Пропускна здатність IPsec нижча за очікувану? Спершу перевірте активну SA
Довгий список трансформацій — це не сесія, яка захищає ваше передавання. Запишіть узгоджену SA, розмір корисного навантаження та фактично доставлену швидкість, перш ніж звинувачувати шифрування.
Конфігурація пропонує вісім трансформацій, хтось читає найсильнішу, і показник пропускної здатності прив’язують до неї. Тунель, найімовірніше, вибрав не її і виконував не те навантаження, яке хтось уявляв. Узгоджено один запис із цього списку, з одним розміром пакета, в одному напрямку, на одній збірці. Виміряйте це, і суперечка про алгоритми зазвичай закінчується, не встигнувши початися.
Симптом: цифра нижча за те, що обіцяє конфігурація
Довгий список трансформацій описує можливості, і кожна можливість оцінюється на папері, а не на цьому обладнанні. Узгоджений результат — єдина комбінація, яку прийняли обидві сторони, і вона може виявитися найслабшою з тих, що кожна сторона ще дозволяє заради сумісності. Що дає ця комбінація, залежить від стану offload, розміру пакета та поведінки черг, тому два пристрої з однаковим файлом політики можуть опинитися дуже далеко одне від одного. Список — це меню; асоціація — це замовлення, яке повернулося.
Читання списку говорить про те, що могло бути обрано. Читання асоціації говорить про те, що насправді несе передавання, і лише це описує показник пропускної здатності. Кожен крок налаштування, що починається зі списку, є здогадом із зайвою паперовою роботою.
Запишіть асоціацію, яка несе це передавання
На ASA show crypto ipsec sa виводить активні асоціації з їхніми трансформаціями та лічильниками за напрямками, а довідник команд Cisco документує цей вивід. Виберіть вузол і напрямок, які важливі, і зверніть увагу, що повторне узгодження ключів замінює асоціацію та обнуляє її лічильники, що непомітно знецінює базову лінію, на яку ви ще спиралися. Збережіть вивід поряд із нотатками про тест, щоб наступний запуск мав із чим порівнювати. Ідентифікатор асоціації, який змінюється між запусками, робить будь-яке подальше порівняння безглуздим.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
П’яти рядків достатньо, щоб вимірювання стало відтворюваним, і кожен із них виключає конкретне пояснення, коли його бракує. Жоден не є пунктом зі списку пропозицій, бо список не може сказати, що захищає ваші байти прямо зараз. Заповніть таблицю один раз, і наступний інцидент почнеться з даних, а не з нової суперечки про алгоритми.
Рядок про канал доступу — той, який пропускають, і саме він найчастіше пояснює розрив, що виглядає криптографічним. Насичений underlay або policer на шляху дає ту саму форму симптому, що й повільний рушій.
Виміряйте один напрямок із контрольованим навантаженням
Запускайте тест із кінцевої точки в LAN, яка представляє застосунок, а не із самого шлюзу, бо проба, створена шлюзом, може дотримуватися іншої локальної політики. Виміряйте один напрямок, перш ніж додавати другий потік, і запишіть як запропоновану швидкість, так і те, що приймач справді отримав. Запуск UDP з обмеженням швидкості відокремлює запропоноване навантаження від реакції TCP на перевантаження, тоді як відправник UDP без обмеження не є нейтральною діагностикою. Запишіть і довжину корисного навантаження, оскільки більший датаграм змінює і частоту пакетів, і накладні витрати інкапсуляції.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Запустіть той самий тест двічі з однаковою довжиною корисного навантаження й тривалістю, бо один запуск не відділить стелю від поганої хвилини. Якщо приймач повідомляє про меншу кількість пакетів, ніж надіслав відправник, втрата — це ваш результат, а криптографічний рушій лише один із кількох кандидатів.
Поясніть розрив, перш ніж щось налаштовувати
Перевіряйте політику пересилання, скидання черг, помилки інтерфейсів і обмеження ресурсів разом зі шляхом шифрування, оскільки сам дефіцит швидкості ніколи не вказує на процесор. Тримайте й рівні обліку явними: байти зовнішнього тунелю включають інкапсуляцію, а повторні передачі зсувають співвідношення між внутрішніми та зовнішніми лічильниками. Порівняння не пов’язаних лічильників байт за байтом створює розбіжність, якої ніколи не було.
Розмір пакета заслуговує на окреме контрольоване порівняння, а не на число, скопійоване зі старого прикладу. TCP MSS налаштовує TCP і не впливає на довільні датаграми UDP, тому фіксоване значення 1350, перенесене зі застарілого документа, не вимірює взагалі нічого. Змініть довжину корисного навантаження навмисно і подивіться, що повідомляє приймач.
Змініть одну змінну і збережіть навантаження
Коли базова лінія повторюється у вузькому діапазоні, змініть одну підтримувану змінну і повторіть початкове прикладне завдання. Цей крок перетворює цифру на причину, і лише він виправдовує втручання в конфігурацію. Повторіть те саме навантаження, а не зручніше.
Не відмовляйтеся від пропозицій, не послаблюйте автентифікацію і не вимикайте захист, щоб збільшити синтетичну цифру. Ці дії змінюють рівень безпеки, а потім вимірюють результат цієї зміни, а не ємність тунелю.