Un module noyau a été présenté, capable d'accélérer considérablement OpenVPN

Les développeurs du package de création de réseaux privés virtuels OpenVPN ont présenté le module noyau ovpn-dco, qui permet d'améliorer considérablement les performances VPN. Bien que le module soit encore en développement en se basant uniquement sur la branche linux-next et ait le statut expérimental, il a déjà atteint un niveau de stabilité permettant de l'utiliser pour faire fonctionner le service OpenVPN Cloud.

Comparé à la configuration basée sur l'interface tun, l'utilisation du module côté client et serveur avec le chiffrement AES-256-GCM a permis d'atteindre une augmentation de la bande passante de 8 fois (de 370 Mbit/s à 2950 Mbit/s). En appliquant le module uniquement côté client, la bande passante a été triplée pour le trafic sortant et est restée inchangée pour le trafic entrant. Lors de l'application du module uniquement du côté de serveurs la bande passante a été multipliée par 4 pour le trafic entrant et a augmenté de 35 % pour le trafic sortant.

L'accélération est obtenue grâce à l'externalisation de toutes les opérations de chiffrement, de traitement des paquets et de gestion du canal de communication vers le noyau Linux, ce qui permet d'éliminer les surcharges liées aux changements de contexte, d'optimiser le fonctionnement grâce à un accès direct aux API internes du noyau et d'éviter les transferts de données lents entre le noyau et l'espace utilisateur (le chiffrement, le déchiffrement et le routage sont effectués par le module sans envoyer le trafic au gestionnaire dans l'espace utilisateur).

Il est noté que l'impact négatif sur les performances VPN est principalement dû aux opérations de chiffrement gourmandes en ressources et aux latences causées par les changements de contexte. Pour accélérer le chiffrement, des extensions processeur telles qu'Intel AES-NI ont été utilisées, mais les changements de contexte demeuraient un goulot d'étranglement jusqu'à l'apparition d'ovpn-dco. En plus de l'utilisation des instructions fournies par le processeur pour accélérer le chiffrement, le module ovpn-dco assure également une séparation des opérations de chiffrement en segments distincts et leur traitement en mode multithreading, ce qui permet d'utiliser tous les cœurs de CPU disponibles.

Parmi les limitations actuelles de la mise en œuvre, qui seront éliminées à l'avenir, il est à noter que seul les modes AEAD et ‘none’ (sans authentification) ainsi que les algorithmes de chiffrement AES-GCM et CHACHA20POLY1305 sont supportés. La prise en charge de DCO est prévue pour être incluse dans la version d’OpenVPN 2.6, planifiée pour le quatrième trimestre de cette année. Actuellement, le module est supporté dans le client Linux d’OpenVPN3 qui est en bêta-test et dans les versions expérimentales du serveur OpenVPN pour Linux. Un module similaire, ovpn-dco-win, est également en développement pour le noyau Windows.

Source : opennet.ru