Przepustowość IPsec niższa niż oczekiwano? Najpierw sprawdź aktywną SA
Długa lista transformacji nie jest sesją, która chroni twoje przesyłanie. Zapisz wynegocjowaną SA, rozmiar ładunku i faktycznie dostarczoną przepustowość, zanim obwinisz szyfrowanie.
Konfiguracja oferuje osiem transformacji, ktoś czyta najsilniejszą i to jej przypisuje się liczbę przepustowości. Tunel prawdopodobnie nie wybrał tej transformacji i nie wykonał też obciążenia, które ktokolwiek sobie wyobrażał. Wynegocjowano jeden wpis z tej listy, z jednym rozmiarem pakietu, w jednym kierunku, na jednej kompilacji. Zmierz to, a dyskusja o algorytmach zwykle kończy się, zanim się zacznie.
Objaw: liczba poniżej tego, co obiecuje konfiguracja
Długa lista transformacji opisuje możliwości, a każda możliwość jest oceniana na papierze, a nie na tym sprzęcie. Wynik negocjacji to jedna kombinacja, którą zaakceptowały obie strony, i może to być najsłabsza z tych, na które któraś ze stron wciąż pozwala ze względu na zgodność. To, co osiąga ta kombinacja, zależy od stanu offload, rozmiaru pakietu i zachowania kolejek, więc dwa urządzenia z identycznym plikiem polityki mogą wypaść bardzo różnie. Lista to menu; asocjacja to zamówienie, które wróciło.
Czytanie listy mówi, co mogło zostać wybrane. Czytanie asocjacji mówi, co faktycznie przenosi przesyłanie, i tylko to opisuje liczbę przepustowości. Każdy krok dostrajania zaczynający się od listy to domysł z dodatkową papierologią.
Zapisz asocjację, która przenosi to przesyłanie
Na urządzeniu ASA show crypto ipsec sa wyświetla aktywne asocjacje wraz z ich transformacjami i licznikami dla każdego kierunku, a dokumentacja poleceń Cisco opisuje ten wynik. Wybierz peera i kierunek, które mają znaczenie, i pamiętaj, że rekey zastępuje asocjację i zeruje jej liczniki, co po cichu unieważnia punkt odniesienia, na którym jeszcze polegałeś. Zapisz wynik obok notatek z testu, aby następne uruchomienie miało co porównywać. Identyfikator asocjacji, który przesuwa się między uruchomieniami, czyni każde późniejsze porównanie bezsensownym.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Pięć wierszy wystarczy, aby pomiar był powtarzalny, a każdy z nich wyklucza konkretne wyjaśnienie, gdy go brakuje. Żaden nie jest wpisem z listy propozycji, ponieważ lista nie może powiedzieć, co chroni twoje bajty w tej chwili. Wypełnij tabelę raz, a następny incydent zacznie się od danych, a nie od nowej dyskusji o algorytmach.
Wiersz dotyczący łącza dostępowego jest tym, który ludzie pomijają, i to on najczęściej wyjaśnia lukę, która wygląda na kryptograficzną. Zatłoczone underlay albo policer na ścieżce daje ten sam kształt objawu co wolny silnik.
Zmierz jeden kierunek z kontrolowanym obciążeniem
Uruchom test z punktu końcowego w sieci LAN, który reprezentuje aplikację, a nie z samej bramy, ponieważ sonda generowana przez bramę może podlegać innej lokalnej polityce. Zmierz jeden kierunek, zanim dodasz drugi strumień, i zapisz zarówno oferowaną przepustowość, jak i to, co odbiorca faktycznie otrzymał. Uruchomienie UDP z ograniczeniem prędkości oddziela oferowane obciążenie od reakcji TCP na przeciążenie, natomiast nadawca UDP bez ograniczeń nie jest neutralną diagnozą. Zanotuj też długość ładunku, ponieważ większy datagram zmienia zarówno liczbę pakietów, jak i narzut enkapsulacji.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Uruchom ten sam test dwa razy z tą samą długością ładunku i czasem trwania, ponieważ jedno uruchomienie nie oddzieli sufitu od złej minuty. Jeśli odbiorca zgłasza mniej pakietów, niż wysłał nadawca, strata jest twoim ustaleniem, a silnik kryptograficzny to tylko jeden z kilku kandydatów.
Wyjaśnij lukę, zanim cokolwiek dostroisz
Sprawdź politykę przekazywania, odrzucenia kolejki, błędy interfejsu i limity zasobów razem ze ścieżką szyfrowania, ponieważ sam deficyt przepustowości nigdy nie wskazuje procesora. Utrzymuj też jawność warstw rozliczeniowych: bajty zewnętrznego tunelu obejmują enkapsulację, a retransmisje przesuwają relację między licznikami wewnętrznymi i zewnętrznymi. Porównywanie niepowiązanych liczników bajt po bajcie tworzy rozbieżność, której nigdy nie było.
Rozmiar pakietu zasługuje na własne kontrolowane porównanie, a nie na liczbę skopiowaną ze starego przykładu. TCP MSS dostosowuje TCP i nie ma żadnego wpływu na dowolne datagramy UDP, więc stała wartość 1350 przeniesiona z dokumentu z dawnych lat nie mierzy zupełnie niczego. Zmień długość ładunku celowo i obserwuj, co zgłasza odbiorca.
Zmień jedną zmienną i zachowaj obciążenie
Gdy punkt odniesienia powtarza się w wąskim paśmie, zmień jedną obsługiwaną zmienną i ponownie uruchom pierwotne zadanie aplikacji. Ten krok zamienia liczbę w przyczynę i jako jedyny uzasadnia dotknięcie konfiguracji. Powtórz to samo obciążenie, a nie łatwiejsze.
Nie wycofuj propozycji, nie osłabiaj uwierzytelniania i nie wyłączaj ochrony, aby powiększyć syntetyczną liczbę. Te ruchy zmieniają postawę bezpieczeństwa, a następnie mierzą wynik tej zmiany, a nie przepustowość tunelu.