Tarxeta criptográfica para unha pasarela VPN: catro traspasos antes de comprar

Os aceleradores criptográficos antigos aparecen no inventario PCI, e dáse por suposto que a VPN cifrará agora máis rápido. Catro traspasos distintos deben saír ben antes de que iso sexa certo: o sistema atopa o dispositivo, un controlador mantido gobernao, unha interface expón a operación que a VPN necesita e o backend activo da VPN solicítaa. Se falla calquera deles, a tarxeta queda fóra do camiño real do túnel.

A detección é o primeiro traspaso, non o último

A detección só demostra que o bus ve un dispositivo e que o núcleo ten algunha idea do que é. O soporte do controlador é a seguinte porta, e depende da versión: un módulo presente nunha versión antiga pode faltar por completo no paquete actual do núcleo. Ademais, o controlador debe rexistrar o algoritmo e o modo concretos que usa a canle de datos. Unha tarxeta que acelera AES-CBC non fai nada por unha configuración que negocia AES-GCM.

Nomea cada traspaso por separado na avaliación, porque un fallo no cuarto vese desde fóra idéntico a un fallo no primeiro.

Le o inventario de algoritmos do núcleo

Comeza por reunir o que o host xa sabe sobre o dispositivo e sobre os algoritmos que rexistrou.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

A liña PCI dá os identificadores de fabricante e dispositivo necesarios para calquera busca de controlador, e/proc/crypto lista as implementacións rexistradas cos seus controladores e prioridades. O valor de prioridade ordena a selección entre implementacións do mesmo algoritmo, o que non é o mesmo que unha aplicación escolla unha delas. Se o algoritmo da tarxeta non aparece alí, o controlador nunca o rexistrou e ningún cambio no espazo de usuario o invocará. Anota os identificadores e os nomes das implementacións en lugar dunha captura de pantalla da tarxeta.

A VPN debe seleccionar esa implementación

A dispoñibilidade no núcleo é un menú, non unha garantía de que o proceso da VPN pedise del. Comproba que usa realmente o backend.

openssl speed -evp aes-256-gcm
openssl engine -t -c

A orde de velocidade exercita o camiño propio da biblioteca e dá unha liña base para a máquina tal como está configurada, mentres que a listaxe de motores mostra se OpenSSL ten algún provedor opcional dispoñible. Unha VPN no espazo de usuario coa súa propia biblioteca criptográfica evita por completo as implementacións do núcleo, así que un controlador rexistrado pode serlle irrelevante. A descarga da canle de datos é un terceiro mecanismo, que cambia o procesamento de paquetes en lugar de enviar peticións de cifrado a unha tarxeta de expansión. Determina cal deses tres describe o teu despregamento antes de comprar hardware para o cuarto.

Compara co camiño da CPU que xa tes

Os procesadores modernos inclúen instrucións AES que unha biblioteca mantida usa sen hardware adicional, e evitan transferencias de bus e copias extra. Un acelerador antigo pode perder fronte a ese camiño mentres segue informando de cifras brutas de cifrado impresionantes. Mide a carga real: mesmo tráfico, mesmos axustes de protección, liña base fronte a candidato, coa carga da CPU e o rendemento da aplicación rexistrados xuntos. Inclúe na decisión o comportamento de actualización e recuperación, porque un módulo sen mantemento eleva o risco de mantemento da pasarela durante toda a súa vida.

O caso de compra é unha cadea con soporte máis un beneficio medido. Unha tarxeta detectada, ou un módulo que alguén compilou unha vez, non é razón para que unha pasarela mantida dependa de hardware obsoleto.