ADC

ハードウェアとソフトウェアを使用して、ECDHEおよびECDSA暗号のパフォーマンスを向上させます

注:

この拡張機能は、次のプラットフォームにのみ適用されます。

  • MPX/SDX 11000
  • MPX/SDX 14000
  • MPX 22000, MPX 24000, and MPX 25000
  • MPX/SDX 14000 FIPS

以前のリリースでは、Citrix ADCアプライアンスでのECDHEとECDSAの計算はハードウェア(Cavium chips)でのみ実行され、SSLセッションの数はいつでも制限されていました。この機能拡張により、一部の操作もソフトウェアで実行されます。つまり、処理はキャビウムチップとCPUコアの両方で行われ、ECDHEとECDSA暗号の性能が向上します。

処理は、設定されたソフトウェア暗号しきい値まで、最初にソフトウェアで実行されます。このしきい値に達すると、操作はハードウェアにオフロードされます。したがって、このハイブリッドモデルは、ハードウェアとソフトウェアの両方を使用してSSLパフォーマンスを向上させます。要件に合わせて「softwareCryptoThreshold」パラメーターを設定することで、ハイブリッドモデルを有効にできます。ハイブリッドモデルを無効にするには、このパラメータを 0 に設定します。

CPU しきい値は ECDHE および ECDSA 計算に排他的ではないため、現在の CPU 使用率が高すぎない場合に最大のメリットがあります。たとえば、アプライアンスの現在のワークロードがCPUサイクルの50%を消費し、しきい値がに設定されている場合 80%, ECDHEおよびECDSAの計算では、 30%. 設定されたソフトウェア暗号しきい値 80% に達すると、さらに ECDHE および ECDSA 計算がハードウェアにオフロードされます。この場合、ハードウェアで ECDHE および ECDSA 計算を実行すると CPU サイクルが消費されるため、実際の CPU 使用率が 80% を超える可能性があります。

CLI を使用してハイブリッドモデルを有効にする

コマンドプロンプトで入力します。

set ssl parameter -softwareCryptoThreshold <positive_integer>

Synopsis:

softwareCryptoThreshold:

Citrix ADC CPU utilization threshold (as a percentage) beyond which crypto operations are not done in software. A value of zero implies that CPU is not utilized for doing crypto in software.

Default = 0

Min = 0

Max = 100
<!--NeedCopy-->

例:

set ssl parameter - softwareCryptoThreshold 80
Done

show ssl parameter
Advanced SSL Parameters

SSL quantum size                  : 8 KB
Max CRL memory size               : 256 MB
Strict CA checks                  : NO
Encryption trigger timeout        : 100 ms
Send Close-Notify                 : YES
Encryption trigger packet c       : 45
Deny SSL Renegotiation            : ALL
Subject/Issuer Name Insertion Format : Unicode
OCSP cache size                   : 10 MB
Push flag                         : 0x0 (Auto)
Strict Host Header check for SNI enabled SSL sessions : NO
PUSH encryption trigger timeout   : 1 ms
Crypto Device Disable Limit       : 0
Global undef action for control policies : CLIENTAUTH
Global undef action for data policies : NOOP
Default profile                   : DISABLED
Disable TLS 1.1/1.2 for SSL_BRIDGE secure monitors    : NO
Disable TLS 1.1/1.2 for dynamic and VPN services : NO
Software Crypto acceleration CPU Threshold : 80
Signature and Hash Algorithms supported by TLS1.2 : ALL
<!--NeedCopy-->

GUI を使用してハイブリッドモデルを有効にする

  1. [ トラフィック管理 ] > [ SSL ] > [ 詳細設定 SSL 設定の変更] に移動します。
  2. [ソフトウェア暗号しきい値 (%)] に値を入力します。

ECDHE為替レートのSNMPアラームを設定します

ECDHEベースのキー交換により、アプライアンスでの1秒あたりのトランザクション数が減少する可能性があります。リリース13.0ビルド52.xから、ECDHEベースのトランザクションのSNMPアラームを設定できます。このアラームでは、ECDHE為替レートのしきい値と通常の制限を設定できます。新しいカウンター nsssl_tot_sslInfo_ECDHE_Tx が追加されました。このカウンターは、アプライアンスのフロントエンドとバックエンドにあるすべてのECDHEベースのトランザクションカウンターの合計です。ECDHEベースの鍵交換が設定された制限を超えると、SNMPトラップが送信されます。値が構成された通常の値に戻ると、別のトラップが送信されます。

CLIを使用してECDHE為替レートのSNMPアラームを設定します

コマンドプロンプトで入力します。

set snmp alarm ECDHE-EXCHANGE-RATE -logging ( ENABLED | DISABLED ) -severity <severity>
 -state ( ENABLED | DISABLED ) -thresholdValue <positive_integer>  [-normalValue <positive_integer>] -time <secs>
<!--NeedCopy-->

例:

set snmp alarm ECDHE-EXCHANGE-RATE -logging eNABLED -severity critical -state eNABLED -thresholdValue 100 -normalValue 50
<!--NeedCopy-->
ハードウェアとソフトウェアを使用して、ECDHEおよびECDSA暗号のパフォーマンスを向上させます