Cloudflare એ પેચો તૈયાર કર્યા છે જે નાટકીય રીતે Linux માં ડિસ્ક એન્ક્રિપ્શનને ઝડપી બનાવે છે

Cloudflare ના વિકાસકર્તાઓ કહ્યું Linux કર્નલમાં ડિસ્ક એન્ક્રિપ્શનના પ્રદર્શનને ઑપ્ટિમાઇઝ કરવા માટે કાર્ય હાથ ધરવા વિશે. પરિણામે, તેઓ તૈયાર થયા પેચો સબસિસ્ટમ માટે ડીએમ-ક્રિપ્ટ અને ક્રિપ્ટો API, જેણે સિન્થેટીક ટેસ્ટમાં વાંચન અને લેખન થ્રુપુટને બમણા કરતાં વધુ શક્ય બનાવ્યું, તેમજ લેટન્સીને અડધી કરવી. જ્યારે વાસ્તવિક હાર્ડવેર પર પરીક્ષણ કરવામાં આવે છે, ત્યારે એન્ક્રિપ્શન ઓવરહેડ ડેટા એન્ક્રિપ્શન વિના ડિસ્ક સાથે કામ કરતી વખતે લગભગ અવલોકન કરેલ સ્તર સુધી ઘટાડવામાં આવ્યું હતું.

Cloudflare CDN પર સામગ્રીને કેશ કરવા માટે ઉપયોગમાં લેવાતા સ્ટોરેજ ઉપકરણો પર ડેટાને એન્ક્રિપ્ટ કરવા માટે dm-crypt નો ઉપયોગ કરે છે. Dm-crypt બ્લોક ઉપકરણ સ્તર પર કાર્ય કરે છે અને એન્ક્રિપ્ટ્સ I/O વિનંતીઓ લખે છે અને વિનંતીઓને ડિક્રિપ્ટ કરે છે, જે બ્લોક ઉપકરણ અને ફાઇલ સિસ્ટમ ડ્રાઇવર વચ્ચેના સ્તર તરીકે કાર્ય કરે છે.

પેકેજનો ઉપયોગ કરીને dm-crypt ના પ્રદર્શનનું મૂલ્યાંકન કરવા માટે લવચીક I/O ટેસ્ટર અમે ડિસ્ક પ્રદર્શનમાં વધઘટને દૂર કરવા અને કોડ પ્રદર્શન પર ધ્યાન કેન્દ્રિત કરવા માટે RAM માં સ્થિત RAM ડિસ્ક પર એન્ક્રિપ્ટેડ અને એનક્રિપ્ટેડ પાર્ટીશનો સાથે કામ કરવાની ઝડપને માપી છે. એનક્રિપ્ટેડ પાર્ટીશનો માટે, વાંચન અને લખવાની કામગીરી 1126 MB/s પર રહી, પરંતુ જ્યારે એન્ક્રિપ્શન સક્ષમ કરવામાં આવ્યું ત્યારે ઝડપ ઘટી ગઈ. 7 સમયમાં અને 147 MB/s જેટલું છે.

શરૂઆતમાં, કર્નલ ક્રિપ્ટોસિસ્ટમમાં બિનકાર્યક્ષમ અલ્ગોરિધમ્સના ઉપયોગ વિશે શંકા ઊભી થઈ. પરંતુ પરીક્ષણોમાં 256 એન્ક્રિપ્શન કી સાથે સૌથી ઝડપી અલ્ગોરિધમ, aes-xts નો ઉપયોગ કરવામાં આવ્યો હતો, જેનું પ્રદર્શન "ક્રિપ્ટસેટઅપ બેન્ચમાર્ક" ચલાવતી વખતે RAM ડિસ્કનું પરીક્ષણ કરતી વખતે પ્રાપ્ત પરિણામ કરતાં બમણું વધારે છે. પર્ફોર્મન્સ ટ્યુનિંગ માટે dm-crypt ફ્લેગ્સ સાથેના પ્રયોગોએ પરિણામ આપ્યું નથી: જ્યારે “--perf-same_cpu_crypt” ફ્લેગનો ઉપયોગ કરવામાં આવે છે, ત્યારે પ્રદર્શન 136 MB/s સુધી પણ ઘટી ગયું હતું, અને જ્યારે “--perf-submit_from_crypt_cpus” ફ્લેગનો ઉલ્લેખ કરવામાં આવ્યો હતો ત્યારે તે માત્ર વધ્યો હતો. 166 MB/s સુધી.

