IPsec செயல்திறன் எதிர்பார்த்ததை விடக் குறைவா? முதலில் செயலில் உள்ள SA ஐச் சரிபார்க்கவும்
நீண்ட டிரான்ஸ்ஃபார்ம் பட்டியல் உங்கள் பரிமாற்றத்தைப் பாதுகாக்கும் அமர்வு அல்ல. என்க்ரிப்ஷனைக் குறை சொல்வதற்கு முன் பேச்சுவார்த்தையில் ஏற்பட்ட SA, பேலோட் அளவு மற்றும் உண்மையில் வந்த சேவை வீதத்தைப் பதிவு செய்யுங்கள்.
கட்டமைப்பு எட்டு டிரான்ஸ்ஃபார்ம்களை வழங்குகிறது, யாரோ வலிமையானதைப் படிக்கிறார், செயல்திறன் எண் அதற்கே சாற்றப்படுகிறது. டன்னல் அந்த டிரான்ஸ்ஃபார்மைத் தேர்ந்தெடுத்திருக்க வாய்ப்பில்லை, யாரோ கற்பனை செய்த வேலைச் சுமையையும் அது இயக்கவில்லை. பேச்சுவார்த்தையில் ஏற்பட்டது இந்தப் பட்டியலின் ஒரு உள்ளீடு, ஒரு பாக்கெட் அளவு, ஒரு திசை, ஒரு பில்ட். இதை அளவிடுங்கள், அல்காரிதம்கள் பற்றிய விவாதம் பொதுவாக தொடங்குவதற்கு முன்பே முடிகிறது.
அறிகுறி: கட்டமைப்பு வாக்களித்ததை விடக் குறைவான எண்
நீண்ட டிரான்ஸ்ஃபார்ம் பட்டியல் சாத்தியங்களை விவரிக்கிறது, ஒவ்வொரு சாத்தியமும் இந்த வன்பொருளில் அல்ல, காகிதத்தில் மதிப்பிடப்படுகிறது. பேச்சுவார்த்தையில் ஏற்பட்ட முடிவு இரு தரப்பும் ஏற்றுக்கொண்ட ஒரே கலவை, அது இணக்கத்திற்காக எந்தத் தரப்பும் இன்னும் அனுமதிக்கும் மிகப் பலவீனமான கலவையாகவும் இருக்கலாம். அந்தக் கலவை என்ன சாதிக்கிறது என்பது ஆஃப்லோட் நிலை, பாக்கெட் அளவு மற்றும் வரிசை நடத்தையைப் பொறுத்தது, எனவே ஒரே மாதிரியான கொள்கைக் கோப்பு உள்ள இரண்டு சாதனங்கள் மிகத் தொலைவில் போய்ச் சேரலாம். பட்டியல் ஒரு மெனு; அசோசியேஷன் திரும்பி வந்த ஆர்டர்.
பட்டியலைப் படிப்பது என்ன தேர்ந்தெடுக்கப்பட்டிருக்கலாம் என்பதைச் சொல்கிறது. அசோசியேஷனைப் படிப்பது பரிமாற்றத்தை உண்மையில் எது சுமக்கிறது என்பதைச் சொல்கிறது, செயல்திறன் எண் விவரிப்பது அதை மட்டுமே. பட்டியலிலிருந்து தொடங்கும் ஒவ்வொரு ட்யூனிங் படியும் கூடுதல் காகித வேலையுடன் கூடிய ஒரு ஊகம்.
இந்தப் பரிமாற்றத்தைச் சுமக்கும் அசோசியேஷனைப் பதிவு செய்யுங்கள்
ஒரு ASA இல் show crypto ipsec sa செயலில் உள்ள அசோசியேஷன்களை அவற்றின் டிரான்ஸ்ஃபார்ம்கள் மற்றும் திசைக்கான கவுண்டர்களுடன் பட்டியலிடுகிறது, மேலும் கட்டளை குறிப்பு Cisco இந்த வெளியீட்டை ஆவணப்படுத்துகிறது. முக்கியமான பியர் மற்றும் திசையைத் தேர்ந்தெடுங்கள், மேலும் விசை மறுபேச்சுவார்த்தை அசோசியேஷனை மாற்றி அதன் கவுண்டர்களை பூஜ்ஜியமாக்கும் என்பதைக் கவனியுங்கள், இது நீங்கள் இன்னும் நம்பிய அடிப்படைக் கோட்டை அமைதியாகச் செல்லாததாக்குகிறது. அடுத்த முறை ஒப்பிட ஏதாவது இருக்க வெளியீட்டைச் சோதனைக் குறிப்புகளுடன் வைத்திருங்கள். ரன்களுக்கிடையே நகரும் அசோசியேஷன் அடையாளங்காட்டி பிந்தைய ஒவ்வொரு ஒப்பீட்டையும் அர்த்தமற்றதாக்குகிறது.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
ஐந்து வரிசைகள் அளவீட்டை மீளச் செய்யக்கூடியதாக்க போதும், ஒவ்வொரு வரிசையும் இல்லாதபோது ஒரு குறிப்பிட்ட விளக்கத்தை நீக்குகிறது. இவற்றில் எதுவும் முன்மொழிவுப் பட்டியலின் உள்ளீடு அல்ல, ஏனெனில் இப்போது உங்கள் பைட்டுகளை எது பாதுகாக்கிறது என்று பட்டியல் சொல்ல முடியாது. அட்டவணையை ஒரு முறை நிரப்புங்கள், அடுத்த சம்பவம் அல்காரிதம்கள் பற்றிய புதிய விவாதத்திற்குப் பதிலாக தரவோடு தொடங்கும்.
