Kriptografinė kortelė VPN tinklų sietuvui: keturi perdavimai prieš perkant

Seni kriptografiniai greitintuvai atsiranda PCI inventoriuje, ir daroma prielaida, kad VPN dabar šifruos greičiau. Kad tai būtų tiesa, turi pavykti keturi atskiri perdavimai: sistema randa įrenginį, jį valdo prižiūrima tvarkyklė, sąsaja atskleidžia operaciją, kurios reikia VPN, ir aktyvus VPN backend'as jos paprašo. Jei bent vienas nepavyksta, kortelė lieka už tikrojo tunelio kelio.

Aptikimas yra pirmasis perdavimas, o ne paskutinis

Aptikimas įrodo tik tai, kad magistralė mato įrenginį, o branduolys turi tam tikrą supratimą, kas tai yra. Tvarkyklės palaikymas yra kiti vartai, ir jis priklauso nuo versijos: modulis, buvęs senoje laidoje, gali visiškai trūkti dabartiniame branduolio pakete. Be to, tvarkyklė turi užregistruoti konkretų algoritmą ir režimą, kuriuos naudoja duomenų kanalas. Kortelė, kuri pagreitina AES-CBC, nieko nedaro konfigūracijai, derančiai dėl AES-GCM.

Vertinime įvardykite kiekvieną perdavimą atskirai, nes ketvirtojo nesėkmė iš išorės atrodo taip pat kaip pirmojo.

Perskaitykite branduolio algoritmų inventorių

Pradėkite nuo to, ką hostas jau žino apie įrenginį ir jo užregistruotus algoritmus.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

PCI eilutė pateikia gamintojo ir įrenginio identifikatorius, reikalingus bet kokiai tvarkyklės paieškai, o/proc/crypto išvardija užregistruotas implementacijas su jų tvarkyklėmis ir prioritetais. Prioriteto reikšmė išdėsto pasirinkimą tarp to paties algoritmo implementacijų, o tai nėra tas pats, kas programos pasirenkama viena iš jų. Jei kortelės algoritmas ten nepasirodo, tvarkyklė jo niekada neužregistravo ir joks naudotojo erdvės pakeitimas jo neiškvies. Užsirašykite identifikatorius ir implementacijų pavadinimus, o ne kortelės ekrano kopiją.

VPN turi pasirinkti būtent tą implementaciją

Prieinamumas branduolyje yra meniu, o ne garantija, kad VPN procesas užsisakė iš jo. Patikrinkite, ką backend'as iš tikrųjų naudoja.

openssl speed -evp aes-256-gcm
openssl engine -t -c

Greičio komanda išbando pačios bibliotekos kelią ir suteikia bazinę liniją sukonfigūruotai mašinai, o variklių sąrašas parodo, ar OpenSSL apskritai prieinamas koks nors pasirenkamas teikėjas. Naudotojo erdvės VPN su savo kriptografijos biblioteka visiškai apeina branduolio implementacijas, todėl užregistruota tvarkyklė jam gali būti nesvarbi. Duomenų kanalo perkėlimas yra dar trečias mechanizmas, keičiantis paketų apdorojimą, o ne siunčiant šifravimo užklausas į plėtimo kortelę. Prieš pirkdami aparatinę įrangą ketvirtajam, nustatykite, kuris iš tų trijų apibūdina jūsų diegimą.

Palyginkite su procesoriaus keliu, kurį jau turite

Šiuolaikiniai procesoriai turi AES instrukcijas, kurias prižiūrima biblioteka naudoja be papildomos aparatinės įrangos, ir jie išvengia magistralės peržiūrų bei papildomų kopijų. Senas greitintuvas gali pralaimėti šiam keliui, vis dar pateikdamas įspūdingus neapdorotus šifravimo skaičius. Išmatuokite tikrąjį darbo krūvį: tas pats srautas, tie patys apsaugos nustatymai, bazinė linija prieš kandidatą, kartu registruojant procesoriaus apkrovą ir programos pralaidumą. Į sprendimą įtraukite atnaujinimo ir atkūrimo elgseną, nes neprižiūrimas modulis didina tinklų sietuvo priežiūros riziką per visą jo gyvavimo laiką.

Pirkimo pagrindas yra palaikoma grandinė ir išmatuota nauda. Aptikta kortelė arba modulis, kurį kažkas kadaise sukompiliavo, nėra priežastis prižiūrimą tinklų sietuvą daryti priklausomą nuo pasenusios aparatinės įrangos.