Крипто картица за VPN пролаз: четири предаје пре куповине

Стари криптографски убрзивачи појављују се у PCI инвентару и претпоставља се да ће VPN сада шифровати брже. Пре него што то постане истина морају успети четири одвојене предаје: систем проналази уређај, одржавани драјвер њиме управља, интерфејс излаже операцију која VPN-у треба, а активни позадински систем VPN-а тражи је. Ако било која закаже, картица остаје изван стварног пута тунела.

Откривање је прва предаја, а не последња

Откривање доказује само да магистрала види уређај и да језгро има неку представу о томе шта је то. Подршка драјвера следећа су врата и зависи од верзије: модул присутан у старом издању може потпуно недостајати у тренутном пакету језгра. Осим тога, драјвер мора да региструје тачан алгоритам и режим које податковни канал користи. Картица која убрзава AES-CBC не чини ништа за конфигурацију која преговара AES-GCM.

Именујте сваку предају одвојено у процени, јер квар на четвртој споља изгледа једнако као квар на првој.

Прочитајте инвентар алгоритама језгра

Почните прикупљањем онога што хост већ зна о уређају и о алгоритмима које је регистровао.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

PCI ред даје идентификаторе произвођача и уређаја потребне за сваку претрагу драјвера, а/proc/crypto наводи регистроване имплементације са њиховим драјверима и приоритетима. Вредност приоритета уређује избор међу имплементацијама истог алгоритма, што није исто што и то да апликација одабере једну од њих. Ако се алгоритам картице тамо не појављује, драјвер га никада није регистровао и никаква промена у корисничком простору га неће позвати. Забележите идентификаторе и називе имплементација уместо снимка екрана картице.

VPN мора да изабере ту имплементацију

Доступност у језгру је јеловник, а не гаранција да је VPN процес наручио са њега. Проверите шта позадински систем заиста користи.

openssl speed -evp aes-256-gcm
openssl engine -t -c

Наредба за брзину вежба сопствени пут библиотеке и даје основну линију за машину како је конфигурисана, док списак погона показује да ли је OpenSSL-у уопште доступан било какав додатни добављач. VPN у корисничком простору са сопственом крипто библиотеком потпуно заобилази имплементације језгра, па му регистровани драјвер може бити неважан. Премештање податковног канала је трећи механизам који мења обраду пакета уместо да шифроване захтеве шаље картици за проширење. Утврдите које од тих троје описује вашу примену пре него што купите хардвер за четврто.

Упоредите са путем процесора који већ имате

Савремени процесори укључују AES инструкције које одржавана библиотека користи без додатног хардвера и избегавају преносе магистралом и додатне копије. Стари убрзивач може изгубити од тог пута док још увек показује импресивне сирове бројке шифровања. Измерите стварни радни терет: исти саобраћај, исте поставке заштите, основна линија према кандидату, уз заједничко бележење оптерећења процесора и пропусности апликације. У одлуку укључите понашање при ажурирању и опоравку, јер неодржавани модул повећава ризик одржавања пролаза за цео његов животни век.

Случај за куповину је подржани ланац плус измерена корист. Откривена картица или модул који је неко некада саставио није разлог да одржавани пролаз зависи од застарелог хардвера.