്ടിക ഒരിക്കൽ നിറയ്ക്കുക, അടുത്ത സംഭവം അൽഗോരിതങ്ങളെപ്പറ്റിയുള്ള പുതിയ തർക്കത്തിൽ നിന്നല്ല, ഡാറ്റയിൽ നിന്ന് തുടങ്ങും.
ആക്സസ് ലിങ്ക് വരി ആളുകൾ ഒഴിവാക്കുന്ന വരിയാണ്, കൂടാതെ എൻക്രിപ്ഷൻ പോലെ തോന്നുന്ന വിടവ് പലപ്പോഴും വിശദീകരിക്കുന്നതും അതുതന്നെ. പൂരിതമായ അണ്ടർലേ അല്ലെങ്കിൽ വഴിയിലെ പോലീസർ മന്ദഗതിയിലുള്ള എൻജിൻ പോലെയുള്ള ലക്ഷണ രൂപം ഉൽപ്പാദിപ്പിക്കുന്നു.
നിയന്ത്രിത ലോഡ് ഉപയോഗിച്ച് ഒരു ദിശ അളക്കുക
പരീക്ഷണം ഗേറ്റ്‌വേയിൽ നിന്നല്ല, അപ്ലിക്കേഷനെ പ്രതിനിധീകരിക്കുന്ന LAN അറ്റത്തുനിന്ന് നടത്തുക, കാരണം ഗേറ്റ്‌വേ സൃഷ്ടിക്കുന്ന പ്രോബ് മറ്റൊരു പ്രാദേശിക നയം പിന്തുടരാം. രണ്ടാമത്തെ സ്ട്രീം ചേർക്കുന്നതിന് മുമ്പ് ഒരു ദിശ അളക്കുക, വാഗ്ദാനം ചെയ്ത നിരക്കും സ്വീകർത്താവിന് യഥാർത്ഥത്തിൽ ലഭിച്ചതും രേഖപ്പെടുത്തുക. നിരക്ക് പരിമിതമായ UDP ഓട്ടം വാഗ്ദാനം ചെയ്ത ലോഡിനെ TCP യുടെ തിരക്ക് പ്രതികരണത്തിൽ നിന്ന് വേർതിരിക്കുന്നു, പരിധിയില്ലാത്ത UDP അയയ്ക്കുന്നയാൾ നിഷ്പക്ഷ രോഗനിർണയമല്ല. പേലോഡ് നീളവും രേഖപ്പെടുത്തുക, കാരണം വലിയ ഡാറ്റാഗ്രാം പാക്കറ്റ് നിരക്കും എൻകാപ്സുലേഷൻ ഓവർഹെഡും മാറ്റുന്നു.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30അതേ പേലോഡ് നീളത്തിലും അതേ ദൈർഘ്യത്തിലും അതേ പരീക്ഷണം രണ്ടുതവണ നടത്തുക, കാരണം ഒരു ഓട്ടത്തിന് മുകളിലെ പരിധിയെ ഒരു മോശം മിനിറ്റിൽ നിന്ന് വേർതിരിക്കാനാവില്ല. സ്വീകർത്താവ് അയച്ചയാൾ അയച്ചതിനേക്കാൾ കുറഞ്ഞ പാക്കറ്റുകൾ റിപ്പോർട്ട് ചെയ്താൽ, നഷ്ടം നിങ്ങളുടെ കണ്ടെത്തലാണ്, എൻക്രിപ്ഷൻ എൻജിൻ അതിന്റെ പല സ്ഥാനാർത്ഥികളിൽ ഒന്ന് മാത്രമാണ്.
എന്തെങ്കിലും ട്യൂൺ ചെയ്യുന്നതിന് മുമ്പ് വിടവ് വിശദീകരിക്കുക
ഫോർവേഡിംഗ് നയം, ക്യൂ ഡ്രോപ്പുകൾ, ഇന്റർഫേസ് പിശകുകൾ, വിഭവ പരിധികൾ എന്നിവ എൻക്രിപ്ഷൻ പാതയോടൊപ്പം പരിശോധിക്കുക, കാരണം നിരക്കിലെ കുറവ് മാത്രം ഒരിക്കലും CPU കണ്ടെത്തുന്നില്ല. അക്കൗണ്ടിംഗ് പാളികളും വ്യക്തമായി സൂക്ഷിക്കുക: പുറം ടണൽ ബൈറ്റുകളിൽ എൻകാപ്സുലേഷൻ ഉൾപ്പെടുന്നു, പുനഃപ്രേഷണങ്ങൾ ആന്തരിക-ബാഹ്യ കൗണ്ടറുകളുടെ ബന്ധം മാറ്റുന്നു. ബന്ധമില്ലാത്ത കൗണ്ടറുകൾ ബൈറ്റ്-ബൈറ്റ് താരതമ്യം ചെയ്യുന്നത് ഉണ്ടായിട്ടില്ലാത്ത ഒരു വ്യത്യാസം സൃഷ്ടിക്കുന്നു.
പാക്കറ്റ് വലുപ്പം പഴയ ഉദാഹരണത്തിൽ നിന്ന് പകർത്തിയ സംഖ്യയേക്കാൾ സ്വന്തം നിയന്ത്രിത താരതമ്യത്തിന് അർഹമാണ്. TCP MSS TCP ക്രമീകരിക്കുന്നു, അനിയന്ത്രിത UDP ഡാറ്റാഗ്രാമുകളിൽ യാതൊരു സ്വാധീനവുമില്ല, അതിനാൽ പഴയ രേഖയിൽ നിന്ന് എടുത്ത സ്ഥിരമായ 1350 ഒന്നും അളക്കുന്നില്ല. പേലോഡ് നീളം ഉദ്ദേശ്യപൂർവം മാറ്റി സ്വീകർത്താവ് എന്ത് റിപ്പോർട്ട് ചെയ്യുന്നു എന്ന് നോക്കുക.
ഒരു ചരം മാറ്റി ജോലിഭാരം നിലനിർത്തുക
അടിസ്ഥാന രേഖ ഇടുങ്ങിയ പട്ടിയിൽ ആവർത്തിക്കുമ്പോൾ, പിന്തുണയുള്ള ഒരു ചരം മാറ്റി യഥാർത്ഥ അപ്ലിക്കേഷൻ ജോലി വീണ്ടും നടത്തുക. ആ ഘട്ടമാണ് സംഖ്യയെ കാരണമാക്കി മാറ്റുന്നത്, കോൺഫിഗറേഷനെ സ്പർശിക്കാൻ ന്യായീകരണം നൽകുന്നതും അത് മാത്രമാണ്. കൂടുതൽ സൗകര്യപ്രദമായ ജോലിഭാരത്തിന് പകരം അതേ ഭാരം ആവർത്തിക്കുക.
കൃത്രിമ സംഖ്യ വലുതാക്കാൻ നിർദ്ദേശങ്ങൾ പിൻവലിക്കരുത്, പ്രാമാണീകരണം ദുർബലമാക്കരുത്, സംരക്ഷണം ഓഫാക്കരുത്. ആ നടപടികൾ സുരക്ഷാ നിലപാട് മാറ്റി പിന്നീട് ആ മാറ്റത്തിന്റെ ഫലം അളക്കുന്നു, ടണലിന്റെ ശേഷിയല്ല.