IPsec ਥ੍ਰੂਪੁੱਟ ਉਮੀਦ ਤੋਂ ਘੱਟ? ਪਹਿਲਾਂ ਸਰਗਰਮ SA ਜਾਂਚੋ
ਲੰਮੀ ਟ੍ਰਾਂਸਫਾਰਮ ਸੂਚੀ ਉਹ ਸੈਸ਼ਨ ਨਹੀਂ ਹੈ ਜੋ ਤੁਹਾਡੇ ਟ੍ਰਾਂਸਫਰ ਦੀ ਰੱਖਿਆ ਕਰਦੀ ਹੈ। ਇਨਕ੍ਰਿਪਸ਼ਨ ਨੂੰ ਦੋਸ਼ ਦੇਣ ਤੋਂ ਪਹਿਲਾਂ ਤੈਅ ਹੋਈ SA, ਪੇਲੋਡ ਆਕਾਰ ਅਤੇ ਅਸਲ ਵਿੱਚ ਪਹੁੰਚੀ ਦਰ ਦਰਜ ਕਰੋ।
ਕੌਂਫਿਗਰੇਸ਼ਨ ਅੱਠ ਟ੍ਰਾਂਸਫਾਰਮ ਪੇਸ਼ ਕਰਦੀ ਹੈ, ਕੋਈ ਸਭ ਤੋਂ ਮਜ਼ਬੂਤ ਪੜ੍ਹਦਾ ਹੈ ਅਤੇ ਥ੍ਰੂਪੁੱਟ ਦਾ ਅੰਕੜਾ ਉਸੇ ਉੱਤੇ ਟਿਕਾ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ। ਟਨਲ ਨੇ ਸੰਭਵ ਤੌਰ 'ਤੇ ਉਹ ਟ੍ਰਾਂਸਫਾਰਮ ਨਹੀਂ ਚੁਣਿਆ ਅਤੇ ਉਸ ਨੇ ਉਹ ਕੰਮ ਦਾ ਭਾਰ ਵੀ ਨਹੀਂ ਚਲਾਇਆ ਜਿਸ ਦੀ ਕਿਸੇ ਨੇ ਕਲਪਨਾ ਕੀਤੀ ਸੀ। ਜੋ ਤੈਅ ਹੋਇਆ ਉਹ ਇਸ ਸੂਚੀ ਦੀ ਇੱਕ ਐਂਟਰੀ ਹੈ, ਇੱਕ ਪੈਕਟ ਆਕਾਰ, ਇੱਕ ਦਿਸ਼ਾ, ਇੱਕ ਬਿਲਡ 'ਤੇ। ਇਸ ਨੂੰ ਮਾਪੋ ਅਤੇ ਐਲਗੋਰਿਦਮ ਬਾਰੇ ਬਹਿਸ ਆਮ ਤੌਰ 'ਤੇ ਸ਼ੁਰੂ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਹੀ ਖਤਮ ਹੋ ਜਾਂਦੀ ਹੈ।
ਲੱਛਣ: ਕੌਂਫਿਗਰੇਸ਼ਨ ਦੇ ਵਾਅਦੇ ਤੋਂ ਘੱਟ ਅੰਕੜਾ
ਲੰਮੀ ਟ੍ਰਾਂਸਫਾਰਮ ਸੂਚੀ ਸੰਭਾਵਨਾਵਾਂ ਦਾ ਵਰਣਨ ਕਰਦੀ ਹੈ ਅਤੇ ਹਰ ਸੰਭਾਵਨਾ ਇਸ ਹਾਰਡਵੇਅਰ 'ਤੇ ਨਹੀਂ, ਕਾਗਜ਼ 'ਤੇ ਅੰਕਿਤ ਹੁੰਦੀ ਹੈ। ਤੈਅ ਨਤੀਜਾ ਇੱਕੋ ਸੰਯੋਜਨ ਹੈ ਜਿਸ ਨੂੰ ਦੋਵਾਂ ਧਿਰਾਂ ਨੇ ਸਵੀਕਾਰ ਕੀਤਾ ਅਤੇ ਇਹ ਸਭ ਤੋਂ ਕਮਜ਼ੋਰ ਸੰਯੋਜਨ ਹੋ ਸਕਦਾ ਹੈ ਜਿਸ ਦੀ ਇਜਾਜ਼ਤ ਕੋਈ ਵੀ ਧਿਰ ਅਨੁਕੂਲਤਾ ਲਈ ਹਾਲੇ ਵੀ ਦਿੰਦੀ ਹੈ। ਉਹ ਸੰਯੋਜਨ ਕੀ ਹਾਸਲ ਕਰਦਾ ਹੈ ਇਹ ਆਫਲੋਡ ਸਥਿਤੀ, ਪੈਕਟ ਆਕਾਰ ਅਤੇ ਕਤਾਰ ਵਿਵਹਾਰ 'ਤੇ ਨਿਰਭਰ ਹੈ, ਇਸ ਲਈ ਇੱਕੋ ਜਿਹੀ ਨੀਤੀ ਫਾਈਲ ਵਾਲੇ ਦੋ ਯੰਤਰ ਬਹੁਤ ਦੂਰ ਜਾ ਸਕਦੇ ਹਨ। ਸੂਚੀ ਇੱਕ ਮੀਨੂ ਹੈ; ਐਸੋਸੀਏਸ਼ਨ ਉਹ ਆਰਡਰ ਹੈ ਜੋ ਵਾਪਸ ਆਇਆ।
ਸੂਚੀ ਪੜ੍ਹਨਾ ਦੱਸਦਾ ਹੈ ਕਿ ਕੀ ਚੁਣਿਆ ਜਾ ਸਕਦਾ ਸੀ। ਐਸੋਸੀਏਸ਼ਨ ਪੜ੍ਹਨਾ ਦੱਸਦਾ ਹੈ ਕਿ ਟ੍ਰਾਂਸਫਰ ਅਸਲ ਵਿੱਚ ਕੀ ਲੈ ਕੇ ਜਾ ਰਿਹਾ ਹੈ, ਅਤੇ ਥ੍ਰੂਪੁੱਟ ਦਾ ਅੰਕੜਾ ਸਿਰਫ਼ ਉਸੇ ਦਾ ਵਰਣਨ ਕਰਦਾ ਹੈ। ਸੂਚੀ ਤੋਂ ਸ਼ੁਰੂ ਹੋਣ ਵਾਲਾ ਹਰ ਟਿਊਨਿੰਗ ਕਦਮ ਵਾਧੂ ਕਾਗਜ਼ੀ ਕਾਰਵਾਈ ਵਾਲਾ ਅੰਦਾਜ਼ਾ ਹੈ।
ਇਸ ਟ੍ਰਾਂਸਫਰ ਨੂੰ ਲੈ ਜਾਣ ਵਾਲੀ ਐਸੋਸੀਏਸ਼ਨ ਦਰਜ ਕਰੋ
ਇੱਕ ASA 'ਤੇ show crypto ipsec sa ਸਰਗਰਮ ਐਸੋਸੀਏਸ਼ਨਾਂ ਨੂੰ ਉਨ੍ਹਾਂ ਦੇ ਟ੍ਰਾਂਸਫਾਰਮ ਅਤੇ ਪ੍ਰਤੀ-ਦਿਸ਼ਾ ਕਾਊਂਟਰਾਂ ਸਮੇਤ ਸੂਚੀਬੱਧ ਕਰਦਾ ਹੈ ਅਤੇ ਕਮਾਂਡ ਸੰਦਰਭ Cisco ਇਸ ਆਉਟਪੁੱਟ ਦਾ ਦਸਤਾਵੇਜ਼ ਬਣਾਉਂਦਾ ਹੈ। ਉਹ ਪੀਅਰ ਅਤੇ ਦਿਸ਼ਾ ਚੁਣੋ ਜੋ ਮਾਇਨੇ ਰੱਖਦੇ ਹਨ, ਅਤੇ ਧਿਆਨ ਦਿਓ ਕਿ ਕੀ-ਰੀਕੇ ਐਸੋਸੀਏਸ਼ਨ ਨੂੰ ਬਦਲ ਦਿੰਦਾ ਹੈ ਅਤੇ ਇਸ ਦੇ ਕਾਊਂਟਰ ਜ਼ੀਰੋ ਕਰ ਦਿੰਦਾ ਹੈ, ਜਿਸ ਨਾਲ ਉਹ ਅਧਾਰ ਰੇਖਾ ਚੁੱਪਚਾਪ ਅਵੈਧ ਹੋ ਜਾਂਦੀ ਹੈ ਜਿਸ 'ਤੇ ਤੁਸੀਂ ਅਜੇ ਵੀ ਭਰੋਸਾ ਕਰ ਰਹੇ ਸੀ। ਆਉਟਪੁੱਟ ਨੂੰ ਟੈਸਟ ਨੋਟਾਂ ਦੇ ਨਾਲ ਰੱਖੋ ਤਾਂ ਜੋ ਅਗਲੀ ਵਾਰ ਤੁਲਨਾ ਕਰਨ ਲਈ ਕੁਝ ਹੋਵੇ। ਰਨਾਂ ਵਿਚਕਾਰ ਬਦਲਣ ਵਾਲਾ ਐਸੋਸੀਏਸ਼ਨ ਪਛਾਣਕਰਤਾ ਹਰ ਬਾਅਦ ਦੀ ਤੁਲਨਾ ਨੂੰ ਅਰਥਹੀਣ ਬਣਾ ਦਿੰਦਾ ਹੈ।
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
ਪੰਜ ਕਤਾਰਾਂ ਮਾਪਣ ਨੂੰ ਦੁਹਰਾਉਣਯੋਗ ਬਣਾਉਣ ਲਈ ਕਾਫ਼ੀ ਹਨ ਅਤੇ ਹਰ ਕਤਾਰ ਅਣਹੋਂਦ ਵਿੱਚ ਇੱਕ ਖਾਸ ਵਿਆਖਿਆ ਨੂੰ ਬਾਹਰ ਕਰਦੀ ਹੈ। ਇਨ੍ਹਾਂ ਵਿੱਚੋਂ ਕੋਈ ਪ੍ਰਸਤਾਵ-ਸੂਚੀ ਦੀ ਐਂਟਰੀ ਨਹੀਂ ਹੈ, ਕਿਉਂਕਿ ਸੂਚੀ ਇਹ ਨਹੀਂ ਦੱਸ ਸਕਦੀ ਕਿ ਹੁਣ ਤੁਹਾਡੇ ਬਾਈਟਾਂ ਦੀ ਰੱਖਿਆ ਕੀ ਕਰ ਰਿਹਾ ਹੈ। ਸਾਰਣੀ ਇੱਕ ਵਾਰ ਭਰੋ ਅਤੇ ਅਗਲੀ ਘਟਨਾ ਐਲਗੋਰਿਦਮ 'ਤੇ ਨਵੀਂ ਬਹਿਸ ਦੀ ਥਾਂ ਡੇਟਾ ਨਾਲ ਸ਼ੁਰੂ ਹੋਵੇਗੀ।
ਐਕਸੈਸ-ਲਿੰਕ ਕਤਾਰ ਉਹ ਹੈ ਜਿਸ ਨੂੰ ਲੋਕ ਛੱਡ ਦਿੰਦੇ ਹਨ, ਅਤੇ ਇਹੀ ਅਕਸਰ ਉਹ ਪਾੜਾ ਸਮਝਾਉਂਦੀ ਹੈ ਜੋ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਦਿਖਦਾ ਹੈ। ਭਰੀ ਹੋਈ ਅੰਡਰਲੇ ਜਾਂ ਰਾਹ 'ਤੇ ਲੱਗਾ ਪੁਲਿਸਰ ਹੌਲੀ ਇੰਜਣ ਵਰਗਾ ਹੀ ਲੱਛਣ-ਆਕਾਰ ਪੈਦਾ ਕਰਦਾ ਹੈ।
ਨਿਯੰਤਰਿਤ ਭਾਰ ਨਾਲ ਇੱਕ ਦਿਸ਼ਾ ਮਾਪੋ
