L'azienda Red Hat ha pubblicato i risultati della valutazione delle prestazioni dei canali di comunicazione crittografati organizzati utilizzando il protocollo IPsec, su hardware moderno, confrontando anche la larghezza di banda di IPsec basata sugli algoritmi di crittografia autenticata AES-GCM e AES-SHA1.
I test sono stati eseguiti sulla distribuzione RHEL 9.4 su un server con due processori Intel Xeon Scalable di quarta generazione (28 core e 56 thread per ogni CPU), collegato a una rete tramite un adattatore di rete Intel E810 da 100 gigabit. L'accelerazione hardware di IPsec con operazioni esterne alla scheda di rete o Intel QAT è stata disattivata per avere una visione delle prestazioni dello stack software. Le impostazioni del sistema sono state configurate secondo il profilo «throughput-performance», il firewall firewalld è stato disabilitato e il processo iperf3, in grado di generare traffico, è stato legato al primo core della CPU (per evitare riduzioni delle prestazioni dovute alla migrazione degli handler delle interruzioni su nodi NUMA non connessi alla scheda di rete).
Nel test monolitico di IPsec per IPv4 e IPv6, utilizzando un singolo core CPU per il processo iperf3, è stata registrata una performance di 6 Gbit/s per AES-GCM e 3.75 Gbit/s per AES-SHA1, con AES-SHA1 risultante circa il 40% più lento di AES-GCM.
Durante il test di più flussi paralleli (ogni istanza di iperf3 era assegnata a un core CPU separato), la larghezza di banda massima utilizzando AES-GCM raggiungeva 50 Gbit/s per IPv4 e IPv6, dimostrando la possibilità di un utilizzo completo della larghezza di banda disponibile su un tipico server con due collegamenti da 25 gigabit o uno da 40 gigabit senza sfruttare l'accelerazione hardware (o metà della larghezza di banda di un link da 100 gigabit utilizzato durante i test).
Fonte: opennet.ru
