Kriptokártya egy VPN-átjáróhoz: négy átadás a vásárlás előtt

A régi kriptográfiai gyorsítók megjelennek a PCI-leltárban, és a feltételezés az, hogy a VPN most gyorsabban fog titkosítani. Ehhez négy különálló átadásnak kell sikerülnie: a rendszer megtalálja az eszközt, egy karbantartott illesztőprogram vezérli, egy felület hozzáférhetővé teszi a VPN által igényelt műveletet, és a VPN aktív backendje kéri azt. Ha bármelyik meghiúsul, a kártya az alagút valódi útvonalán kívül marad.

Az észlelés az első átadás, nem az utolsó

Az észlelés csak azt bizonyítja, hogy a busz lát egy eszközt, és a kernelnek van valamilyen fogalma arról, mi az. Az illesztőprogram-támogatás a következő kapu, és verziófüggő: egy régi kiadásban jelen lévő modul teljesen hiányozhat a jelenlegi kernelcsomagból. Ezen túl az illesztőprogramnak regisztrálnia kell azt az adott algoritmust és módot, amelyet az adatcsatorna használ. Egy AES-CBC-t gyorsító kártya semmit sem tesz egy AES-GCM-ről tárgyaló konfigurációért.

Nevezze meg minden átadást külön az értékelésben, mert a negyediknél bekövetkező hiba kívülről ugyanúgy néz ki, mint az elsőnél.

Olvassa el a kernel algoritmusleltárát

Kezdje azzal, hogy összegyűjti, mit tud már a gazdagép az eszközről és a regisztrált algoritmusokról.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

A PCI-sor megadja a gyártó- és eszközazonosítókat, amelyek bármely illesztőprogram-kereséshez szükségesek, és/proc/crypto felsorolja a regisztrált megvalósításokat az illesztőprogramjaikkal és prioritásaikkal. A prioritásérték az azonos algoritmus megvalósításai közötti kiválasztást rendezi, ami nem ugyanaz, mint amikor egy alkalmazás kiválaszt egyet közülük. Ha a kártya algoritmusa nem jelenik meg ott, az illesztőprogram soha nem regisztrálta, és a felhasználói tér semmilyen változtatása nem fogja meghívni. Jegyezze fel az azonosítókat és a megvalósítások nevét a kártya képernyőképe helyett.

A VPN-nek azt a megvalósítást kell kiválasztania

A kernelben való elérhetőség menü, nem garancia arra, hogy a VPN-folyamat onnan rendelt. Ellenőrizze, mit használ valójában a backend.

openssl speed -evp aes-256-gcm
openssl engine -t -c

A sebességparancs a könyvtár saját útvonalát gyakorolja, és alapvonalat ad a géphez a konfigurált állapotában, míg a motorlista megmutatja, hogy egyáltalán elérhető-e valamilyen opcionális szolgáltató az OpenSSL számára. Egy saját kriptokönyvtárral rendelkező felhasználói téri VPN teljesen megkerüli a kernel megvalósításait, így egy regisztrált illesztőprogram irreleváns lehet számára. Az adatcsatorna kiszervezése egy harmadik mechanizmus, amely a csomagfeldolgozást változtatja meg, ahelyett hogy titkosítási kéréseket küldene egy bővítőkártyának. Állapítsa meg, melyik három közül írja le az üzembe helyezését, mielőtt hardvert vásárolna a negyedikhez.

Hasonlítsa össze a már meglévő CPU-útvonallal

A modern processzorok AES-utasításokat tartalmaznak, amelyeket egy karbantartott könyvtár extra hardver nélkül használ, és elkerülik a buszátvitelt és a felesleges másolatokat. Egy régi gyorsító veszíthet ezzel az útvonallal szemben, miközben még lenyűgöző nyers titkosítási számokat jelent. Mérje a valós terhelést: ugyanaz a forgalom, ugyanazok a védelmi beállítások, alapvonal a jelölttel szemben, a CPU-terhelés és az alkalmazás áteresztőképességének együttes rögzítésével. Vegye be a döntésbe a frissítési és helyreállítási viselkedést, mert a nem karbantartott modul az átjáró karbantartási kockázatát növeli a teljes élettartama alatt.

A vásárlás indoka egy támogatott lánc és egy mért előny. Egy észlelt kártya vagy egy modul, amelyet valaki egyszer lefordított, nem ok arra, hogy egy karbantartott átjáró elavult hardvertől függjön.