IPsec verimliliği beklenenden düşük mü? Önce etkin SA'yı kontrol edin
Uzun bir dönüşüm listesi, aktarımınızı koruyan oturum değildir. Şifrelemeyi suçlamadan önce görüşülen SA'yı, yük boyutunu ve gerçekte teslim edilen hızı kaydedin.
Yapılandırma sekiz dönüşüm sunuyor, biri en güçlüsünü okuyor ve verimlilik rakamı ona bağlanıyor. Tünel muhtemelen o dönüşümü seçmedi ve kimsenin hayal ettiği iş yükünü de çalıştırmadı. Görüşülen şey bu listenin tek bir girdisi; tek paket boyutu, tek yön, tek derleme. Bunu ölçün ve algoritma tartışması genellikle başlamadan biter.
Belirti: yapılandırmanın vaat ettiğinin altında bir rakam
Uzun bir dönüşüm listesi olasılıkları anlatır ve her olasılık bu donanımda değil kâğıt üzerinde puanlanır. Görüşülen sonuç, iki tarafın da kabul ettiği tek bir birleşimdir ve uyumluluk için her iki tarafın hâlâ izin verdiği en zayıf birleşim olabilir. Bu birleşimin ne başardığı offload durumuna, paket boyutuna ve kuyruk davranışına bağlıdır, bu yüzden aynı ilke dosyasına sahip iki cihaz çok farklı yerlere düşebilir. Liste bir menüdür; ilişkilendirme geri dönen sipariştir.
Listeyi okumak size neyin seçilmiş olabileceğini söyler. İlişkilendirmeyi okumak size aktarımı gerçekte neyin taşıdığını söyler ve bir verimlilik rakamının tanımladığı tek şey budur. Listeden başlayan her ayar adımı, fazladan evrakla birlikte bir tahmindir.
Bu aktarımı taşıyan ilişkilendirmeyi kaydedin
Bir ASA'da show crypto ipsec sa etkin ilişkilendirmeleri dönüşümleri ve yön başına sayaçlarıyla listeler ve komut başvurusu Cisco bu çıktıyı belgeler. Önemli olan eşi ve yönü seçin ve anahtar yeniden görüşmesinin ilişkilendirmeyi değiştirip sayaçlarını sıfırladığını unutmayın; bu, hâlâ güvendiğiniz bir başlangıç çizgisini sessizce geçersiz kılar. Çıktıyı test notlarının yanına kaydedin ki bir sonraki çalıştırmanın karşılaştıracağı bir şey olsun. Çalıştırmalar arasında kayan bir ilişkilendirme tanımlayıcısı, sonraki her karşılaştırmayı anlamsız kılar.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Beş satır bir ölçümü yeniden üretilebilir kılmaya yeter ve her biri eksik olduğunda belirli bir açıklamayı eler. Hiçbiri öneri listesinden bir girdi değildir, çünkü liste baytlarınızı şu anda neyin koruduğunu söyleyemez. Tabloyu bir kez doldurun ve bir sonraki olay algoritmalar hakkında yeni bir tartışmayla değil verilerle başlasın.
Erişim bağlantısı satırı, insanların atladığı satırdır, ve kriptografik görünen bir açığı en sık açıklayan da odur. Doymuş bir underlay veya yol boyunca bir policer, yavaş bir motorla aynı belirti biçimini üretir.
Kontrollü bir yükle tek yönü ölçün
Testi ağ geçidinin kendisinden değil, uygulamayı temsil eden bir LAN uç noktasından çalıştırın, çünkü ağ geçidinin ürettiği bir sonda farklı bir yerel ilkeye uyabilir. İkinci bir akış eklemeden önce tek yönü ölçün ve hem sunulan hızı hem de alıcının gerçekte ne aldığını kaydedin. Hız sınırlı bir UDP çalıştırması, sunulan yükü TCP'nin tıkanıklık tepkisinden ayırır; sınırsız bir UDP göndericisi ise tarafsız bir tanı değildir. Yük uzunluğunu da kaydedin, çünkü daha büyük bir datagram hem paket hızını hem de kapsülleme yükünü değiştirir.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Aynı testi aynı yük uzunluğu ve süreyle iki kez çalıştırın, çünkü tek bir çalıştırma bir tavanı kötü bir dakikadan ayıramaz. Alıcı, göndericinin gönderdiğinden daha az paket bildirirse kayıp sizin bulgunuzdur ve kripto motoru bunun yalnızca birkaç adayından biridir.
Bir şeyi ayarlamadan önce açığı açıklayın
İletim ilkesini, kuyruk düşmelerini, arayüz hatalarını ve kaynak sınırlarını şifreleme yoluyla birlikte kontrol edin, çünkü tek başına hız açığı hiçbir zaman bir CPU'yu tanımlamaz. Muhasebe katmanlarını da açık tutun: dış tünel baytları kapsüllemeyi içerir ve yeniden iletimler iç ve dış sayaçlar arasındaki ilişkiyi kaydırır. İlgisiz sayaçları bayt bayt karşılaştırmak, hiç var olmamış bir tutarsızlık üretir.
Paket boyutu, eski bir örnekten kopyalanmış bir sayı yerine kendi kontrollü karşılaştırmasını hak ediyor. TCP MSS, TCP'yi ayarlar ve rastgele UDP datagramları üzerinde hiçbir etkisi yoktur, bu yüzden eski bir belgeden taşınan sabit 1350 hiçbir şeyi ölçmez. Yük uzunluğunu bilerek değiştirin ve alıcının ne bildirdiğine bakın.
Bir değişkeni değiştirin ve iş yükünü koruyun
Başlangıç çizgisi dar bir bantta yinelendiğinde, desteklenen tek bir değişkeni değiştirin ve özgün uygulama görevini yeniden çalıştırın. Bir rakamı nedene çeviren adım budur ve yapılandırmaya dokunmayı haklı çıkaran tek adım odur. Daha dostane bir iş yükü yerine aynı iş yükünü yineleyin.
Sentetik bir rakamı büyütmek için önerileri kaldırmayın, kimlik doğrulamayı zayıflatmayın veya korumayı kapatmayın. Bu hamleler güvenlik duruşunu değiştirir ve sonra o değişikliğin sonucunu ölçer, tünelin kapasitesini değil.