ઓપરેટિંગ લોજીકના ઊંડા વિશ્લેષણએ બતાવ્યું કે dm-crypt લાગે તેટલું સરળ નથી - જ્યારે FS ડ્રાઇવર તરફથી લખવાની વિનંતી આવે છે, ત્યારે dm-crypt તરત જ તેની પ્રક્રિયા કરતું નથી, પરંતુ તેને "kcryptd" કતારમાં મૂકે છે, જે તરત જ વિશ્લેષણ કરવામાં આવતું નથી, પરંતુ જ્યારે અનુકૂળ ક્ષણ હોય ત્યારે. કતારમાંથી, એન્ક્રિપ્શન કરવા માટે Linux Crypto API ને વિનંતી મોકલવામાં આવે છે. પરંતુ Crypto API એ અસિંક્રોનસ એક્ઝેક્યુશન મોડલનો ઉપયોગ કરતો હોવાથી, એન્ક્રિપ્શન પણ તરત જ કરવામાં આવતું નથી, પરંતુ બીજી કતારને બાયપાસ કરીને. એન્ક્રિપ્શન પૂર્ણ થયા પછી, dm-crypt શોધ વૃક્ષનો ઉપયોગ કરીને બાકી લેખન વિનંતીઓને સૉર્ટ કરવાનો પ્રયાસ કરી શકે છે. લાલ કાળા. અંતે, એક અલગ કર્નલ થ્રેડ ફરીથી, ચોક્કસ વિલંબ સાથે, સંચિત I/O વિનંતીઓ ઉપાડે છે અને તેમને બ્લોક ઉપકરણ સ્ટેક પર મોકલે છે.

વાંચતી વખતે, dm-crypt પ્રથમ ડ્રાઇવમાંથી ડેટા મેળવવા માટે “kcryptd_io” કતારમાં વિનંતી ઉમેરે છે. થોડા સમય પછી, ડેટા ઉપલબ્ધ થાય છે અને તેને ડિક્રિપ્શન માટે "kcryptd" કતારમાં મૂકવામાં આવે છે.
Kcryptd Linux Crypto API ને વિનંતી મોકલે છે, જે માહિતીને અસુમેળ રીતે ડિક્રિપ્ટ કરે છે. વિનંતીઓ હંમેશા બધી કતારમાંથી પસાર થતી નથી, પરંતુ સૌથી ખરાબ પરિસ્થિતિમાં, લખવાની વિનંતી 4 વખત સુધી કતારોમાં સમાપ્ત થાય છે, અને 3 વખત વાંચવાની વિનંતી. કતારમાં દરેક હિટ વિલંબનું કારણ બને છે, જે dm-ક્રિપ્ટ કામગીરીમાં નોંધપાત્ર ઘટાડો થવાનું મુખ્ય કારણ છે.

કતારોનો ઉપયોગ એવી પરિસ્થિતિઓમાં કામ કરવાની જરૂરિયાતને કારણે છે જ્યાં વિક્ષેપો આવે છે. 2005માં, જ્યારે dm-cryptનું વર્તમાન કતાર-આધારિત ઓપરેટિંગ મોડલ લાગુ કરવામાં આવ્યું હતું, ત્યારે Crypto API હજુ સુધી અસિંક્રોનસ નહોતું. ક્રિપ્ટો API ને અસુમેળ એક્ઝેક્યુશન મોડલમાં સ્થાનાંતરિત કર્યા પછી, અનિવાર્યપણે ડબલ સંરક્ષણનો ઉપયોગ કરવાનું શરૂ કર્યું. કર્નલ સ્ટેકના વપરાશને બચાવવા માટે કતાર પણ રજૂ કરવામાં આવી હતી, પરંતુ 2014 માં તેના વધારા પછી, આ ઑપ્ટિમાઇઝેશન્સે તેમની સુસંગતતા ગુમાવી દીધી હતી. મોટી સંખ્યામાં વિનંતીઓ આવે ત્યારે મેમરી ફાળવણીની રાહ જોવામાં આવતા અવરોધને દૂર કરવા માટે વધારાની કતાર "kcryptd_io" રજૂ કરવામાં આવી હતી. 2015 માં, એક વધારાનો સૉર્ટિંગ તબક્કો રજૂ કરવામાં આવ્યો હતો, કારણ કે મલ્ટિપ્રોસેસર સિસ્ટમ્સ પર એન્ક્રિપ્શન વિનંતીઓ ઓર્ડરની બહાર પૂર્ણ થઈ શકે છે (ડિસ્કની અનુક્રમિક ઍક્સેસને બદલે, એક્સેસ રેન્ડમ ક્રમમાં હાથ ધરવામાં આવી હતી, અને CFQ શેડ્યૂલર કાર્યક્ષમ રીતે કામ કરતું ન હતું). હાલમાં, SSD ડ્રાઇવનો ઉપયોગ કરતી વખતે, સૉર્ટિંગનો અર્થ ખોવાઈ ગયો છે, અને CFQ શેડ્યૂલર હવે કર્નલમાં ઉપયોગમાં લેવાતું નથી.

