په OpenSSL کې AES-NI یا کرنل ته لېږد: کوم یو ته اړتیا لرئ؟

دوه لیبلونه داسې کارول کېږي لکه څنګه چې یو شی وي: د هارډویر له خوا ګړندی شوی او کرنل ته لېږدول شوی. یو یې بیانوي چې د یوې کتابتون AES روټین کومې لارښوونې پلي کوي، بل یې بیانوي چې د پاکټونو پروسس کول چېرې پېښېږي. یو VPN کولای شي لومړی پرته له دویم ولري، دویم پرته له لومړي، یا دواړه یوځای. د کارکرد په اړه هر تصمیم باید د دې په نومولو پیل شي چې تاسو په رښتیا د دواړو کوم یو بدلوئ.

دوه محورونه، نه یو نمره

لومړی محور تطبیق دی: ایا هغه کوډ چې AES-256-GCM کوي د پروسیسر ځانګړو لارښوونو ته ځي یا هغه لېږدېدونکې روټین ته چې هغوی د عادي حساب په توګه پلي کوي. دا انتخاب د کریپټوګرافیک کتابتون دننه ژوند کوي او د هغه د پیل په وخت کې کېږي.

دویم محور ځای دی: ایا پاکټ د کرنل د بدلون لارې څخه تېرېږي یا په کاروونکي فضا کې یو ډیمون د تونل له وسیلې لولي، کوډ کوي او بېرته لیکي.

هیڅ محور بل نه محدودوي. په CPU کې چې AES لارښوونې لري د کاروونکي فضا VPN کولای شي هغوی هر وخت وکاروي، او په CPU کې چې هغوی نه لري د کرنل لاره سافټویر تطبیق ته بېرته ځي. د پلورونکو په موادو کې لیبلونه دا توپیر په ندرت ښیي، له همدې امله د دوو حالتونو ترمنځ کاپي شوې د تنظیم سلاګانې ډېری وخت هېڅ نه کوي.

لومړی محور: کوم کوډ کوډ کول کوي

OpenSSL د پیل په وخت کې د پروسیسر ځانګړتیاوې پېژني او پایله د غوره شوو کوډ لارو د ټاکلو لپاره کاروي، لکه څنګه چې د x86 وړتیاوو سند بیانوي. AES-NI د هغې لېږد تر شا د مستندو وړتیاوو یوه ده. له دې هېڅ هم نه غواړي چې کتابتون د کرنل برخه شي.

مخکې له دې چې فرض کړئ ګړندۍ لاره کارول کېږي، تایید کړئ چې ځانګړتیا د پروسې لپاره لیدل کېدونکې ده. په Linux کې سرچینه /proc/cpuinfo کې flags ساحه ده، او د مېلمه په دننه کې هغه څه منعکس کوي چې هایپروایزر ښکاره کوي، نه د فزیکي هوسټ د ماډل نوم.

grep -m1 '^flags' /proc/cpuinfo | grep -o '\baes\b'
openssl list -providers -verbose

دویم حکم په هغه جوړښت کې د بار شوو عرضه کوونکو نومونه اخلي. هغه تاسو ته نه وایي چې د VPN خدمت کوم کتابتون سره نښلولی، او یو هوسټ کولای شي دوه OpenSSL نصبونه ولري پداسې حال کې چې روانه پروسه یوازې یو له هغوی کاروي.

دویم محور: د پاکټ لاره چېرې ځي

په کرنل کې ځای کول معنا دا ده چې بدلون د کرنل په خپل IPsec ماشین کې یا د کرنل دننه د تونل په ډرایور کې پېښېږي، نو پاکټونه د هرې ډلې لپاره د کاروونکي فضا د پروسې له لارې تلل او راتلل نه غواړي. دا کولای شي کاپي او د متن بدلون کم کړي، او کار په کورونو ووېشي په داسې ډول چې یو تار ډیمون نه شي کولای. دا هغه شمارونکي او traces هم لېږدوي چې تاسو به یې لولئ کله چې throughput راوښکته شي، ځکه چې کار اوس د هغې پولې بلې خوا ته پېښېږي چې تاسو یې نه کنټرولوئ. دا د یوازې د کارکرد پرېکړې نه بلکې د ډیبګینګ لګښت په توګه وګڼئ.

دا د لارښوونو ملاتړ نه جوړوي، سایفر نه تنظیموي او موجوده لاره نه کاريږي.

مجازي کول په دې محور هم یوه چین جوړوي. مېلمه ته کولای شي یو ماسک شوی CPU ماډل ورکړل شي چې هغه ځانګړتیاوې پټوي چې هوسټ یې لري، او دننه مېلمه کولای شي لا لږ وګوري. د وړتیاوو لید د هغه چاپېریال له دننه ولولئ چېرې چې VPN په رښتیا ځي، نه د هایپروایزر کنسول څخه.

هر انتخاب څه اخلي، او څه نه شي کولای

عملي پوښتنه دا ده چې وخت چېرې ځي. که یو بوخت تار، تکراري بفر کاپي یا د هر پاکټ لپاره سیسټم کال throughput محدودوي، د بدلون لېږدول هغې لارې ته چې هغه لګښتونه لرې کوي کولای شي مرسته وکړي، په دې شرط چې کرنل هغه بدلون چې تاسو ته اړین دی پلي کړي.

که حد یو ګڼه شوې پورتنۍ لینکه، د زیان لاره، اوږد تلل او راتلل وخت، ډکه د منزل خدمت یا په یو کور کې ټینګ شوی یو تار وي، ځای کېدل هېڅ مهم نه بدلوي. ورته خبره د لارښوونو د انتخاب لپاره هم ده: په ځانګړي هارډویر کې AES نه شي کولای ورکه لاره جوړه کړي او مرسته نه کوي که تونل خالي وي ځکه چې د نومونو حل ناکامېږي.

چېرې چې دواړه پلي کېږي، دواړه یوځای کېږي. د کرنل لاره کولای شي د کرنل د کریپټو API دننه هماغه د لارښوونې کچې لېږد وکاروي، او د کاروونکي فضا لاره چې ښه ټاکل شوی کتابتون لري هغه لا دمخه کاروي. پرېکړه دا نه ده چې کوم په انتزاعي ډول ګړندی دی؛ دا ده چې د کوم لګښت لپاره تاسو شواهد لرئ.

مخکې له دې چې څه بدل کړئ څلور حقیقتونه ولیکئ

د خدمت باینري او هغه کریپټو کتابتون ولیکئ چې هغه ورسره نښلول شوی، ځکه چې هغوی لومړی محور ټاکي. بیا هوکړه شوې د معلوماتو ساتنه ثبت کړئ، ځکه چې پرته له ځانګړې لارښوونې لارې سایفر د هغه له لرونکي څخه توپیر لري، او سیټ دواړه خواوې ټاکي.

بیا، د روان چاپېریال له دننه د وړتیاوو لید، او په پای کې فعاله د پاکټ لاره د شاهد سره چې هغه حالت چې تاسو یې فعال ګڼئ په رښتیا هماغه دی. بار شوی ماډول د دې شاهد نه دی چې یو پروفایل یې کاروي، او د تنظیم کرښه د دې شاهد نه ده چې کرنل هغه منلې ده.

یو شی بدل کړئ، بیا د هماغه پای ټکو او هماغه د لېږد لوري سره د یو شان کاري بار سره پرتله کړئ. هغه د سرعت ادعا چې تاسو نه ده اندازه کړې له هغې یادښت څخه کم ارزښت لري چې وایي بیکاینډ هېڅکله د شک لاندې نه و.