Kriptokarte VPN vārtejai: četras nodošanas pirms pirkšanas

Vecie kriptogrāfiskie paātrinātāji parādās PCI inventārā, un tiek pieņemts, ka VPN tagad šifrēs ātrāk. Lai tas būtu patiesība, jāizdodas četrām atsevišķām nodošanām: sistēma atrod ierīci, to vada uzturēts draiveris, saskarne atklāj operāciju, kas nepieciešama VPN, un VPN aktīvais backends to pieprasa. Ja kāda no tām neizdodas, karte paliek ārpus tuneļa reālā ceļa.

Atklāšana ir pirmā nodošana, nevis pēdējā

Atklāšana pierāda tikai to, ka kopne redz ierīci un kodolam ir kāda nojausma, kas tā ir. Draivera atbalsts ir nākamie vārti, un tas ir atkarīgs no versijas: modulis, kas bija vecā laidienā, var pilnībā trūkt pašreizējā kodola pakotnē. Turklāt draiverim ir jāreģistrē konkrētais algoritms un režīms, ko izmanto datu kanāls. Karte, kas paātrina AES-CBC, neko nedara konfigurācijai, kas vienojas par AES-GCM.

Novērtējumā nosauc katru nodošanu atsevišķi, jo ceturtās neveiksme no ārpuses izskatās tāpat kā pirmās.

Izlasiet kodola algoritmu inventāru

Sāciet ar to, ko resursdators jau zina par ierīci un tās reģistrētajiem algoritmiem.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

PCI rinda dod ražotāja un ierīces identifikatorus, kas nepieciešami jebkurai draivera meklēšanai, un/proc/crypto uzskaita reģistrētās implementācijas ar to draiveriem un prioritātēm. Prioritātes vērtība sakārto izvēli starp viena algoritma implementācijām, kas nav tas pats, ko nozīmē lietojumprogrammas izvēle no tām. Ja kartes algoritms tur neparādās, draiveris to nekad nav reģistrējis, un neviena lietotāja telpas izmaiņa to neizsauks. Pierakstiet identifikatorus un implementāciju nosaukumus, nevis kartes ekrānuzņēmumu.

VPN ir jāizvēlas tieši šī implementācija

Pieejamība kodolā ir izvēlne, nevis garantija, ka VPN process pasūtīja no tās. Pārbaudiet, ko backends faktiski izmanto.

openssl speed -evp aes-256-gcm
openssl engine -t -c

Ātruma komanda izmēģina pašas bibliotēkas ceļu un dod bāzes līniju konfigurētajai mašīnai, savukārt dzinēju saraksts parāda, vai OpenSSL vispār ir pieejams kāds neobligāts nodrošinātājs. Lietotāja telpas VPN ar savu kripto bibliotēku pilnībā apiet kodola implementācijas, tāpēc reģistrēts draiveris tam var būt nebūtisks. Datu kanāla pārvietošana ir vēl trešais mehānisms, kas maina pakešu apstrādi, nevis sūta šifrēšanas pieprasījumus paplašinājuma kartei. Pirms iegādāties aparatūru ceturtajai, nosakiet, kura no šīm trim raksturo jūsu izvietojumu.

Salīdziniet ar procesora ceļu, kas jums jau ir

Mūsdienu procesoriem ir AES instrukcijas, ko uzturēta bibliotēka izmanto bez papildu aparatūras, un tie izvairās no kopnes pārsūtīšanas un liekām kopijām. Vecs paātrinātājs var zaudēt šim ceļam, vienlaikus ziņojot iespaidīgus neapstrādātus šifrēšanas skaitļus. Izmēriet reālo darba slodzi: tas pats trafiks, tie paši aizsardzības iestatījumi, bāzes līnija pret kandidātu, vienlaikus reģistrējot procesora slodzi un lietojumprogrammas caurlaidību. Iekļaujiet lēmumā atjaunināšanas un atjaunošanas uzvedību, jo neuzturēts modulis palielina vārtejas uzturēšanas risku visā tās darbības laikā.

Pirkuma pamats ir atbalstīta ķēde un izmērīts ieguvums. Atrasta karte vai modulis, ko kāds reiz kompilēja, nav iemesls padarīt uzturētu vārteju atkarīgu no novecojušas aparatūras.