こんにちは
ASA 5545X + OS 9.6系 + AnyConnect 4.6系でエンドユーザにSSL-VPN環境を提供しています。
エンドユーザはWindowsパソコンを使用しています。
（ASAは近いうちに、OS 9.12系 + AnyConnect 4.9 or 4.10 系にVer.Upを予定しています）
Ver.Upにあたりパフォーマンス改善ができないかを考えております。
以前から気になっていたのですが、
・DTLSを使うgroup-policy（ユーザグループ）で接続した時と
・DTLSを使わずにTLSで接続した時で、
通信速度が極端に違うことです。
同じ時間帯に同じASAに、同じインターネット接続環境から接続して
同じスピード測定サイトで測定しても、かなりの差が出ます。
・VPN未接続時：Download速度は60～70Mbps, Upload速度は10Mbps
・DTLS使用時 ：Download速度は30Mbps, Upload速度は10Mbps
・TLS使用時 ：Download速度は5Mbps, Upload速度は10Mbps
以下を確認しました
■パケットキャプチャでの確認
Wiresharkでモニターすると（インターフェースは、AnyConnectのVAではなく物理アダプタを指定）
TLS使用時は、
・クライアント → サーバ（ASA）のTCP Dupicate ACKや
・クライアント ← サーバ（ASA）のTCP Fast Retransmission
が多発していました。
（これでは遅くても無理がないな、、という感じ）
■MTUの確認
VPNで遅延が目立つ時に疑うものとしてMTUの設定があるかと思いますが
DTLSでもTLSでも、自動調整が働いているようです。
（Windowsのコマンドプロンプトから
netsh interface ipv4 show interfaceで確認しました
結果は以下の通りでした
DTLS:1406 Byte ←group-policyにも設定してある上限値
TLS :1367 Byte ←自動調整した結果と思われます ）
TLS接続時に、AnyConnectのVAに対して
netsh interface ipv4 set interfaceコマンドでMTUを
1367から1300,1250などと下げてみましたが効果はありませんでした。
（AnyConnect側で調整せずに、勝手に書き換えて意味があるのか？は置いておくとして・・）
---補足---
・ASA5545X×２台で運用しており、クライアントはほとんどがSSL-VPN接続です（わずかにスマホからIPsec-VPN接続もあり）
・クライアント数はASA5545X １台あたりの同時接続数は400～500程度です
・ASAのCPU使用率は20～30%でまだ余裕があると思います。
・udp:443が遮断される環境からVPN接続するユーザには、TLSを使うgroup-policy（ユーザグループ）での接続を案内しています
==============================
質問事項
==============================
何か他にないかと思い、調べているとこんな情報がありました
------------------------------------------------------
ASA: リモートアクセスVPN パフォーマンス最適化のためのベストプラクティス (AnyConnect)
https://community.cisco.com/t5/%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3-%E3%83%89%E3%82%AD%E3%83%A5%E3%83%A1%E3%83%B3%E3%83%88/asa-%E3%83%AA%E3%83%A2%E3%83%BC%E3%83%88%E3%82%A2%E3%82%AF%E3%82%BB%E3%82%B9vpn-%E3%83%91%E3%83%95%E3%82%A9%E...
---「ハイエンドモデルのパフォーマンス最適化 」の項の抜粋---
Note: ハイエンドモデルで AnyConnectの SSL接続を多用する場合は チューニングを検討してください
ASA5545/5555/5585や、FPR4100/9300シリーズ(※)などハイエンドモデルでは、専用の高速処理用の暗号処理エンジンを搭載しており、暗号処理エンジンの処理優先度を、IPsec もしくはSSL もしくは Balancedの何れかに変更が可能です。
ASA5545/5555/5585は IPsecがデフォルト、FPR4100/9300シリーズは Balanced がデフォルト値です
例えば、SSL利用が殆どの環境の場合、"crypto engine accelerator-bias ssl"コマンドを実行することで、暗号処理エンジン内のコアが SSL処理優先の割当に切り替わり、AnyConnectのSSL接続時のパフォーマンスを最大化できます。
例えば、SSLと IPsecの処理負荷が同程度の環境の場合は、"crypto engine accelerator-bias balanced"コマンドを実行することで、暗号処理エンジン内のコアが IPsec処理と SSL処理用で半々となり、バランスよく両方の暗号処理が可能になります。
（以下省略）
------------------------------------------------------
私が使っているASA5545Xではデフォルトで運用しているので、IPsecの方が優先度が高くなるようです。
通信量がやや多い時間帯にshow crypto accelerator load-balanceコマンドを打ってみたところ
・コアの割振りは（IPsec用）：（SSL用）＝5:3でした
・SSL-VPNの処理に関して、3つのコアでの分散具合は、偏りが多い時で75%:20%:5%くらいでした
■質問事項
IPsec/SSL/Balancedで目に見える差が出るかは、「ユーザの環境次第」という面もあるかと思いますが
SSLまたはBalancedに変えたとして、TLS接続時のパフォーマンス改善は期待できるのでしょうか？
-----------------------------
検証環境にはASA 5545Xのようなハイエンド機がなく、設定変更のコマンドは性質上、メンテナンス時間でもない限り
本番環境で試せるものではないため、こちらに書き込みをさせていただきました。
よろしくお願いします。
