IPsec थ्रुपुट अपेक्षाभन्दा कम? पहिले सक्रिय SA जाँच्नुहोस्
लामो ट्रान्सफर्म सूची तपाईंको स्थानान्तरण जोगाउने सत्र होइन। इन्क्रिप्शनलाई दोष दिनुअघि वार्तामा तय SA, पेलोड आकार र वास्तवमा पुगेको दर रेकर्ड गर्नुहोस्।
कन्फिगरेसनले आठ ट्रान्सफर्म प्रस्ताव गर्छ, कसैले सबैभन्दा बलियो पढ्छ र थ्रुपुटको अङ्क त्यसमै टाँसिन्छ। टनेलले सम्भवतः त्यो ट्रान्सफर्म छानेन र कसैले कल्पना गरेको कार्यभार पनि चलाएन। जे तय भयो त्यो यो सूचीको एउटा प्रविष्टि हो, एउटा प्याकेट आकार, एउटा दिशा, एउटा बिल्डमा। यसलाई नाप्नुहोस् र एल्गोरिदमबारे बहस सुरु हुनुअघि नै सकिन्छ।
लक्षण: कन्फिगरेसनको वाचाभन्दा कम अङ्क
लामो ट्रान्सफर्म सूचीले सम्भावनाहरू वर्णन गर्छ र हरेक सम्भावना यो हार्डवेयरमा होइन, कागजमा मूल्याङ्कन गरिन्छ। तय नतिजा दुवै पक्षले स्वीकार गरेको एउटै संयोजन हो र त्यो अनुकूलताका लागि कुनै पनि पक्षले अझै अनुमति दिने सबैभन्दा कमजोर संयोजन हुन सक्छ। त्यो संयोजनले के हासिल गर्छ भन्ने अफलोड अवस्था, प्याकेट आकार र कतार व्यवहारमा निर्भर छ, त्यसैले एउटै नीति फाइल भएका दुई उपकरण धेरै टाढा पुग्न सक्छन्। सूची एउटा मेनु हो; एसोसिएसन फर्केर आएको अर्डर हो।
सूची पढ्दा के छान्न सकिन्थ्यो भन्ने थाहा हुन्छ। एसोसिएसन पढ्दा स्थानान्तरण वास्तवमा के बोकेर गइरहेको छ भन्ने थाहा हुन्छ र थ्रुपुटको अङ्कले केवल त्यसैको वर्णन गर्छ। सूचीबाट सुरु हुने हरेक ट्युनिङ कदम थप कागजी कामसहितको अनुमान हो।
यो स्थानान्तरण बोकेको एसोसिएसन रेकर्ड गर्नुहोस्
ASA मा show crypto ipsec sa सक्रिय एसोसिएसनहरू तिनका ट्रान्सफर्म र प्रति-दिशा काउन्टरसहित सूचीबद्ध गर्छ र कमाण्ड सन्दर्भ Cisco यो आउटपुटको दस्तावेजीकरण गर्छ। महत्त्वपूर्ण पियर र दिशा छान्नुहोस् र याद राख्नुहोस् कि कि-रिके एसोसिएसन बदल्छ र त्यसका काउन्टर शून्य गर्छ, जसले तपाईंले अझै भरोसा गरेको आधार रेखा चुपचाप अमान्य बनाउँछ। आउटपुट परीक्षण नोटसँगै राख्नुहोस् ताकि अर्को पटक तुलना गर्न केही होस्। रनहरूबीच बदलिने एसोसिएसन पहिचानकर्ताले पछिको हरेक तुलनालाई अर्थहीन बनाउँछ।
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
पाँच पङ्क्ति नापन दोहोर्याउनयोग्य बनाउन पर्याप्त छन् र हरेक पङ्क्ति अनुपस्थित हुँदा ठोस व्याख्या हटाउँछ। यीमध्ये कुनै पनि प्रस्ताव-सूचीको प्रविष्टि होइन, किनकि सूचीले अहिले तपाईंका बाइटको रक्षा केले गर्दै छ भन्न सक्दैन। तालिका एक पटक भर्नुहोस् र अर्को घटना एल्गोरिदमबारे नयाँ बहसको सट्टा डेटाबाट सुरु हुनेछ।
