Il-veloċità tal-IPsec aktar baxxa milli mistenni? Iċċekkja l-SA attiva l-ewwel
Lista twila ta’ trasformazzjonijiet mhix is-sessjoni li tipproteġi t-trasferiment tiegħek. Irreġistra l-SA nnegozjata, id-daqs tal-payload u r-rata li tassew twasslet qabel ma tagħti l-ħtija lill-kriptaġġ.
Il-konfigurazzjoni toffri tmien trasformazzjonijiet, xi ħadd jaqra l-aktar qawwija u ċ-ċifra tal-veloċità tiġi marbuta magħha. It-tunnel probabbilment ma għażilx dik it-trasformazzjoni, u lanqas ma mexxa x-xogħol li xi ħadd immaġina. Dak li ġie nnegozjat huwa entrata waħda minn dik il-lista, b’daqs wieħed ta’ pakkett, f’direzzjoni waħda, fuq build wieħed. Kejjel dan u d-dibattitu dwar l-algoritmi normalment jispiċċa qabel ma jibda.
Is-sintomu: ċifra taħt dak li tipprometti l-konfigurazzjoni
Lista twila ta’ trasformazzjonijiet tiddeskrivi possibbiltajiet, u kull possibbiltà tiġi vvalutata fuq il-karta minflok fuq dan il-ħardwer. Ir-riżultat innegozjat huwa taħlita waħda li aċċettaw iż-żewġ naħat, u tista’ tkun l-aktar dgħajfa li kwalunkwe naħa għadha tippermetti għall-kompatibbiltà. Dak li tiksbu dik it-taħlita jiddependi mill-istat tal-offload, mid-daqs tal-pakkett u mill-imġiba tal-kju, għalhekk żewġ apparati b’fajl ta’ politika identiku jistgħu jispiċċaw ’il bogħod ħafna minn xulxin. Il-lista hija menu; l-assoċjazzjoni hija l-ordni li reġgħet lura.
Li taqra l-lista jgħidlek x’seta’ ġie magħżul. Li taqra l-assoċjazzjoni jgħidlek x’qed iġorr it-trasferiment tassew, u dan biss tiddeskrivi ċifra tal-veloċità. Kull pass ta’ tuning li jibda mil-lista huwa raden b’karti żejda.
Irreġistra l-assoċjazzjoni li qed iġorr dan it-trasferiment
Fuq ASA show crypto ipsec sa telenka l-assoċjazzjonijiet attivi bit-trasformazzjonijiet tagħhom u l-counter għal kull direzzjoni, u l- referenza tal-kmandi ta’ Cisco tiddokumenta dak l-output. Agħżel il-peer u d-direzzjoni li jimpurtaw, u innota li negozjazzjoni mill-ġdid taċ-ċwievet tissostitwixxi l-assoċjazzjoni u terġa’ tissettja l-counter tagħha, li bil-kwiet tinvalida linja bażi li kont għadek tafda fiha. Issejvja l-output ħdejn in-noti tat-test biex it-tħaddima li jmiss ikollha x’tqabbel. Identifikatur tal-assoċjazzjoni li jiċċaqlaq bejn it-tħaddimiet jagħmel kull paragun aktar tard bla sens.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Ħames ringieli huma biżżejjed biex kejl ikun jista’ jiġi riprodot, u kull ringiela teskludi spjegazzjoni speċifika meta tkun nieqsa. Ħadd minnhom mhu entrata mil-lista tal-proposti, għax il-lista ma tistax tgħid x’qed jipproteġi l-bytes tiegħek bħalissa. Imla t-tabella darba u l-inċident li jmiss jibda b’dejta minflok b’dibattitu ġdid dwar l-algoritmi.
Ir-ringiela tal-access-link hija dik li n-nies jaqbżu, u hija dik li spiss tispjega vojt li jidher kriptografiku. Underlay saturat jew policer tul ir-rotta jipproduċi l-istess forma ta’ sintomu bħal magna bil-mod.
Kejjel direzzjoni waħda b’tagħbija kkontrollata
Mexxi t-test minn endpoint fil-LAN li jirrappreżenta l-applikazzjoni minflok mill-gateway innifsu, għax sonda ġġenerata mill-gateway tista’ ssegwi politika lokali oħra. Kejjel direzzjoni waħda qabel iżżid it-tieni stream, u rreġistra kemm ir-rata offruta kif ukoll dak li r-riċevitur tassew irċieva. Tħaddima UDP b’rata limitata tifred it-tagħbija offruta mit-tweġiba tal-konġestjoni tat-TCP, filwaqt li mittent UDP mingħajr limitu mhuwiex dijanjosi newtrali. Irreġistra wkoll it-tul tal-payload, għax datagram akbar ibiddel kemm ir-rata tal-pakketti kif ukoll l-ispiża tal-inkapsulament.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Mexxi l-istess test darbtejn bl-istess tul ta’ payload u l-istess tul ta’ ħin, għax tħaddima waħda ma tistax tifred limitu ta’ fuq minn minuta ħażina. Jekk ir-riċevitur jirrapporta inqas pakketti milli bagħat il-mittent, it-telf huwa s-sejba tiegħek, u l-magna tal-kriptaġġ hija biss waħda minn diversi kandidati.
Ispjega l-vojt qabel ma tinstalla xi ħaġa
Iċċekkja l-politika tal-forwarding, il-qtar tal-kju, l-iżbalji tal-interface u l-limiti tar-riżorsi flimkien mal-mogħdija tal-kriptaġġ, għax defiċit ta’ rata waħdu qatt ma jidentifika CPU. Żomm il-livelli tal-kontabilità espliċiti wkoll: il-bytes tat-tunnel ta’ barra jinkludu l-inkapsulament, u r-ritrasmissjonijiet iċaqalqu r-relazzjoni bejn il-counter ta’ ġewwa u ta’ barra. It-tqabbil byte b’byte ta’ counter mhux relatati joħloq diskrepanza li qatt ma kienet teżisti.
Id-daqs tal-pakkett jistħoqqlu l-paragun ikkontrollat tiegħu stess minflok numru kkopjat minn eżempju antik. TCP MSS jaġġusta TCP u m’għandu l-ebda effett fuq datagrams UDP arbitrarji, għalhekk valur fiss ta’ 1350 meħud minn dokument antik ma jkejjel xejn affattu. Ibdel it-tul tal-payload apposta u osserva x’jirrapporta r-riċevitur.
Ibdel varjabbli wieħed u żomm ix-xogħol
Meta l-linja bażi tirrepeti f’faxxa dejqa, ibdel varjabbli wieħed appoġġjat u erġa’ mexxi l-kompitu oriġinali tal-applikazzjoni. Dak il-pass huwa dak li jbiddel ċifra f’kawża, u huwa l-uniku wieħed li jiġġustifika li tmiss il-konfigurazzjoni. Errepeti l-istess xogħol minflok wieħed iktar komdu.
Tirtirax proposti, tiddgħajjifx l-awtentikazzjoni u tixgħelx il-protezzjoni biex tkabbar ċifra sintetika. Dawk il-mossi jbiddlu l-pożizzjoni tas-sigurtà u mbagħad ikejlu r-riżultat ta’ dik il-bidla, mhux il-kapaċità tat-tunnel.