Red Hat har offentliggjort resultaterne af vurderingen af ydeevnen for krypterede kommunikationskanaler, der er etableret ved hjælp af IPsec-protokollen på moderne udstyr, samt sammenlignet båndbredden af IPsec baseret på de autentificerede krypteringsalgoritmer AES-GCM og AES-SHA1.
Testen blev gennemført i RHEL 9.4-distributionen på en server med to Intel Xeon Scalable processorer i fjerde generation (28 kerner og 56 logiske kerner i hver CPU), tilsluttet netværket via et 100-gigabit netværksadapter fra Intel E810. Hardwareaccelerationen af IPsec, der flyttede operationer til netværkskortet eller Intel QAT, blev deaktiveret for at få en repræsentation af ydeevnen fra softwarestakken. Systemindstillingerne blev indstillet i overensstemmelse med profilen 'throughput-performance', firewallen firewalld blev deaktiveret, og processen iperf3, som genererede trafik, blev bundet til den første CPU-kerne (for at undgå ydeevneforringelse på grund af migration af afbrydelseshåndterere til NUMA-noder, der ikke var relaterede til netværkskortet).
I en enkelttrådet test af IPsec for IPv4 og IPv6, hvor der blev brugt én CPU-kerne til iperf3-processen, blev der registreret en ydeevne på 6 Gbit/s for AES-GCM og 3,75 Gbit/s for AES-SHA1, hvilket betyder, at AES-SHA1 var omtrent 40% langsommere end AES-GCM.
Ved test af flere parallelle streams (hver iperf3-forekomst blev knyttet til en separat CPU-kerne) opnåede den maksimale båndbredde ved brug af AES-GCM 50 Gbit/s for IPv4 og IPv6, hvilket demonstrerer muligheden for fuld udnyttelse af den tilgængelige båndbredde på en typisk serveren med to 25-gigabit eller én 40-gigabit kommunikationslinje uden brug af hardwareaccelerering (eller halvdelen af båndbredden af den 100-gigabit linke, der blev brugt under testen).
Kilde: opennet.ru
