Rezultatele testelor de performanta SSL: F5 BIG-IP iSeries vs. Citrix vs. A10

SSL ECC: https://en.wikipedia.org/wiki/Elliptic_curve_cryptography
Pe masura ce lumea face trecerea la un set mai complex de pachete de criptare, F5 este pozitionata unic sa-si mentina pozitia de lider SSL/TLS. ADC-urile cu acceleratoare hardware SSL din generatiile mai vechi compenseaza acele deficiente prin procesarea conexiunilor criptate in software. Astfel, se aduce o  incaRCARE suplimentara sistemului SIN IN MOD PARTICULAR PROCESORULUI, ceea ce DUCE LA  DEGRADARE DE performanta A aplicatiilor si limitaREA capacitatATII. NoILE PLATFORME iSeries de la F5 includ ultima generatie de hardware de accelerare criptografica pentru CRIPTOGRAFIA FOLOSIND curbelE eliptice Diffie-Hellman (ECDHE), permitand adoptarea rapida a CRIPTARII ECC si ECDHE — chiar si in medii TLS cu sarcini mari.
Pentru a determina maniera in care performanta f5 iSeries se compara cu alte dispozitive de pe piata, am rulat teste de performanta riguroase pe UN ECHIPAMENT folosind cifrul SSL de tip ECDH-ECDSA-AES128-SHA256, SI PE APPLIANCE-URI comparabile de la A10 Networks si Citrix.
In cadrul testului, clientul a fost conectat la un server virtual utilizind o conexiune SSL, care suporta cifrul SSL ECDH-ECDSA-AES128-SHA256. Dupa ce a fost stabilita conexiunea, clientul a trimis o singura cerere pentru unui fisier; server-ul a raspuns cu fisierul si un 200 OK. Conexiunea a fost inchisa folosind secventa FIN-ACK (4 pasi). Reutilizarea conexiunii a fost dezactivata in toate testele.
Dupa cum puteti vedea din numerele de mai jos, dispozitivele Citrix si A10 Networkspe care le-am testat — care au folosit, ambele, componente ASIC comerciale pentru SSL offloading – nu au putut egala performanta realizata de hardware-ul dedicat pentru criptare disponibil pe iSeries a F5.

 
Procesul si mediul de testare
Fiecare din produse a trecut prin acelasi proces de testare in mai multe faze pe care F5 l-a folosit in rapoartele anterioare. Acest proces consta din urmatoarele faze:
Testare preliminara: Crearea si validarea configuratiei pentru fiecare dispozitiv testat (DUT) pentru ca toate DUT-urile sa gestioneze traficul de retea in aceeasi maniera.
Testare exploratorie: Aceasta determina cele mai bune setari de testare pentru fiecare dispozitiv si arata cat de buna este performanta in fiecare tip de test. Configuratia DUT este finalizata in aceasta faza.
Testare finala: Fiecare tip de test este rulat de mai multe ori. Testarea este repetata pana cand exista cel putin trei rulari bune care au produs cele mai bune rezultate in mod consecvent. Pentru a se obtine acest standard de consecventa pot fi necesare mai multe rulari ale unui test.
Determinarea celor mai bune rezultate: Cele mai bune trei rulari ale testelor pentru fiecare tip de test sunt examinate in detaliu pentru a determina care dintre acestea a produs cea mai buna performanta generala. Rezultatele celei mai bune rulari pentru fiecare tip de test sunt folosite in raport.
In total, peste 50 de rulari de testare au fost realizate pentru a produce aceste rezultate.
Produse testate
Produsele pe care le-am testat au fost in intervale similare de pret si au constat din:

• Citrix 14080 (113.069 USD)
• A10 4440S (94.240 USD)
• F5 BIG-IP i7800 (85.000 USD)

