Taxa de transferência IPsec menor que o esperado? Verifique primeiro a SA ativa
Uma longa lista de transformações não é a sessão que protege sua transferência. Registre a SA negociada, o tamanho da carga útil e a taxa realmente entregue antes de culpar a criptografia.
A configuração oferece oito transformações, alguém lê a mais forte e a cifra de taxa de transferência é atribuída a ela. O túnel provavelmente não escolheu essa transformação, e também não executou a carga de trabalho que qualquer um imaginava. O que foi negociado é uma entrada dessa lista, com um tamanho de pacote, em uma direção, em uma build. Meça isso e a discussão sobre algoritmos normalmente termina antes de começar.
O sintoma: um número abaixo do que a configuração promete
Uma longa lista de transformações descreve possibilidades, e cada possibilidade é pontuada no papel em vez de neste hardware. O resultado negociado é uma única combinação que ambos os peers aceitaram, e pode ser a mais fraca que cada lado ainda permite por compatibilidade. O que essa combinação alcança depende do estado de offload, do tamanho do pacote e do comportamento da fila, então dois dispositivos com um arquivo de política idêntico podem ficar muito distantes. A lista é um cardápio; a associação é o pedido que voltou.
Ler a lista diz o que poderia ter sido escolhido. Ler a associação diz o que está carregando a transferência, e é só isso que um número de taxa de transferência descreve. Cada etapa de ajuste que parte da lista é um palpite com papelada extra.
Registre a associação que está carregando esta transferência
Em um ASA show crypto ipsec sa lista as associações ativas com suas transformações e contadores por direção, e a referência de comandos da Cisco documenta essa saída. Escolha o peer e a direção que importam, e observe que um rekey substitui a associação e zera seus contadores, o que invalida silenciosamente uma linha de base em que você ainda confiava. Guarde a saída junto às notas do teste para que a próxima execução tenha algo para comparar. Um identificador de associação que varia entre execuções torna toda comparação posterior sem sentido.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Cinco linhas bastam para tornar uma medição reproduzível, e cada uma descarta uma explicação específica quando falta. Nenhuma delas é uma entrada da lista de propostas, porque a lista não pode dizer o que está protegendo seus bytes agora. Preencha a tabela uma vez e o próximo incidente começa com dados em vez de uma nova discussão sobre algoritmos.
A linha do link de acesso é a que as pessoas pulam, e é a que mais frequentemente explica uma lacuna que parece criptográfica. Um underlay saturado ou um policer ao longo do caminho produz a mesma forma de sintoma que um motor lento.
Meça uma direção com uma carga controlada
Faça o teste a partir de um endpoint da LAN que represente a aplicação, em vez do próprio gateway, porque uma sonda gerada pelo gateway pode seguir uma política local diferente. Meça uma direção antes de adicionar um segundo fluxo, e registre tanto a taxa oferecida quanto o que o receptor realmente recebeu. Uma execução UDP limitada em taxa separa a carga oferecida da resposta de congestionamento do TCP, enquanto um emissor UDP sem limite não é um diagnóstico neutro. Registre também o comprimento da carga útil, pois um datagrama maior altera tanto a taxa de pacotes quanto a sobrecarga de encapsulamento.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Execute o mesmo teste duas vezes com o mesmo comprimento de carga útil e a mesma duração, porque uma única execução não separa um teto de um minuto ruim. Se o receptor relatar menos pacotes do que o emissor emitiu, a perda é o seu achado, e o motor criptográfico é apenas um dos vários candidatos.
Explique a lacuna antes de ajustar qualquer coisa
Verifique política de encaminhamento, descartes de fila, erros de interface e limites de recursos junto com o caminho de criptografia, já que um déficit de taxa por si só nunca identifica uma CPU. Mantenha também explícitas as camadas de contabilização: os bytes do túnel externo incluem a encapsulação, e as retransmissões deslocam a relação entre contadores internos e externos. Comparar byte a byte contadores não relacionados fabrica uma discrepância que nunca existiu.
O tamanho do pacote merece sua própria comparação controlada em vez de um número copiado de um exemplo antigo. O TCP MSS ajusta o TCP e não tem efeito sobre datagramas UDP arbitrários, então um valor fixo de 1350 trazido de um documento legado não mede absolutamente nada. Altere o comprimento da carga útil de propósito e observe o que o receptor relata.
Mude uma variável e mantenha a carga de trabalho
Quando a linha de base se repetir dentro de uma faixa estreita, mude uma variável suportada e execute novamente a tarefa original da aplicação. Esse passo é o que transforma um número em causa, e é o único que justifica mexer na configuração. Repita a mesma carga de trabalho em vez de uma mais amigável.
Não retire propostas, enfraqueça a autenticação nem desligue a proteção para aumentar um número sintético. Esses movimentos mudam a postura de segurança e depois medem o resultado dessa mudança, não a capacidade do túnel.