VPN шлюзу үчүн крипто карта: сатып алуудан мурун төрт өткөрүп берүү

Эски криптографиялык ылдамдаткычтар PCI тизмесинде көрүнөт жана VPN эми тезирээк шифрлейт деп болжолдонот. Бул чын болушу үчүн төрт өзүнчө өткөрүп берүү ийгиликтүү болушу керек: система түзмөктү табат, аны тейленүүчү драйвер башкарат, интерфейс VPNге керектүү операцияны ачат, ал эми VPNдин активдүү backendи аны сурайт. Алардын бири ийгиликсиз болсо, карта туннелдин чыныгы жолунан тышкары калат.

Аныктоо — биринчи өткөрүп берүү, акыркысы эмес

Аныктоо шина түзмөктү көрөрүн жана ядронун ал эмне экенин бир аз түшүнөрүн гана далилдейт. Драйвер колдоосу — кийинки дарбаза жана ал версияга көз каранды: эски чыгарылышта болгон модуль азыркы ядро пакетинде таптакыр жок болушу мүмкүн. Мындан тышкары, драйвер маалымат каналы колдонгон конкреттүү алгоритмди жана режимди каттоого тийиш. AES-CBCни ылдамдаткан карта AES-GCM боюнча сүйлөшүү жүргүзгөн конфигурация үчүн эч нерсе кылбайт.

Баалоодо ар бир өткөрүп берүүнү өзүнчө атаңыз, анткени төртүнчүсүндөгү ийгиликсиздик сырттан биринчисиндеги ийгиликсиздикке окшош көрүнөт.

Ядронун алгоритмдер тизмесин окуңуз

Хост түзмөк жана ал каттаган алгоритмдер тууралуу мурунтан эмнени билерин чогултуудан баштаңыз.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

PCI сабы ар кандай драйвер издөө үчүн керектүү өндүрүүчү жана түзмөк идентификаторлорун берет жана/proc/crypto катталган ишке ашырууларды алардын драйверлери жана артыкчылыктары менен тизмелейт. Артыкчылык мааниси бир алгоритмдин ишке ашырууларынын ортосундагы тандоону иреттейт, бул колдонмонун алардын бирин тандоосуна барабар эмес. Эгер картанын алгоритми ал жерде көрүнбөсө, драйвер аны эч качан каттаган эмес жана колдонуучу мейкиндигиндеги эч кандай өзгөртүү аны чакырбайт. Картанын экран сүрөтүнүн ордуна идентификаторлорду жана ишке ашыруу аталыштарын жазыңыз.

VPN ошол ишке ашырууну тандашы керек

Ядродогу жеткиликтүүлүк — меню, VPN процесси ошол жерден заказ кылды деген кепилдик эмес. Backend иш жүзүндө эмнени колдонорун текшериңиз.

openssl speed -evp aes-256-gcm
openssl engine -t -c

Ылдамдык буйругу китепкананын өз жолун машыктырат жана конфигурацияланган машина үчүн базалык сызык берет, ал эми кыймылдаткычтардын тизмеси OpenSSL үчүн таптакыр кандайдыр бир кошумча провайдер жеткиликтүүбү же жокпу көрсөтөт. Өз крипто китепканасы бар колдонуучу мейкиндигиндеги VPN ядронун ишке ашырууларын толугу менен айланып өтөт, ошондуктан катталган драйвер ага маанисиз болушу мүмкүн. Маалымат каналын түшүрүү — дагы үчүнчү механизм, ал шифр сурамдарын кеңейтүү картасына жиберүүнүн ордуна пакет иштетүүнү өзгөртөт. Төртүнчүсү үчүн аппараттык каражат сатып алуудан мурун бул үчөөнүн кайсынысы сиздин жайгаштырууңузду сүрөттөөрүн аныктаңыз.

Өзүңүздө бар процессор жолу менен салыштырыңыз

Заманбап процессорлордо AES буйруктары бар, аларды тейленүүчү китепкана кошумча аппараттык каражатсыз колдонот жана шина өткөрүүлөрүнөн жана ашыкча көчүрмөлөрдөн качат. Эски ылдамдаткыч бул жолго утулушу мүмкүн, ошол эле учурда таасирдүү чийки шифр сандарын билдирет. Чыныгы жүктөмдү өлчөңүз: ошол эле трафик, ошол эле коргоо жөндөөлөрү, базалык сызык талапкерге каршы, процессор жүгү жана колдонмо өткөрүү жөндөмү бирге жазылат. Чечимге жаңыртуу жана калыбына келтирүү жүрүм-турумун кошуңуз, анткени тейленбеген модуль шлюздун тейлөө тобокелдигин анын бүт өмүрү бою жогорулатат.

Сатып алуунун негизи — колдоого алынган чынжыр жана өлчөнгөн пайда. Аныкталган карта же бирөө бир жолу кураштырган модуль — тейленүүчү шлюзду эскирген аппараттык каражаттарга көз каранды кылууга себеп эмес.