Debit IPsec sub nivelul așteptat? Verificați mai întâi SA activă
O listă lungă de transformări nu este sesiunea care vă protejează transferul. Înregistrați SA negociată, dimensiunea sarcinii utile și rata livrată efectiv înainte de a da vina pe criptare.
Configurația oferă opt transformări, cineva o citește pe cea mai puternică, iar cifra debitului este pusă pe seama ei. Tunelul probabil nu a ales acea transformare și nici nu a rulat volumul de lucru pe care și-l imagina cineva. Ceea ce s-a negociat este o singură intrare din acea listă, cu o singură dimensiune a pachetului, într-o singură direcție, pe o singură versiune. Măsurați asta și dezbaterea despre algoritmi se termină de obicei înainte de a începe.
Simptomul: o cifră sub ce promite configurația
O listă lungă de transformări descrie posibilități, iar fiecare posibilitate este punctată pe hârtie, nu pe acest hardware. Rezultatul negociat este o singură combinație acceptată de ambele părți și poate fi cea mai slabă pe care fiecare parte o mai permite din motive de compatibilitate. Ce realizează acea combinație depinde de starea offload, de dimensiunea pachetului și de comportamentul cozii, așa că două dispozitive cu un fișier de politică identic pot ajunge foarte departe unul de altul. Lista este un meniu; asocierea este comanda care s-a întors.
Citirea listei vă spune ce ar fi putut fi ales. Citirea asocierii vă spune ce transportă de fapt transferul, și doar asta descrie o cifră a debitului. Fiecare pas de reglare care pornește de la listă este o presupunere cu birocrație suplimentară.
Înregistrați asocierea care transportă acest transfer
Pe un ASA show crypto ipsec sa listează asocierile active cu transformările și contoarele lor pe direcție, iar referința comenzilor Cisco documentează această ieșire. Alegeți partenerul și direcția care contează și rețineți că o renegociere a cheilor înlocuiește asocierea și îi resetează contoarele, ceea ce invalidează în tăcere o linie de bază în care încă aveați încredere. Salvați ieșirea lângă notele testului, ca următoarea rulare să aibă cu ce compara. Un identificator de asociere care se deplasează între rulări face orice comparație ulterioară lipsită de sens.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Cinci rânduri sunt suficiente pentru ca o măsurătoare să fie reproductibilă, iar fiecare rând exclude o explicație anume atunci când lipsește. Niciunul nu este o intrare din lista de propuneri, pentru că lista nu poate spune ce vă protejează octeții chiar acum. Completați tabelul o dată și următorul incident începe cu date, nu cu o nouă dezbatere despre algoritmi.
Rândul legăturii de acces este cel pe care oamenii îl sar, și tocmai el explică cel mai des o diferență care pare criptografică. Un underlay saturat sau un policer de-a lungul traseului produce aceeași formă de simptom ca un motor lent.
Măsurați o singură direcție cu o sarcină controlată
Rulați testul dintr-un punct final din LAN care reprezintă aplicația, nu din gateway-ul însuși, pentru că o sondă generată de gateway poate urma o altă politică locală. Măsurați o direcție înainte de a adăuga un al doilea flux și înregistrați atât rata oferită, cât și ce a primit efectiv receptorul. O rulare UDP limitată în rată separă sarcina oferită de răspunsul la congestie al TCP, în timp ce un expeditor UDP fără limită nu este un diagnostic neutru. Înregistrați și lungimea sarcinii utile, deoarece un datagram mai mare schimbă atât rata pachetelor, cât și costul de încapsulare.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Rulați același test de două ori cu aceeași lungime a sarcinii utile și aceeași durată, pentru că o singură rulare nu separă un plafon de un minut prost. Dacă receptorul raportează mai puține pachete decât a trimis expeditorul, pierderea este constatarea dumneavoastră, iar motorul criptografic este doar unul dintre mai mulți candidați.
Explicați diferența înainte de a regla ceva
Verificați politica de forwarding, pierderile din coadă, erorile de interfață și limitele de resurse împreună cu calea de criptare, deoarece un deficit de rată singur nu identifică niciodată un procesor. Păstrați explicite și straturile de contabilizare: octeții tunelului exterior includ încapsularea, iar retransmisiile mută relația dintre contoarele interioare și cele exterioare. Compararea octet cu octet a unor contoare fără legătură fabrică o discrepanță care nu a existat niciodată.
Dimensiunea pachetului merită propria comparație controlată, nu un număr copiat dintr-un exemplu vechi. TCP MSS ajustează TCP și nu are niciun efect asupra datagramelor UDP arbitrare, așa că o valoare fixă de 1350 preluată dintr-un document vechi nu măsoară absolut nimic. Schimbați intenționat lungimea sarcinii utile și urmăriți ce raportează receptorul.
Schimbați o variabilă și păstrați volumul de lucru
Când linia de bază se repetă într-o bandă îngustă, schimbați o variabilă acceptată și rulați din nou sarcina originală a aplicației. Acel pas transformă o cifră într-o cauză și este singurul care justifică atingerea configurației. Repetați același volum de lucru, nu unul mai comod.
Nu retrageți propuneri, nu slăbiți autentificarea și nu opriți protecția pentru a mări o cifră sintetică. Aceste mișcări schimbă postura de securitate și apoi măsoară rezultatul acelei schimbări, nu capacitatea tunelului.