ਟੈਸਟ ਨੂੰ ਗੇਟਵੇ ਤੋਂ ਨਹੀਂ ਬਲਕਿ LAN ਦੇ ਉਸ ਸਿਰੇ ਤੋਂ ਚਲਾਓ ਜੋ ਐਪਲੀਕੇਸ਼ਨ ਦੀ ਨੁਮਾਇੰਦਗੀ ਕਰਦਾ ਹੈ, ਕਿਉਂਕਿ ਗੇਟਵੇ ਵੱਲੋਂ ਬਣਾਈ ਗਈ ਪ੍ਰੋਬ ਵੱਖਰੀ ਸਥਾਨਕ ਨੀਤੀ ਦੀ ਪਾਲਣਾ ਕਰ ਸਕਦੀ ਹੈ। ਦੂਜੀ ਸਟ੍ਰੀਮ ਜੋੜਨ ਤੋਂ ਪਹਿਲਾਂ ਇੱਕ ਦਿਸ਼ਾ ਮਾਪੋ ਅਤੇ ਦੋਵੇਂ ਦਰਜ ਕਰੋ: ਦਿੱਤੀ ਦਰ ਅਤੇ ਜੋ ਰਿਸੀਵਰ ਨੇ ਅਸਲ ਵਿੱਚ ਪਾਇਆ। ਦਰ-ਸੀਮਿਤ UDP ਰਨ ਦਿੱਤੇ ਭਾਰ ਨੂੰ TCP ਦੀ ਭੀੜ-ਪ੍ਰਤੀਕਿਰਿਆ ਤੋਂ ਵੱਖ ਕਰਦਾ ਹੈ, ਜਦਕਿ ਬੇਸੀਮਤ UDP ਭੇਜਣ ਵਾਲਾ ਨਿਰਪੱਖ ਨਿਦਾਨ ਨਹੀਂ ਹੈ। ਪੇਲੋਡ ਲੰਬਾਈ ਵੀ ਦਰਜ ਕਰੋ, ਕਿਉਂਕਿ ਵੱਡਾ ਡੇਟਾਗ੍ਰਾਮ ਪੈਕਟ ਦਰ ਅਤੇ ਐਨਕੈਪਸੂਲੇਸ਼ਨ ਓਵਰਹੈੱਡ ਦੋਵੇਂ ਬਦਲ ਦਿੰਦਾ ਹੈ।
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30ਉਹੀ ਟੈਸਟ ਦੋ ਵਾਰ ਉਸੇ ਪੇਲੋਡ ਲੰਬਾਈ ਅਤੇ ਮਿਆਦ ਨਾਲ ਚਲਾਓ, ਕਿਉਂਕਿ ਇੱਕ ਰਨ ਉੱਪਰੀ ਸੀਮਾ ਨੂੰ ਖਰਾਬ ਮਿੰਟ ਤੋਂ ਵੱਖ ਨਹੀਂ ਕਰ ਸਕਦਾ। ਜੇ ਰਿਸੀਵਰ ਭੇਜਣ ਵਾਲੇ ਵੱਲੋਂ ਭੇਜੇ ਨਾਲੋਂ ਘੱਟ ਪੈਕਟ ਦੱਸਦਾ ਹੈ, ਤਾਂ ਨੁਕਸਾਨ ਤੁਹਾਡਾ ਨਤੀਜਾ ਹੈ, ਅਤੇ ਕ੍ਰਿਪਟੋ ਇੰਜਣ ਉਸ ਦੇ ਕਈ ਉਮੀਦਵਾਰਾਂ ਵਿੱਚੋਂ ਸਿਰਫ਼ ਇੱਕ ਹੈ।
ਕੁਝ ਵੀ ਟਿਊਨ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਪਾੜਾ ਸਮਝਾਓ
ਫਾਰਵਰਡਿੰਗ ਨੀਤੀ, ਕਤਾਰ ਡ੍ਰੌਪ, ਇੰਟਰਫੇਸ ਗਲਤੀਆਂ ਅਤੇ ਸਰੋਤ ਸੀਮਾਵਾਂ ਇਨਕ੍ਰਿਪਸ਼ਨ ਰਾਹ ਦੇ ਨਾਲ ਜਾਂਚੋ, ਕਿਉਂਕਿ ਸਿਰਫ਼ ਦਰ ਦੀ ਘਾਟ ਕਦੇ CPU ਦੀ ਪਛਾਣ ਨਹੀਂ ਕਰਦੀ। ਲੇਖਾ ਪਰਤਾਂ ਨੂੰ ਵੀ ਸਪਸ਼ਟ ਰੱਖੋ: