Kryptokort for ein VPN-gateway: fire overleveringar før kjøp

Gamle kryptografiske akseleratorar dukkar opp i PCI-inventaret, og det blir antatt at VPN-en no krypterer raskare. Fire separate overleveringar må lukkast før det er sant: systemet finn eininga, ein vedlikehalden drivar styrer henne, eit grensesnitt legg fram operasjonen VPN-en treng, og den aktive backenden til VPN-en ber om han. Sviktar éin, blir kortet ståande utanfor den verkelege vegen til tunnelen.

Oppdaging er den første overleveringa, ikkje den siste

Oppdaging provar berre at bussen ser ei eining og at kjernen har ein viss idé om kva ho er. Drivarstøtte er neste port, og ho er versjonsavhengig: ein modul som fanst i ei gammal utgåve, kan mangla heilt i den gjeldande kjernepakken. I tillegg må drivaren registrera den spesifikke algoritmen og modusen som datakanalen brukar. Eit kort som akselererer AES-CBC, gjer ingenting for ein konfigurasjon som forhandlar om AES-GCM.

Namngje kvar overlevering separat i vurderinga, fordi ein feil ved den fjerde ser identisk ut utanfrå som ein feil ved den første.

Les algoritmeinventaret til kjernen

Byrja med å samla inn det verten allereie veit om eininga og om algoritmane han har registrert.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

PCI-linja gir leverandør- og eining-ID-ane som trengst for kvar drivarsøk, og/proc/crypto listar opp registrerte implementasjonar med drivarane og prioritetane deira. Ein prioritetsverdi ordnar valet mellom implementasjonar av same algoritme, noko som ikkje er det same som at ein applikasjon vel éin av dei. Viss algoritmen til kortet ikkje viser seg der, har drivaren aldri registrert han, og inga endring i brukarrommet vil kalla på han. Noter ID-ane og implementasjonsnamna i staden for eit skjermbilete av kortet.

VPN-en må velja nettopp den implementasjonen

Tilgjenge i kjernen er ei meny, ikkje ei garanti for at VPN-prosessen har bestilt frå henne. Sjekk kva backenden faktisk brukar.

openssl speed -evp aes-256-gcm
openssl engine -t -c

Hastigheitskommandoen øver på den eigen vegen til biblioteket og gir ei basislinje for maskinen slik han er konfigurert, medan motorlista viser om det i det heile finst ein valfri leverandør tilgjengeleg for OpenSSL. Ein VPN i brukarrommet med eige kryptobibliotek går heilt utanom kjerneimplementasjonane, så ein registrert drivar kan vera irrelevant for han. Avlasting av datakanalen er nok ein tredje mekanisme, som endrar pakkehandsaminga i staden for å senda chifferspurnader til eit utvidingskort. Fastslå kven av dei tre som skildrar utrullinga di før du kjøper maskinvare for den fjerde.

Samanlikn med CPU-vegen du allereie har

Moderne prosessorar inneheld AES-instruksjonar som eit vedlikehalde bibliotek brukar utan ekstra maskinvare, og dei unngår bussoverføringar og ekstra kopiar. Ein gammal akselerator kan tapa mot den vegen medan han framleis rapporterer imponerande rå chiffertal. Mål den reelle arbeidslasta: same trafikk, same verninnstillingar, basislinje mot kandidat, med CPU-last og gjennomstrøyming for applikasjonen registrert saman. Ta med oppdaterings- og gjenopprettingsåtferd i avgjerda, fordi ein uvødd modul aukar vedlikehaldsrisikoen for gatewayen for heile levetida.

Kjøpsgrunnlaget er ei støtta kjede pluss ein målt gevinst. Eit oppdaga kort, eller ein modul nokon ein gong kompilerte, er inga grunn til å gjera ein vedlikehalden gateway avhengig av utdatert maskinvare.