Kryptokortti VPN-yhdyskäytävälle: neljä luovutusta ennen ostoa

Vanhat kryptografiset kiihdyttimet näkyvät PCI-luettelossa, ja oletetaan, että VPN salaa nyt nopeammin. Neljän erillisen luovutuksen on onnistuttava ennen kuin se pitää paikkansa: järjestelmä löytää laitteen, ylläpidetty ajuri ohjaa sitä, rajapinta paljastaa toiminnon, jota VPN tarvitsee, ja VPN:n aktiivinen taustajärjestelmä pyytää sitä. Jos yksikin epäonnistuu, kortti jää tunnelin todellisen polun ulkopuolelle.

Havaitseminen on ensimmäinen luovutus, ei viimeinen

Havaitseminen todistaa vain, että väylä näkee laitteen ja että ytimellä on jonkinlainen käsitys siitä, mikä se on. Ajurin tuki on seuraava portti, ja se riippuu versiosta: vanhassa julkaisussa ollut moduuli voi puuttua kokonaan nykyisestä ydinpaketista. Lisäksi ajurin on rekisteröitävä se tietty algoritmi ja tila, jota datakanava käyttää. Kortti, joka kiihdyttää AES-CBC:tä, ei tee mitään kokoonpanolle, joka neuvottelee AES-GCM:stä.

Nimeä jokainen luovutus erikseen arvioinnissa, koska neljännessä tapahtuva epäonnistuminen näyttää ulkopuolelta samalta kuin ensimmäisessä tapahtuva.

Lue ytimen algoritmiluettelo

Aloita kokoamalla se, mitä isäntä jo tietää laitteesta ja rekisteröimistään algoritmeista.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

PCI-rivi antaa valmistaja- ja laitetunnisteet, joita tarvitaan mihin tahansa ajurihakuun, ja/proc/crypto luettelee rekisteröidyt toteutukset ajureineen ja prioriteetteineen. Prioriteettiarvo järjestää valinnan saman algoritmin toteutusten välillä, mikä ei ole sama asia kuin että sovellus valitsisi yhden niistä. Jos kortin algoritmi ei näy siellä, ajuri ei koskaan rekisteröinyt sitä, eikä mikään käyttäjäavaruuden muutos kutsu sitä. Kirjaa tunnisteet ja toteutusten nimet kortin kuvakaappauksen sijaan.

VPN:n on valittava juuri se toteutus

Ytimessä oleva saatavuus on valikko, ei takeita siitä, että VPN-prosessi tilasi sieltä. Tarkista, mitä taustajärjestelmä todella käyttää.

openssl speed -evp aes-256-gcm
openssl engine -t -c

Nopeuskomento harjoittaa kirjaston omaa polkua ja antaa perustason koneelle sellaisena kuin se on määritetty, kun taas moottoriluettelo näyttää, onko OpenSSL:lle ylipäätään tarjolla valinnainen tarjoaja. Omaa kryptokirjastoaan käyttävä käyttäjäavaruuden VPN ohittaa ytimen toteutukset kokonaan, joten rekisteröity ajuri voi olla sille merkityksetön. Datakanavan purku on jälleen kolmas mekanismi, joka muuttaa pakettien käsittelyä sen sijaan että lähettäisi salauspyyntöjä laajennuskortille. Selvitä, mikä näistä kolmesta kuvaa käyttöönottoasi, ennen kuin ostat laitteiston neljännelle.

Vertaa jo omistamaasi suorittimen polkuun

Nykyaikaiset suorittimet sisältävät AES-käskyjä, joita ylläpidetty kirjasto käyttää ilman lisälaitteistoa, ja ne välttävät väyläsiirtoja ja ylimääräisiä kopioita. Vanha kiihdytin voi hävitä tälle polulle samalla kun se raportoi vaikuttavia raakoja salauslukuja. Mittaa todellinen työkuorma: sama liikenne, samat suojausasetukset, perustaso vastaan ehdokas, kun suorittimen kuormitus ja sovelluksen läpäisykyky kirjataan yhteen. Sisällytä päätökseen päivitys- ja palautumiskäyttäytyminen, koska ylläpitämätön moduuli lisää yhdyskäytävän ylläpitoriskiä koko sen eliniän ajan.

Ostoperuste on tuettu ketju ja mitattu hyöty. Havaittu kortti tai moduuli, jonka joku joskus käänsi, ei ole syy tehdä ylläpidettyä yhdyskäytävää riippuvaiseksi vanhentuneesta laitteistosta.