Kryptokaart fir en VPN-Gateway: véier Iwwergaben virum Kaf

Al kryptografesch Beschleuneger dauchen am PCI-Inventar op, an et gëtt ugeholl, datt de VPN elo méi séier verschlësselt. Véier getrennt Iwwergaben mussen erfollegräich sinn, ier dat stëmmt: de System fënnt den Apparat, en ënnerhale Treiber steiert en, eng Interface weist d'Operatioun, déi de VPN brauch, an de aktive Backend vum VPN freet se un. Wann eng dovun ausfällt, bleift d'Kaart baussen dem richtege Wee vum Tunnel.

Erkennung ass déi éischt Iwwergab, net déi lescht

Erkennung beweist just, datt de Bus en Apparat gesäit an de Kernel eng Iddi huet, wat en ass. Treiberënnnerstëtzung ass déi nächst Paart, an se ass vu Versioun ofhängeg: e Modul aus enger aler Versioun kann am aktuellen Kernelpaket ganz feelen. Doriwwer eraus muss den Treiber dee konkreten Algorithmus an de Modus registréieren, deen den Datenkanal benotzt. Eng Kaart, déi AES-CBC beschleunegt, mécht näischt fir eng Konfiguratioun, déi iwwer AES-GCM verhandelt.

Nennt all Iwwergab gesondert an der Bewäertung, well en Ausfall bei der véierter vun baussen identesch ausgesäit wéi en Ausfall bei der éischter.

Liest den Algorithmusinventar vum Kernel

Fänkt domat un ze sammelen, wat den Host schonn iwwer den Apparat an iwwer d'Algorithmen weess, déi en registréiert huet.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

D'PCI-Zeil gëtt d'Fabrikant- an Apparat-IDs, déi fir all Treibersich néideg sinn, an/proc/crypto lëscht déi registréiert Implementatiounen mat hiren Treiberen a Prioritéiten op. E Prioritéitswäert rangéiert d'Auswiel tëscht Implementatioune vum selwechten Algorithmus, wat net datselwecht ass wéi wann eng Applikatioun eng dovun auswielt. Wann den Algorithmus vun der Kaart do net erschéngt, huet den Treiber en ni registréiert an keng Ännerung am Benotzerraum wäert en oprufferen. Notéiert d'IDs an d'Implementatiounsnummen amplaz engem Screenshot vun der Kaart.

De VPN muss déi Implementatioun auswielen

Disponibilitéit am Kernel ass e Menü, keng Garantie, datt de VPN-Prozess do bestallt huet. Iwwerpréift, wat de Backend tatsächlech benotzt.

openssl speed -evp aes-256-gcm
openssl engine -t -c

De Vitessbefehl exercéiert de eegene Wee vun der Bibliothéik an gëtt eng Baseline fir d'Maschinn, wéi se konfiguréiert ass, während d'Motorlëscht weist, ob iwwerhaapt en optionale Fournisseur fir OpenSSL disponibel ass. En VPN am Benotzerraum mat enger eegener Kryptobibliothéik ëmgeet d'Kernelimplementatiounen komplett, sou datt en registréierten Treiber fir en irrelevant ka sinn. D'Entlaaschtung vum Datenkanal ass erëm en drëtten Mechanismus, deen d'Paketveraarbechtung ännert amplaz Chifferufroen un eng Erweiterungskaart ze schécken. Bestimmt, wat vun deenen dräi Är Asaz beschreift, ier Dir Hardware fir déi véiert kaaft.

Vergläicht mat dem CPU-Wee, deen Dir schonn hutt

Modern Prozessore enthalen AES-Instruktiounen, déi eng ënnerhalen Bibliothéik ouni zousätzlech Hardware benotzt, an si vermeiden Busiwwerdroungen an zousätzlech Kopien. En alen Beschleuneger ka géint dee Wee verléieren, wärend en nach ëmmer beandrocklech ro Chifferzuelen mellt. Misst déi reell Belaaschtung: deeselwechte Verkéier, déiselwecht Schutzastellungen, Baseline géint Kandidat, mat CPU-Belaaschtung an Applikatiounsduerchsetzung zesummen opgeholl. Huelt d'Verhalen bei Aktualiséierung an Erhuelung an d'Entscheedung op, well en net ënnerhalene Modul de Wartungsrisiko vum Gateway fir säi ganzt Liewe klëmmt.

De Kafsgrond ass eng ënnerstëtzte Kette plus e gemoossene Benefice. Eng erkannt Kaart, oder e Modul, deen een eemol kompiléiert huet, ass kee Grond, en ënnerhalene Gateway vun veralterter Hardware ofhängeg ze maachen.