அணுகல் இணைப்பு வரிசை மக்கள் தவிர்க்கும் வரிசை, மேலும் கிரிப்டோகிராஃபிக் போலத் தெரியும் இடைவெளியை அடிக்கடி விளக்குவது அதுவே. நிரம்பிய அண்டர்லே அல்லது பாதையில் உள்ள போலீசர் மெதுவான இயந்திரத்தைப் போன்ற அறிகுறி வடிவத்தை உருவாக்குகிறது.
கட்டுப்படுத்தப்பட்ட சுமையுடன் ஒரு திசையை அளவிடுங்கள்
சோதனையை கேட்வேயிலிருந்து அல்ல, பயன்பாட்டைப் பிரதிநிதித்துவப்படுத்தும் LAN முனையிலிருந்து இயக்குங்கள், ஏனெனில் கேட்வே உருவாக்கும் ஆய்வு வேறு உள்ளூர் கொள்கையைப் பின்பற்றலாம். இரண்டாவது ஸ்ட்ரீமைச் சேர்ப்பதற்கு முன் ஒரு திசையை அளவிடுங்கள், வழங்கப்பட்ட வீதம் மற்றும் பெறுநர் உண்மையில் பெற்றதைப் பதிவு செய்யுங்கள். வீதம்-வரம்பிட்ட UDP ஓட்டம் வழங்கப்பட்ட சுமையை TCP இன் நெரிசல் பதிலிலிருந்து பிரிக்கிறது, அளவற்ற UDP அனுப்புநர் நடுநிலையான கண்டறிதல் அல்ல. பேலோட் நீளத்தையும் பதிவு செய்யுங்கள், ஏனெனில் பெரிய டேட்டாகிராம் பாக்கெட் வீதத்தையும் என்கேப்சுலேஷன் மேலதிக நேரத்தையும் மாற்றுகிறது.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30அதே சோதனையை இரண்டு முறை அதே பேலோட் நீளம் மற்றும் கால அளவுடன் இயக்குங்கள், ஏனெனில் ஒரு ஓட்டம் மேல்தள வரம்பை மோசமான நிமிடத்திலிருந்து பிரிக்க முடியாது. பெறுநர் அனுப்புநர் அனுப்பியதை விடக் குறைவான பாக்கெட்டுகளைத் தெரிவித்தால், இழப்பு உங்கள் கண்டுபிடிப்பு, கிரிப்டோ இயந்திரம் அதற்கான பல வேட்பாளர்களில் ஒன்று மட்டுமே.
எதையும் ட்யூன் செய்வதற்கு முன் இடைவெளியை விளக்குங்கள்
ஃபார்வர்டிங் கொள்கை, வரிசை வீழ்ச்சிகள், இடைமுகப் பிழைகள் மற்றும் வள வரம்புகளை என்க்ரிப்ஷன் பாதையுடன் சேர்த்து சரிபார்க்கவும், ஏனெனில் வீதப் பற்றாக்குறை மட்டும் ஒருபோதும் CPU ஐ அடையாளம் காட்டாது. கணக்கியல் அடுக்குகளையும் வெளிப்படையாக வைத்திருங்கள்: வெளிப்புற டன்னல் பைட்டுகளில் என்கேப்சுலேஷன் அடங்கும், மறுஅனுப்புகள் உள் மற்றும் வெளிப்புற கவுண்டர்களுக்கிடையிலான உறவை நகர்த்துகின்றன. தொடர்பற்ற கவுண்டர்களை பைட்-பைட் ஒப்பிடுவது ஒருபோதும் இல்லாத முரண்பாட்டை உருவாக்குகிறது.
பாக்கெட் அளவு பழைய எடுத்துக்காட்டிலிருந்து நகலெடுத்த எண்ணுக்குப் பதிலாக அதன் சொந்த கட்டுப்படுத்தப்பட்ட ஒப்பீட்டுக்குத் தகுதியானது. TCP MSS TCP ஐச் சரிசெய்கிறது, தன்னிச்சையான UDP டேட்டாகிராம்களில் எந்த விளைவும் இல்லை, எனவே பழைய ஆவணத்திலிருந்து எடுக்கப்பட்ட நிலையான 1350 எதையும் அளவிடவில்லை. பேலோட் நீளத்தை வேண்டுமென்றே மாற்றி பெறுநர் என்ன தெரிவிக்கிறார் என்பதைப் பாருங்கள்.
ஒரு மாறியை மாற்றி வேலைச் சுமையைத் தக்கவைத்துக் கொள்ளுங்கள்
அடிப்படைக் கோடு ஒரு குறுகிய பட்டையில் மீண்டும் மீண்டும் வரும்போது, ஆதரிக்கப்படும் ஒரு மாறியை மாற்றி அசல் பயன்பாட்டுப் பணியை மீண்டும் இயக்குங்கள். அந்தப் படியே ஒரு எண்ணைக் காரணமாக மாற்றுகிறது, கட்டமைப்பைத் தொடுவதற்கு நியாயம் தருவது அதுவே. மிகவும் வசதியான வேலைச் சுமைக்குப் பதிலாக அதே சுமையை மீண்டும் செய்யுங்கள்.
செயற்கை எண்ணைப் பெரிதாக்க முன்மொழிவுகளை நீக்க வேண்டாம், அங்கீகாரத்தைப் பலவீனப்படுத்த வேண்டாம், பாதுகாப்பை நிறுத்த வேண்டாம். இந்த நடவடிக்கைகள் பாதுகாப்பு நிலையை மாற்றி, பின்னர் அந்த மாற்றத்தின் முடிவை அளவிடுகின்றன, டன்னலின் திறனை அல்ல.