ASA吞吐量和連線速度故障排除和分析資料包捕獲

下載選項

PDF (201.0 KB)
在多種裝置上使用 Adobe Reader 檢視
ePub (80.5 KB)
在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上的各種應用程式中檢視
Mobi (Kindle) (66.9 KB)
在 Kindle 裝置或多部裝置的 Kindle 應用程式上檢視

已更新: 2018 年 3 月 29 日

文件 ID:113393

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

簡介

本文檔介紹如何對思科自適應安全裝置(ASA)吞吐量和連線速度問題進行故障排除。

必要條件

需求

本文件沒有特定需求。

採用元件

本檔案中的資訊是根據思科調適型安全裝置(ASA)。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。

背景資訊

某些客戶在首次部署ASA或測試新連線時可能會遇到問題。問題在於，流經ASA的連線的TCP吞吐量比ASA不在連線路徑中時低得多（或者連線速度比在網路上實施ASA之前慢得多）。

例如，客戶可能會用ASA 5505或ASA 5510替換低端D-Link路由器（或其他路由裝置）；但是，一旦更換路由器，連線速度就會大大降低。客戶可能會向Cisco TAC提出問題，因為他們認為ASA導致連線速度降低。

故障排除方法

當網路上有封包遺失或封包延遲時，TCP流量會減慢。為了瞭解問題的確切原因，資料必須顯示線路上該連線的實際TCP資料包，以及網路可能會如何影響這些資料包。通常情況下，網路管理員在執行特定操作（例如FTP檔案傳輸或線上速度測試）時收到有關該問題的警報。通常，問題會再次出現。因此，管理員可以收集所需資料以查詢根本原因。

為了收集所需的資料，應在測試之前和之後從ASA運行show tech命令。此命令顯示配置和資料包統計資訊(主要來自show service-policy)，還顯示介面錯誤是否增加。

需要雙向、同時的資料包捕獲（從連線經過的兩個ASA介面獲取）以完全診斷問題的原因。

有關如何將資料包捕獲應用到ASA的示例，請參閱以下文檔：

資料分析

收集所需資料後，您可以使用資料包捕獲，確定可能已出現以下哪一個問題：

來自外部主機的資料包在到達ASA的外部介面之前被丟棄或延遲。
ASA延遲或丟棄資料包。
資料包在內部網路中的某個位置被延遲或丟棄。

附註：此分析假設資料從外部介面上的主機傳送到內部介面上的主機。

以下影片示範了如何對封包擷取進行分析：

TCP資料流聚合是此問題特有的技術考慮因素，因為當您使用ASA上的某些功能時，防火牆會完全合併通過它的TCP資料流。

例如，如果ASA發現網路上的缺失資料包（因為ASA未收到該資料包），它將代表另一個TCP端點傳送缺失資料的ACK。這種情況最為常見。如果ASA發現不按順序到達的資料包，則ASA對資料包重新排序，並以正確的順序將其傳送給接收者。如果沒有網路丟棄或資料包重新排序，啟用此功能不會有任何副作用。如果任一TCP終端傳送的所有資料包都成功通過網路和ASA，您將不知道此功能已啟用，因為它不會對資料包流執行操作。只有當網路上的TCP連線出現故障時，此功能才會進一步降低網路流量的速度。對ASA而言，合併TCP流的行為非常耗費資源。對於網路上丟棄的每個資料包，ASA不僅必須傳送TCP資料包請求重新傳輸該資料包，還必須緩衝資料包丟失後傳送方繼續傳送的資料包。

常見問題

將ASA連線到相鄰裝置的介面上的速度和雙工值配置錯誤

當裝置被ASA替換時，通常會發生此問題。如果ASA介面上的速度和雙工值與相鄰裝置上的值不同，則該介面會發生丟包。檢查ASA介面以及相鄰介面上的速度和雙工值。

檢查ASA的show interface輸出，查詢作為此問題症狀的明顯錯誤：

Interface Ethernet0/0 "Outside", is up, line protocol is up
  Hardware is i82546GB rev03, BW 100 Mbps
        Auto-Duplex(Half-duplex), Auto-Speed(100 Mbps)
        MAC address 0019.2f58.c324, MTU 1500
        IP address 192.168.222.122, subnet mask 255.255.255.252
        124047996 packets input, 35340918453 bytes, 0 no buffer
        Received 3 broadcasts, 0 runts, 0 giants
        0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort
        0 L2 decode drops
        156918660 packets output, 40931551514 bytes, 0 underruns
        1 output errors, 4286634 collisions, 0 interface resets
        0 babbles, 123332 late collisions, 4752834 deferred
        0 lost carrier, 0 no carrier
        input queue (curr/max blocks): hardware (0/0) software (0/0)
        output queue (curr/max blocks): hardware (0/245) software (0/0)
  Traffic Statistics for "Outside":
        124047995 packets input, 33107957301 bytes
        157041993 packets output, 38195084709 bytes
        103480 packets dropped
      1 minute input rate 2140 pkts/sec,  477200 bytes/sec
      1 minute output rate 2630 pkts/sec,  396763 bytes/sec
      1 minute drop rate, 0 pkts/sec
      5 minute input rate 2152 pkts/sec,  525496 bytes/sec
      5 minute output rate 2701 pkts/sec,  421215 bytes/sec
      5 minute drop rate, 0 pkts/sec

將流量傳送到IPS模組

當ASA配置為向IPS模組傳送流量時，ASA上會使用TCP流合併功能。有關TCP資料流合併功能的詳細資訊，請參閱本文檔的資料分析部分。

ASA對TCP MSS選項的修改會導致效能稍有下降

預設情況下，ASA將SYN資料包中的TCP MSS選項設定為1380。因此，TCP端點不應傳輸大於1380位元組的TCP區段。該值低於通常的預設值1460位元組，表示TCP效能下降了約6%(6%)。效能可能會提高，因為您增加了ASA上的最大MSS設定或禁用了MSS調整。修改ASA上的預設命令之前，如果資料包被進一步封裝在某個位置的路徑中，請瞭解與潛在分段相關的風險。

有關詳細資訊，請參閱Cisco ASA 5500系列命令參考的sysopt connection tcpmss部分。