पहुँच-लिङ्क पङ्क्ति त्यो हो जुन मानिसहरू छोड्छन्, र क्रिप्टोग्राफिक देखिने अन्तर प्रायः त्यसैले व्याख्या गर्छ। सन्तृप्त अन्डरले वा बाटोमा रहेको पुलिसरले ढिलो इन्जिनजस्तै लक्षण-आकार उत्पन्न गर्छ।
नियन्त्रित लोडसँग एउटा दिशा नाप्नुहोस्
परीक्षण गेटवेबाट होइन, अनुप्रयोगको प्रतिनिधित्व गर्ने LAN टुप्पोबाट चलाउनुहोस्, किनकि गेटवेले बनाएको प्रोब फरक स्थानीय नीति पछ्याउन सक्छ। दोस्रो स्ट्रिम थप्नुअघि एउटा दिशा नाप्नुहोस् र दुवै रेकर्ड गर्नुहोस्: दिइएको दर र प्राप्तकर्ताले वास्तवमा पाएको कुरा। दर-सीमित UDP रनले दिइएको लोडलाई TCP को भीड-प्रतिक्रियाबाट अलग गर्छ, जबकि असीमित UDP पठाउने तटस्थ निदान होइन। पेलोड लम्बाइ पनि रेकर्ड गर्नुहोस्, किनकि ठूलो डेटाग्रामले प्याकेट दर र इन्क्याप्सुलेसन ओभरहेड दुवै बदल्छ।
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30त्यही परीक्षण दुई पटक एउटै पेलोड लम्बाइ र अवधिसँग चलाउनुहोस्, किनकि एउटा रनले माथिल्लो सीमालाई खराब मिनेटबाट अलग गर्न सक्दैन। प्राप्तकर्ताले पठाउनेले पठाएभन्दा कम प्याकेट बताए भने हानि तपाईंको निष्कर्ष हो र क्रिप्टो इन्जिन त्यसका धेरै उम्मेदवारमध्ये एक मात्र हो।
केही ट्युन गर्नुअघि अन्तर व्याख्या गर्नुहोस्
फर्वार्डिङ नीति, कतार ड्रप, इन्टरफेस त्रुटि र स्रोत सीमा इन्क्रिप्शन बाटोसँगै जाँच्नुहोस्, किनकि दरको कमीले मात्र कहिल्यै CPU पहिचान गर्दैन। लेखा तहहरू पनि स्पष्ट राख्नुहोस्: बाह्य टनेल बाइटमा इन्क्याप्सुलेसन समावेश हुन्छ र पुनःप्रेषणले भित्री र बाह्य काउन्टरबीचको सम्बन्ध सार्छ। असम्बन्धित काउन्टरको बाइट-बाइट तुलनाले कहिल्यै नभएको फरक बनाउँछ।
प्याकेट आकार पुरानो उदाहरणबाट प्रतिलिपि गरिएको अङ्कको सट्टा आफ्नै नियन्त्रित तुलनाको योग्य छ। TCP MSS ले TCP समायोजन गर्छ र स्वेच्छाचारी UDP डेटाग्राममा कुनै प्रभाव पार्दैन, त्यसैले पुरानो कागजातबाट लिइएको स्थिर 1350 ले केही पनि नाप्दैन। पेलोड लम्बाइ जानाजान बदल्नुहोस् र प्राप्तकर्ताले के बताउँछ हेर्नुहोस्।
एउटा चर बदल्नुहोस् र कार्यभार कायम राख्नुहोस्
आधार रेखा साँघुरो पट्टीभित्र दोहोरिएपछि एउटा समर्थित चर बदल्नुहोस् र मूल अनुप्रयोग कार्य फेरि चलाउनुहोस्। यही कदमले अङ्कलाई कारणमा बदल्छ र कन्फिगरेसन छुनुको औचित्य केवल यसैले दिन्छ। बढी अनुकूल कार्यभारको सट्टा त्यही भार दोहोर्याउनुहोस्।
कृत्रिम अङ्क ठूलो बनाउन प्रस्ताव हटाउनु हुँदैन, प्रमाणीकरण कमजोर पार्नु हुँदैन र सुरक्षा बन्द गर्नु हुँदैन। यी कदमले सुरक्षा स्थिति बदल्छन् र त्यसपछि त्यो परिवर्तनको नतिजा नाप्छन्, टनेलको क्षमता होइन।