Uwezo wa kupitisha wa IPsec ukiwa chini kuliko ilivyotarajiwa? Kagua SA inayotumika kwanza
Orodha ndefu ya mabadiliko si kikao kinacholinda uhamishaji wako. Rekodi SA iliyojadiliwa, ukubwa wa mzigo na kasi iliyowasilishwa kweli kabla ya kulaumu usimbaji fiche.
Usanidi unatoa mabadiliko manane, mtu husoma lililo imara zaidi na takwimu ya uwezo wa kupitisha huambatanishwa nalo. Huenda handaki hakukuchagua badiliko hilo, na pia hakukuendesha mzigo wa kazi ambao mtu aliwazia. Kilichojadiliwa ni kipengele kimoja kutoka orodha hiyo, chenye ukubwa mmoja wa pakiti, katika mwelekeo mmoja, kwenye muundo mmoja. Pima hilo na mjadala kuhusu algoriti kwa kawaida huisha kabla ya kuanza.
Dalili: takwimu iliyo chini ya kile usanidi unaahidi
Orodha ndefu ya mabadiliko inaeleza uwezekano, na kila uwezekano hupimwa kwenye karatasi badala ya maunzi haya. Matokeo yaliyojadiliwa ni mchanganyiko mmoja ambao pande zote mbili zilikubali, na unaweza kuwa dhaifu zaidi ambao upande wowote bado unaruhusu kwa ajili ya uoanifu. Kile mchanganyiko huo unachofikia hutegemea hali ya offload, ukubwa wa pakiti na tabia ya foleni, hivyo vifaa viwili vyenye faili ya sera inayofanana vinaweza kuishia mbali sana. Orodha ni menyu; muunganisho ni oda iliyorudi.
Kusoma orodha hukuambia kile ambacho kingeweza kuchaguliwa. Kusoma muunganisho hukuambia kile kinachobeba uhamishaji kweli, na ni hilo pekee ambalo takwimu ya uwezo wa kupitisha hueleza. Kila hatua ya urekebishaji inayoanza na orodha ni dhana pamoja na karatasi za ziada.
Rekodi muunganisho unaobeba uhamishaji huu
Kwenye ASA show crypto ipsec sa huorodhesha muunganisho hai pamoja na mabadiliko yao na vihesabu kwa mwelekeo, na marejeleo ya amri Cisco huandika matokeo hayo. Chagua peer na mwelekeo unaojalisha, na uangalie kwamba majadiliano mapya ya ufunguo hubadilisha muunganisho na kuweka upya vihesabu vyake, jambo ambalo hufuta kimyakimya msingi ambao bado ulikuwa unautumaini. Hifadhi matokeo kando ya maelezo ya jaribio ili mzunguko ujao uwe na cha kulinganisha. Kitambulisho cha muunganisho kinachohama kati ya mizunguko hufanya kila ulinganisho wa baadaye kuwa bila maana.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Safu tano zinatosha kufanya kipimo kiweze kurudiwa, na kila safu huondoa maelezo mahususi pale inapokosekana. Hakuna hata moja iliyo kipengele cha orodha ya mapendekezo, kwa sababu orodha haiwezi kusema kinacholinda baiti zako sasa hivi. Jaza jedwali mara moja na tukio lijalo litaanza na data badala ya mjadala mpya kuhusu algoriti.
Safu ya kiungo cha ufikiaji ni ile ambayo watu huiruka, na ndiyo mara nyingi hufafanua pengo linaloonekana kama usimbaji fiche. Msingi uliojaa au policer kando ya njia huzalisha umbo lile lile la dalili kama injini polepole.
Pima mwelekeo mmoja kwa mzigo unaodhibitiwa
Endesha jaribio kutoka kwenye ncha ya LAN inayowakilisha programu badala ya kutoka kwenye lango lenyewe, kwa sababu kipimo kinachozalishwa na lango kinaweza kufuata sera nyingine ya ndani. Pima mwelekeo mmoja kabla ya kuongeza mtiririko wa pili, na rekodi kasi iliyotolewa pamoja na kile mpokeaji alipokea kweli. Mzunguko wa UDP wenye kikomo cha kasi hutenganisha mzigo uliotolewa na majibu ya msongamano ya TCP, ilhali mtumaji wa UDP asiye na kikomo si utambuzi usioegemea upande. Rekodi pia urefu wa mzigo, kwa sababu datagramu kubwa hubadilisha kasi ya pakiti na gharama ya ufungashaji.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Endesha jaribio lile lile mara mbili kwa urefu sawa wa mzigo na muda sawa, kwa sababu mzunguko mmoja hauwezi kutenganisha kikomo cha juu na dakika mbaya. Ikiwa mpokeaji anaripoti pakiti chache kuliko zilizotumwa na mtumaji, hasara ni ugunduzi wako, na injini ya usimbaji fiche ni mmoja tu wa wagombea kadhaa.
Eleza pengo kabla ya kurekebisha kitu chochote
Kagua sera ya upelekaji, kudondoka kwa foleni, hitilafu za kiolesura na mipaka ya rasilimali pamoja na njia ya usimbaji fiche, kwa sababu upungufu wa kasi peke yake hautambui CPU kamwe. Weka pia tabaka za uhasibu wazi: baiti za handaki la nje hujumuisha ufungashaji, na mapeleko upya huhamisha uhusiano kati ya vihesabu vya ndani na vya nje. Kulinganisha baiti kwa baiti vihesabu visivyohusiana hutengeneza tofauti ambayo haikuwahi kuwepo.
Ukubwa wa pakiti unastahili ulinganisho wake wa kudhibitiwa badala ya nambari iliyonakiliwa kutoka mfano wa zamani. TCP MSS hurekebisha TCP na hauna athari kwa datagramu za UDP ovyo, hivyo thamani isiyobadilika ya 1350 iliyochukuliwa kutoka hati ya zamani haipimi kitu kabisa. Badilisha urefu wa mzigo kwa makusudi na uangalie kile mpokeaji anaripoti.
Badilisha kigezo kimoja na uendelee na mzigo wa kazi
Mara msingi unapojirudia ndani ya ukanda mwembamba, badilisha kigezo kimoja kinachotumika na uendeshe tena kazi ya awali ya programu. Hatua hiyo ndiyo hubadilisha takwimu kuwa sababu, na ndiyo pekee inayohalalisha kugusa usanidi. Rudia mzigo ule ule wa kazi badala ya ule mzuri zaidi.
Usiondoe mapendekezo, usidhoofishe uthibitishaji au usizime ulinzi ili kukuza takwimu ya bandia. Hatua hizo hubadilisha msimamo wa usalama kisha hupima matokeo ya mabadiliko hayo, si uwezo wa handaki.