Kartu kripto untuk gerbang VPN: empat penyerahan sebelum membeli

Akselerator kriptografi lama muncul di inventaris PCI, dan diasumsikan VPN kini akan mengenkripsi lebih cepat. Empat penyerahan terpisah harus berhasil sebelum itu benar: sistem menemukan perangkat, driver yang terpelihara mengendalikannya, antarmuka mengekspos operasi yang dibutuhkan VPN, dan backend aktif VPN memintanya. Jika salah satunya gagal, kartu tetap berada di luar jalur nyata terowongan.

Deteksi adalah penyerahan pertama, bukan yang terakhir

Deteksi hanya membuktikan bahwa bus melihat perangkat dan kernel punya sedikit gambaran tentang apa itu. Dukungan driver adalah gerbang berikutnya, dan bergantung pada versi: modul yang ada di rilis lama bisa hilang sepenuhnya dari paket kernel saat ini. Selain itu, driver harus mendaftarkan algoritme dan mode spesifik yang dipakai kanal data. Kartu yang mempercepat AES-CBC tidak melakukan apa pun untuk konfigurasi yang menegosiasikan AES-GCM.

Sebutkan setiap penyerahan secara terpisah dalam evaluasi, karena kegagalan pada yang keempat terlihat dari luar sama dengan kegagalan pada yang pertama.

Baca inventaris algoritme kernel

Mulailah dengan mengumpulkan apa yang sudah diketahui host tentang perangkat dan algoritme yang didaftarkannya.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

Baris PCI memberikan pengenal vendor dan perangkat yang diperlukan untuk pencarian driver apa pun, dan/proc/crypto mendaftar implementasi terdaftar beserta driver dan prioritasnya. Nilai prioritas mengurutkan pemilihan di antara implementasi algoritme yang sama, yang tidak sama dengan aplikasi memilih salah satunya. Jika algoritme kartu tidak muncul di sana, driver tidak pernah mendaftarkannya dan tidak ada perubahan di ruang pengguna yang akan memanggilnya. Catat pengenal dan nama implementasi alih-alih tangkapan layar kartu.

VPN harus memilih implementasi itu

Ketersediaan di kernel adalah menu, bukan jaminan bahwa proses VPN memesan darinya. Periksa apa yang sebenarnya dipakai backend.

openssl speed -evp aes-256-gcm
openssl engine -t -c

Perintah kecepatan menguji jalur pustaka itu sendiri dan memberi garis dasar untuk mesin sebagaimana dikonfigurasi, sedangkan daftar mesin menunjukkan apakah ada penyedia opsional yang tersedia untuk OpenSSL sama sekali. VPN di ruang pengguna dengan pustaka kriptonya sendiri melewati implementasi kernel sepenuhnya, sehingga driver terdaftar bisa jadi tidak relevan baginya. Pembongkaran beban kanal data adalah mekanisme ketiga, yang mengubah pemrosesan paket alih-alih mengirim permintaan sandi ke kartu ekspansi. Tetapkan mana dari ketiganya yang menggambarkan penerapan Anda sebelum membeli perangkat keras untuk yang keempat.

Bandingkan dengan jalur CPU yang sudah Anda miliki

Prosesor modern menyertakan instruksi AES yang dipakai pustaka terpelihara tanpa perangkat keras tambahan, dan menghindari transfer bus serta salinan ekstra. Akselerator lama bisa kalah dari jalur itu sambil tetap melaporkan angka sandi mentah yang mengesankan. Ukur beban kerja nyata: lalu lintas sama, pengaturan perlindungan sama, garis dasar versus kandidat, dengan beban CPU dan keluaran aplikasi dicatat bersama. Sertakan perilaku pembaruan dan pemulihan dalam keputusan, karena modul yang tidak terpelihara menaikkan risiko pemeliharaan gerbang sepanjang umurnya.

Alasan pembelian adalah rantai yang didukung plus manfaat yang terukur. Kartu yang terdeteksi, atau modul yang pernah dikompilasi seseorang, bukan alasan membuat gerbang terpelihara bergantung pada perangkat keras usang.