Kriptokarto por VPN-enirejo: kvar transdonoj antaŭ ol aĉeti
Detektita PCI-karto estas nur unu el kvar paŝoj. Spuru la pelilon, la bezonatan kriptan operacion kaj la aktivan backend de la VPN antaŭ ol pagi por akcelo.
Malnovaj kriptografiaj akceliloj aperas en la PCI-inventaro, kaj oni supozas, ke la VPN nun ĉifros pli rapide. Kvar apartaj transdonoj devas sukcesi antaŭ ol tio veros: la sistemo trovas la aparaton, prizorgata pelilo funkciigas ĝin, interfaco malkaŝas la operacion bezonatan de la VPN, kaj la aktiva backend de la VPN petas ĝin. Se iu ajn malsukcesas, la karto restas ekster la reala vojo de la tunelo.
Detektado estas la unua transdono, ne la lasta
Detektado pruvas nur, ke la buso vidas aparaton kaj ke la kerno havas ian ideon pri tio, kio ĝi estas. Pelila subteno estas la sekva pordego, kaj ĝi dependas de la versio: modulo ĉeesta en malnova eldono povas tute manki en la nuna kernpakaĵo. Krome, la pelilo devas registri la konkretan algoritmon kaj reĝimon, kiujn uzas la datkanalo. Karto, kiu akcelas AES-CBC, faras nenion por agordo traktanta AES-GCM.
Nomu ĉiun transdonon aparte en la takso, ĉar fiasko ĉe la kvara aspektas de ekstere identa al fiasko ĉe la unua.
Legu la algoritman inventaron de la kerno
Komencu kolektante tion, kion la gastiganto jam scias pri la aparato kaj pri la algoritmoj, kiujn ĝi registris.
lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40La PCI-linio donas la identigilojn de fabrikanto kaj aparato bezonatajn por iu ajn pelila serĉo, kaj/proc/crypto listigas la registritajn realigojn kun iliaj peliloj kaj prioritatoj. Prioritata valoro ordigas la elekton inter realigoj de la sama algoritmo, kio ne samas kiel tio, ke aplikaĵo elektas unu el ili. Se la algoritmo de la karto ne aperas tie, la pelilo neniam registris ĝin kaj neniu ŝanĝo en la uzantospaco vokos ĝin. Notu la identigilojn kaj realigajn nomojn anstataŭ ekrankopion de la karto.
La VPN devas elekti tiun realigon
Havebleco en la kerno estas menuo, ne garantio, ke la VPN-procezo mendis el ĝi. Kontrolu, kion la backend efektive uzas.
openssl speed -evp aes-256-gcm
openssl engine -t -cLa rapidkomando ekzercas la propran vojon de la biblioteko kaj donas bazlinion por la maŝino tiel agordita, dum la motorlisto montras, ĉu entute ia laŭvola provizanto haveblas por OpenSSL. Uzantospaca VPN kun propra kripta biblioteko tute preteriras la kernrealigojn, do registrita pelilo povas esti senrilata por ĝi. La malŝarĝo de la datkanalo estas denove tria mekanismo, kiu ŝanĝas pakan prilaboron anstataŭ sendi ĉifrajn petojn al etendkarto. Determinu, kiu el tiuj tri priskribas vian disfaldiĝon antaŭ ol aĉeti aparataron por la kvara.
Komparu kun la procesora vojo, kiun vi jam havas
Modernaj procesoroj inkluzivas AES-instrukciojn, kiujn prizorgata biblioteko uzas sen kroma aparataro, kaj ili evitas busajn transigojn kaj kromajn kopiojn. Malnova akcelilo povas perdi kontraŭ tiu vojo dum ĝi ankoraŭ raportas imponajn krudajn ĉifrojnombrojn. Mezuru la realan laborŝarĝon: sama trafiko, samaj protektaj agordoj, bazlinio kontraŭ kandidato, kun procesora ŝarĝo kaj aplikaĵa trairo registritaj kune. Inkluzivu en la decidon la konduton pri ĝisdatigo kaj restarigo, ĉar neprizorgata modulo altigas la prizorgan riskon de la enirejo por ĝia tuta vivo.
La aĉeta kazo estas subtenata ĉeno plus mezurita avantaĝo. Detektita karto, aŭ modulo, kiun iu iam kompilis, ne estas kialo igi prizorgatan enirejon dependa de malaktuala aparataro.