The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Компания RedHat опубликовала результаты тестирования производительности IPsec

23.06.2024 09:50

Компания Red Hat опубликовала результаты оценки производительности шифрованных каналов связи, организованных с использованием протокола IPsec, на современном оборудовании, а также сравнила пропускную способность IPsec на базе алгоритмов аутентифицированного шифрования AES-GCM и AES-SHA1.

Тестирование проводилось в дистрибутиве RHEL 9.4 на сервере с двумя процессорами Intel Xeon Scalable четвёртого поколения (28 ядер и 56 логических ядер в каждом CPU), подключённом к сети через 100-гигабитный сетевой адаптер Intel E810. Аппаратное ускорение IPsec с выносом операций на сторону сетевой карты или Intel QAT было отключено для получения представления о производительности программного стека. Настройки системы были выставлены в соответствии с профилем "throughput-performance", был отключён межсетевой экран firewalld, а также выполнена привязка процесса iperf3, генерирующего трафик, и обработчика прерываний сетевой карты к первому ядру CPU (чтобы избежать снижения производительности из-за миграции обработчиков прерываний на узлы NUMA, не связанных с сетевой картой).

В однопоточном тесте IPsec для IPv4 и IPv6 при использовании одного ядра CPU для процесса iperf3 была зафиксирована производительность в 6 Gbit/s для AES-GCM и 3.75 Gbit/s для AES-SHA1, т.е. AES-SHA1 оказался медленнее AES-GCM примерно на 40%. При тестировании нескольких параллельных потоков (каждый экземпляр iperf3 прикреплялся к отдельному ядру CPU) пиковая пропускная способность при использовании AES-GCM достигала 50 Gbit/s для IPv4 и IPv6, что демонстрирует возможность полной утилизации доступной пропускной способности на типовом сервере с двумя 25-гигабитными или одним 40-гигабитным каналом связи без применения аппаратного ускорения (или половину пропускной способности 100-гигабитного линка, использовавшегося при тестировании).

  1. Главная ссылка к новости (https://www.redhat.com/en/blog...)
  2. OpenNews: Уязвимость в strongSwan IPsec, приводящая к удалённому выполнению кода
  3. OpenNews: Выпуск OpenIKED 7.3, переносимой реализации протокола IKEv2 для IPsec
  4. OpenNews: Уязвимость в strongSwan IPsec, допускающая удалённое выполнение кода
  5. OpenNews: Выпуск strongSwan 5.4.0, открытой реализации IPsec
  6. OpenNews: Новая атака SLOTH, затрагивающая протоколы TLS 1.2, SSH и IKE/IPsec с MD5 и SHA-1
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/61426-ipsec
Ключевые слова: ipsec, benchmark
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (63) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (1), 11:23, 23/06/2024 Скрыто ботом-модератором [﹢﹢﹢] [ · · · ]     [к модератору]
  • –26 +/
     
     
  • 2.7, НяшМяш (ok), 12:01, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +6 +/
     
     
  • 3.18, анон (?), 12:55, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +5 +/
     
     
  • 4.27, Олег (??), 14:19, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +/
     
     
  • 5.31, Аноним (-), 14:44, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +/
     
  • 4.30, noc101 (ok), 14:43, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • –1 +/
     
     
  • 5.33, Аноним (-), 14:45, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +1 +/
     
     
  • 6.35, noc101 (ok), 14:47, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +/
     
     
  • 7.41, Аноним (41), 16:41, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +1 +/
     
     
  • 8.47, noc101 (ok), 17:37, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • –5 +/
     
  • 2.11, timur.davletshin (ok), 12:23, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +/
     
     
  • 3.14, Аноним (14), 12:29, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +1 +/
     
     
  • 4.15, timur.davletshin (ok), 12:42, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +1 +/
     
     
  • 5.20, Аноним (14), 13:03, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +/
     
     
  • 6.25, Аноним (25), 13:54, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +/
     
     
  • 7.28, Аноним (14), 14:24, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +/
     
