Крипто картичка за VPN портал: четири предавања пред купување

Старите криптографски забрзувачи се појавуваат во PCI инвентарот и се претпоставува дека VPN сега ќе шифрира побрзо. За да биде тоа точно, мора да успеат четири одделни предавања: системот го наоѓа уредот, одржуван драјвер го управува, интерфејс ја изложува операцијата што му е потребна на VPN, и активниот backend на VPN ја бара. Ако која било од нив не успее, картичката останува надвор од вистинскиот пат на тунелот.

Откривањето е првото предавање, не последното

Откривањето докажува само дека магистралата гледа уред и дека јадрото има некаква претстава што е тоа. Поддршката од драјверот е следната порта и зависи од верзијата: модул што постоел во старо издание може целосно да недостасува во тековниот пакет на јадрото. Покрај тоа, драјверот мора да го регистрира конкретниот алгоритам и режим што ги користи податочниот канал. Картичка што го забрзува AES-CBC не прави ништо за конфигурација што преговара за AES-GCM.

Именувајте го секое предавање одделно во проценката, бидејќи неуспехот на четвртото однадвор изгледа исто како неуспех на првото.

Прочитајте го инвентарот на алгоритми на јадрото

Започнете со собирање на она што домаќинот веќе го знае за уредот и за алгоритмите што ги регистрирал.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

PCI редот ги дава идентификаторите на производителот и уредот потребни за секое пребарување на драјвер, и/proc/crypto ги наведува регистрираните имплементации со нивните драјвери и приоритети. Вредноста на приоритетот го подредува изборот меѓу имплементации на истиот алгоритам, што не е исто како апликација да избере една од нив. Ако алгоритмот на картичката не се појави таму, драјверот никогаш не го регистрирал и ниту една промена во корисничкиот простор нема да го повика. Запишете ги идентификаторите и имињата на имплементациите наместо слика од екранот на картичката.

VPN мора да ја избере токму таа имплементација

Достапноста во јадрото е мени, а не гаранција дека VPN процесот нарачал од него. Проверете што всушност користи backend-от.

openssl speed -evp aes-256-gcm
openssl engine -t -c

Командата за брзина ја вежба сопствената патека на библиотеката и дава основна линија за машината како што е конфигурирана, додека списокот на двигатели покажува дали на OpenSSL воопшто му е достапен некој изборен добавувач. VPN во корисничкиот простор со сопствена крипто библиотека целосно ги заобиколува имплементациите на јадрото, па регистриран драјвер може да му биде неважен. Префрлањето на податочниот канал е уште трет механизам, кој го менува обработувањето пакети наместо да праќа шифрарски барања до картичка за проширување. Пред да купите хардвер за четвртото, утврдете кој од тие три го опишува вашето распоредување.

Споредете со патеката на процесорот што веќе ја имате

Современите процесори содржат AES инструкции што одржувана библиотека ги користи без дополнителен хардвер и ги избегнуваат преносите по магистрала и дополнителните копии. Стар забрзувач може да изгуби од таа патека додека сè уште пријавува впечатливи сурови бројки за шифрирање. Измерете го вистинското оптоварување: истиот сообраќај, истите поставки за заштита, основна линија наспроти кандидат, со заедничко запишување на оптоварувањето на процесорот и пропусноста на апликацијата. Вклучете го во одлуката однесувањето при ажурирање и обновување, бидејќи неодржуван модул го зголемува ризикот за одржување на порталот за целиот негов животен век.

Основата за купување е поддржан синџир плус измерена корист. Откриена картичка или модул што некој некогаш го компајлирал не е причина да се направи одржуван портал зависен од застарена опрема.