د IPsec تھروپوټ له تمې څخه ټیټ؟ لومړی فعاله SA وګورئ
اوږده د بدلونونو لړلیک هغه ناسته نه ده چې ستاسو لیږد ساتي۔ د کوډ کولو تور له لګولو دمخه هوکړه شوې SA، د پیلوډ اندازه او هغه سرعت چې واقعاً ورسېد، ثبت کړئ۔
ترتیبات اته بدلونونه وړاندې کوي، یو څوک ترټولو پیاوړی لولي او د تھروپوټ شمېره ورباندې تړل کیږي۔ تونل شاید هغه بدلون نه وي ټاکلی، او نه یې هغه کاري بار چلولی چې چا تصور کړی و۔ هوکړه شوې یوه اندریګه له همدې لړلیک څخه ده، په یوه بستې اندازه، په یوه لوري، پر یوه جوړښت۔ دا وګورئ او د الګوریتمونو په اړه بحث معمولاً له پیل دمخه پای ته رسیږي۔
نښه: یوه شمېره چې د ترتیباتو له ژمنې څخه ټیټه ده
اوږد د بدلونونو لړلیک شونتیاوې بیانوي او هره شونتیا پر کاغذ ارزول کیږي نه پر دې سختې اوسپنې۔ هوکړه شوې پایله یوه ټاکلې ترکیبه ده چې دواړو خواوو منلې ده او کېدای شي ترټولو کمزورې وي چې هر لوری یې لا د مطابقت لپاره اجازه ورکوي۔ هغه ترکیبه څه ترلاسه کوي د offload حالت، بستې اندازې او قطار چلند پورې تړلي دي، نو دوه وسیلې چې یو شان پالیسي فایل لري کېدای شي ډېر لرې پرېوزي۔ لړلیک یو مینو دی؛ اړیکه هغه فرمایش دی چې بیرته راغی۔
لړلیک لوستل درته وایي چې څه غوره کېدای شول۔ اړیکه لوستل درته وایي چې لیږد واقعاً څه وړي، او یوازې همدا د تھروپوټ شمېره بیانوي۔ له لړلیک څخه پیل شوی هر تنظیمي ګام د اضافي کاغذي کار سره یوه اټکل دی۔
هغه اړیکه ثبت کړئ چې دا لیږد وړي
پر ASA show crypto ipsec sa فعالې اړیکې د خپلو بدلونونو او د هر لوري شمېرو سره لیست کوي، او د کمانډ حواله Cisco دې پایلې ته سند ورکوي۔ مهم پیر او لوری وټاکئ او پام وکړئ چې د کیلي بیا خبرې اترې اړیکه بدلوي او شمېرې یې صفر کوي، دا هغه بنسټیزه کرښه چې تاسو یې لا باور درلود، په خاموشۍ باطلوي۔ پایله د ازموینې یادښتونو سره یوځای وساتئ چې بل ځل د پرتله کولو لپاره څه ولري۔ د اړیکې پېژندونکي بدلون د بڼو ترمنځ هر وروستی پرتله بې مانا کوي۔
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
پنځه کرښې د اندازې د تکرار وړ کولو لپاره بس دي او هره کرښه د نه شتون پر مهال یو ځانګړی توضیح لرې کوي۔ هیڅ یوه هم د وړاندیزونو لړلیک اندریګه نه ده، ځکه لړلیک نشي ویلای چې اوس ستاسو بایټونه څه ساتي۔ جدول یو ځل ډک کړئ او بله پېښه به د الګوریتمونو په اړه د نوي بحث پرځای له معلوماتو پیل شي۔
د لاسرسي تړون کرښه هغه ده چې خلک یې پرېږدي، او همدا هغه ده چې ډېری وخت هغه توپیر تشریح کوي چې کوډ شوی ښکاري۔ ډکه لاندې طبقه یا په لار کې پولیس د ورو انجن په څېر ورته نښه جوړوي۔
د کنټرول شوي بار سره یو لوری وګورئ
ازموینه د ګیټوې له خپله نه بلکې د LAN له هغې پایې چل کړئ چې غوښتنلیک استازیتوب کوي، ځکه د ګیټوې جوړه شوې پلټنه کېدای شي بله سیمه ییزه پالیسي تعقیب کړي۔ د دوهم جریان له اضافه کولو دمخه یو لوری وګورئ، او هم وړاندیز شوی سرعت او هم هغه څه ثبت کړئ چې ترلاسه کوونکي واقعاً ترلاسه کړل۔ د سرعت محدود UDP چلند وړاندیز شوی بار د TCP د ورنې غبرګون څخه بیلوي، خو بې حده UDP لېږونکی بې طرفه تشخیص نه دی۔ د پیلوډ اوږدوالی هم ثبت کړئ، ځکه لوی ډاټاګرام د بستې سرعت او د پوښلو لګښت دواړه بدلوي۔
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30هماغه ازموینه دوه ځله د هماغه پیلوډ اوږدوالی او مودې سره چل کړئ، ځکه یو چلند نشي کولای پورتنۍ حد له خرابې دقیقې څخه بیل کړي۔ که ترلاسه کوونکی له هغه څخه کم بستې راپور کړي چې لېږونکي لېږلي وو، ضایعه ستاسو موندنه ده، او کوډ انجن یوازې د څو نوماندانو څخه یو دی۔
له هر څه تنظیم دمخه توپیر تشریح کړئ
د لېږد پالیسي، د قطار غورځېدنې، د انټرفیس تېروتنې او د سرچینو محدودیتونه د کوډ کولو لارې سره یوځای وګورئ، ځکه یوازې د سرعت کمښت هیڅکله CPU نه پېژني۔ د حساب تګلارې هم روښانه وساتئ: د باندې تونل بایټونه پوښل شامل دي، او بیا لېږد د داخلي او باندې شمېرو اړیکه ښویې۔ د بې اړیکې شمېرو بایټ په بایټ پرتله هغه توپیر جوړوي چې هیڅکله نه و۔
د بستې اندازه د زوړ مثال څخه کاپي شوي شمېرې پرځای خپل کنټرول شوی پرتله مستحق ده۔ TCP MSS TCP تنظیموي او پر خپل سری UDP ډاټاګرامونو هیڅ اغیزه نه لري، نو له زوړ سند څخه اخیستل شوی ثابت 1350 هېڅ هم نه اندازه کوي۔ د پیلوډ اوږدوالی په قصد بدل کړئ او وګورئ ترلاسه کوونکی څه راپور کوي۔
یو متغیر بدل کړئ او کاري بار وساتئ
کله چې بنسټیزه کرښه په نري پټي کې تکرار شي، یو ملاتړ شوی متغیر بدل کړئ او اصلي غوښتنلیکي دنده بیا چل کړئ۔ هماغه ګام شمېره سبب ته بدلوي، او یوازې هماغه د ترتیباتو لمس کول توجیه کوي۔ د نورو اسانه کاري بار پرځای هماغه بار تکرار کړئ۔
د مصنوعي شمېرې د لویولو لپاره وړاندیزونه مه بیرته اخلئ، تصدیق مه کمزوری کوئ او ساتنه مه بندوئ۔ هغه ګامونه د امنیت دریځ بدلوي او بیا د هماغه بدلون پایله اندازه کوي، نه د تونل ظرفیت۔