Kad kripto untuk gerbang VPN: empat penyerahan sebelum membeli

Pemecut kriptografi lama muncul dalam inventori PCI, dan diandaikan bahawa VPN kini akan menyulitkan dengan lebih pantas. Empat penyerahan berasingan mesti berjaya sebelum itu benar: sistem menemui peranti, pemacu yang diselenggara mengawalnya, antara muka mendedahkan operasi yang diperlukan VPN, dan backend aktif VPN memintanya. Jika mana-mana satu gagal, kad itu kekal di luar laluan sebenar terowong.

Pengesanan ialah penyerahan pertama, bukan yang terakhir

Pengesanan hanya membuktikan bahawa bas melihat peranti dan kernel mempunyai sedikit gambaran tentang apa itu. Sokongan pemacu ialah pintu seterusnya, dan ia bergantung pada versi: modul yang ada dalam keluaran lama mungkin tiada sepenuhnya dalam pakej kernel semasa. Selain itu, pemacu mesti mendaftar algoritma dan mod tertentu yang digunakan oleh saluran data. Kad yang memecut AES-CBC tidak melakukan apa-apa untuk konfigurasi yang berunding AES-GCM.

Namakan setiap penyerahan secara berasingan dalam penilaian, kerana kegagalan pada yang keempat kelihatan dari luar sama seperti kegagalan pada yang pertama.

Baca inventori algoritma kernel

Mulakan dengan mengumpul apa yang hos sudah tahu tentang peranti dan algoritma yang didaftarkannya.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

Baris PCI memberikan pengecam vendor dan peranti yang diperlukan untuk sebarang carian pemacu, dan/proc/crypto menyenaraikan pelaksanaan berdaftar bersama pemacu dan keutamaan mereka. Nilai keutamaan menyusun pemilihan antara pelaksanaan algoritma yang sama, yang tidak sama dengan aplikasi memilih salah satunya. Jika algoritma kad tidak muncul di sana, pemacu tidak pernah mendaftarkannya dan tiada perubahan dalam ruang pengguna akan memanggilnya. Catat pengecam dan nama pelaksanaan dan bukan tangkapan skrin kad.

VPN mesti memilih pelaksanaan itu

Ketersediaan dalam kernel ialah menu, bukan jaminan bahawa proses VPN telah membuat pesanan daripadanya. Semak apa yang sebenarnya digunakan oleh backend.

openssl speed -evp aes-256-gcm
openssl engine -t -c

Perintah kelajuan menguji laluan pustaka itu sendiri dan memberikan garis dasar untuk mesin seperti yang dikonfigurasikan, manakala senarai enjin menunjukkan sama ada ada pembekal pilihan yang tersedia untuk OpenSSL sama sekali. VPN dalam ruang pengguna dengan pustaka kriptonya sendiri memintas pelaksanaan kernel sepenuhnya, jadi pemacu berdaftar mungkin tidak relevan baginya. Pemunggahan saluran data ialah mekanisme ketiga lagi, yang mengubah pemprosesan paket dan bukannya menghantar permintaan sifer ke kad pengembangan. Tentukan yang mana antara ketiga-tiga ini menerangkan penggunaan anda sebelum membeli perkakasan untuk yang keempat.

Bandingkan dengan laluan CPU yang sudah anda miliki

Pemproses moden mengandungi arahan AES yang digunakan oleh pustaka yang diselenggara tanpa perkakasan tambahan, dan ia mengelakkan pemindahan bas dan salinan tambahan. Pemecut lama boleh kalah dengan laluan itu sambil masih melaporkan angka sifer mentah yang mengagumkan. Ukur beban kerja sebenar: trafik sama, tetapan perlindungan sama, garis dasar berbanding calon, dengan beban CPU dan daya pemprosesan aplikasi direkodkan bersama. Sertakan tingkah laku kemas kini dan pemulihan dalam keputusan, kerana modul yang tidak diselenggara meningkatkan risiko penyelenggaraan gerbang sepanjang hayatnya.

Asas pembelian ialah rantaian yang disokong serta manfaat yang diukur. Kad yang dikesan, atau modul yang pernah dikompil oleh seseorang, bukan alasan untuk menjadikan gerbang yang diselenggara bergantung pada perkakasan usang.