ਬਾਹਰੀ ਟਨਲ ਬਾਈਟਾਂ ਵਿੱਚ ਐਨਕੈਪਸੂਲੇਸ਼ਨ ਸ਼ਾਮਲ ਹੈ, ਅਤੇ ਦੁਬਾਰਾ ਭੇਜਣਾ ਅੰਦਰੂਨੀ ਅਤੇ ਬਾਹਰੀ ਕਾਊਂਟਰਾਂ ਵਿਚਕਾਰ ਸੰਬੰਧ ਨੂੰ ਖਿਸਕਾ ਦਿੰਦਾ ਹੈ। ਅਸੰਬੰਧਿਤ ਕਾਊਂਟਰਾਂ ਦੀ ਬਾਈਟ-ਦਰ-ਬਾਈਟ ਤੁਲਨਾ ਉਹ ਅੰਤਰ ਘੜਦੀ ਹੈ ਜੋ ਕਦੇ ਸੀ ਹੀ ਨਹੀਂ।
ਪੈਕਟ ਆਕਾਰ ਪੁਰਾਣੇ ਉਦਾਹਰਨ ਤੋਂ ਨਕਲ ਕੀਤੇ ਅੰਕੜੇ ਦੀ ਥਾਂ ਆਪਣੀ ਨਿਯੰਤਰਿਤ ਤੁਲਨਾ ਦਾ ਹੱਕਦਾਰ ਹੈ। TCP MSS TCP ਨੂੰ ਸਮਾਯੋਜਿਤ ਕਰਦਾ ਹੈ ਅਤੇ ਮਨਮਾਨੇ UDP ਡੇਟਾਗ੍ਰਾਮਾਂ 'ਤੇ ਕੋਈ ਪ੍ਰਭਾਵ ਨਹੀਂ ਪਾਉਂਦਾ, ਇਸ ਲਈ ਪੁਰਾਣੇ ਦਸਤਾਵੇਜ਼ ਤੋਂ ਲਿਆ ਸਥਿਰ 1350 ਕੁਝ ਵੀ ਨਹੀਂ ਮਾਪਦਾ। ਪੇਲੋਡ ਲੰਬਾਈ ਜਾਣਬੁੱਝ ਕੇ ਬਦਲੋ ਅਤੇ ਵੇਖੋ ਰਿਸੀਵਰ ਕੀ ਦੱਸਦਾ ਹੈ।
ਇੱਕ ਚਰ ਬਦਲੋ ਅਤੇ ਕੰਮ ਦਾ ਭਾਰ ਕਾਇਮ ਰੱਖੋ
ਜਦੋਂ ਅਧਾਰ ਰੇਖਾ ਇੱਕ ਤੰਗ ਪੱਟੀ ਵਿੱਚ ਦੁਹਰਾਈ ਜਾਵੇ, ਤਾਂ ਇੱਕ ਸਮਰਥਿਤ ਚਰ ਬਦਲੋ ਅਤੇ ਮੂਲ ਐਪਲੀਕੇਸ਼ਨ ਕੰਮ ਦੁਬਾਰਾ ਚਲਾਓ। ਇਹੀ ਕਦਮ ਅੰਕੜੇ ਨੂੰ ਕਾਰਨ ਵਿੱਚ ਬਦਲਦਾ ਹੈ ਅਤੇ ਕੌਂਫਿਗਰੇਸ਼ਨ ਛੂਹਣ ਦਾ ਜਾਇਜ਼ ਇਹੀ ਹੈ। ਵਧੇਰੇ ਅਨੁਕੂਲ ਕੰਮ ਦੀ ਥਾਂ ਉਹੀ ਭਾਰ ਦੁਹਰਾਓ।
ਸਿੰਥੈਟਿਕ ਅੰਕੜਾ ਵੱਡਾ ਕਰਨ ਲਈ ਪ੍ਰਸਤਾਵ ਹਟਾਓ ਨਾ, ਪ੍ਰਮਾਣਿਕਤਾ ਕਮਜ਼ੋਰ ਨਾ ਕਰੋ ਅਤੇ ਸੁਰੱਖਿਆ ਬੰਦ ਨਾ ਕਰੋ। ਇਹ ਕਦਮ ਸੁਰੱਖਿਆ ਸਥਿਤੀ ਬਦਲਦੇ ਹਨ ਅਤੇ ਫਿਰ ਉਸ ਬਦਲਾਅ ਦਾ ਨਤੀਜਾ ਮਾਪਦੇ ਹਨ, ਟਨਲ ਦੀ ਸਮਰੱਥਾ ਨਹੀਂ।