Red Hat heeft de resultaten gepubliceerd van de prestatiebeoordeling van versleutelde communicatienetwerken die zijn opgezet met behulp van het IPsec-protocol op moderne hardware, en heeft de doorvoercapaciteit van IPsec vergeleken op basis van de geauthenticeerde encryptie-algoritmen AES-GCM en AES-SHA1.
De tests werden uitgevoerd in de RHEL 9.4-distributie op een server met twee Intel Xeon Scalable-processors van de vierde generatie (28 kernen en 56 logische kernen per CPU), verbonden met het netwerk via een 100-gigabit netwerkadapter van Intel E810. Hardwarematige versnelling van IPsec door operaties naar de netwerkkaart of Intel QAT te verplaatsen, was uitgeschakeld om een duidelijk beeld van de prestaties van de softwarestack te krijgen. De systeeminstellingen werden ingesteld volgens het profiel 'throughput-performance', de firewall firewalld was uitgeschakeld en het proces iperf3, dat verkeer genereerde, werd gebonden aan de eerste CPU-kern (om prestatieverlies door migratie van interrupt handlers naar NUMA-knooppunten die niet met de netwerkkaart zijn verbonden te vermijden).
In de single-threaded test van IPsec voor IPv4 en IPv6, waarbij Ć©Ć©n CPU-kern werd gebruikt voor het iperf3-proces, werd een prestatie van 6 Gbit/s voor AES-GCM en 3,75 Gbit/s voor AES-SHA1 gemeten, wat betekent dat AES-SHA1 ongeveer 40% trager was dan AES-GCM.
Bij het testen van meerdere parallelle stromen (elke iperf3-instantie was gekoppeld aan een aparte CPU-kern) bereikte de piekdoorvoercapaciteit met AES-GCM 50 Gbit/s voor zowel IPv4 als IPv6, wat de mogelijkheid aantoont om de beschikbare doorvoercapaciteit volledig te benutten op een typische de server met twee 25-gigabit of Ć©Ć©n 40-gigabit verbinding zonder hardwarematige versnelling (of de helft van de doorvoercapaciteit van de 100-gigabit verbinding die tijdens de test is gebruikt).
Bron: opennet.ru
