Компания Red Hat публикува резултатите от оценката на производителността на криптирани комуникационни канали, организирани с помощта на протокола IPsec, на съвременно оборудване, както и сравни капацитета на IPsec на база алгоритмите за удостоверяване на AES-GCM и AES-SHA1.
Тестовете бяха проведени в дистрибуцията RHEL 9.4 на сървър с два процесора Intel Xeon Scalable четвърто поколение (28 ядра и 56 логически ядра на всеки CPU), свързан с мрежата чрез 100-гигабитен мрежов адаптер Intel E810. Хардуерното ускорение на IPsec с изнасяне на операциите на страната на мрежовата карта или Intel QAT беше изключено, за да се получи представа за производителността на софтуерния стек. Настройките на системата бяха зададени в съответствие с профила „throughput-performance“, междусетевата стена firewalld беше деактивирана, а също така беше извършено привързване на процеса iperf3, генериращ трафик, и обработчика на прекъсвания на мрежовата карта към първото ядро на CPU (за да се избегне понижаване на производителността поради миграция на обработчиците на прекъсвания към NUMA възли, несвързани с мрежовата карта).
В однопоточния тест на IPsec за IPv4 и IPv6 с използване на едно ядро на CPU за процеса iperf3 беше фиксирана производителност от 6 Gbit/s за AES-GCM и 3.75 Gbit/s за AES-SHA1, т.е. AES-SHA1 се оказа по-бавен от AES-GCM с около 40%.
При тестването на няколко паралелни потока (всеки екземпляр на iperf3 беше прикрепен към отделно ядро на CPU) пикова капацитетност при използване на AES-GCM достига 50 Gbit/s за IPv4 и IPv6, което демонстрира възможността за пълна эксплуатация на наличния капацитет на типичен сървър с две 25-гигабитни или един 40-гигабитен канал за свързване без използване на хардуерно ускорение (или половината от капацитета на 100-гигабитния линк, използван при тестовете).
Източник: opennet.ru
