Ìwọ̀n ìgbékalẹ̀ IPsec kéré ju bí a ti retí? Ṣàyẹ̀wò SA tí ń ṣiṣẹ́ kọ́kọ́
Àkójọ ìyípadà gígùn kì í ṣe ìpàdé tí ń dáàbò bo ìgbéjáde rẹ. Ṣàkọsílẹ̀ SA tí a ti dúnàádúrà, ìwọ̀n ẹrù àti ìyá tí a fi jiṣẹ́ gan-an kí o tó dá ẹ̀bi ìsekóòdù.
Ìṣètò náà pèsè ìyípadà mẹ́jọ, ẹnìkan ka èyí tó lágbára jù, a sì so iye ìwọ̀n ìgbékalẹ̀ mọ́ ọn. Ó ṣeé ṣe kí ihò náà kò yan ìyípadà yẹn, kò sì tún ṣe iṣẹ́ tí ẹnìkan ro. Ohun tí a dúnàádúrà jẹ́ àkọsílẹ̀ kan láti inú àkójọ yẹn, pẹ̀lú ìwọ̀n àpótí kan, ní ọ̀nà kan, lórí ìkọ́ kan. Wọ̀n é, ìjiyàn nípa àwọn ìlànà yóò sì máa parí kí ó tó bẹ̀rẹ̀.
Àmì àìsàn: iye tó kéré ju ohun tí ìṣètò ń lérí
Àkójọ ìyípadà gígùn ṣàpèjúwe àwọn ṣeéṣe, a sì ń díwọ̀n gbogbo ṣeéṣe lórí bébà dípò lórí ẹ̀rọ yìí. Èsì tí a dúnàádúrà jẹ́ àkópọ̀ kan tí ẹ̀gbẹ́ méjèèjì gbà, ó sì lè jẹ́ èyí tó rẹ̀wẹ̀sì jù tí ẹ̀gbẹ́ kọ̀ọ̀kan ṣì gbà láàyè fún ìbámu. Ohun tí àkópọ̀ yẹn ń ṣe dá lórí ipò offload, ìwọ̀n àpótí àti ìhùwàsí ìlà, nítorí náà ẹ̀rọ méjì tí wọ́n ní fáìlì ìlànà kan náà lè já sí ọ̀nà tó yàtọ̀ gbáà. Àkójọ náà jẹ́ àkójọ oúnjẹ; ìsopọ̀ náà ni àṣẹ tí ó padà.
Kíkà àkójọ náà sọ ohun tí a lè ti yan fún ọ. Kíkà ìsopọ̀ náà sọ ohun tí ń gbé ìgbéjáde gan-an, ìyẹn nìkan sì ni iye ìwọ̀n ìgbékalẹ̀ ń ṣàpèjúwe. Gbogbo ìgbésẹ̀ àtúnṣe tó bẹ̀rẹ̀ láti àkójọ náà jẹ́ àròsọ pẹ̀lú ìwé àfikún.
Ṣàkọsílẹ̀ ìsopọ̀ tí ń gbé ìgbéjáde yìí
Lórí ASA show crypto ipsec sa ń to àwọn ìsopọ̀ tí ń ṣiṣẹ́ pẹ̀lú àwọn ìyípadà wọn àti àwọn kíkà fún ọ̀nà kọ̀ọ̀kan, àti ìtọ́kasí àṣẹ ti Cisco ń ṣàkọsílẹ̀ àbájáde yẹn. Yan ẹlẹgbẹ́ àti ọ̀nà tó ṣe pàtàkì, kí o sì ṣàkíyèsí pé ìdúnàádúrà kọ́kọ́rọ́ tuntun máa ń rọ́pò ìsopọ̀ náà, ó sì máa ń tún àwọn kíkà rẹ̀ ṣe, èyí tí ń sọ ìpìlẹ̀ tí o ṣì ń gbẹ́kẹ̀ lé di asán ní ìdákẹ́jẹ́. Tọ́jú àbájáde náà lẹ́gbẹ̀ẹ́ àwọn àkọsílẹ̀ ìdánwò kí ìgbà tó ń bọ̀ lè ní ohun tí yóò fi wé. Ìdánimọ̀ ìsopọ̀ tí ń yí padà láàrín àwọn ìgbà ń sọ gbogbo ìfiwéra tó ń bọ̀ di aláìnímọ̀ọ́n.
| What to record | Where to read it | What it rules out |
|---|---|---|
| Negotiated transform and SA identifiers | show crypto ipsec sa for that peer and direction | "the configuration picked the wrong algorithm" |
| Offload or accelerator state for that build | platform show commands and interface statistics | "the crypto engine is the ceiling" |
| Payload size and offered rate | the test tool's own settings and summary | "packets per second versus bytes per second" |
| Delivered rate and loss at the receiver | the receiving endpoint, not the sender's counters | "the sender transmitted, so it arrived" |
| Access-link load and drops | underlay interface counters along the path | "the bottleneck lives inside the tunnel" |
Ìlà márùn-ún tó láti mú kíkà di àtúnsẹ̀, ìlà kọ̀ọ̀kan sì ń yọ ìṣàlàyé pàtó kúrò nígbà tí kò sí. Kò sí ọ̀kan nínú wọn tí ó jẹ́ àkọsílẹ̀ láti àkójọ àbá, nítorí àkójọ kò lè sọ ohun tí ń dáàbò bo àwọn báìtì rẹ ní báyìí. Kún tábìlì náà lẹ́ẹ̀kan, ìṣẹ̀lẹ̀ tó ń bọ̀ yóò sì bẹ̀rẹ̀ pẹ̀lú dátà dípò ìjiyàn tuntun nípa àwọn ìlànà.
