Priepustnosť IPsec nižšia, ako sa očakávalo? Najprv skontrolujte aktívnu SA
Dlhý zoznam transformácií nie je relácia, ktorá chráni váš prenos. Zaznamenajte vyjednanú SA, veľkosť užitočného zaťaženia a skutočne dodanú priepustnosť, skôr než obviníte šifrovanie.
Konfigurácia ponúka osem transformácií, niekto prečíta tú najsilnejšiu a číslo priepustnosti sa na ňu pripne. Tunel si tú transformáciu pravdepodobne nevybral a nespustil ani záťaž, akú si ktokoľvek predstavoval. Vyjednaný bol jediný záznam z tohto zoznamu, s jednou veľkosťou paketu, v jednom smere, na jednom zostavení. Zmerajte to a diskusia o algoritmoch sa zvyčajne skončí skôr, než začne.
Príznak: číslo pod tým, čo konfigurácia sľubuje
Dlhý zoznam transformácií opisuje možnosti a každá možnosť sa hodnotí na papieri namiesto na tomto hardvéri. Vyjednaný výsledok je jediná kombinácia, ktorú obe strany prijali, a môže to byť tá najslabšia, ktorú ešte niektorá strana z dôvodu kompatibility povoľuje. Čo táto kombinácia dosiahne, závisí od stavu offload, veľkosti paketu a správania frontov, takže dve zariadenia s identickým súborom pravidiel môžu skončiť veľmi ďaleko od seba. Zoznam je menu; asociácia je objednávka, ktorá sa vrátila.
Čítanie zoznamu vám hovorí, čo mohlo byť vybrané. Čítanie asociácie vám hovorí, čo prenos skutočne nesie, a to je jediná vec, ktorú číslo priepustnosti opisuje. Každý krok ladenia, ktorý začína zoznamom, je odhad s papierovaním navyše.
Zaznamenajte asociáciu, ktorá tento prenos nesie
Na zariadení ASA show crypto ipsec sa vypíše aktívne asociácie s ich transformáciami a počítadlami pre každý smer a referenčná príručka príkazov Cisco tento výstup dokumentuje. Vyberte peer a smer, na ktorých záleží, a všimnite si, že rekey nahradí asociáciu a vynuluje jej počítadlá, čo potichu zneplatní základnú líniu, na ktorú ste sa ešte spoliehali. Uložte výstup vedľa poznámok k testu, aby mal ďalší beh čo porovnávať. Identifikátor asociácie, ktorý sa medzi behmi posúva, robí každé ďalšie porovnanie bezvýznamným.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Päť riadkov stačí na to, aby bolo meranie reprodukovateľné, a každý z nich vylučuje konkrétne vysvetlenie, keď chýba. Žiadny z nich nie je položkou zoznamu návrhov, pretože zoznam nedokáže povedať, čo vaše bajty práve teraz chráni. Vyplňte tabuľku raz a ďalší incident začne dátami namiesto novej diskusie o algoritmoch.
Riadok o prístupovom odkaze je ten, ktorý ľudia preskakujú, a je to práve on, ktorý najčastejšie vysvetľuje medzeru, ktorá vyzerá kryptograficky. Nasýtený underlay alebo policer na ceste vytvára rovnaký tvar príznaku ako pomalý engine.
Zmerajte jeden smer s riadenou záťažou
Spustite test z koncového bodu v sieti LAN, ktorý predstavuje aplikáciu, nie z brány samotnej, pretože sonda vytvorená bránou môže sledovať iné miestne pravidlá. Zmerajte jeden smer, skôr než pridáte druhý tok, a zaznamenajte ako ponúkanú rýchlosť, tak to, čo prijímač skutočne prijal. Beh UDP s obmedzenou rýchlosťou oddeľuje ponúkanú záťaž od reakcie TCP na preťaženie, zatiaľ čo odosielateľ UDP bez obmedzenia nie je neutrálnou diagnostikou. Zaznamenajte aj dĺžku užitočného zaťaženia, pretože väčší datagram mení ako rýchlosť paketov, tak réžiu zapuzdrenia.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Spustite ten istý test dvakrát s rovnakou dĺžkou užitočného zaťaženia a rovnakým trvaním, pretože jeden beh neoddelí strop od zlej minúty. Ak prijímač hlási menej paketov, než odosielateľ vyslal, strata je vaším zistením a šifrovací engine je len jedným z viacerých kandidátov.
Vysvetlite medzeru, skôr než čokoľvek naladíte
Skontrolujte pravidlá preposielania, zahadzovanie frontov, chyby rozhraní a limity prostriedkov spolu so šifrovacou cestou, pretože samotný deficit rýchlosti nikdy neidentifikuje procesor. Udržujte tiež explicitné vrstvy účtovania: bajty vonkajšieho tunela zahŕňajú zapuzdrenie a retransmisie posúvajú vzťah medzi vnútornými a vonkajšími počítadlami. Porovnávanie nesúvisiacich počítadiel bajt po bajte vytvára rozpor, ktorý nikdy neexistoval.
Veľkosť paketu si zaslúži vlastné riadené porovnanie, nie číslo odpísané zo starého príkladu. TCP MSS upravuje TCP a nemá žiadny vplyv na ľubovoľné datagramy UDP, takže pevná hodnota 1350 prevzatá z archívneho dokumentu nemeria vôbec nič. Zmeňte dĺžku užitočného zaťaženia zámerne a sledujte, čo prijímač hlási.
Zmeňte jednu premennú a zachovajte záťaž
Keď sa základná línia opakuje v úzkom pásme, zmeňte jednu podporovanú premennú a znova spustite pôvodnú úlohu aplikácie. Tento krok mení číslo na príčinu a ako jediný ospravedlňuje zásah do konfigurácie. Opakujte tú istú záťaž, nie prívetivejšiu.
Nevyraďujte návrhy, neoslabujte overovanie a nevypínajte ochranu, aby ste zväčšili syntetické číslo. Tie kroky menia bezpečnostný postoj a potom merajú výsledok tejto zmeny, nie kapacitu tunela.