VPN şlüzü üçün kriptoqrafik kart: almadan əvvəl dörd ötürmə

Köhnə kriptoqrafik sürətləndiricilər PCI inventarında görünür və ehtimal olunur ki, VPN artıq daha sürətli şifrələyəcək. Bunun doğru olması üçün dörd ayrı ötürmə uğurla başa çatmalıdır: sistem cihazı tapır, ona baxılan sürücü onu idarə edir, interfeys VPN-in ehtiyac duyduğu əməliyyatı açır və VPN-in aktiv backendı onu istəyir. Hər hansı birinin uğursuzluğu kartı tunelin real yolundan kənarda qoyur.

Aşkarlama son deyil, ilk ötürmədir

Aşkarlama yalnız sübut edir ki, avtobus cihazı görür və nüvənin onun nə olduğuna dair müəyyən təsəvvürü var. Sürücü dəstəyi növbəti mərhələdir və versiyadan asılıdır: köhnə buraxılışda olan modul cari nüvə paketindən tamamilə çıxmış ola bilər. Bundan əlavə, sürücü məlumat kanalının istifadə etdiyi konkret alqoritmi və rejimi qeydiyyata almalıdır. AES-CBC-ni sürətləndirən kart AES-GCM üzərində razılaşan konfiqurasiya üçün heç nə etmir.

Qiymətləndirmədə hər ötürməni ayrıca adlandırın, çünki dördüncüdəki uğursuzluq kənardan birincidəki uğursuzluqla eyni görünür.

Nüvənin alqoritm inventarına baxın

Hostun cihaz və qeydiyyata aldığı alqoritmlər haqqında artıq bildiklərini toplamaqla başlayın.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

PCI sətri istənilən sürücü axtarışı üçün lazım olan istehsalçı və cihaz identifikatorlarını verir və/proc/crypto qeydiyyata alınmış tətbiqləri sürücüləri və prioritetləri ilə siyahıya alır. Prioritet dəyəri eyni alqoritmin tətbiqləri arasında seçimi sıralayır ki, bu da tətbiqin onlardan birini seçməsi ilə eyni şey deyil. Kartın alqoritmi orada görünmürsə, sürücü onu heç vaxt qeydiyyata almayıb və heç bir istifadəçi məkanı dəyişikliyi onu çağırmayacaq. Kartın ekran görüntüsü əvəzinə identifikatorları və tətbiq adlarını qeyd edin.

VPN həmin tətbiqi seçməlidir

Nüvədə mövcudluq menyudur, VPN prosesinin oradan sifariş verdiyinə zəmanət deyil. Backendin faktiki nədən istifadə etdiyini yoxlayın.

openssl speed -evp aes-256-gcm
openssl engine -t -c

Sürət əmri kitabxananın öz yolunu işə salır və konfiqurasiya olunmuş maşın üçün baza xətti verir, mühərrik siyahısı isə OpenSSL üçün ümumiyyətlə hər hansı əlavə provayderin mövcud olub-olmadığını göstərir. Öz kripto kitabxanasını istifadə edən istifadəçi məkanı VPN nüvə tətbiqlərini tamamilə yan keçir, ona görə qeydiyyata alınmış sürücü onun üçün əhəmiyyətsiz ola bilər. Məlumat kanalının offload-u yenə üçüncü mexanizmdir və şifr sorğularını genişləndirmə kartına göndərmək əvəzinə paket emalını dəyişir. Dördüncü üçün aparat almadan əvvəl bu üçündən hansının sizin yerləşdirmənizi təsvir etdiyini müəyyənləşdirin.

Artıq sahib olduğunuz prosessor yolu ilə müqayisə edin

Müasir prosessorlar əlavə aparat olmadan baxılan kitabxananın istifadə etdiyi AES təlimatlarını ehtiva edir və avtobus ötürmələrindən və əlavə kopyalardan yayınır. Köhnə sürətləndirici hələ də təsirli xam şifr rəqəmləri göstərsə də, həmin yola uduza bilər. Real iş yükünü ölçün: eyni trafik, eyni qoruma parametrləri, baza xətti və namizəd, prosessor yükü və tətbiq ötürmə qabiliyyəti birlikdə qeyd olunmaqla. Qərara yenilənmə və bərpa davranışını da daxil edin, çünki baxılmayan modul şlüzün bütün ömrü boyu texniki xidmət riskini artırır.

Alış əsası dəstəklənən zəncir və ölçülmüş faydadır. Aşkarlanmış kart və ya kimsə tərəfindən bir dəfə yığılmış modul, baxılan şlüzü köhnəlmiş aparatdan asılı etmək üçün səbəb deyil.