VPN ağ geçidi için kripto kartı: satın almadan önce dört devir teslim

Eski kriptografik hızlandırıcılar PCI envanterinde görünür ve VPN'in artık daha hızlı şifreleyeceği varsayılır. Bunun doğru olması için dört ayrı devir teslimin gerçekleşmesi gerekir: sistem aygıtı bulur, bakımlı bir sürücü onu yönetir, bir arayüz VPN'in ihtiyaç duyduğu işlemi açığa çıkarır ve VPN'in etkin arka ucu bunu ister. Herhangi biri başarısız olursa kart tünelin gerçek yolunun dışında kalır.

Algılama son değil, ilk devir teslimdir

Algılama yalnızca veri yolunun bir aygıt gördüğünü ve çekirdeğin bunun ne olduğuna dair bir fikri olduğunu kanıtlar. Sürücü desteği bir sonraki kapıdır ve sürüme bağlıdır: eski bir sürümde bulunan bir modül, güncel çekirdek paketinde tamamen eksik olabilir. Ayrıca sürücü, veri kanalının kullandığı belirli algoritmayı ve kipi kaydetmelidir. AES-CBC'yi hızlandıran bir kart, AES-GCM üzerinde pazarlık eden bir yapılandırma için hiçbir şey yapmaz.

Değerlendirmede her devir teslimi ayrı ayrı adlandırın, çünkü dördüncüdeki bir arıza dışarıdan birincidekiyle aynı görünür.

Çekirdeğin algoritma envanterini okuyun

Ana makinenin aygıt ve kaydettiği algoritmalar hakkında zaten bildiklerini toplamakla başlayın.

lspci -nn | grep -i -E "crypt|hifn|soekris"
grep -E "^(name|driver|priority)" /proc/crypto | head -40

PCI satırı, herhangi bir sürücü araması için gereken üretici ve aygıt tanımlayıcılarını verir ve/proc/crypto kayıtlı uygulamaları sürücüleri ve öncelikleriyle listeler. Öncelik değeri, aynı algoritmanın uygulamaları arasındaki seçimi sıralar; bu, bir uygulamanın bunlardan birini seçmesiyle aynı şey değildir. Kartın algoritması orada görünmüyorsa sürücü onu hiç kaydetmemiştir ve kullanıcı alanındaki hiçbir değişiklik onu çağırmaz. Kartın ekran görüntüsü yerine tanımlayıcıları ve uygulama adlarını not edin.

VPN tam o uygulamayı seçmelidir

Çekirdekteki kullanılabilirlik bir menüdür, VPN sürecinin oradan sipariş verdiğinin garantisi değildir. Arka ucun gerçekte ne kullandığını denetleyin.

openssl speed -evp aes-256-gcm
openssl engine -t -c

Hız komutu kitaplığın kendi yolunu çalıştırır ve yapılandırıldığı haliyle makine için bir temel çizgi verir; motor listesi ise OpenSSL için herhangi bir isteğe bağlı sağlayıcının hiç mevcut olup olmadığını gösterir. Kendi kripto kitaplığına sahip kullanıcı alanı VPN'i çekirdek uygulamalarını tamamen atlar, bu yüzden kayıtlı bir sürücü onun için önemsiz olabilir. Veri kanalını boşaltma yine üçüncü bir mekanizmadır; şifre isteklerini genişletme kartına göndermek yerine paket işlemeyi değiştirir. Dördüncü için donanım satın almadan önce bu üçünden hangisinin dağıtımınızı tanımladığını belirleyin.

Zaten sahip olduğunuz CPU yoluna karşılaştırın

Modern işlemciler, bakımlı bir kitaplığın ek donanım olmadan kullandığı AES komutlarını içerir ve veri yolu aktarımlarından ve fazladan kopyalardan kaçınır. Eski bir hızlandırıcı, etkileyici ham şifre sayıları bildirmeye devam ederken o yola yenilebilir. Gerçek iş yükünü ölçün: aynı trafik, aynı koruma ayarları, temel çizgiye karşı aday, CPU yükü ve uygulama iş hacmi birlikte kaydedilerek. Güncelleme ve kurtarma davranışını karara dahil edin, çünkü bakımsız bir modül ağ geçidinin bakım riskini tüm ömrü boyunca artırır.

Satın alma gerekçesi desteklenen bir zincir artı ölçülmüş bir faydadır. Algılanan bir kart ya da birinin bir zamanlar derlediği bir modül, bakımlı bir ağ geçidini eskimiş donanıma bağımlı kılmak için gerekçe değildir.