આધુનિક ડ્રાઈવો ઝડપી અને સ્માર્ટ બની ગઈ છે તે ધ્યાનમાં લેતા, Linux કર્નલમાં સંસાધન વિતરણ પ્રણાલીમાં સુધારો કરવામાં આવ્યો છે અને કેટલીક સબસિસ્ટમને ફરીથી ડિઝાઇન કરવામાં આવી છે, ક્લાઉડફ્લેર એન્જિનિયર્સ ઉમેર્યું dm-crypt પાસે એક નવો ઓપરેટિંગ મોડ છે જે બિનજરૂરી કતાર અને અસુમેળ કૉલ્સના ઉપયોગને દૂર કરે છે. મોડને એક અલગ ફ્લેગ "ફોર્સ_ઇનલાઇન" દ્વારા સક્ષમ કરવામાં આવે છે અને dm-ક્રિપ્ટને એક સરળ પ્રોક્સીના સ્વરૂપમાં લાવે છે જે ઇનકમિંગ વિનંતીઓને એન્ક્રિપ્ટ કરે છે અને ડિક્રિપ્ટ કરે છે. ક્રિપ્ટો API સાથેની ક્રિયાપ્રતિક્રિયા સ્પષ્ટપણે એન્ક્રિપ્શન અલ્ગોરિધમ્સ પસંદ કરીને ઑપ્ટિમાઇઝ કરવામાં આવી છે જે સિંક્રનસ મોડમાં કાર્ય કરે છે અને વિનંતી કતારોનો ઉપયોગ કરતા નથી. ક્રિપ્ટો API સાથે સિંક્રનસ રીતે કામ કરવા માટે ત્યાં હતું સૂચવ્યું એક મોડ્યુલ કે જે તમને પ્રવેગક માટે FPU/AES-NI નો ઉપયોગ કરવા દે છે અને એન્ક્રિપ્શન અને ડિક્રિપ્શન વિનંતીઓને સીધી ફોરવર્ડ કરે છે.

પરિણામે, RAM ડિસ્કનું પરીક્ષણ કરતી વખતે, dm-crypt ના પ્રદર્શનને બમણા કરતાં વધુ કરવાનું શક્ય હતું - પ્રદર્શન 294 MB/s (2 x 147 MB/s) થી વધીને 640 MB/s થયું હતું, જે ખૂબ જ નજીક છે. એકદમ એન્ક્રિપ્શનનું પ્રદર્શન (696 MB /s).

વાસ્તવિક સર્વર્સ પર લોડનું પરીક્ષણ કરતી વખતે, નવા અમલીકરણે એન્ક્રિપ્શન વિના ચાલતા રૂપરેખાંકનની ખૂબ નજીકની કામગીરી દર્શાવી હતી, અને ક્લાઉડફ્લેર કેશ સાથેના સર્વર્સ પર એન્ક્રિપ્શન સક્ષમ કરવાથી પ્રતિભાવ ગતિ પર કોઈ અસર થતી નથી. ભવિષ્યમાં, ક્લાઉડફ્લેર તૈયાર પેચોને મુખ્ય લિનક્સ કર્નલ પર સ્થાનાંતરિત કરવાની યોજના ધરાવે છે, પરંતુ તે પહેલાં તેમને ફરીથી કામ કરવાની જરૂર પડશે, કારણ કે તે ચોક્કસ લોડ માટે ઑપ્ટિમાઇઝ કરવામાં આવ્યા છે અને એપ્લિકેશનના તમામ ક્ષેત્રોને આવરી લેતા નથી, ઉદાહરણ તરીકે, એન્ક્રિપ્શન ઓછા - પાવર એમ્બેડેડ ઉપકરણો.

સોર્સ: opennet.ru