Linux에서 IPsec 병목 현상은 무엇입니까?

기가비트 이더넷에 연결된 두 호스트 간의 여러 네트워크 보안 프로토콜의 성능을 비교하려고합니다.

여기서 목표는 대역폭을 포화시킬 수 있는지, 그렇지 않은 경우 제한 요소가 무엇인지 확인하는 것입니다.

• SSL을 사용하면 981MBit / s에 도달 할 수 있으므로 이더넷 링크는 분명히 제한 요소입니다.
• SSH를 사용하면 750MBit / s에 도달 할 수 있지만 코어 중 하나의 사용량은 100 %입니다. SSH는 단일 스레드이므로 CPU가 제한 요소입니다.
• IPsec을 사용하면 약 500MBit / s를 읽지 만 코어가 100 %가 아닙니다 (50 % 미만).

내 질문은 : 왜 IPsec이 더 높은 대역폭에 도달 할 수 없습니까?

두 호스트는 IPsec을 위해 Debian Wheezy 및 Strongswan을 실행하고 있습니다.

여기에는 많은 요소가 있습니다. NIC는 상상할 수있는 것보다 보드의 더 많은 부분에 부딪칩니다. 지침이 전선을 가로 질러 드라이버 시스템의 일부에 부딪 치면 병목이 떨어질 수 있습니다. 싱글 보드 1200mhz 싱글 코어를 사용하고 하드웨어를 튜닝하여 도어를 끄고 쿼드 코어 3600mhz를 해제 할 수 있습니다. 이것은 실제로 하드웨어 관련 질문입니다.

그들은 이것을 어떻게합니까? 이 http://www.ixiacom.com/products/ixn2x 와 같은 것은 $ 165k "I will you break"장치입니다. 즉, 2 gigs의 잘못된 트래픽이 1gig 파이프로 유입됩니다. 시스템을 때리고 물건을 부수기 시작하면 병목이 '자기 드러납니다'. GDB 기술을 연마하십시오!

시스템마다 문제를 해결하는 방법이 다릅니다. 일부 보드에는 사용자를 제한 할 수있는 기술 제한이 있습니다.

해결책이 모호하기 때문에 대답은 모호합니다. OS 버전마다 다를 수있는 페이징을 포함하여 20 가지 가능성을 생각할 수 있습니다.

인공 대기 또는 수면이 암호에 삽입 되었기 때문에 궁금합니다. 아마도 imo는 아니지만 ...

http://www.tau.ac.il/~tromer/acoustic/

이것을 주석으로 게시 할 수 없었습니다. 그런 식으로 더 적합했을 것입니다.

특정 시간에 두 코어 중 하나만 포화 상태 일 수 있지만 평균적으로 두 커널 모두 약 50 % 인 것처럼 보입니다 (커널이 단일 스레드 IPsec 프로세스를 두 코어에 임의로 할당하기 때문에) Linux와 달리 (Windows와 달리) 일반적으로 스레드를 동일한 코어에 유지하려고 시도합니다.

일부 짧은 기간에 IPSec은 느린 전송 속도와 함께 버퍼링이 불량한 신호가 될 네트워크를 기다릴 수도 있습니다.

또한 압축 (있는 경우) 및 프로토콜 오버 헤드가 테스트에 영향을 줄 수 있습니다.