Utilice hardware y software para mejorar el rendimiento del cifrado ECDHE y ECDSA
Nota:
Esta mejora solo se aplica a las siguientes plataformas:
- MPX/SDX 11000
- MPX /有关14000
- MPX 22000, MPX 24000 y MPX 25000
- MPX /有关14000 FIPS
Anteriormente, el cálculo de ECDHE y ECDSA en un dispositivo NetScaler solo se realizaba en el hardware (chips Cavium), lo que limitaba el número de sesiones SSL en un momento dado. Con esta mejora, también se realizan algunas operaciones en el software. Es decir, el procesamiento se realiza tanto en los chips Cavium como en los núcleos de la CPU para mejorar el rendimiento del cifrado ECDHE y ECDSA.
El procesamiento se realiza primero en el software, hasta el umbral criptográfico del software configurado. Una vez alcanzado este umbral, las operaciones se transbordan al hardware. Por lo tanto, este modelo híbrido utiliza hardware y software para mejorar el rendimiento de SSL. Puede habilitar el modelo híbrido configurando el parámetro “SoftwareCryptoThreshold” según sus necesidades. Para inhabilitar el modelo híbrido, defina este parámetro en 0.
Los beneficios son mayores si la utilización actual de la CPU no es demasiado alta, ya que el umbral de la CPU no es exclusivo del cálculo del ECDHE y el ECDSA. Por ejemplo, si la carga de trabajo actual del dispositivo consume el 50% de los ciclos de la CPU y el umbral está establecido en el 80%, los cálculos del ECDHE y el ECDSA solo pueden utilizar el 30%. Una vez alcanzado el umbral criptográfico del software configurado del 80%, el cálculo adicional del ECDHE y el ECDSA se descargan al hardware. En ese caso, la utilización real de la CPU podría superar el 80%, ya que realizar cálculos de ECDHE y ECDSA en el hardware consume algunos ciclos de CPU.
Habilite el modelo híbrido mediante la CLI
En la línea de comandos, escriba:
set ssl parameter -softwareCryptoThreshold Synopsis: softwareCryptoThreshold: NetScaler CPU utilization threshold (as a percentage) beyond which crypto operations are not done in software. A value of zero implies that CPU is not utilized for doing crypto in software. Default = 0 Min = 0 Max = 100
Ejemplo:
set ssl parameter - softwareCryptoThreshold 80 Done show ssl parameter Advanced SSL Parameters SSL quantum size : 8 KB Max CRL memory size : 256 MB Strict CA checks : NO Encryption trigger timeout : 100 ms Send Close-Notify : YES Encryption trigger packet c : 45 Deny SSL Renegotiation : ALL Subject/Issuer Name Insertion Format : Unicode OCSP cache size : 10 MB Push flag : 0x0 (Auto) Strict Host Header check for SNI enabled SSL sessions : NO PUSH encryption trigger timeout : 1 ms Crypto Device Disable Limit : 0 Global undef action for control policies : CLIENTAUTH Global undef action for data policies : NOOP Default profile : DISABLED Disable TLS 1.1/1.2 for SSL_BRIDGE secure monitors : NO Disable TLS 1.1/1.2 for dynamic and VPN services : NO Software Crypto acceleration CPU Threshold : 80 Signature and Hash Algorithms supported by TLS1.2 : ALL
Habilite el modelo híbrido mediante la interfaz gráfica de usuario
- Vaya aAdministración del tráfico>SSL>Cambiar la configuración avanzada de SSL.
- Introduzca un valor paraSoftware Crypto Threshold (%).
Configure una alarma SNMP para el tipo de cambio del ECDHE
El intercambio de claves basado en el ECDHE puede provocar que se cancelen las transacciones por segundo en el dispositivo. A partir de la versión 13.0, compilación 52.x, puede configurar una alarma SNMP para las transacciones basadas en ECDHE. En esta alarma, puede establecer el umbral y los límites normales para el tipo de cambio del ECDHE. Se agrega un contadornsssl_tot_sslInfo_ECDHE_Tx
nuevo. Este contador es la suma de todos los contadores de transacciones basados en ECDHE en el front-end y el back-end del dispositivo. Cuando el intercambio de claves basado en ECDHE cruza los límites configurados, se envía una captura SNMP. Se envía otra trampa cuando el valor vuelve al valor normal configurado.
Configure una alarma SNMP para el tipo de cambio del ECDHE mediante la CLI
En la línea de comandos, escriba:
set snmp alarm ECDHE-EXCHANGE-RATE -logging ( ENABLED | DISABLED ) -severity -state ( ENABLED | DISABLED ) -thresholdValue [-normalValue ] -time
Ejemplo:
set snmp alarm ECDHE-EXCHANGE-RATE -logging eNABLED -severity critical -state eNABLED -thresholdValue 100 -normalValue 50