Bumababa ang throughput ng IPsec kaysa inaasahan? Suriin muna ang aktibong SA
Ang mahabang listahan ng transformasyon ay hindi ang sesyon na nagpoprotekta sa iyong paglilipat. Itala ang napagkasunduang SA, laki ng payload at ang talagang naihatid na rate bago sisihin ang enkripsyon.
Naghahain ang configuration ng walong transformasyon, may nagbabasa ng pinakamalakas at ipinipin ang pigura ng throughput doon. Malamang hindi pinili ng tunnel ang transformasyong iyon, at hindi rin nito pinatakbo ang workload na inisip ninuman. Ang napagkasunduan ay isang entry mula sa listahang iyon, may isang laki ng packet, sa isang direksyon, sa isang build. Sukatin iyon at kadalasan ay natatapos ang debate tungkol sa algorithm bago pa ito magsimula.
Ang sintomas: isang pigura na mas mababa sa ipinangako ng configuration
Inilalarawan ng mahabang listahan ng transformasyon ang mga posibilidad, at bawat posibilidad ay binibilang sa papel, hindi sa hardware na ito. Ang napagkasunduang resulta ay isang kombinasyon na tinanggap ng dalawang panig, at maaaring ito ang pinakamahina na pinapayagan pa ng alinmang panig para sa pagiging tugma. Ang naaabot ng kombinasyong iyon ay nakadepende sa estado ng offload, laki ng packet at pag-uugali ng pila, kaya dalawang device na may magkaparehong policy file ay maaaring mapunta nang malayong magkaiba. Ang listahan ay isang menu; ang asosasyon ang order na bumalik.
Sinasabi ng pagbasa ng listahan kung ano ang maaaring napili. Sinasabi ng pagbasa ng asosasyon kung ano ang talagang nagdadala ng paglilipat, at iyon lamang ang inilalarawan ng pigura ng throughput. Bawat hakbang sa pag-tune na nagsisimula sa listahan ay isang haka-haka na may dagdag na papeles.
Itala ang asosasyong nagdadala ng paglilipat na ito
Sa isang ASA show crypto ipsec sa inililista ang mga aktibong asosasyon kasama ang kanilang transformasyon at counter kada direksyon, at ang reference ng mga command Cisco ay nagdodokumento ng output na iyon. Piliin ang peer at direksyon na mahalaga, at tandaan na ang muling pagkakasundo ng key ay pumapalit sa asosasyon at ni-reset ang mga counter nito, na tahimik na nagpapawalang-bisa sa baseline na pinagkakatiwalaan mo pa. Itabi ang output sa tabi ng mga tala ng test upang may maikumpara sa susunod na pagtakbo. Ang identifier ng asosasyon na gumagalaw sa pagitan ng mga pagtakbo ay nagpapawalang-saysay sa bawat kasunod na paghahambing.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Sapat ang limang hilera upang gawing maibabalik ang isang pagsukat, at bawat hilera ay nag-aalis ng partikular na paliwanag kapag wala ito. Wala sa mga ito ang entry ng listahan ng panukala, dahil hindi masasabi ng listahan kung ano ang nagpoprotekta sa iyong bytes ngayon. Punan ang talahanayan nang isang beses at ang susunod na insidente ay magsisimula sa datos, hindi sa bagong debate tungkol sa algorithm.
Ang hilera ng access-link ang madalas laktawan ng mga tao, at iyon ang pinakamadalas magpaliwanag ng puwang na mukhang cryptographic. Ang saturated na underlay o policer sa ruta ay gumagawa ng parehong hugis ng sintomas tulad ng mabagal na engine.
Sukatin ang isang direksyon gamit ang kontroladong load
Patakbuhin ang test mula sa isang LAN endpoint na kumakatawan sa application, hindi mula sa gateway mismo, dahil ang probe na ginawa ng gateway ay maaaring sumunod sa ibang lokal na patakaran. Sukatin ang isang direksyon bago magdagdag ng pangalawang stream, at itala ang parehong alok na rate at ang talagang natanggap ng receiver. Ang rate-limited na UDP run ay naghihiwalay sa alok na load mula sa congestion response ng TCP, samantalang ang unlimited na UDP sender ay hindi neutral na diagnostic. Itala rin ang haba ng payload, dahil binabago ng mas malaking datagram ang rate ng packet at ang encapsulation overhead.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Patakbuhin ang parehong test nang dalawang beses na may parehong haba ng payload at tagal, dahil hindi kayang paghiwalayin ng isang pagtakbo ang kisame sa masamang minuto. Kung mas kaunti ang packet na iniulat ng receiver kaysa ipinadala ng sender, ang pagkawala ang iyong natuklasan, at ang crypto engine ay isa lamang sa ilang kandidato.
Ipaliwanag ang puwang bago mag-tune ng kahit ano
Suriin ang forwarding policy, queue drops, interface errors at resource limits kasama ang encryption path, dahil ang kakulangan sa rate lamang ay hindi kailanman tumutukoy ng CPU. Panatilihing malinaw din ang mga accounting layer: kasama sa panlabas na tunnel bytes ang encapsulation, at inililipat ng retransmission ang kaugnayan ng panloob at panlabas na counter. Ang paghahambing ng walang kaugnayang counter byte kada byte ay lumilikha ng pagkakaibang hindi kailanman umiral.
Ang laki ng packet ay karapat-dapat sa sarili nitong kontroladong paghahambing, hindi sa pigurang kinopya mula sa lumang halimbawa. Inaayos ng TCP MSS ang TCP at walang epekto sa arbitraryong UDP datagram, kaya ang fixed na 1350 mula sa lumang dokumento ay wala talagang sinusukat. Sadyang baguhin ang haba ng payload at tingnan kung ano ang iniuulat ng receiver.
Baguhin ang isang variable at panatilihin ang workload
Kapag umuulit ang baseline sa loob ng makitid na banda, baguhin ang isang sinusuportahang variable at patakbuhin muli ang orihinal na gawain ng application. Ang hakbang na iyon ang nagpapalit ng pigura tungo sa dahilan, at iyon lamang ang nagbibigay-katwiran sa paghawak sa configuration. Ulitin ang parehong workload, hindi ang mas magiliw.
Huwag bawiin ang mga panukala, huwag pahinain ang authentication at huwag patayin ang proteksyon upang palakihin ang sintetikong pigura. Binabago ng mga galaw na iyon ang kalagayan ng seguridad at pagkatapos ay sinusukat ang resulta ng pagbabagong iyon, hindi ang kapasidad ng tunnel.