IPsec пропусност нижа од очекиване? Прво проверите активну SA
Дугачка листа трансформација није сесија која штити ваш пренос. Забележите договорену SA, величину корисног терета и стварно испоручену брзину пре него што оптужите енкрипцију.
Конфигурација нуди осам трансформација, неко прочита најјачу и бројка пропусности се прикачи за њу. Тунел вероватно није изабрао ту трансформацију, а није извршио ни радно оптерећење које је ико замишљао. Договорен је један унос са тог списка, са једном величином пакета, у једном смеру, на једној верзији. Измерите то и расправа о алгоритмима обично заврши пре него што почне.
Симптом: бројка испод онога што конфигурација обећава
Дугачка листа трансформација описује могућности, а свака се могућност оцењује на папиру уместо на овом хардверу. Договорени резултат је једна комбинација коју су прихватиле обе стране, а то може бити најслабија коју било која страна још дозвољава због компатибилности. Шта та комбинација постиже зависи од стања offload-а, величине пакета и понашања редова, па два уређаја са идентичном датотеком правила могу завршити веома далеко један од другога. Листа је јеловник; асоцијација је поруџбина која се вратила.
Читање листе говори вам шта је могло бити изабрано. Читање асоцијације говори вам шта пренос стварно носи, и то је једино што бројка пропусности описује. Сваки корак подешавања који почиње са списком је нагађање са додатном папирологијом.
Забележите асоцијацију која носи овај пренос
На уређају ASA show crypto ipsec sa исписује активне асоцијације са њиховим трансформацијама и бројачима по смеру, а референца наредби Cisco документује тај излаз. Изаберите peer и смер који су важни и имајте на уму да rekey замењује асоцијацију и поништава њене бројаче, што тихо поништава основну линију на коју сте се још ослањали. Сачувајте излаз уз белешке о тесту како би следеће покретање имало шта да упореди. Идентификатор асоцијације који се мења између покретања чини свако касније поређење бесмисленим.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Пет редова је довољно да мерење буде поновљиво, а сваки од њих искључује одређено објашњење када недостаје. Ниједан није унос са списка предлога, јер списак не може да каже шта тренутно штити ваше бајтове. Испуните табелу једном и следећи инцидент почиње са подацима уместо са новом расправом о алгоритмима.
Ред о приступној вези је онај који људи прескачу, и управо он најчешће објашњава јаз који изгледа криптографски. Засићени underlay или policer дуж путање ствара исти облик симптома као спор мотор.
Измерите један смер са контролисаним оптерећењем
Покрените тест са крајње тачке у LAN-у која представља апликацију, уместо са самог пролаза, јер сонда коју генерише пролаз може следити другачија локална правила. Измерите један смер пре додавања другог тока и забележите и понуђену брзину и оно што је прималац стварно примио. Покретање UDP-а са ограниченом брзином одваја понуђено оптерећење од TCP-овог одговора на загушење, док пошиљалац UDP-а без ограничења није неутрална дијагностика. Забележите и дужину корисног терета, јер већи датаграм мења и брзину пакета и режијски трошак енкапсулације.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Покрените исти тест двапут са истом дужином корисног терета и истим трајањем, јер једно покретање не може да одвоји горњу границу од лошег минута. Ако прималац пријави мање пакета него што их је пошиљалац послао, губитак је ваш налаз, а криптографски мотор само је један од неколико кандидата.
Објасните јаз пре него што било шта прилагодите
Проверите правила прослеђивања, одбацивања редова, грешке интерфејса и ограничења ресурса заједно са путањом енкрипције, јер мањак брзине сам по себи никада не идентификује процесор. Држите и слојеве обрачуна експлицитним: бајтови спољашњег тунела укључују енкапсулацију, а ретрансмисије померају однос између унутрашњих и спољашњих бројача. Поређење неповезаних бројача бајт по бајт ствара разлику које никада није било.
Величина пакета заслужује сопствено контролисано поређење, а не бројку преписано из старог примера. TCP MSS прилагођава TCP и нема никакав учинак на произвољне UDP датаграме, па фиксна вредност 1350 пренета из архивског документа не мери баш ништа. Намерно промените дужину корисног терета и посматрајте шта прималац пријављује.
Промените једну променљиву и задржите радно оптерећење
Када се основна линија понови унутар уског појаса, промените једну подржану променљиву и поново покрените изворни апликацијски задатак. Тај корак претвара бројку у узрок и једини је који оправдава дирање конфигурације. Поновите исто радно оптерећење, а не пријатније.
Не укидајте предлоге, не слабите аутентификацију и не искључујте заштиту да бисте повећали синтетичку бројку. Ти потези мењају безбедносно стање и затим мере резултат те промене, а не капацитет тунела.