IPsec-ийн дамжуулах чадвар хүлээгдэж байснаас бага уу? Эхлээд идэвхтэй SA-г шалгаарай
Урт хувиргалтын жагсаалт нь таны дамжуулалтыг хамгаалж буй сесс биш. Шифрлэлтийг буруутгахаас өмнө тохиролцсон SA, ачааллын хэмжээ, бодит хүргэгдсэн хурдыг тэмдэглээрэй.
Тохиргоо найман хувиргалт санал болгодог, хэн нэгэн хамгийн хүчтэйг нь уншиж, дамжуулах чадварын тоог түүнд холбодог. Туннель тэр хувиргалтыг сонгоогүй байх магадлалтай бөгөөд хэн нэгний төсөөлсөн ажлын ачааллыг ч гүйцэтгээгүй. Тохиролцсон зүйл бол энэ жагсаалтын нэг бичлэг, нэг пакетын хэмжээ, нэг чиглэл, нэг бүтээц дээр. Үүнийг хэмжиж үзвэл алгоритмын тухай маргаан ихэвчлэн эхлэхээс өмнө дуусдаг.
Шинж тэмдэг: тохиргооны амласнаас бага тоо
Урт хувиргалтын жагсаалт боломжуудыг дүрсэлдэг бөгөөд боломж бүрийг энэ техник хангамж дээр биш, цаасан дээр үнэлдэг. Тохиролцсон үр дүн нь хоёр тал хүлээн зөвшөөрсөн ганц хослол бөгөөд энэ нь нийцтэй байдлын үүднээс аль ч талын зөвшөөрч буй хамгийн сул хослол байж болно. Энэ хослол юу хийж чадах нь offload төлөв, пакетын хэмжээ, дарааллын зан төлөвөөс хамаардаг тул ижил бодлогын файлтай хоёр төхөөрөмж нэг нэгнээсээ маш хол явж болно. Жагсаалт бол цэс; холбоо бол буцаж ирсэн захиалга.
Жагсаалтыг унших нь юу сонгогдож болохыг хэлнэ. Холбоог унших нь дамжуулалтыг үнэхээр юу зөөж буйг хэлнэ, зөвхөн үүнийг л дамжуулах чадварын тоо дүрсэлдэг. Жагсаалтаас эхэлсэн тохируулгын алхам бүр нэмэлт бичиг баримттай таамаг юм.
Энэ дамжуулалтыг зөөж буй холбоог тэмдэглээрэй
ASA төхөөрөмж дээр show crypto ipsec sa идэвхтэй холбоонуудыг тэдгээрийн хувиргалт болон чиглэл тус бүрийн тоолуурын хамт жагсааж, харин тушаалын лавлагаа Cisco энэ гаралтыг баримтжуулдаг. Чухал үүрэг гүйцэтгэгч болон чиглэлийг сонгоод, түлхүүрийн дахин тохиролцоо нь холбоог сольж, тоолуурыг нь тэглэдэг бөгөөд энэ нь таны одоо хүртэл найдаж байсан суурь шугамыг чимээгүйгээр хүчингүй болгодог гэдгийг анхаараарай. Гаралтыг туршилтын тэмдэглэлийн хажууд хадгалж, дараагийн ажиллуулалт харьцуулах зүйлтэй байг. Ажиллуулалтуудын хооронд шилжих холбооны танигч аливаа дараагийн харьцуулалтыг утгагүй болгодог.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Таван мөр хэмжилтийг давтагдахуйц болгоход хангалттай бөгөөд мөр бүр байхгүй үед тодорхой тайлбарыг үгүйсгэдэг. Аль нь ч саналын жагсаалтын бичлэг биш, учир нь жагсаалт яг одоо таны байтуудыг юу хамгаалж байгааг хэлж чадахгүй. Хүснэгтийг нэг удаа бөглөвөл дараагийн тохиолдол алгоритмын тухай шинэ маргаан биш харин өгөгдлөөс эхэлнэ.