Ìlà ìsopọ̀ àwọlé ni èyí tí àwọn ènìyàn ń yẹ̀ sílẹ̀, òun sì ni ó máa ń ṣàlàyé àlàfo tó dàbí ti ìsekóòdù ní ọ̀pọ̀ ìgbà. Ìpìlẹ̀ tó kún tàbí olùṣọ́ ọ̀nà máa ń mú irú àmì kan náà jáde bí ẹ̀rọ tó lọ́ra.
Wọ̀n ọ̀nà kan pẹ̀lú ẹrù tí a ṣàkóso
Ṣe ìdánwò náà láti orí ibi-ìparí LAN tó dúró fún ohun-èlò náà dípò láti ibi-àbáwọlé fúnra rẹ̀, nítorí ìwádìí tí ibi-àbáwọlé ṣe lè tẹ̀lé ìlànà àdúgbò mìíràn. Wọ̀n ọ̀nà kan kí o tó fi ṣàn kẹ́ta kún un, kí o sì ṣàkọsílẹ̀ ìyá tí a fún ní àti ohun tí olùgbà gbà gan-an. Ìgbà UDP tí a fi ìyá dè ń ya ẹrù tí a fún ní kúrò nínú ìdáhùn ìkún omi TCP, nígbà tí olùránṣẹ́ UDP tí kò ní ààlà kì í ṣe àyẹ̀wò aláìdásí. Ṣàkọsílẹ̀ gígùn ẹrù pẹ̀lú, nítorí dátàgírámù ńlá máa ń yí ìyá àpótí àti ìnáwó ìkójọpọ̀ padà.
show crypto ipsec sa peer 203.0.113.9
iperf3 -c 10.20.0.10 -u -b 200M -l 1200 -t 30Ṣe ìdánwò kan náà lẹ́ẹ̀mejì pẹ̀lú gígùn ẹrù àti àkókò kan náà, nítorí ìgbà kan kò lè ya ààlà òkè kúrò nínú ìṣẹ́jú burúkú. Bí olùgbà bá sọ pé ó gba àpótí tó kéré ju èyí tí olùránṣẹ́ fi rán, ìpàdánu náà ni èsì rẹ, ẹ̀rọ ìsekóòdù sì jẹ́ ọ̀kan lára àwọn olùdíje mélòó kan.
Ṣàlàyé àlàfo náà kí o tó tún nǹkan ṣe
Ṣàyẹ̀wò ìlànà ìdáná, ìṣubú ìlà, àṣìṣe ibi-ìsopọ̀ àti àwọn ààlà ohun-ìní pẹ̀lú ọ̀nà ìsekóòdù, nítorí àìtó ìyá nìkan kò ní dá CPU mọ̀ láé. Tọ́jú àwọn ìpele ìṣirò ní kedere pẹ̀lú: báìtì ihò ìta ní ìkójọpọ̀, àwọn ìránṣẹ́-padà sì ń yí ìbáṣepọ̀ láàrín àwọn kíkà inú àti ìta padà. Fífi àwọn kíkà tí kò ní ìbáṣepọ̀ wé báìtì dé báìtì ń dá ìyàtọ̀ tí kò tíì sí rí.
Ìwọ̀n àpótí tọ́ sí ìfiwéra tí a ṣàkóso fúnra rẹ̀ dípò iye tí a dà láti àpẹẹrẹ àtijọ́. TCP MSS ń tún TCP ṣe, kò sì ní ipa lórí àwọn dátàgírámù UDP àìlẹ́gbẹ́, nítorí náà iye 1350 tí ó dúró ṣinṣin tí a mú láti ìwé àtijọ́ kò wọ̀n nǹkan rárá. Yí gígùn ẹrù padà pẹ̀lú ìmọ̀ọ́mọ̀ kí o sì wo ohun tí olùgbà ń sọ.
Yí onírúurú kan padà kí o sì pa iṣẹ́ náà mọ́
Nígbà tí ìpìlẹ̀ bá túnra ṣe nínú ẹ̀gbẹ́ tóóró, yí onírúurú kan tí a ṣàtìlẹ́yìn padà kí o sì tún iṣẹ́ ohun-èlò àkọ́kọ́ ṣe. Ìgbésẹ̀ yẹn ni ó yí iye padà di ohun tó ń fà á, òun nìkan sì ni ó ń dá ìtọ́ni fún fífọwọ́ kan ìṣètò náà. Tún iṣẹ́ kan náà ṣe dípò èyí tó rọrùn.
Má ṣe yọ àwọn àbá kúrò, má ṣe jẹ́ kí ìjẹ́rìí sí ìlẹ̀, má sì ṣe pa ààbò — kí iye àròsọ lè tóbi. Àwọn ìgbésẹ̀ yẹn ń yí ipò ààbò padà, wọ́n sì ń wọ̀n èsì ìyípadà yẹn, kì í ṣe agbára ihò náà.