Tarjeta criptográfica para una puerta de enlace VPN: cuatro traspasos antes de comprar

Los aceleradores criptográficos antiguos aparecen en el inventario PCI, y se da por supuesto que la VPN cifrará ahora más rápido. Cuatro traspasos distintos deben salir bien antes de que eso sea cierto: el sistema encuentra el dispositivo, un controlador mantenido lo gobierna, una interfaz expone la operación que la VPN necesita y el backend activo de la VPN la solicita. Si falla uno cualquiera, la tarjeta queda fuera del camino real del túnel.

La detección es el primer traspaso, no el último

La detección solo demuestra que el bus ve un dispositivo y que el núcleo tiene alguna idea de qué es. El soporte del controlador es la siguiente puerta, y depende de la versión: un módulo presente en una versión antigua puede faltar por completo en el paquete actual del núcleo. Además, el controlador debe registrar el algoritmo y el modo concretos que usa el canal de datos. Una tarjeta que acelera AES-CBC no hace nada por una configuración que negocia AES-GCM.

Nombre cada traspaso por separado en la evaluación, porque un fallo en el cuarto se ve desde fuera idéntico a un fallo en el primero.

Lea el inventario de algoritmos del núcleo

Empiece recopilando lo que el host ya sabe sobre el dispositivo y sobre los algoritmos que ha registrado.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

La línea PCI proporciona los identificadores de fabricante y dispositivo necesarios para cualquier búsqueda de controlador, y/proc/crypto enumera las implementaciones registradas con sus controladores y prioridades. El valor de prioridad ordena la selección entre implementaciones del mismo algoritmo, lo que no es lo mismo que una aplicación elija una de ellas. Si el algoritmo de la tarjeta no aparece ahí, el controlador nunca lo registró y ningún cambio en el espacio de usuario lo invocará. Anote los identificadores y los nombres de las implementaciones en lugar de una captura de pantalla de la tarjeta.

La VPN debe seleccionar esa implementación

La disponibilidad en el núcleo es un menú, no una garantía de que el proceso de la VPN haya pedido de él. Compruebe qué usa realmente el backend.

openssl speed -evp aes-256-gcm
openssl engine -t -c

El comando de velocidad ejercita la ruta propia de la biblioteca y da una línea base para la máquina tal como está configurada, mientras que el listado de motores muestra si OpenSSL tiene algún proveedor opcional disponible. Una VPN en el espacio de usuario con su propia biblioteca criptográfica evita por completo las implementaciones del núcleo, así que un controlador registrado puede serle irrelevante. La descarga del canal de datos es un tercer mecanismo, que cambia el procesamiento de paquetes en lugar de enviar peticiones de cifrado a una tarjeta de expansión. Determine cuál de esos tres describe su despliegue antes de comprar hardware para el cuarto.

Compare con la ruta de la CPU que ya tiene

Los procesadores modernos incluyen instrucciones AES que una biblioteca mantenida usa sin hardware adicional, y evitan transferencias de bus y copias extra. Un acelerador antiguo puede perder frente a esa ruta mientras sigue informando de cifras brutas de cifrado impresionantes. Mida la carga real: mismo tráfico, mismos ajustes de protección, línea base frente a candidato, con la carga de la CPU y el rendimiento de la aplicación registrados juntos. Incluya en la decisión el comportamiento de actualización y recuperación, porque un módulo sin mantenimiento eleva el riesgo de mantenimiento de la pasarela durante toda su vida.

El caso de compra es una cadena con soporte más un beneficio medido. Una tarjeta detectada, o un módulo que alguien compiló una vez, no es razón para que una pasarela mantenida dependa de hardware obsoleto.