Крыптакарта для VPN-шлюза: чатыры перадачы да куплі

Старыя крыптаграфічныя паскаральнікі з'яўляюцца ў інвентары PCI, і ўзнікае меркаванне, што VPN цяпер будзе шыфраваць хутчэй. Каб гэта было праўдай, павінны адбыцца чатыры асобныя перадачы: сістэма знаходзіць прыладу, яе вядзе драйвер, які падтрымліваецца, інтэрфейс адкрывае аперацыю, патрэбную VPN, і актыўны бэкенд VPN запытвае яе. Любая няўдача пакідае карту па-за рэальным шляхам тунеля.

Выяўленне — гэта першая перадача, а не апошняя

Выяўленне даказвае толькі тое, што шына бачыць прыладу і ядро мае пэўнае ўяўленне, што гэта такое. Падтрымка драйвера — наступная брама, і яна залежыць ад версіі: модуль, які быў у старым выпуску, можа цалкам адсутнічаць у цяперашнім пакеце ядра. Акрамя таго, драйвер павінен зарэгістраваць канкрэтны алгарытм і рэжым, якія выкарыстоўвае канал даных. Карта, якая паскарае AES-CBC, нічога не робіць для канфігурацыі, што дамаўляецца пра AES-GCM.

Называйце кожную перадачу асобна ў ацэнцы, бо збой на чацвёртай знешне выглядае гэтак жа, як збой на першай.

Прачытайце інвентар алгарытмаў ядра

Пачніце з таго, што хост ужо ведае пра прыладу і пра алгарытмы, якія ён зарэгістраваў.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

Радок PCI дае ідэнтыфікатары вытворцы і прылады, патрэбныя для любога пошуку драйвера, а/proc/crypto пералічвае зарэгістраваныя рэалізацыі з іх драйверамі і прыярытэтамі. Значэнне прыярытэту ўпарадкоўвае выбар паміж рэалізацыямі аднаго алгарытму, што не тое самае, як прыкладанне выбірае адну з іх. Калі алгарытм карты там не з'яўляецца, драйвер яго ніколі не рэгістраваў, і ніякае змяненне ў прасторы карыстальніка яго не выкліча. Запішыце ідэнтыфікатары і назвы рэалізацый, а не здымак экрана карты.

VPN павінен выбраць менавіта гэтую рэалізацыю

Даступнасць у ядры — гэта меню, а не гарантыя, што працэс VPN зрабіў заказ менавіта з яго. Праверце, што бэкенд выкарыстоўвае фактычна.

openssl speed -evp aes-256-gcm
openssl engine -t -c

Каманда хуткасці задзейнічае ўласны шлях бібліятэкі і дае базавы ўзровень для машыны ў яе бягучай канфігурацыі, а спіс рухавікоў паказвае, ці даступны OpenSSL наогул які-небудзь дадатковы пастаўшчык. VPN у прасторы карыстальніка са сваёй крыптабібліятэкай цалкам абыходзіць рэалізацыі ядра, таму зарэгістраваны драйвер можа быць для яго неістотным. Перанос канала даных — гэта яшчэ трэці механізм, які змяняе апрацоўку пакетаў, а не накіроўвае шыфравальныя запыты на карту пашырэння. Вызначце, які з гэтых трох апісвае ваша разгортванне, перш чым купляць абсталяванне для чацвёртага.

Параўнайце з шляхам працэсара, які ў вас ужо ёсць

Сучасныя працэсары ўтрымліваюць інструкцыі AES, якія бібліятэка, што падтрымліваецца, выкарыстоўвае без дадатковага абсталявання, і яны пазбягаюць перадач па шыне і лішніх капій. Стары паскаральнік можа прайграць гэтаму шляху, працягваючы паказваць уражлівыя сырыя лічбы шыфравання. Вымярайце рэальную нагрузку: той жа трафік, тыя ж налады абароны, базавы варыянт супраць кандыдата, з адначасовым запісам нагрузкі працэсара і прапускной здольнасці прыкладання. Уключыце ў рашэнне паводзіны пры абнаўленні і аднаўленні, бо модуль без падтрымкі павышае рызыку абслугоўвання шлюза на ўвесь яго тэрмін службы.

Падстава для куплі — гэта падтрыманы ланцуг плюс вымераная карысць. Знойдзеная карта або модуль, які нехта некалі сабраў, не з'яўляецца прычынай рабіць шлюз, што абслугоўваецца, залежным ад састарэлага абсталявання.