Хандалтын холбоосын мөр бол хүмүүсийн алгасаж буй мөр, мөн шифрлэлтийн мэт харагдах зөрүүг ихэвчлэн тайлбарладаг нь тэр. Ханасан доод сүлжээ эсвэл замын дагуух полицейский удаан хөдөлгүүртэй ижил шинж тэмдгийн хэлбэрийг үүсгэдэг.
Хяналттай ачааллаар нэг чиглэлийг хэмжинэ
Туршилтыг гарцаас биш, програмыг төлөөлж буй LAN-ийн төгсгөлийн цэгээс ажиллуул, учир нь гарцын үүсгэсэн проб өөр орон нутгийн бодлогыг дагаж болно. Хоёр дахь урсгал нэмэхийн өмнө нэг чиглэлийг хэмжиж, санал болгосон хурд болон хүлээн авагч бодитоор авсан зүйлийг хоёуланг нь тэмдэглэ. Хурдны хязгаартай UDP ажиллуулалт санал болгосон ачааллыг TCP-ийн гацалтын хариунаас тусгаарладаг бол хязгааргүй UDP илгээгч төвийг сахисан онош биш юм. Ачааллын уртыг ч тэмдэглэ, учир нь том датаграм нь пакетын хурд болон инкапсуляцийн зардлыг хоёуланг нь өөрчилдөг.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Нэг ачааллын урт, нэг үргэлжлэх хугацаатай ижил туршилтыг хоёр удаа ажиллуул, учир нь нэг ажиллуулалт дээд хязгаарыг муу минутаас ялгаж чадахгүй. Хэрэв хүлээн авагч илгээгчийн илгээснээс цөөн пакет мэдээлбэл, алдагдал бол таны дүгнэлт, шифрлэлтийн хөдөлгүүр түүний хэд хэдэн нэр дэвшигчийн зөвхөн нэг нь юм.
Ямар нэг зүйлийг тохируулахын өмнө зөрүүг тайлбарла
Дамжуулах бодлого, дарааллын уналт, интерфейсийн алдаа, нөөцийн хязгаарыг шифрлэлтийн замтай хамт шалга, учир нь зөвхөн хурдны дутагдал хэзээ ч процессорыг тодорхойлдоггүй. Бүртгэлийн давхаргуудыг ч тодорхой байлга: гадаад туннелийн байтууд инкапсуляцийг агуулдаг бөгөөд дахин дамжуулалт нь дотоод болон гадаад тоолууруудын харьцааг зөрүүлдэг. Хамааралгүй тоолуурыг байт байтаар харьцуулах нь хэзээ ч байгаагүй зөрүүг бий болгодог.
Пакетын хэмжээ хуучин жишээнээс хуулсан тооноос илүү өөрийн хяналттай харьцуулалтыг хүртэх ёстой. TCP MSS нь TCP-г тохируулдаг бөгөөд дурын UDP датаграмд ямар ч нөлөөгүй тул хуучин баримт бичгээс авсан тогтмол 1350 нь юу ч хэмждэггүй. Ачааллын уртыг санаатайгаар өөрчилж, хүлээн авагч юу мэдээлж байгааг ажигла.
Нэг хувьсагчийг өөрчилж, ажлын ачааллыг хадгал
Суурь шугам нарийн зурваст давтагдсаны дараа дэмжигдсэн нэг хувьсагчийг өөрчилж, анхны програмын даалгаврыг дахин ажиллуул. Энэ алхам нь тоог шалтгаан болгон хувиргадаг бөгөөд тохиргоог хүрэх эрхийг зөвхөн энэ нь зөвтгөдөг. Илүү таатай ажлын ачааллын оронд ижил ачааллыг давта.
Синтетик тоог томруулахын тулд саналуудаас татгалзах, баталгаажуулалтыг сулруулах, хамгаалалтыг унтраах хэрэггүй. Эдгээр алхмууд нь аюулгүй байдлын байр суурийг өөрчилж, дараа нь тэр өөрчлөлтийн үр дүнг хэмждэг, туннелийн багтаамжийг биш.