Cisco ISR G2暗号化帯域幅制限？

いくつかの新しいリモートサイトからの「低速接続」について苦情がありました。

サイトはMPLS L3VPNサービスを介してCisco 2921に接続されており、Cisco GET-VPNを使用して場所間のトラフィックを暗号化します。すべての場所に100Mbpsまたは1Gbpsの回線があるため、速度は問題になりません。

ただし、ある場所から既知の作業場所へのiperfテストを実行すると、帯域幅が約85Mbpsを超えていることがわかりました。

2921についてさらに調査すると、ログに次のエラーメッセージが多数発生します。

006555: Jan  3 08:19:09.573 EST: %CERM-4-TX_BW_LIMIT: Maximum Tx Bandwidth limit of 85000 Kbps reached for Crypto functionality with securityk9 technology package license.
006556: Jan  3 11:21:37.069 EST: %CERM-4-RX_BW_LIMIT: Maximum Rx Bandwidth limit of 85000 Kbps reached for Crypto functionality with securityk9 technology package license.

2821を使用している古い場所にこの問題がないことを確認しました...これは、IOS 15、ISR Gen2、またはその両方と関係がありますか？

ISR Generation 2の楽しい、新しい制限の1つに直面しています。

メッセージのこの部分で示されているように、基本的な「セキュリティ」ライセンスパッケージがインストールされていると仮定します。

securityk9 technology package license

ただし、securityk9パッケージは、そのライセンスのシスコの「無制限エクスポート」バージョンであり、人為的に制限されます。hseck9パッケージが必要です。詳細については、このホワイトペーパーを参照してください。それは部分的に言います：

HSEC-K9ライセンスは、暗号化されたトンネルカウントと暗号化されたスループットに関する米国政府の輸出規制によって強制された削減を削除します。HSEC-K9は、Cisco 2921、Cisco 2951、Cisco 3925、Cisco 3945、Cisco 3925E、およびCisco 3945Eでのみ利用可能です。

HSEC-K9ライセンスを使用すると、ISR G2ルーターは、IPセキュリティ（IPsec）の最大225トンネルの削減制限と、ISR G2ルーターを出入りする85 Mbps単方向トラフィックの暗号化スループットを超えることができます。 170 Mbps。

Cisco 1941、2901、および2911には、すでに輸出制限内の最大暗号化容量があります。HSECライセンスには、universalk9イメージとSECライセンスが事前にインストールされている必要があります。

所有しているライセンスを簡単に確認するには、ルーターで次のコマンドを発行します。

show license feature

これにより、シスコから購入してこのルータにインストールしたライセンスが表示されます。hseck9ライセンスが有効になっていることを確認する必要があります。それ以外の場合は、暗号化されたトラフィックの85 Mbpsの制限に制限されます。100Mbps未満の回線では問題にならない可能性があり、この問題は無視しても問題ありません。いずれにしても、新しいライセンスを購入したら、このページを参照して新しいライセンスをインストールしてください。

これをトラブルシューティングするための別の便利なコマンドは次のとおりです。

show platform cerm-information

これにより、失敗した暗号化/復号化パケットカウントなど、所定の制限に関する情報のリストが吐き出されるか、次のようになります。

router-1#show platform cerm-information 
Crypto Export Restrictions Manager(CERM) Information:
 CERM functionality: DISABLED

このコマンドの詳細については、こちらをご覧ください。