کارت رمزنگاری برای دروازه VPN: چهار تحویل پیش از خرید

شتاب‌دهنده‌های رمزنگاری قدیمی در فهرست PCI ظاهر می‌شوند و فرض بر این است که VPN اکنون سریع‌تر رمزنگاری می‌کند. پیش از آنکه این درست باشد، چهار تحویل جداگانه باید موفق شوند: سیستم دستگاه را پیدا می‌کند، درایوری که نگهداری می‌شود آن را به کار می‌اندازد، رابطی عملیاتی را که VPN به آن نیاز دارد آشکار می‌کند و بک‌اند فعال VPN آن را درخواست می‌کند. اگر یکی از آنها شکست بخورد، کارت بیرون از مسیر واقعی تونل می‌ماند.

شناسایی نخستین تحویل است، نه آخرین

شناسایی تنها ثابت می‌کند که گذرگاه دستگاهی را می‌بیند و هسته تصوری از آن دارد. پشتیبانی درایور دروازه بعدی است و به نسخه وابسته است: ماژولی که در انتشار قدیمی وجود داشت ممکن است به‌کلی از بسته هسته کنونی حذف شده باشد. افزون بر این، درایور باید همان الگوریتم و حالتی را ثبت کند که کانال داده به کار می‌برد. کارتی که AES-CBC را شتاب‌می‌دهد برای پیکربندی‌ای که بر سر AES-GCM مذاکره می‌کند کاری نمی‌کند.

هر تحویل را جداگانه در ارزیابی نام ببرید، زیرا شکست در تحویل چهارم از بیرون دقیقاً مانند شکست در اولی دیده می‌شود.

فهرست الگوریتم‌های هسته را بخوانید

با گردآوری آنچه میزبان از پیش درباره دستگاه و الگوریتم‌هایی که ثبت کرده می‌داند آغاز کنید.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

خط PCI شناسه‌های سازنده و دستگاه را که برای هر جست‌وجوی درایور لازم است می‌دهد و/proc/crypto پیاده‌سازی‌های ثبت‌شده را همراه با درایورها و اولویت‌هایشان فهرست می‌کند. مقدار اولویت ترتیب گزینش میان پیاده‌سازی‌های یک الگوریتم را تعیین می‌کند، که با گزینش یکی از آنها توسط یک برنامه یکی نیست. اگر الگوریتم کارت آنجا ظاهر نشود، درایور هرگز آن را ثبت نکرده و هیچ تغییری در فضای کاربر آن را فراخوانی نخواهد کرد. شناسه‌ها و نام پیاده‌سازی‌ها را یادداشت کنید، نه یک تصویر از صفحه کارت.

VPN باید همان پیاده‌سازی را برگزیند

دسترس‌پذیری در هسته یک فهرست است، نه تضمینی بر اینکه فرایند VPN از آن سفارش داده باشد. بررسی کنید بک‌اند در واقع از چه چیزی استفاده می‌کند.

openssl speed -evp aes-256-gcm
openssl engine -t -c

فرمان سرعت مسیر خود کتابخانه را می‌آزماید و خط مبنایی برای ماشین با پیکربندی کنونی می‌دهد، در حالی که فهرست موتورها نشان می‌دهد آیا اصلاً ارائه‌دهنده اختیاری‌ای برای OpenSSL در دسترس است. VPN در فضای کاربر که کتابخانه رمزنگاری خودش را دارد پیاده‌سازی‌های هسته را کاملاً دور می‌زند، پس یک درایور ثبت‌شده می‌تواند برایش بی‌اهمیت باشد. جداسازی کانال داده نیز سومین سازوکار است که پردازش بسته را تغییر می‌دهد نه اینکه درخواست‌های رمز را به کارت توسعه بفرستد. پیش از خرید سخت‌افزار برای چهارمی، روشن کنید کدام یک از این سه، استقرار شما را توصیف می‌کند.

با مسیر پردازنده که از پیش دارید مقایسه کنید

پردازنده‌های مدرن دستورهای AES را در خود دارند که کتابخانه‌ای نگهداری‌شده آنها را بدون سخت‌افزار اضافی به کار می‌برد و از انتقال‌های گذرگاه و نسخه‌های اضافی پرهیز می‌کند. یک شتاب‌دهنده قدیمی می‌تواند در برابر این مسیر ببازد و در همان حال اعداد خام چشمگیر رمزنگاری را گزارش کند. بار کاری واقعی را اندازه بگیرید: همان ترافیک، همان تنظیمات حفاظت، خط مبنا در برابر نامزد، با ثبت همزمان بار پردازنده و توان عبوری برنامه. رفتار به‌روزرسانی و بازیابی را هم در تصمیم بگنجانید، زیرا ماژولی که نگهداری نمی‌شود ریسک نگهداری دروازه را در تمام عمر آن بالا می‌برد.

دلیل خرید یک زنجیره پشتیبانی‌شده به‌اضافه یک سود اندازه‌گیری‌شده است. کارت شناسایی‌شده، یا ماژولی که کسی زمانی کامپایل کرده، دلیلی برای وابسته کردن یک دروازه نگهداری‌شده به سخت‌افزار منسوخ نیست.