IPsec تھرو پٹ توقع سے کم؟ پہلے فعال SA چیک کریں
طویل ٹرانسفارم فہرست وہ سیشن نہیں ہے جو آپ کی منتقلی کی حفاظت کرتا ہے۔ انکرپشن کو قصوروار ٹھہرانے سے پہلے طے شدہ SA، پے لوڈ کا حجم اور واقعی پہنچنے والی رفتار ریکارڈ کریں۔
کنفیگریشن آٹھ ٹرانسفارم پیش کرتی ہے، کوئی سب سے مضبوط پڑھتا ہے اور تھرو پٹ کا عدد اسی پر ڈال دیا جاتا ہے۔ ٹنل نے غالباً وہ ٹرانسفارم نہیں چنا اور نہ ہی وہ کام کا بوجھ چلایا جو کسی نے سوچا تھا۔ جو طے ہوا وہ اس فہرست کی ایک اندراج ہے، ایک پیکٹ سائز، ایک سمت، ایک بلڈ پر۔ اسے ناپیں اور الگورتھم پر بحث عموماً شروع ہونے سے پہلے ختم ہو جاتی ہے۔
علامت: کنفیگریشن کے وعدے سے کم عدد
طویل ٹرانسفارم فہرست امکانات بیان کرتی ہے اور ہر امکان کاغذ پر جانچا جاتا ہے، اس ہارڈویئر پر نہیں۔ طے شدہ نتیجہ ایک ہی امتزاج ہے جسے دونوں فریقوں نے قبول کیا اور یہ وہ کمزور ترین امتزاج ہو سکتا ہے جس کی اجازت کوئی بھی فریق مطابقت کی خاطر اب بھی دیتا ہے۔ وہ امتزاج کیا حاصل کرتا ہے یہ آف لوڈ حالت، پیکٹ سائز اور قطار کے رویے پر منحصر ہے، اس لیے ایک جیسی پالیسی فائل والے دو آلات بہت دور جا سکتے ہیں۔ فہرست ایک مینو ہے؛ ایسوسی ایشن وہ آرڈر ہے جو واپس آیا۔
فہرست پڑھنا بتاتا ہے کہ کیا منتخب کیا جا سکتا تھا۔ ایسوسی ایشن پڑھنا بتاتا ہے کہ منتقلی واقعی کیا اٹھا رہی ہے، اور صرف وہی تھرو پٹ کا عدد بیان کرتا ہے۔ فہرست سے شروع ہونے والا ہر ٹیوننگ قدم اضافی کاغذی کارروائی کے ساتھ ایک اندازہ ہے۔
اس منتقلی کو اٹھانے والی ایسوسی ایشن ریکارڈ کریں
ASA پر show crypto ipsec sa فعال ایسوسی ایشنز کو ان کے ٹرانسفارمز اور فی سمت کاؤنٹرز کے ساتھ فہرست کرتا ہے، اور کمانڈ ریفرنس Cisco اس آؤٹ پٹ کی دستاویز کرتا ہے۔ اہم پیر اور سمت منتخب کریں اور نوٹ کریں کہ کلید کی دوبارہ گفت و شنید ایسوسی ایشن کو بدل دیتی ہے اور اس کے کاؤنٹرز صفر کر دیتی ہے، جو اس بنیادی لکیر کو خاموشی سے باطل کر دیتا ہے جس پر آپ اب بھی بھروسہ کر رہے تھے۔ آؤٹ پٹ کو ٹیسٹ نوٹس کے ساتھ رکھیں تاکہ اگلی بار موازنہ کرنے کو کچھ ہو۔ رنز کے درمیان بدلنے والا ایسوسی ایشن شناخت کنندہ ہر بعد کے موازنے کو بے معنی بنا دیتا ہے۔
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
پانچ قطاریں پیمائش کو دہرانے کے قابل بنانے کے لیے کافی ہیں اور ہر قطار غیر موجود ہونے پر ایک مخصوص وضاحت کو خارج کرتی ہے۔ ان میں سے کوئی تجاویز کی فہرست کی اندراج نہیں، کیونکہ فہرست یہ نہیں بتا سکتی کہ ابھی آپ کے بائٹس کی حفاظت کیا کر رہا ہے۔ جدول ایک بار بھریں اور اگلا واقعہ الگورتھم پر نئی بحث کے بجائے ڈیٹا سے شروع ہوگا۔
