Kryptografická karta pre VPN bránu: štyri odovzdania pred kúpou

Staré kryptografické akcelerátory sa objavujú v inventári PCI a predpokladá sa, že VPN bude teraz šifrovať rýchlejšie. Aby to bola pravda, musia uspieť štyri samostatné odovzdania: systém nájde zariadenie, udržiavaný ovládač ho riadi, rozhranie vystaví operáciu, ktorú VPN potrebuje, a aktívny backend VPN si ju vyžiada. Ak ktorékoľvek zlyhá, karta zostane mimo skutočnej cesty tunela.

Detekcia je prvé odovzdanie, nie posledné

Detekcia dokazuje len to, že zbernica vidí zariadenie a že jadro má akúsi predstavu, čo to je. Podpora ovládača je ďalšou bránou a závisí od verzie: modul prítomný v starom vydaní môže v aktuálnom balíku jadra úplne chýbať. Okrem toho musí ovládač zaregistrovať konkrétny algoritmus a režim, ktoré dátový kanál používa. Karta, ktorá zrýchľuje AES-CBC, nerobí nič pre konfiguráciu, ktorá vyjednáva AES-GCM.

V hodnotení pomenujte každé odovzdanie zvlášť, pretože zlyhanie pri štvrtom vyzerá zvonku rovnako ako zlyhanie pri prvom.

Prečítajte si inventár algoritmov jadra

Začnite tým, že zhromaždíte, čo hostiteľ už vie o zariadení a o algoritmoch, ktoré zaregistroval.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

Riadok PCI dáva identifikátory výrobcu a zariadenia potrebné pre akékoľvek hľadanie ovládača a/proc/crypto vypisuje registrované implementácie s ich ovládačmi a prioritami. Hodnota priority určuje poradie výberu medzi implementáciami toho istého algoritmu, čo nie je to isté ako voľba jednej z nich aplikáciou. Ak sa tam algoritmus karty neobjaví, ovládač ho nikdy nezaregistroval a žiadna zmena v používateľskom priestore ho nezavolá. Zaznamenajte identifikátory a názvy implementácií namiesto snímky obrazovky karty.

VPN musí túto implementáciu vybrať

Dostupnosť v jadre je menu, nie záruka, že si z neho proces VPN objednal. Overte, čo backend skutočne používa.

openssl speed -evp aes-256-gcm
openssl engine -t -c

Príkaz rýchlosti precvičuje vlastnú cestu knižnice a dáva základnú úroveň pre stroj tak, ako je nakonfigurovaný, zatiaľ čo výpis engine ukazuje, či je pre OpenSSL vôbec dostupný nejaký voliteľný poskytovateľ. VPN v používateľskom priestore s vlastnou kryptografickou knižnicou úplne obchádza implementácie jadra, takže registrovaný ovládač pre ňu môže byť irelevantný. Presun dátového kanála je tretí mechanizmus, ktorý mení spracovanie paketov, namiesto toho aby posielal šifrovacie požiadavky do rozširujúcej karty. Určte, ktorý z tých troch popisuje vaše nasadenie, skôr než kúpite hardvér pre štvrtý.

Porovnajte s cestou procesora, ktorú už máte

Moderné procesory obsahujú inštrukcie AES, ktoré udržiavaná knižnica používa bez ďalšieho hardvéru, a vyhýbajú sa prenosom po zbernici aj kopiám navyše. Starý akcelerátor môže s touto cestou prehrať, aj keď stále hlási pôsobivé surové čísla šifrovania. Zmerajte skutočnú záťaž: rovnaká prevádzka, rovnaké nastavenia ochrany, základná úroveň proti kandidátovi, so súčasným záznamom záťaže procesora a priepustnosti aplikácie. Do rozhodnutia zahrňte správanie pri aktualizácii a obnove, pretože neudržiavaný modul zvyšuje riziko údržby brány po celú dobu jej životnosti.

Dôvodom na kúpu je podporovaná reťaz plus zmeraný prínos. Zistená karta alebo modul, ktorý niekto kedysi skompiloval, nie je dôvodom, aby udržiavaná brána závisela od zastaraného hardvéru.