Společnost Red Hat zveřejnila výsledky hodnocení výkonnosti šifrovaných komunikačních kanálů organizovaných pomocí protokolu IPsec na moderním hardwaru a porovnala propustnost IPsec založenou na algoritmech autentizovaného šifrování AES-GCM a AES-SHA1.
Testování bylo provedeno v distribuci RHEL 9.4 na serveru se dvěma procesory Intel Xeon Scalable čtvrté generace (28 jader a 56 logických jader na každém CPU), připojeném k síti prostřednictvím 100-gigabitového síťového adaptéru Intel E810. Hardwarová akcelerace IPsec s přesunem operací na straně síťové karty nebo Intel QAT byla vypnuta, aby se získal pohled na výkonnost softwarového stacku. Nastavení systému byla nastavena podle profilu „throughput-performance“, byl vypnut firewall firewalld a také bylo provedeno přiřazení procesu iperf3 generujícího provoz a zpracovatele přerušení síťové karty k prvnímu jádru CPU (aby se zabránilo snížení výkonu v důsledku migrace zpracovatelů přerušení na uzly NUMA, které nebyly spojeny se síťovou kartou).
V jednofázovém testu IPsec pro IPv4 a IPv6 při použití jednoho jádra CPU pro proces iperf3 byla zaznamenána výkonnost 6 Gbit/s pro AES-GCM a 3,75 Gbit/s pro AES-SHA1, takže AES-SHA1 byl o přibližně 40 % pomalejší než AES-GCM.
Při testování několika paralelních toků (každá instance iperf3 byla přiřazena k samostatnému jádru CPU) dosáhla špičková propustnost při použití AES-GCM 50 Gbit/s pro IPv4 a IPv6, což demonstruje možnost plného využití dostupné propustnosti na typovém serveru s dvěma 25-gigabitovými nebo jedním 40-gigabitovým komunikačním kanálem bez použití hardwarové akcelerace (nebo polovinu propustnosti 100-gigabitového kanálu, který byl použit při testování).
Zdroj: opennet.ru
