IPsec थ्रूपुट अपेक्षेपेक्षा कमी? आधी सक्रिय SA तपासा
लांब ट्रान्सफॉर्म यादी ही तुमची बदली संरक्षित करणारे सत्र नाही। एन्क्रिप्शनला दोष देण्यापूर्वी ठरलेली SA, पेलोड आकार आणि प्रत्यक्षात पोहोचलेला दर नोंदवा।
कॉन्फिगरेशन आठ ट्रान्सफॉर्म देते, कोणीतरी सर्वात मजबूत वाचतो आणि थ्रूपुटचा आकडा त्यावर टाकला जातो। टनेलने बहुधा तो ट्रान्सफॉर्म निवडला नाही आणि कोणीतरी कल्पना केलेला कामाचा भारही चालवला नाही। जे ठरले ते या यादीतील एक नोंद आहे, एक पॅकेट आकार, एक दिशा, एक बिल्ड। हे मोजा आणि अल्गोरिदमवरील वाद सहसा सुरू होण्याआधीच संपतो।
लक्षण: कॉन्फिगरेशनच्या वचनापेक्षा कमी आकडा
लांब ट्रान्सफॉर्म यादी शक्यता वर्णन करते आणि प्रत्येक शक्यता या हार्डवेअरवर नाही तर कागदावर मोजली जाते। ठरलेला निकाल हा दोन्ही बाजूंनी स्वीकारलेला एकच संयोजन आहे आणि तो सुसंगतीसाठी कोणतीही बाजू अजूनही परवानगी देते ते सर्वात कमकुवत संयोजन असू शकते। ते संयोजन काय साधते हे ऑफलोड स्थिती, पॅकेट आकार आणि रांगेच्या वर्तनावर अवलंबून आहे, त्यामुळे एकसारख्या धोरण फाइल असलेली दोन उपकरणे खूप दूर जाऊ शकतात। यादी म्हणजे मेनू; असोसिएशन म्हणजे परत आलेली ऑर्डर।
यादी वाचल्याने काय निवडले जाऊ शकले हे कळते। असोसिएशन वाचल्याने बदली प्रत्यक्षात काय नेत आहे हे कळते आणि थ्रूपुटचा आकडा केवळ त्याचेच वर्णन करतो। यादीपासून सुरू होणारे प्रत्येक ट्यूनिंग पाऊल अतिरिक्त कागदपत्रांसह एक अंदाज आहे।
ही बदली नेत असलेले असोसिएशन नोंदवा
ASA वर show crypto ipsec sa सक्रिय असोसिएशन त्यांच्या ट्रान्सफॉर्म आणि प्रति-दिशा काउंटरसह सूचीबद्ध करते आणि कमांड संदर्भ Cisco हे आउटपुट दस्तऐवजीकृत करते। महत्त्वाचे पीअर आणि दिशा निवडा आणि लक्षात ठेवा की की-रीके असोसिएशन बदलते आणि त्याचे काउंटर शून्य करते, ज्यामुळे तुम्ही अजूनही विश्वास ठेवलेला आधार रेषा गुपचूप अवैध होते। आउटपुट चाचणी नोंदींसोबत ठेवा जेणेकरून पुढच्या वेळी तुलना करायला काही असेल। धावांमध्ये बदलणारा असोसिएशन ओळखकर्ता पुढील प्रत्येक तुलनेला अर्थहीन करतो।
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
पाच ओळी मोजमाप पुनरावृत्तीयोग्य करण्यासाठी पुरतात आणि प्रत्येक ओळ अनुपस्थित असताना विशिष्ट स्पष्टीकरण वगळते। यापैकी कोणतीही प्रस्ताव-यादीतील नोंद नाही, कारण यादी आत्ता तुमच्या बाइट्सचे काय संरक्षण करत आहे हे सांगू शकत नाही। तक्ता एकदा भरा आणि पुढील घटना अल्गोरिदमवरील नव्या वादाऐवजी डेटाने सुरू होईल।
