VPN गेटवे के लिए क्रिप्टो कार्ड: खरीदने से पहले चार हैंडऑफ़

पुराने क्रिप्टोग्राफ़िक त्वरक PCI सूची में दिखाई देते हैं, और यह मान लिया जाता है कि VPN अब तेज़ी से एन्क्रिप्ट करेगा। यह सच होने से पहले चार अलग-अलग हैंडऑफ़ सफल होने चाहिए: सिस्टम डिवाइस को ढूँढता है, एक अनुरक्षित ड्राइवर उसे चलाता है, एक इंटरफ़ेस वह ऑपरेशन उजागर करता है जिसकी VPN को आवश्यकता है, और VPN का सक्रिय बैकएंड उसे माँगता है। इनमें से कोई भी विफल होने पर कार्ड टनल के वास्तविक मार्ग से बाहर रह जाता है।

पहचान पहला हैंडऑफ़ है, अंतिम नहीं

पहचान केवल यह सिद्ध करती है कि बस को एक डिवाइस दिखाई देता है और कर्नेल को उसके बारे में कुछ अंदाज़ा है। ड्राइवर समर्थन अगला द्वार है, और यह संस्करण पर निर्भर है: पुराने संस्करण में मौजूद मॉड्यूल वर्तमान कर्नेल पैकेज से पूरी तरह गायब हो सकता है। इसके अलावा, ड्राइवर को वह विशिष्ट एल्गोरिदम और मोड पंजीकृत करना होता है जो डेटा चैनल उपयोग करता है। जो कार्ड AES-CBC को तेज़ करता है, वह AES-GCM पर बातचीत करने वाले कॉन्फ़िगरेशन के लिए कुछ नहीं करता।

मूल्यांकन में हर हैंडऑफ़ का नाम अलग से लिखें, क्योंकि चौथे में विफलता बाहर से पहले में विफलता जैसी ही दिखती है।

कर्नेल की एल्गोरिदम सूची पढ़ें

होस्ट डिवाइस के बारे में और उसके द्वारा पंजीकृत एल्गोरिदम के बारे में जो पहले से जानता है, उसे इकट्ठा करके शुरू करें।

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

PCI पंक्ति किसी भी ड्राइवर खोज के लिए आवश्यक निर्माता और डिवाइस पहचानकर्ता देती है, और/proc/crypto पंजीकृत कार्यान्वयनों को उनके ड्राइवरों और प्राथमिकताओं के साथ सूचीबद्ध करती है। प्राथमिकता मान एक ही एल्गोरिदम के कार्यान्वयनों के बीच चयन का क्रम तय करता है, जो किसी एप्लिकेशन द्वारा उनमें से एक चुनने के समान नहीं है। यदि कार्ड का एल्गोरिदम वहाँ नहीं दिखता, तो ड्राइवर ने उसे कभी पंजीकृत नहीं किया और उपयोगकर्ता स्थान में कोई भी परिवर्तन उसे नहीं बुलाएगा। कार्ड का स्क्रीनशॉट लेने के बजाय पहचानकर्ताओं और कार्यान्वयनों के नाम लिख लें।

VPN को वही कार्यान्वयन चुनना होगा

कर्नेल में उपलब्धता एक मेन्यू है, यह गारंटी नहीं कि VPN प्रक्रिया ने वहीं से ऑर्डर किया है। जाँचें कि बैकएंड वास्तव में क्या उपयोग करता है।

openssl speed -evp aes-256-gcm
openssl engine -t -c

गति कमांड पुस्तकालय के अपने मार्ग का अभ्यास करता है और कॉन्फ़िगर किए गए मशीन के लिए आधार रेखा देता है, जबकि इंजन सूची दिखाती है कि OpenSSL के लिए कोई वैकल्पिक प्रदाता उपलब्ध है या नहीं। अपनी क्रिप्टो लाइब्रेरी वाला उपयोगकर्ता-स्थान का VPN कर्नेल के कार्यान्वयनों को पूरी तरह बायपास करता है, इसलिए एक पंजीकृत ड्राइवर उसके लिए अप्रासंगिक हो सकता है। डेटा-चैनल ऑफ़लोड फिर तीसरा तंत्र है, जो सिफ़र अनुरोधों को विस्तार कार्ड पर भेजने के बजाय पैकेट प्रसंस्करण बदलता है। चौथे के लिए हार्डवेयर खरीदने से पहले तय करें कि इन तीनों में से कौन आपकी तैनाती का वर्णन करता है।

अपने पास पहले से मौजूद CPU मार्ग से तुलना करें

आधुनिक प्रोसेसर में AES निर्देश होते हैं जिन्हें एक अनुरक्षित पुस्तकालय बिना अतिरिक्त हार्डवेयर के उपयोग करता है, और वे बस स्थानांतरण तथा अतिरिक्त प्रतियों से बचते हैं। एक पुराना त्वरक उस मार्ग से हार सकता है जबकि वह अभी भी प्रभावशाली कच्चे सिफ़र आँकड़े बताता रहता है। वास्तविक कार्यभार मापें: वही ट्रैफ़िक, वही सुरक्षा सेटिंग्स, आधार रेखा बनाम उम्मीदवार, साथ में CPU लोड और एप्लिकेशन थ्रूपुट एक साथ दर्ज करते हुए। निर्णय में अपडेट और पुनर्प्राप्ति व्यवहार को शामिल करें, क्योंकि अनुरक्षित न किया गया मॉड्यूल गेटवे का रखरखाव जोखिम उसके पूरे जीवनकाल तक बढ़ाता है।

खरीद का आधार एक समर्थित श्रृंखला और मापा गया लाभ है। पहचाना गया कार्ड, या कोई ऐसा मॉड्यूल जिसे किसी ने एक बार संकलित किया था, अनुरक्षित गेटवे को पुराने हार्डवेयर पर निर्भर बनाने का कारण नहीं है।