Targeta criptogràfica per a una passarel·la VPN: quatre lliuraments abans de comprar

Els acceleradors criptogràfics antics apareixen a l'inventari PCI i se suposa que la VPN ara xifrarà més de pressa. Perquè això sigui cert han de reeixir quatre lliuraments separats: el sistema troba el dispositiu, un controlador mantingut el governa, una interfície exposa l'operació que la VPN necessita i el backend actiu de la VPN la demana. Si un falla, la targeta queda fora del camí real del túnel.

La detecció és el primer lliurament, no l'últim

La detecció només demostra que el bus veu un dispositiu i que el nucli té alguna idea del que és. El suport del controlador és la porta següent i depèn de la versió: un mòdul present en una versió antiga pot faltar del tot al paquet actual del nucli. A més, el controlador ha de registrar l'algoritme i el mode concrets que fa servir el canal de dades. Una targeta que accelera AES-CBC no fa res per a una configuració que negocia AES-GCM.

Anomeneu cada lliurament per separat a l'avaluació, perquè un fracàs al quart sembla idèntic des de fora a un fracàs al primer.

Llegiu l'inventari d'algoritmes del nucli

Comenceu recollint què sap ja l'amfitrió sobre el dispositiu i sobre els algoritmes que ha registrat.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

La línia PCI dóna els identificadors de fabricant i dispositiu necessaris per a qualsevol cerca de controlador, i/proc/crypto llista les implementacions registrades amb els seus controladors i prioritats. El valor de prioritat ordena la selecció entre implementacions del mateix algoritme, cosa que no és el mateix que una aplicació n'esculli una. Si l'algoritme de la targeta no hi apareix, el controlador no l'ha registrat mai i cap canvi a l'espai d'usuari el cridarà. Anoteu els identificadors i els noms de les implementacions en lloc d'una captura de pantalla de la targeta.

La VPN ha de seleccionar aquesta implementació

La disponibilitat al nucli és un menú, no una garantia que el procés de la VPN hagi demanat d'allà. Comproveu què fa servir realment el backend.

openssl speed -evp aes-256-gcm
openssl engine -t -c

L'ordre de velocitat exerceix el camí propi de la biblioteca i dóna una línia base per a la màquina tal com està configurada, mentre que el llistat de motors mostra si OpenSSL té cap proveïdor opcional disponible. Una VPN a l'espai d'usuari amb la seva pròpia biblioteca criptogràfica evita del tot les implementacions del nucli, de manera que un controlador registrat pot ser-hi irrellevant. La descàrrega del canal de dades és un tercer mecanisme, que canvia el processament de paquets en lloc d'enviar peticions de xifratge a una targeta d'expansió. Determineu quin d'aquests tres descriu el vostre desplegament abans de comprar maquinari per al quart.

Compareu amb el camí de la CPU que ja teniu

Els processadors moderns inclouen instruccions AES que una biblioteca mantinguda fa servir sense maquinari addicional, i eviten transferències de bus i còpies extra. Un accelerador antic pot perdre contra aquest camí mentre encara informa de xifres brutes de xifratge impressionants. Mesureu la càrrega real: mateix trànsit, mateixos paràmetres de protecció, línia base contra candidat, amb la càrrega de la CPU i el rendiment de l'aplicació enregistrats alhora. Incloeu el comportament d'actualització i recuperació a la decisió, perquè un mòdul sense manteniment augmenta el risc de manteniment de la passarel·la durant tota la seva vida.

El cas de compra és una cadena amb suport més un benefici mesurat. Una targeta detectada, o un mòdul que algú va compilar una vegada, no és cap raó per fer que una passarel·la mantinguda depengui de maquinari obsolet.