Исходное сообщение
"2821+ASA5510, IPSec, аномально низкая скорость" Отправлено Escalibur, 15-Июл-09 11:37
Доброго времени суток, уважаемые спецы! Бьюсь уже длительное время над проблемой, мозги кипят а сообразить не могу... Дано: 2821( AIM-VPN) ASA 5510 "Внешние" интерфейсы смотрят друг в дружку через 100мегабитный свич. Настроен Ipsec тунель между ними. Проблема: Скорость обмена между сетками нереально низкая: Копирование файла (SMB, FTP) из сетки из-за ASA в сетку за роутером - ~ 4 мегабайт (загрузка проца ASA ~5-6%, роутера - ~ 40-50%). В принципе это более-менее устраивает. Копирование наоборот - ~ 1.1-1.3 мегабайта(!) Загрузки процов особой нет. Проверял в работчее врямя когда есть некоторая нагрузка на сеть и вне рабочего времени. Менял алгоритмы шифрования - абсолютно без изменений. IOS стоял c2800nm-advipservicesk9-mz.124-20.T Сменил на c2800nm-advipservicesk9-mz.124-24.T - скорость копирования с роутера упала вообще до 300-400кб(!)... Посоветуйте где туплю. Ниже конфиги (некоторые второстепенные моменты пропущу): Роутер: тунель на Gi0/1.На Fa0/0/0 интернет + еще один тунель до другой асы в сетку 192.168.1.0 - там такая же проблема 1в1. aaa new-model ! ! aaa authentication login default local aaa authentication login userauth local aaa authorization network default local aaa authorization network groupauthor local ! ! aaa session-id common ! ! ip source-route ! ! ip cef ! ! no ipv6 cef ! multilink bundle-name authenticated ! ! crypto keyring keyring_gorky_branch     pre-shared-key address ASA_IP key YYYYYY ! crypto isakmp policy 20   encr 3des   authentication pre-share   group 2 crypto isakmp profile l2l_gorky_branch       keyring keyring_gorky_branch       match identity address ASA_IP 255.255.255.255 ! ! crypto ipsec transform-set TSET_gorky_branch esp-des esp-sha-hmac crypto ipsec df-bit clear ! crypto map CMAP_gorky_branch 10 ipsec-isakmp   set peer ASA_IP   set transform-set TSET_gorky_branch   match address 102 ! ! ip tcp path-mtu-discovery ! ! interface GigabitEthernet0/0   description Local Network   ip address 192.168.0.16 255.255.255.0   ip access-group block_mail_ports in   ip nat inside   ip virtual-reassembly   duplex auto   speed auto ! interface GigabitEthernet0/1   description Magistral-Telecom (Gorky Branch)   ip address 212.17.0.ZZZ 255.255.255.0   ip nat outside   ip virtual-reassembly   duplex auto   speed auto   crypto map CMAP_gorky_branch ! interface FastEthernet0/0/0   description Siberian Networks (Internet)   ip address INET_ADDR 255.255.255.248   ip nat outside   ip virtual-reassembly   ip policy route-map rm   duplex auto   speed auto   crypto map CMAP ! ip route 192.168.2.0 255.255.255.0 212.17.0.40 ! ! ip nat translation tcp-timeout 3600 ip nat inside source list NAT interface FastEthernet0/0/0 overload ! ! ip access-list extended NAT   deny ip any 192.168.0.0 0.0.255.255   deny ip any 10.0.0.0 0.255.255.255   permit ip 192.168.0.0 0.0.255.255 any ! access-list 102 permit ip any 192.168.2.0 0.0.0.255 ! ASA: hostname GorkyBranchASA ! interface Ethernet0/0   nameif outside   security-level 0   ip address ASA_IP 255.255.255.0 ! interface Ethernet0/1   shutdown   no nameif   no security-level   no ip address ! interface Ethernet0/2   shutdown   no nameif   no security-level   no ip address ! interface Ethernet0/3   nameif inside   security-level 100   ip address 192.168.2.1 255.255.255.0 ! interface Management0/0   nameif management   security-level 100   ip address 192.168.12.2 255.255.255.0   management-only ! ftp mode passive access-list nonat extended permit ip 192.168.2.0 255.255.255.0 any access-list ipsec extended permit ip 192.168.2.0 255.255.255.0 any pager lines 24 logging asdm informational mtu outside 1500 mtu inside 1500 mtu management 1500 no failover icmp unreachable rate-limit 1 burst-size 1 asdm image disk0:/asdm-613.bin no asdm history enable arp timeout 14400 nat (inside) 0 access-list nonat route outside 0.0.0.0 0.0.0.0 212.17.0.40 1 timeout xlate 3:00:00 timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02 timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00 timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00 timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute dynamic-access-policy-record DfltAccessPolicy aaa authentication ssh console LOCAL aaa authorization command LOCAL http server enable http 192.168.12.0 255.255.255.0 management no snmp-server location no snmp-server contact snmp-server enable traps snmp authentication linkup linkdown coldstart crypto ipsec transform-set TSET esp-des esp-sha-hmac crypto ipsec security-association lifetime seconds 28800 crypto ipsec security-association lifetime kilobytes 4608000 crypto map CMAP 10 match address ipsec crypto map CMAP 10 set peer 212.17.0.ROUTER crypto map CMAP 10 set transform-set TSET crypto map CMAP 10 set security-association lifetime seconds 28800 crypto map CMAP 10 set security-association lifetime kilobytes 4608000 crypto map CMAP interface outside crypto isakmp enable outside crypto isakmp policy 20   authentication pre-share   encryption 3des   hash sha   group 2   lifetime 86400 telnet timeout 5 ssh 0.0.0.0 0.0.0.0 management ssh timeout 15 ssh version 2 console timeout 0 threat-detection basic-threat threat-detection statistics access-list no threat-detection statistics tcp-intercept tunnel-group 212.17.0.ROUTER type ipsec-l2l tunnel-group 212.17.0.ROUTER ipsec-attributes   pre-shared-key * ! class-map inspection_default   match default-inspection-traffic ! ! policy-map type inspect dns preset_dns_map   parameters     message-length maximum 512 policy-map global_policy   class inspection_default     inspect dns preset_dns_map     inspect ftp     inspect h323 h225     inspect h323 ras     inspect rsh     inspect rtsp     inspect esmtp     inspect sqlnet     inspect skinny     inspect sunrpc     inspect xdmcp     inspect sip     inspect netbios     inspect tftp !