Dezvoltatorii pachetului pentru crearea rețelelor private virtuale OpenVPN au lansat modulul de nucleu ovpn-dco, care permite accelerarea semnificativă a performanței VPN. Cu toate că modulul este încă în dezvoltare și se concentrează pe ramura linux-next, având statut experimental, a ajuns deja la un nivel de stabilitate care permite utilizarea sa pentru funcționarea serviciului OpenVPN Cloud.
Comparativ cu configurația bazată pe interfața tun, utilizarea modulului pe partea clientului și serverului cu criptarea AES-256-GCM a dus la o creștere a lățimii de bandă de 8 ori (de la 370 Mbit/s la 2950 Mbit/s). Când modulul este utilizat doar pe partea clientului, lățimea de bandă pentru traficul de ieșire a crescut de trei ori, iar pentru traficul de intrare nu s-a schimbat. Atunci când modulul este utilizat doar pe partea de server lățimea de bandă a crescut de 4 ori pentru traficul de intrare și cu 35% pentru traficul de ieșire.
Accelerarea se realizează prin mutarea tuturor operațiunilor de criptare, procesarea pachetelor și gestionarea canalului de comunicație în nucleul Linux, ceea ce permite eliminarea cheltuielilor asociate cu schimbarea contextului, oferind posibilitatea de a optimiza performanța prin accesul direct la API-urile interne ale nucleului și excluzând transferul lent de date între nucleu și spațiul utilizatorului (criptarea, decriptarea și rutarea sunt realizate de modul fără a trimite traficul în handler-ul din spațiul utilizatorului).
Se observă că impactul negativ asupra performanței VPN este cauzat în principal de operațiunile intensive de criptare și întârzierile generate de schimbarea contextului. Pentru accelerarea criptării au fost folosite extensii de procesor, cum ar fi Intel AES-NI, dar schimbarea contextului a rămas un punct slab până la apariția ovpn-dco. Pe lângă utilizarea instrucțiunilor furnizate de procesor pentru accelerarea criptării, modulul ovpn-dco asigură de asemenea separarea operațiunilor de criptare în segmente distincte și procesarea acestora în mod multithread, ceea ce permite utilizarea tuturor nucleelor CPU disponibile.
Dintre restricțiile actuale ale implementării, care vor fi eliminate în viitor, se evidențiază suportul doar pentru modurile AEAD și 'none' (fără autentificare) și algoritmii AES-GCM și CHACHA20POLY1305. Suportul pentru DCO este planificat să fie inclus în versiunea OpenVPN 2.6, programată pentru trimestrul IV al acestui an. În prezent, modulul este suportat în clientul Linux OpenVPN3 care este în beta testing și în versiunile experimentale ale serverului OpenVPN pentru Linux. Un modul similar, ovpn-dco-win, este, de asemenea, în dezvoltare pentru nucleul Windows.
Sursa: opennet.ro
