IPsec o'tkazuvchanligi kutilganidan pastmi? Avval faol SA ni tekshiring
Uzun transformatsiyalar ro'yxati sizning uzatishingizni himoya qiladigan sessiya emas. Shifrlashni ayblashdan oldin kelishilgan SA, yuk hajmi va haqiqatda yetkazilgan tezlikni yozib oling.
Konfiguratsiya sakkizta transformatsiya taklif qiladi, kimdir eng kuchlisini o'qiydi va o'tkazuvchanlik raqami unga bog'lanadi. Tunnel o'sha transformatsiyani tanlamagan va kimdir tasavvur qilgan ish yukini ham bajargan emas. Kelishilgan narsa bu ro'yxatdan bitta yozuv: bitta paket o'lchami, bitta yo'nalish, bitta build. Buni o'lchang va algoritmlar haqidagi bahs odatda boshlanishidan oldin tugaydi.
Alomat: konfiguratsiya va'da qilganidan past raqam
Uzun transformatsiyalar ro'yxati imkoniyatlarni tasvirlaydi va har bir imkoniyat bu uskunada emas, qog'ozda baholanadi. Kelishilgan natija ikkala tomon qabul qilgan yagona kombinatsiya bo'lib, u muvofiqlik uchun har bir tomon hali ruxsat beradigan eng zaif kombinatsiya bo'lishi mumkin. Bu kombinatsiya nimaga erishishi offload holati, paket o'lchami va navbat xatti-harakatiga bog'liq, shuning uchun bir xil siyosat fayliga ega ikkita qurilma juda uzoqqa tushishi mumkin. Ro'yxat bu menyu; assotsiatsiya esa qaytgan buyurtma.
Ro'yxatni o'qish sizga nima tanlanishi mumkinligini aytadi. Assotsiatsiyani o'qish sizga uzatishni aslida nima olib borishini aytadi va o'tkazuvchanlik raqami tavsiflaydigan yagona narsa shu. Ro'yxatdan boshlanadigan har bir sozlash qadami qo'shimcha qog'ozbozlik bilan bir taxmindir.
Bu uzatishni olib borayotgan assotsiatsiyani yozib oling
ASA qurilmasida show crypto ipsec sa faol assotsiatsiyalarni transformatsiyalari va yo'nalish bo'yicha hisoblagichlari bilan ro'yxatlaydi va buyruqlar ma'lumotnomasi Cisco bu chiqishni hujjatlashtiradi. Muhim bo'lgan peer va yo'nalishni tanlang va kalitni qayta kelishish assotsiatsiyani almashtirib, hisoblagichlarini nolga tushirishini yodda tuting, bu esa siz hali ishongan boshlang'ich chiziqni jimgina bekor qiladi. Chiqishni test qaydlarining yonida saqlang, shunda keyingi ishga tushirishda solishtiradigan narsa bo'ladi. Ishga tushirishlar orasida siljib turadigan assotsiatsiya identifikatori keyingi har qanday solishtirishni ma'nosiz qiladi.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Besh qator o'lchovni takrorlanadigan qilish uchun yetarli va har biri yo'q bo'lganda muayyan tushuntirishni istisno qiladi. Hech biri takliflar ro'yxatidagi yozuv emas, chunki ro'yxat hozir baytlaringizni nima himoya qilayotganini ayta olmaydi. Jadvalni bir marta to'ldiring va keyingi hodisa algoritmlar haqidagi yangi bahs bilan emas, ma'lumot bilan boshlanadi.
Kirish havolasi qatori odamlar o'tkazib yuboradigan qatordir, va kriptografik ko'rinadigan bo'shliqni eng ko'p tushuntiradigan ham o'sha. To'yingan underlay yoki yo'l bo'ylab policer sekin dvigatel bilan bir xil alomat shaklini keltirib chiqaradi.
Boshqariladigan yuk bilan bitta yo'nalishni o'lchang
Testni shlyuzning o'zidan emas, ilovani ifodalovchi LAN oxirgi nuqtasidan ishga tushiring, chunki shlyuz yaratgan probe boshqa mahalliy siyosatga amal qilishi mumkin. Ikkinchi oqim qo'shishdan oldin bitta yo'nalishni o'lchang va ham taklif qilingan tezlikni, ham qabul qiluvchi haqiqatda olgan narsani yozib oling. Tezlik bilan cheklangan UDP ishga tushirishi taklif qilingan yukni TCP ning tiqilish javobidan ajratadi, cheklanmagan UDP yuboruvchi esa neytral diagnostika emas. Yuk uzunligini ham yozib oling, chunki kattaroq datagram ham paket tezligini, ham inkapsulyatsiya sarfini o'zgartiradi.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Xuddi shu testni bir xil yuk uzunligi va davomiylik bilan ikki marta ishga tushiring, chunki bitta ishga tushirish shiftni yomon daqiqadan ajrata olmaydi. Qabul qiluvchi yuboruvchi yuborganidan kamroq paket xabar qilsa, yo'qotish sizning topilmangizdir va kripto dvigateli buning bir necha nomzodidan faqat biri.
Nimadirni sozlashdan oldin bo'shliqni tushuntiring
Yo'naltirish siyosatini, navbat tashlashlarini, interfeys xatolarini va resurs cheklovlarini shifrlash yo'li bilan birga tekshiring, chunki yolg'iz tezlik tanqisligi hech qachon protsessorni aniqlamaydi. Hisob qatlamlarini ham ochiq tuting: tashqi tunnel baytlariga inkapsulyatsiya kiradi va qayta uzatishlar ichki va tashqi hisoblagichlar orasidagi munosabatni siljitadi. Bog'liq bo'lmagan hisoblagichlarni bayt-bayt solishtirish hech qachon bo'lmagan nomuvofiqlikni yaratadi.
Paket o'lchami eski misoldan ko'chirilgan raqam o'rniga o'zining boshqariladigan solishtirishiga loyiq. TCP MSS TCP ni sozlaydi va ixtiyoriy UDP datagramlariga hech qanday ta'sir ko'rsatmaydi, shuning uchun eski hujjatdan olingan qat'iy 1350 hech narsani o'lchamaydi. Yuk uzunligini ataylab o'zgartiring va qabul qiluvchi nima xabar berishini kuzating.
Bitta o'zgaruvchini o'zgartiring va ish yukini saqlang
Boshlang'ich chiziq tor diapazonda takrorlangach, qo'llab-quvvatlanadigan bitta o'zgaruvchini o'zgartiring va dastlabki ilova vazifasini qayta ishga tushiring. Raqamni sababga aylantiradigan qadam shu va konfiguratsiyaga tegishni faqat shu oqlaydi. Qulayroq ish yuki o'rniga xuddi shu ish yukini takrorlang.
Sintetik raqamni kattalashtirish uchun takliflardan voz kechmang, autentifikatsiyani zaiflashtirmang yoki himoyani o'chirmang. Bu harakatlar xavfsizlik holatini o'zgartiradi va keyin o'sha o'zgarish natijasini o'lchaydi, tunnel sig'imini emas.