     
  • 8.32, noc101 (ok), 14:44, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +6 +/
     
     
  • 9.36, Аноним (14), 15:02, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • –1 +/
     
     
  • 10.48, noc101 (ok), 17:40, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +1 +/
     
  • 9.44, Аноним (44), 17:15, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +1 +/
     
     
  • 10.49, noc101 (ok), 17:41, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +/
     
  • 10.54, Аноним (54), 18:21, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +/
     
     
  • 11.63, Аноним (-), 19:02, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • –1 +/
     
  • 7.74, Sem (??), 23:02, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +/
     
  • 6.34, Аноним (-), 14:46, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +2 +/
     
  • 6.51, timur.davletshin (ok), 18:10, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +/
     
     
  • 7.66, Аноним (14), 19:10, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +/
     
     
  • 8.69, Аноним (69), 19:42, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +/
     
  • 8.71, timur.davletshin (ok), 20:53, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +/
     
     
  • 9.72, Аноним (14), 21:09, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +/
     
     
  • 10.79, timur.davletshin (ok), 07:24, 24/06/2024 Скрыто ботом-модератором     [к модератору]
  • +/
     
  • 3.19, Аноним (1), 12:56, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +/
     
     
  • 4.29, Олололо (-), 14:37, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +/
     
  • 4.43, Аноним (-), 17:12, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +/
     
     
  • 5.53, Аноним (1), 18:18, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +/
     
     
  • 6.60, Аноним (-), 18:56, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +/
     
     
  • 7.76, Аноним (76), 05:38, 24/06/2024 Скрыто ботом-модератором     [к модератору]
  • +/
     
  • 2.13, Гость (??), 12:28, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +2 +/
     
     
  • 3.24, Аноним (24), 13:51, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +1 +/
     
  • 2.21, Аноним (21), 13:32, 23/06/2024 Скрыто ботом-модератором     [к модератору]
  • +/
     

     ....ответы скрыты (39)

  • 1.4, АнонимАнони.. (?), 11:31, 23/06/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Странные тесты у них :) 100 гигабитная карта E810-2CQDA2 с одной стороны и две по 25 с другой и ВНЕЗАПНО пропускная способность упёрлась в 50 гигабит

    P.S. Бил ли бандинг и в каком режиме не понятно ...  

     
     
  • 2.8, Аноним (8), 12:08, 23/06/2024 [^] [^^] [^^^] [ответить]  
  • +/
    а как нужно было?
     
     
  • 3.12, Sw00p aka Jerom (?), 12:24, 23/06/2024 [^] [^^] [^^^] [ответить]  
  • +1 +/
    https://www.ietf.org/rfc/rfc2544.txt
     
  • 2.22, Аноним (22), 13:37, 23/06/2024 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Вывод в том, что если у вас две карты по 25 или одна 40, то вы сможете их утилизировать на 100% программно, а не упрётесь в какие-то другие ограничения
     
     
  • 3.88, нах. (?), 09:47, 25/06/2024 [^] [^^] [^^^] [ответить]  
  • +/
    но есть нюанс - "утилизировать" вы их сможете только бредогенернатором.

    Поскольку все 56 ядер будут заняты ипсеком.

    На полезную деятельность вряд ли что останется, даже "при отключенном firewalld (отдельно смешно что авторы статьи путают firewalld и nft или что там в их ведре было)" и что там еще они понаотключали.

    А реальный вывод что целиком занятое ядро xeon способно на 6 гигабит (тоже при многих если, включая героическую победу над numa).

    Т.е. ищите карты с офлоадом, если вам не для локалхоста, вот и весь вывод.

     
  • 2.46, penetrator (?), 17:22, 23/06/2024 [^] [^^] [^^^] [ответить]  
  • +/
    где ты увидел про 2x25 c ДРУГОЙ СТОРОНЫ?
     

