Kriptografska kartica za VPN prehod: štiri predaje pred nakupom

Stari kriptografski pospeševalniki se pojavijo v inventarju PCI in domneva se, da bo VPN zdaj šifriral hitreje. Da bi to držalo, morajo uspeti štiri ločene predaje: sistem najde napravo, vzdrževani gonilnik jo upravlja, vmesnik razkrije operacijo, ki jo VPN potrebuje, in aktivni backend VPN jo zahteva. Če katera koli ne uspe, kartica ostane zunaj resnične poti tunela.

Zaznava je prva predaja, ne zadnja

Zaznava dokazuje le, da vodilo vidi napravo in da ima jedro neko predstavo o tem, kaj je. Podpora gonilnika so naslednja vrata in je odvisna od različice: modul, ki je bil v stari izdaji, lahko v trenutnem paketu jedra povsem manjka. Poleg tega mora gonilnik registrirati določen algoritem in način, ki ju uporablja podatkovni kanal. Kartica, ki pospešuje AES-CBC, ne naredi ničesar za konfiguracijo, ki se pogaja o AES-GCM.

V oceni poimenujte vsako predajo posebej, ker je napaka pri četrti od zunaj videti enako kot napaka pri prvi.

Preberite inventar algoritmov jedra

Začnite z zbiranjem tega, kar gostitelj že ve o napravi in o algoritmih, ki jih je registriral.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

Vrstica PCI daje identifikatorje proizvajalca in naprave, potrebne za vsako iskanje gonilnika, in/proc/crypto našteva registrirane izvedbe z njihovimi gonilniki in prioritetami. Vrednost prioritete ureja izbiro med izvedbami istega algoritma, kar ni isto kot to, da aplikacija izbere eno od njih. Če se algoritem kartice tam ne pojavi, ga gonilnik nikoli ni registriral in nobena sprememba v uporabniškem prostoru ga ne bo poklicala. Zapišite identifikatorje in imena izvedb namesto posnetka zaslona kartice.

VPN mora izbrati prav to izvedbo

Razpoložljivost v jedru je meni, ne zagotovilo, da je proces VPN naročil iz njega. Preverite, kaj backend dejansko uporablja.

openssl speed -evp aes-256-gcm
openssl engine -t -c

Ukaz za hitrost preizkusi lastno pot knjižnice in da osnovno linijo za stroj, kot je konfiguriran, medtem ko seznam pogonov pokaže, ali je OpenSSL sploh na voljo kakšen izbirni ponudnik. VPN v uporabniškem prostoru z lastno kriptografsko knjižnico popolnoma obide izvedbe jedra, zato mu je lahko registriran gonilnik nepomemben. Preusmeritev podatkovnega kanala je še tretji mehanizem, ki spreminja obdelavo paketov, namesto da bi šifrirne zahteve pošiljal razširitveni kartici. Pred nakupom strojne opreme za četrto ugotovite, katera od teh treh opisuje vašo namestitev.

Primerjajte s potjo procesorja, ki jo že imate

Sodobni procesorji vsebujejo navodila AES, ki jih vzdrževana knjižnica uporablja brez dodatne strojne opreme, in se izogibajo prenosom po vodilu in odvečnim kopijam. Stari pospeševalnik lahko izgubi proti tej poti, medtem ko še vedno poroča impresivne surove šifrirne številke. Izmerite resnično obremenitev: enak promet, enake nastavitve zaščite, osnovna linija proti kandidatu, s hkratnim beleženjem obremenitve procesorja in prepustnosti aplikacije. V odločitev vključite vedenje pri posodabljanju in obnovitvi, ker nevzdrževan modul povečuje tveganje vzdrževanja prehoda za vso njegovo življenjsko dobo.

Podlaga za nakup je podprta veriga plus izmerjena korist. Zaznana kartica ali modul, ki ga je nekdo nekoč prevedel, ni razlog, da bi vzdrževan prehod postal odvisen od zastarele strojne opreme.