Teste de procesare SSL
Criptarea Secure Sockets Layer (SSL) este folosita in toata lumea pentru a asigura securitatea comunicatiilor dintre utilizatori si aplicatii. SSL este un protocol de criptare standard disponibil in fiecare sistem de operare major, browser we, smartphone, etc. Tehnologia SSL contribuie la securizarea comertului electronic, permite accesul la distanta securizat (SSL VPN) si multe altele —SSL este omniprezent in solutiile de securitate de retelistica comerciale si pentru consumatori. SSL asigura securitatea folosind o combinatie de criptografie cu coduri publice pentru partajarea codurilor criptografice si criptarea simetrica (de regula RC4, 3DES sau AES) pentru a cripta efectiv traficul. Atat schimbul codurilor, cat si diversii algoritmi de criptare necesita resurse de calcul intense, precum si hardware specializat pe partea serverului pentru a asigura o performanta acceptabila sau pe scala larga in aproape toate intrebuintarile comerciale ale SSL.
Performanta pe baza tranzactiilor SSL pe secunda (TPS) este in principal o masura a schimbului de coduri/capacitatii handshake a unui dispozitiv. Masurata de regula cu fisiere de mici dimensiuni, aceasta estmeaza operatiunile handshake care au loc la inceputul fiecarei sesiuni SSL noi. Aceasta operatiune necesita resurse de calcul intense si toti furnizorii de solutii de criptare SSL majori folosesc hardware specializat pentru a accelera aceasta sarcina. Pentru raspunsuri din partea serverului si dimensiuni ale fisierelor mai mari, costul de calcul al operatiunii handshake este mai putin relevant. Deoarece operatiunea are loc doar o data la inceputul unei sesiuni, incarcarea generala este mult mai mica. Date metrice mai echilibrate pentru compararea performantei sunt reprezentate de rata de transfer a traficului criptat, cunoscut si sub denumirea de criptare simetrica sau criptare de volum. Criptarea de volum este o masura a volumului datelor care pot fi criptate si transferate intr-o anumita secunda.
Exista abordari diferite asupra gestionarii traficului SSL. Unele dispozitive folosesc hardware specializat doar pentru handshake-ul SSL / schimbul de coduri si apoi folosesc CPU pentru criptarea de „volum” continua. Alte dispozitive au avantajul folosirii unui hardware specializat pentru ambele functii.  iSeries de la F5 este proiectata in mod unic pentru a gestiona in mod optim setarea conexiunii SSL si transferul de volum. Utilizand integral hardware-ul criptografic avansat, platformele iSeries de la F5 au o performanta tranzactionala excelenta, in acelasi timp furnizand valori mari ale ratei de transfer de volum criptat. Aceasta permite clientilor si administratorilor de sistem sa mentina ciclurile CPU pentru o performanta sau functionalitate suplimentara.
Ca de obicei, testele au fost realizate cu fisiere de mai multe dimensiuni (128B, 5KB, 16KB si 512KB) pentru a demonstra performanta in diverse situatii.
Testele au fost rulate folosind dimensiuni ale codurilor de 2048 biti, dimensiunea recomandata de toate agentiile de securitate de renume, folosind cifruri ECDH-ECDSA-AES128-SHA256, unul dintre cele mai frecvent intalnite algoritmuri de incifrare disponibile.
Concluzie
Platforma iSeries consolideaza pozitia de lider a F5 in furnizarea de solutii SSL cuprinzatoare pentru clientii nostri – fiind inclusiv primul ADC care ofera suport pentru criptarea hardware dedicata ECDHE. Pe masura ce mai multe afaceri trec la pachete de cifruri ECC pentru a asigura o confidentialitate absolut inovatoare, necesitatea solutiilor care asigura performanta aplicatiilor va continua sa creasca. Testele noastre de performanta arata ca platformele iSeries a F5 mentin cele mai ridicate niveluri de performanta, oferind, in acelasi timp, suport pentru cea mai larga gama de pachete de cifruri pentru viitor.