Kryptografická karta pro VPN bránu: čtyři předání před nákupem

Staré kryptografické akcelerátory se objevují v inventáři PCI a předpokládá se, že VPN bude nyní šifrovat rychleji. Aby to byla pravda, musí uspět čtyři samostatná předání: systém najde zařízení, udržovaný ovladač jej řídí, rozhraní vystaví operaci, kterou VPN potřebuje, a aktivní backend VPN si ji vyžádá. Pokud kterékoli selže, karta zůstane mimo skutečnou cestu tunelu.

Detekce je první předání, ne poslední

Detekce dokazuje jen to, že sběrnice vidí zařízení a že jádro má jakousi představu, co to je. Podpora ovladače je další branou a závisí na verzi: modul přítomný ve starém vydání může v aktuálním balíčku jádra zcela chybět. Kromě toho musí ovladač zaregistrovat konkrétní algoritmus a režim, které datový kanál používá. Karta, která zrychluje AES-CBC, nedělá nic pro konfiguraci, která vyjednává AES-GCM.

V hodnocení pojmenujte každé předání zvlášť, protože selhání u čtvrtého vypadá zvenčí stejně jako selhání u prvního.

Přečtěte si inventář algoritmů jádra

Začněte tím, že shromáždíte, co hostitel už o zařízení ví a jaké algoritmy zaregistroval.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

Řádek PCI dává identifikátory výrobce a zařízení potřebné pro jakékoli hledání ovladače a/proc/crypto vypisuje registrované implementace s jejich ovladači a prioritami. Hodnota priority určuje pořadí výběru mezi implementacemi stejného algoritmu, což není totéž jako volba jedné z nich aplikací. Pokud se tam algoritmus karty neobjeví, ovladač jej nikdy nezaregistroval a žádná změna v uživatelském prostoru jej nezavolá. Zaznamenejte identifikátory a názvy implementací místo snímku obrazovky karty.

VPN musí tuto implementaci vybrat

Dostupnost v jádře je menu, ne záruka, že si z něj proces VPN objednal. Ověřte, co backend skutečně používá.

openssl speed -evp aes-256-gcm
openssl engine -t -c

Příkaz pro rychlost procvičuje vlastní cestu knihovny a dává základní úroveň pro stroj tak, jak je nakonfigurován, zatímco výpis engine ukazuje, zda je pro OpenSSL vůbec dostupný nějaký volitelný poskytovatel. VPN v uživatelském prostoru s vlastní kryptografickou knihovnou zcela obchází implementace jádra, takže registrovaný ovladač pro ni může být irelevantní. Přesun datového kanálu je třetí mechanismus, který mění zpracování paketů, místo aby odesílal šifrovací požadavky do rozšiřující karty. Určete, který z těch tří popisuje vaše nasazení, než koupíte hardware pro čtvrtý.

Porovnejte s cestou procesoru, kterou už máte

Moderní procesory obsahují instrukce AES, které udržovaná knihovna používá bez dalšího hardwaru, a vyhýbají se přenosům po sběrnici i kopiím navíc. Starý akcelerátor může s touto cestou prohrát, i když stále hlásí působivá surová čísla šifrování. Změřte skutečnou zátěž: stejný provoz, stejné nastavení ochrany, základní úroveň proti kandidátovi, se současným záznamem zátěže procesoru a propustnosti aplikace. Do rozhodnutí zahrňte chování při aktualizaci a obnově, protože neudržovaný modul zvyšuje riziko údržby brány po celou dobu její životnosti.

Důvodem k nákupu je podporovaný řetězec plus změřený přínos. Zjištěná karta nebo modul, který někdo kdysi zkompiloval, není důvodem, aby udržovaná brána závisela na zastaralém hardwaru.