رسائی لنک کی قطار وہ ہے جسے لوگ چھوڑ دیتے ہیں، اور یہی وہ ہے جو اکثر ایسا فرق بیان کرتی ہے جو خفیہ کاری جیسا لگتا ہے۔ بھرا ہوا انڈر لے یا راستے پر پولیس والا سست انجن جیسی علامت کی شکل پیدا کرتا ہے۔
کنٹرول شدہ بوجھ کے ساتھ ایک سمت ناپیں
ٹیسٹ گیٹ وے سے نہیں بلکہ LAN کے اس سرے سے چلائیں جو ایپلیکیشن کی نمائندگی کرتا ہے، کیونکہ گیٹ وے کی بنائی ہوئی پروب مختلف مقامی پالیسی پر چل سکتی ہے۔ دوسری اسٹریم شامل کرنے سے پہلے ایک سمت ناپیں، اور پیش کی گئی رفتار اور وصول کنندہ کو واقعی ملنے والا دونوں ریکارڈ کریں۔ رفتار محدود UDP رن پیش شدہ بوجھ کو TCP کے ہجوم کے ردعمل سے الگ کرتی ہے، جبکہ بلا حد UDP بھیجنے والا غیر جانبدار تشخیص نہیں۔ پے لوڈ کی لمبائی بھی ریکارڈ کریں، کیونکہ بڑا ڈیٹاگرام پیکٹ کی رفتار اور انکیپسولیشن اوور ہیڈ دونوں بدل دیتا ہے۔
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30وہی ٹیسٹ دو بار اسی پے لوڈ لمبائی اور دورانیے کے ساتھ چلائیں، کیونکہ ایک رن اوپری حد کو خراب منٹ سے الگ نہیں کر سکتا۔ اگر وصول کنندہ بھیجنے والے کی بھیجی ہوئی تعداد سے کم پیکٹ بتائے تو نقصان آپ کی دریافت ہے، اور کریپٹو انجن اس کے کئی امیدواروں میں سے صرف ایک ہے۔
کچھ ٹیون کرنے سے پہلے فرق کی وضاحت کریں
فارورڈنگ پالیسی، قطار کے گرنے، انٹرفیس کی غلطیاں اور وسائل کی حدیں انکرپشن راستے کے ساتھ چیک کریں، کیونکہ صرف رفتار کی کمی کبھی CPU کی نشاندہی نہیں کرتی۔ حسابات کی تہوں کو بھی واضح رکھیں: بیرونی ٹنل کے بائٹس میں انکیپسولیشن شامل ہے، اور دوبارہ ترسیل اندرونی اور بیرونی کاؤنٹرز کا تعلق ہلاتی ہے۔ غیر متعلقہ کاؤنٹرز کا بائٹ بہ بائٹ موازنہ ایسا فرق بناتا ہے جو کبھی نہیں تھا۔
پیکٹ سائز پرانی مثال سے نقل کیا گیا نمبر ہونے کے بجائے اپنے کنٹرول شدہ موازنے کا حقدار ہے۔ TCP MSS ٹی سی پی کو ایڈجسٹ کرتا ہے اور من مانی UDP ڈیٹاگرامز پر کوئی اثر نہیں رکھتا، اس لیے پرانی دستاویز سے لیا گیا مقررہ 1350 کچھ بھی نہیں ناپتا۔ پے لوڈ کی لمبائی جان بوجھ کر بدلیں اور دیکھیں وصول کنندہ کیا بتاتا ہے۔
ایک متغیر بدلیں اور کام کا بوجھ برقرار رکھیں
جب بنیادی لکیر تنگ پٹی میں دہرائی جائے، ایک معاون متغیر بدلیں اور اصل ایپلیکیشن کا کام دوبارہ چلائیں۔ یہی قدم عدد کو وجہ میں بدلتا ہے اور کنفیگریشن کو چھونے کا جواز صرف یہی دیتا ہے۔ زیادہ آسان کام کے بوجھ کے بجائے وہی بوجھ دہرائیں۔
مصنوعی عدد کو بڑا کرنے کے لیے تجاویز واپس نہ لیں، تصدیق کو کمزور نہ کریں اور تحفظ بند نہ کریں۔ یہ اقدامات سیکیورٹی کی حالت بدلتے ہیں اور پھر اسی تبدیلی کا نتیجہ ناپتے ہیں، ٹنل کی صلاحیت نہیں۔