L'azienda Red Hat ha pubblicato i risultati della valutazione delle prestazioni dei canali di comunicazione crittografati, organizzati utilizzando il protocollo IPsec, su hardware moderno, e ha anche confrontato la larghezza di banda di IPsec basata sugli algoritmi di crittografia autenticata AES-GCM e AES-SHA1.
I test sono stati condotti nella distribuzione RHEL 9.4 su un server con due processori Intel Xeon Scalable di quarta generazione (28 core e 56 thread logici per ogni CPU), collegato alla rete tramite un adattatore di rete Intel E810 da 100 gigabit. L'accelerazione hardware di IPsec è stata disattivata per avere una visione delle prestazioni dello stack software. Le impostazioni del sistema sono state configurate secondo il profilo "throughput-performance", il firewall firewalld è stato disattivato e il processo iperf3, che genera il traffico, e il gestore delle interruzioni dell'adattatore di rete sono stati legati al primo core della CPU (per evitare un calo delle prestazioni a causa della migrazione dei gestori delle interruzioni verso nodi NUMA non collegati all'adattatore di rete).
Nel test monofilo di IPsec per IPv4 e IPv6, utilizzando un singolo core della CPU per il processo iperf3, è stata registrata una prestazione di 6 Gbit/s per AES-GCM e 3,75 Gbit/s per AES-SHA1, con AES-SHA1 risultante più lento di AES-GCM di circa il 40%.
Durante il test di più flussi paralleli (ogni istanza di iperf3 era attaccata a un singolo core della CPU), la larghezza di banda massima raggiunta utilizzando AES-GCM era di 50 Gbit/s per IPv4 e IPv6, dimostrando la possibilità di una piena utilità della larghezza di banda disponibile su un tipico server con due collegamenti da 25 gigabit o un collegamento da 40 gigabit senza l'uso di accelerazione hardware (o metà della larghezza di banda di un collegamento da 100 gigabit, utilizzato durante i test).
Fonte: opennet.ru
