VPN шлюзіне арналған крипто карта: сатып алудың алдындағы төрт тапсыру

Ескі криптографиялық жеделдеткіштер PCI тізімінде көрінеді және VPN енді тезірек шифрлайды деп болжанады. Бұл шындыққа айналу үшін төрт бөлек тапсыру сәтті болуы керек: жүйе құрылғыны табады, оны қолдау көрсетілетін драйвер басқарады, интерфейс VPN-ге қажет операцияны ашады, ал VPN-нің белсенді backend-і оны сұрайды. Олардың кез келгені сәтсіз болса, карта туннельдің нақты жолынан тыс қалады.

Анықтау — бірінші тапсыру, соңғысы емес

Анықтау тек шинаның құрылғыны көретінін және ядроның ол не екені туралы белгілі бір түсінігі бар екенін дәлелдейді. Драйвер қолдауы — келесі қақпа және ол нұсқаға тәуелді: ескі шығарылымда болған модуль ағымдағы ядро бумасынан мүлдем жоқ болуы мүмкін. Оның үстіне драйвер деректер арнасы пайдаланатын нақты алгоритм мен режимді тіркеуі керек. AES-CBC-ні жеделдететін карта AES-GCM туралы келіссөз жүргізетін конфигурация үшін ештеңе жасамайды.

Бағалауда әр тапсыруды жеке атаңыз, өйткені төртіншідегі сәтсіздік сырттан біріншідегі сәтсіздікке ұқсайды.

Ядроның алгоритмдер тізімін оқыңыз

Хосттың құрылғы және ол тіркеген алгоритмдер туралы бұрыннан білетінін жинаудан бастаңыз.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

PCI жолы кез келген драйвер іздеуі үшін қажет өндіруші мен құрылғы идентификаторларын береді және/proc/crypto тіркелген іске асыруларды олардың драйверлері мен басымдықтарымен бірге тізімдейді. Басымдық мәні бір алгоритмнің іске асырулары арасындағы таңдауды реттейді, бұл қолданбаның солардың бірін таңдауымен бірдей емес. Егер картаның алгоритмі онда көрінбесе, драйвер оны ешқашан тіркемеген және пайдаланушы кеңістігіндегі ешбір өзгеріс оны шақырмайды. Картаның экран суретінің орнына идентификаторлар мен іске асыру атауларын жазып алыңыз.

VPN дәл сол іске асыруды таңдауы керек

Ядродағы қолжетімділік — мәзір, VPN процесі сол жерден тапсырыс берді деген кепілдік емес. Backend нақты нені пайдаланатынын тексеріңіз.

openssl speed -evp aes-256-gcm
openssl engine -t -c

Жылдамдық командасы кітапхананың өз жолын сынайды және конфигурацияланған машина үшін базалық сызық береді, ал қозғалтқыштар тізімі OpenSSL үшін мүлдем қандай да бір қосымша провайдердің қолжетімді екенін көрсетеді. Өз крипто кітапханасы бар пайдаланушы кеңістігіндегі VPN ядроның іске асыруларын толығымен айналып өтеді, сондықтан тіркелген драйвер ол үшін маңызсыз болуы мүмкін. Деректер арнасын түсіру — тағы үшінші механизм, ол шифр сұрауларын кеңейту картасына жіберудің орнына пакет өңдеуді өзгертеді. Төртіншісі үшін аппараттық құрал сатып алудың алдында осы үшеудің қайсысы сіздің орналастыруыңызды сипаттайтынын анықтаңыз.

Өзінде бар процессор жолымен салыстырыңыз

Заманауи процессорларда AES нұсқаулары бар, оларды қолдау көрсетілетін кітапхана қосымша аппараттық құралсыз пайдаланады және шина тасымалдары мен артық көшірмелерден аулақ болады. Ескі жеделдеткіш бұл жолға ұтылуы мүмкін, сонымен бірге әсерлі шикі шифр сандарын хабарлайды. Нақты жүктемені өлшеңіз: бірдей трафик, бірдей қорғау параметрлері, базалық сызық кандидатқа қарсы, процессор жүктемесі мен қолданба өткізу қабілеті бірге жазылады. Шешімге жаңарту мен қалпына келтіру тәртібін қосыңыз, өйткені күтімсіз модуль шлюздің қызмет көрсету тәуекелін оның бүкіл өмірі бойы арттырады.

Сатып алу негізі — қолдау көрсетілетін тізбек және өлшенген пайда. Анықталған карта немесе біреу бір рет құрастырған модуль — күтімдегі шлюзді ескірген аппараттық құралға тәуелді етуге себеп емес.