Kadar pemprosesan IPsec lebih rendah daripada jangkaan? Semak SA aktif dahulu
Senarai transformasi yang panjang bukan sesi yang melindungi pemindahan anda. Rekod SA yang dirundingkan, saiz muatan dan kadar yang benar-benar dihantar sebelum menyalahkan penyulitan.
Konfigurasi menawarkan lapan transformasi, seseorang membaca yang paling kuat dan angka pemprosesan dipautkan kepadanya. Terowong itu mungkin tidak memilih transformasi tersebut dan juga tidak menjalankan beban kerja yang dibayangkan oleh sesiapa. Yang dirundingkan ialah satu entri daripada senarai itu, dengan satu saiz paket, dalam satu arah, pada satu binaan. Ukur perkara itu dan perdebatan tentang algoritma biasanya berakhir sebelum bermula.
Gejalanya: angka di bawah apa yang dijanjikan konfigurasi
Senarai transformasi yang panjang menerangkan kemungkinan, dan setiap kemungkinan dinilai di atas kertas, bukan pada perkakasan ini. Hasil yang dirundingkan ialah satu kombinasi yang diterima oleh kedua-dua pihak, dan ia mungkin yang paling lemah yang masih dibenarkan oleh mana-mana pihak demi keserasian. Apa yang dicapai kombinasi itu bergantung pada keadaan offload, saiz paket dan tingkah laku baris gilir, jadi dua peranti dengan fail dasar yang sama boleh berakhir sangat jauh berbeza. Senarai itu ialah menu; persatuan itu ialah pesanan yang kembali.
Membaca senarai memberitahu anda apa yang mungkin dipilih. Membaca persatuan memberitahu anda apa yang sebenarnya membawa pemindahan, dan hanya itu yang diterangkan oleh angka pemprosesan. Setiap langkah penalaan yang bermula daripada senarai ialah tekaan dengan dokumen tambahan.
Rekod persatuan yang membawa pemindahan ini
Pada ASA show crypto ipsec sa menyenaraikan persatuan aktif bersama transformasi dan pembilang setiap arahnya, dan rujukan arahan Cisco mendokumenkan keluaran itu. Pilih rakan dan arah yang penting, dan ambil perhatian bahawa rundingan semula kunci menggantikan persatuan dan menetapkan semula pembilangnya, yang secara senyap membatalkan garis dasar yang masih anda percayai. Simpan keluaran di sebelah nota ujian supaya larian seterusnya mempunyai pembanding. Pengecam persatuan yang berubah antara larian menjadikan setiap perbandingan kemudian tidak bermakna.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Lima baris cukup untuk menjadikan pengukuran boleh dihasilkan semula, dan setiap baris menyingkirkan penjelasan tertentu apabila tiada. Tiada satu pun daripada senarai cadangan, kerana senarai itu tidak boleh mengatakan apa yang melindungi bait anda sekarang. Isi jadual sekali dan insiden seterusnya bermula dengan data, bukan dengan perdebatan baharu tentang algoritma.
Baris pautan akses ialah yang orang langkau, dan itulah yang paling kerap menerangkan jurang yang kelihatan kriptografi. Underlay yang tepu atau polis sepanjang laluan menghasilkan bentuk gejala yang sama seperti enjin yang perlahan.
Ukur satu arah dengan beban terkawal
Jalankan ujian daripada titik akhir LAN yang mewakili aplikasi, bukan daripada get laluan itu sendiri, kerana prob yang dijana get laluan mungkin mengikut dasar tempatan yang berbeza. Ukur satu arah sebelum menambah aliran kedua, dan rekod kadar yang ditawarkan serta apa yang benar-benar diterima oleh penerima. Larian UDP terhad kadar memisahkan beban yang ditawarkan daripada tindak balas kesesakan TCP, manakala penghantar UDP tanpa had bukan diagnosis neutral. Rekod juga panjang muatan, kerana datagram yang lebih besar mengubah kadar paket dan kos enkapsulasi.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Jalankan ujian yang sama dua kali dengan panjang muatan dan tempoh yang sama, kerana satu larian tidak boleh memisahkan had atas daripada satu minit yang buruk. Jika penerima melaporkan lebih sedikit paket daripada yang dihantar oleh penghantar, kehilangan itu ialah penemuan anda, dan enjin kripto hanyalah satu daripada beberapa calon.
Jelaskan jurang sebelum menala apa-apa
Semak dasar penghantaran, penyingkiran baris gilir, ralat antara muka dan had sumber bersama laluan penyulitan, kerana kekurangan kadar sahaja tidak pernah mengenal pasti CPU. Kekalkan juga lapisan perakaunan secara jelas: bait terowong luar termasuk enkapsulasi, dan penghantaran semula menggeser hubungan antara pembilang dalam dan luar. Membandingkan pembilang yang tidak berkaitan bait demi bait mencipta percanggahan yang tidak pernah wujud.
Saiz paket wajar mendapat perbandingan terkawal sendiri, bukan angka yang disalin daripada contoh lama. TCP MSS menyesuaikan TCP dan tidak mempunyai kesan pada datagram UDP sewenang-wenangnya, jadi nilai tetap 1350 yang diambil daripada dokumen lama tidak mengukur apa-apa sama sekali. Ubah panjang muatan dengan sengaja dan perhatikan apa yang dilaporkan penerima.
Ubah satu pemboleh ubah dan kekalkan beban kerja
Apabila garis dasar berulang dalam jalur sempit, ubah satu pemboleh ubah yang disokong dan jalankan semula tugas aplikasi asal. Langkah itulah yang menjadikan angka sebagai punca, dan hanya itu yang mewajarkan menyentuh konfigurasi. Ulangi beban kerja yang sama, bukan yang lebih mesra.
Jangan tarik balik cadangan, melemahkan pengesahan atau mematikan perlindungan untuk membesarkan angka sintetik. Langkah tersebut mengubah pendirian keselamatan dan kemudian mengukur hasil perubahan itu, bukan kapasiti terowong.