הוצג מודול ליבה שיכול להאיץ משמעותית את OpenVPN

המפתחים של חבילת הרשת הווירטואלית הפרטית OpenVPN הציגו את מודול ליבת ovpn-dco, שיכול להאיץ משמעותית את ביצועי ה-VPN. למרות העובדה שהמודול עדיין מפותח עם עין רק לענף linux-next ובעל מעמד ניסיוני, הוא כבר הגיע לרמת יציבות שמאפשרת להשתמש בו כדי להבטיח את פעולתו של שירות OpenVPN Cloud.

בהשוואה לתצורה המבוססת על ממשק tun, השימוש במודול בצד הלקוח והשרת באמצעות צופן AES-256-GCM איפשר להגיע לעלייה של פי 8 בתפוקה (מ-370 Mbit/s ל-2950 Mbit /s). בעת שימוש במודול רק בצד הלקוח, התפוקה גדלה פי שלושה עבור תעבורה יוצאת ולא השתנתה עבור תעבורה נכנסת. בשימוש במודול רק בצד השרת, התפוקה גדלה פי 4 עבור תעבורה נכנסת וב-35% עבור תעבורה יוצאת.

האצה מושגת על ידי העברת כל פעולות ההצפנה, עיבוד המנות וניהול ערוצי התקשורת לצד ליבת לינוקס, מה שמבטל את התקורה הקשורה למעבר ההקשר, מאפשר לייעל את העבודה על ידי גישה ישירה לממשקי ה-API הפנימיים של הליבה ומבטל העברת נתונים איטית בין הליבה ומרחב משתמש (הצפנה, פענוח וניתוב מתבצעים על ידי המודול מבלי לשלוח תעבורה למטפל במרחב המשתמש).

יצוין כי ההשפעה השלילית על ביצועי VPN נגרמת בעיקר מפעולות הצפנה עתירות משאבים ועיכובים הנגרמים על ידי החלפת הקשר. הרחבות מעבד כגון Intel AES-NI שימשו להאצת ההצפנה, אך מתגי הקשר נותרו צוואר בקבוק עד להופעת ovpn-dco. בנוסף לשימוש בהוראות שסופק על ידי המעבד כדי להאיץ את ההצפנה, מודול ovpn-dco מבטיח בנוסף שפעולות ההצפנה מחולקות למקטעים נפרדים ומעובדות במצב ריבוי הליכי, מה שמאפשר שימוש בכל ליבות ה-CPU הזמינות.

מגבלות יישום נוכחיות שיטופלו בעתיד כוללות תמיכה במצבי AEAD ו-'none' בלבד, וצפני AES-GCM ו-CHACHA20POLY1305. תמיכת DCO מתוכננת להיכלל במהדורה של OpenVPN 2.6, המתוכננת לרבעון הרביעי של השנה. המודול נתמך כעת בלקוח OpenVPN4 Linux לבדיקת בטא ובבניית ניסויים של שרת OpenVPN עבור לינוקס. מודול דומה, ovpn-dco-win, מפותח גם עבור ליבת Windows.

מקור: OpenNet.ru