प्रवेश-लिंक ओळ ही लोक वगळतात ती आहे, आणि क्रिप्टोग्राफिक वाटणारे अंतर सहसा तीच स्पष्ट करते। संतृप्त अंडरले किंवा मार्गावरील पुलिसर हळू इंजिनसारखाच लक्षण-आकार निर्माण करतो।
नियंत्रित लोडसह एक दिशा मोजा
चाचणी गेटवेकडून नाही तर अनुप्रयोगाचे प्रतिनिधित्व करणाऱ्या LAN टोकावरून चालवा, कारण गेटवेने तयार केलेली प्रोब वेगळ्या स्थानिक धोरणाचे पालन करू शकते। दुसरा प्रवाह जोडण्यापूर्वी एक दिशा मोजा आणि दोन्ही नोंदवा: दिलेला दर आणि प्राप्तकर्त्याला प्रत्यक्षात काय मिळाले। दर-मर्यादित UDP धाव दिलेला लोड TCP च्या गर्दी-प्रतिक्रियेपासून वेगळा करते, तर अमर्यादित UDP प्रेषक तटस्थ निदान नाही। पेलोड लांबीही नोंदवा, कारण मोठा डेटाग्राम पॅकेट दर आणि एन्कॅप्सुलेशन ओव्हरहेड दोन्ही बदलतो।
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30तोच चाचणी दोन वेळा त्याच पेलोड लांबी आणि कालावधीसह चालवा, कारण एक धाव वरची मर्यादा खराब मिनिटापासून वेगळी करू शकत नाही। प्राप्तकर्त्याने प्रेषकाने पाठवलेल्यापेक्षा कमी पॅकेट सांगितले तर तोटा हा तुमचा निष्कर्ष आहे आणि क्रिप्टो इंजिन त्याच्या अनेक उमेदवारांपैकी एकच आहे।
काहीही ट्यून करण्यापूर्वी अंतर स्पष्ट करा
फॉरवर्डिंग धोरण, रांग ड्रॉप, इंटरफेस त्रुटी आणि संसाधन मर्यादा एन्क्रिप्शन मार्गासोबत तपासा, कारण केवळ दराची कमतरता कधीही CPU ओळखत नाही। लेखा स्तरही स्पष्ट ठेवा: बाह्य टनेल बाइट्समध्ये एन्कॅप्सुलेशन असते आणि पुनःप्रेषण आतील व बाह्य काउंटरांमधील संबंध हलवतात। असंबंधित काउंटरांची बाइट-बाय-बाइट तुलना असा फरक घडवते जो कधीच नव्हता।
पॅकेट आकार जुन्या उदाहरणातून कॉपी केलेल्या आकड्याऐवजी स्वतःच्या नियंत्रित तुलनेस पात्र आहे। TCP MSS TCP समायोजित करते आणि अनियंत्रित UDP डेटाग्रामवर कोणताही परिणाम करत नाही, म्हणून जुन्या दस्तऐवजातून घेतलेला स्थिर 1350 काहीच मोजत नाही। पेलोड लांबी हेतुपुरस्सर बदला आणि प्राप्तकर्ता काय सांगतो ते पहा।
एक चल बदला आणि कामाचा भार टिकवा
आधार रेषा अरुंद पट्ट्यात पुनरावृत्ती झाल्यावर एक समर्थित चल बदला आणि मूळ अनुप्रयोग कार्य पुन्हा चालवा। हेच पाऊल आकड्याचे कारणात रूपांतर करते आणि कॉन्फिगरेशनला हात लावण्याचे औचित्य केवळ तेच देते। अधिक अनुकूल कामाच्या भाराऐवजी तोच भार पुन्हा करा।
कृत्रिम आकडा मोठा करण्यासाठी प्रस्ताव काढू नका, प्रमाणीकरण कमकुवत करू नका आणि संरक्षण बंद करू नका। ही पावले सुरक्षा स्थिती बदलतात आणि नंतर त्या बदलाचा परिणाम मोजतात, टनेलची क्षमता नाही।