Rrjedha IPsec më e ulët se sa pritej? Kontrolloni fillimisht SA aktive
Një listë e gjatë transformimesh nuk është sesioni që mbron transferimin tuaj. Regjistroni SA e negociuar, madhësinë e ngarkesës dhe normën e dorëzuar në të vërtetë përpara se të fajësoni kriptimin.
Konfigurimi ofron tetë transformime, dikush lexon më të fortin dhe shifra e rrjedhës i vishet pikërisht asaj. Tuneli me gjasë nuk e zgjodhi atë transformim dhe as nuk ekzekutoi ngarkesën e punës që dikush e imagjinoi. Ajo që u negociua është një zë i vetëm nga kjo listë, me një madhësi pakete, në një drejtim, në një ndërtim. Mateni atë dhe debati për algoritmet zakonisht mbaron para se të fillojë.
Simptoma: një shifër nën atë që premton konfigurimi
Një listë e gjatë transformimesh përshkruan mundësi dhe çdo mundësi vlerësohet në letër, jo në këtë harduer. Rezultati i negociuar është një kombinim i vetëm që të dy palët pranuan dhe mund të jetë më i dobëti që secila palë lejon ende për shkak të përputhshmërisë. Çfarë arrin ky kombinim varet nga gjendja e offload, madhësia e paketës dhe sjellja e radhës, kështu që dy pajisje me një skedar politikash identik mund të përfundojnë shumë larg njëra-tjetrës. Lista është një menu; asociacioni është porosia që u kthye.
Leximi i listës ju tregon çfarë mund të ishte zgjedhur. Leximi i asociacionit ju tregon çfarë e mbart transferimin në të vërtetë, dhe vetëm kjo përshkruhet nga një shifër rrjedhe. Çdo hap rregullimi që nis nga lista është një hamendësim me letra shtesë.
Regjistroni asociacionin që e mbart këtë transferim
Në një ASA show crypto ipsec sa liston asociacionet aktive me transformimet dhe numëruesit e tyre për drejtim, dhe referenca e komandave Cisco dokumenton këtë dalje. Zgjidhni palën dhe drejtimin që kanë rëndësi dhe vini re se një rinegocim i çelësave zëvendëson asociacionin dhe rivendos numëruesit e tij, gjë që e bën në heshtje të pavlefshme një vijë bazë të cilës i besonit ende. Ruani daljen pranë shënimeve të testit, që ekzekutimi i radhës të ketë me çfarë të krahasohet. Një identifikues asociacioni që lëviz midis ekzekutimeve e bën çdo krahasim të mëvonshëm të pakuptimtë.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Pesë rreshta mjaftojnë për ta bërë një matje të përsëritshme dhe secili rresht përjashton një shpjegim të caktuar kur mungon. Asnjë prej tyre nuk është zë nga lista e propozimeve, sepse lista nuk mund të thotë çfarë i mbron bajtët tuaj tani. Plotësoni tabelën një herë dhe incidenti i radhës nis me të dhëna, jo me një debat të ri për algoritmet.
Rreshti i lidhjes së aksesit është ai që njerëzit e kapërcejnë, dhe është pikërisht ai që shpesh shpjegon një hendek që duket kriptografik. Një nënstrukturë e ngopur ose një policer përgjatë rrugës prodhon të njëjtën formë simptome si një motor i ngadaltë.
Matni një drejtim me ngarkesë të kontrolluar
Ekzekutoni testin nga një pikë fundore në LAN që përfaqëson aplikacionin, jo nga vetë porta, sepse një sondë e gjeneruar nga porta mund të ndjekë një politikë tjetër lokale. Matni një drejtim përpara se të shtoni një rrjedhë të dytë dhe regjistroni si normën e ofruar ashtu edhe atë që marrësi mori në të vërtetë. Një ekzekutim UDP i kufizuar në shpejtësi ndan ngarkesën e ofruar nga përgjigja e TCP ndaj mbingarkesës, ndërsa një dërgues UDP pa kufi nuk është një diagnozë neutrale. Regjistroni edhe gjatësinë e ngarkesës, sepse një datagram më i madh ndryshon si shpejtësinë e paketave ashtu edhe koston e kapsulimit.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Ekzekutoni të njëjtin test dy herë me të njëjtën gjatësi ngarkese dhe kohëzgjatje, sepse një ekzekutim nuk e ndan një tavan nga një minutë e keqe. Nëse marrësi raporton më pak paketa nga sa dërgoi dërguesi, humbja është gjetja juaj, dhe motori kriptografik është vetëm një nga disa kandidatë.
Shpjegoni hendekun përpara se të rregulloni çdo gjë
Kontrolloni politikën e përcjelljes, hedhjet e radhës, gabimet e ndërfaqes dhe kufijtë e burimeve së bashku me rrugën e kriptimit, sepse një deficit shpejtësie i vetëm nuk identifikon kurrë një procesor. Mbani gjithashtu shtresat e kontabilitetit të qarta: bajtët e tunelit të jashtëm përfshijnë kapsulimin, dhe ritransmetimet lëvizin marrëdhënien midis numëruesve të brendshëm dhe të jashtëm. Krahasimi bajt për bajt i numëruesve të palidhur krijon një mospërputhje që nuk ekzistonte kurrë.
Madhësia e paketës meriton krahasimin e vet të kontrolluar, jo një numër të kopjuar nga një shembull i vjetër. TCP MSS rregullon TCP dhe nuk ka asnjë efekt mbi datagramet arbitrare UDP, prandaj një vlerë fikse 1350 e marrë nga një dokument i vjetër nuk mat absolutisht asgjë. Ndryshoni qëllimisht gjatësinë e ngarkesës dhe shikoni çfarë raporton marrësi.
Ndryshoni një variabël dhe mbani ngarkesën e punës
Kur vija bazë përsëritet brenda një brezi të ngushtë, ndryshoni një variabël të mbështetur dhe ekzekutoni përsëri detyrën origjinale të aplikacionit. Ky hap e kthen një shifër në shkak dhe është i vetmi që justifikon prekjen e konfigurimit. Përsëritni të njëjtën ngarkesë pune, jo një më të rehatshme.
Mos tërhiqni propozime, mos dobësoni vërtetimin dhe mos fikni mbrojtjen për të rritur një shifër sintetike. Këto lëvizje ndryshojnë qëndrimin e sigurisë dhe pastaj matin rezultatin e atij ndryshimi, jo kapacitetin e tunelit.