  • 1.9, Аноним (9), 12:16, 23/06/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    6 Gbit/s * 28 ядер = 168 Gbit/s долбодятлы: уперлись в карту 2x25
    PS а до перехода в IBM серьезная компания была
     
  • 1.10, Аноним (9), 12:17, 23/06/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Черт: там же 2 процессора, те 336 Гбит/c
     
  • 1.23, Аноним (-), 13:42, 23/06/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • –2 +/
    Интересно будет сравнить с WireGuard.
     
     
  • 2.82, User (??), 09:18, 24/06/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Сравнивали уже - для оверлейных сетей кубика. IPSec закономерно выигрывает за счет аппаратной поддержки шифрования.
     
     
  • 3.83, Аноним (-), 10:13, 24/06/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Не согласен с этим Производительность WireGuard коррелирует с производительност... большой текст свёрнут, показать
     
     
  • 4.84, Аноним (-), 10:57, 24/06/2024 [^] [^^] [^^^] [ответить]  
  • +/
    > Не согласен с этим. Производительность WireGuard коррелирует с производительностью процессора.

    Учитывая сколько у современных процов ядер - там наверное вообще можно на типовом серваке впна все трафиком залить просто. Chacha быстрый же, да и остальное - тоже. Оно в софте сильно быстрее AES'а.

     

  • 1.42, Аноним (42), 16:58, 23/06/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    а у ГОСТ какая производительность?
    почему не тестировали?
     
     
  • 2.45, Аноним (44), 17:18, 23/06/2024 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > а у ГОСТ какая производительность?
    > почему не тестировали?

    Потому что редхату твой гост, как бы это сказать то повежливее. Если у кого склероз - редхат вообще бизнес в РФ свернул. И теперь может попросить вас подтереться этой бумажкой не теряя ни цента.

     
     
  • 3.55, Аноним (42), 18:26, 23/06/2024 [^] [^^] [^^^] [ответить]  
  • +/
    какой бумажкой?
     
     
  • 4.58, Аноним (-), 18:51, 23/06/2024 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > какой бумажкой?

    Гостом, разумеется. Если у вас почему-то нет бумажной версии, так распечатайте. Всему учить надо!

     
     
  • 5.90, Аноним (90), 15:51, 25/06/2024 [^] [^^] [^^^] [ответить]  
  • +/
    принтер Вы купите?
     
  • 4.59, Axel (??), 18:53, 23/06/2024 [^] [^^] [^^^] [ответить]  
  • +/
    ГОСТ
     
  • 2.73, крок (?), 22:22, 23/06/2024 [^] [^^] [^^^] [ответить]  
  • +/
    явно ниже чем у aes-ni. я видел кажется оценку в гигабит на ядро для сильно оптимизированной simd реализации которую запетентовал автор. и это гост89/магма, а для современного вроде нет, и это без ипсек.
     
  • 2.85, Аноним (-), 11:05, 24/06/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Никто не знает (или, по крайней мере, не желает написать публично). А было бы действительно интересно сравнить AES с алгоритмом Kuznyechik. Что касается известных атак с уменьшенным количеством раундов, Kuznyechik, похоже, имеет больший запас безопасности; самая известная атака на AES-128 ломает 8 (из 10) раундов (80 % пути прохождения шифра), а самая известная атака на Kuznyechik ломает 5 (из 10) раундов (50 % пути прохождения шифра).
     
     
  • 3.89, Аноним (-), 10:12, 25/06/2024 [^] [^^] [^^^] [ответить]  
  • +/
    На этом фоне менее официозные Salsa и Chacha - выглядят как EPIC WIN Ибо с 1 ... большой текст свёрнут, показать
     
  • 2.86, Аноним (86), 18:02, 24/06/2024 [^] [^^] [^^^] [ответить]  
  • –1 +/
    А кому он интересен, кроме той державы, где этот GOST и сотворили?
     
     
  • 3.87, Аноним (-), 20:58, 24/06/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Очевидно же, что всем тем, кто ищет более производительный шифрованный канал связи, нежели позволяет AES-128. Вдруг на 100-гигабитном сетевом адаптере Kuznyechik достигает не 50, а 70 Gbit/s? Ждём результаты тестирования компании NTC IT ROSA.
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру