使用硬件和软件改进 ECDHE 和 ECDSA 密码性能
注意：
此增强功能仅适用于以下平台：
- MPX/SDX 11000
- MPX/SDX 14000
- MPX 22000、MPX 24000 和 MPX 25000
- MPX/SDX 14000 FIPS
以前，NetScaler 设备上的 ECDHE 和 ECDSA 计算仅在硬件（Cavium 芯片）上执行，这限制了任何给定时间的 SSL 会话数量。通过此增强，一些操作也可以在软件中执行。也就是说，在Cavium芯片和CPU内核上都进行了处理，以提高ECDHE和ECDSA的密码性能。
处理首先在软件中执行，直到达到配置的软件加密阈值。达到此阈值后，操作将转移到硬件。因此，这种混合模型同时使用硬件和软件来提高 SSL 性能。您可以通过设置“SoftwareCrypthreshold”参数来启用混合模型，以满足您的要求。要禁用混合模型，请将此参数设置为 0。
如果当前 CPU 利用率不太高，则好处最大，因为 CPU 阈值不是 ECDHE 和 ECDSA 计算所独有的。例如，如果设备上的当前工作负载消耗了 50% 的 CPU 周期，并且阈值设置为 80%，则 ECDHE 和 ECDSA 计算只能使用 30%。达到配置的 80% 的软件加密阈值后，进一步的 ECDHE 和 ECDSA 计算将转移到硬件上。在这种情况下，实际 CPU 利用率可能会超过 80%，因为在硬件中执行 ECDHE 和 ECDSA 计算会消耗一些 CPU 周期。
使用 CLI 启用混合模型
在命令提示符下，键入：
set ssl parameter -softwareCryptoThreshold <positive_integer>
Synopsis:
softwareCryptoThreshold:
NetScaler CPU utilization threshold (as a percentage) beyond which crypto operations are not done in software. A value of zero implies that CPU is not utilized for doing crypto in software.
Default = 0
Min = 0
Max = 100
<!--NeedCopy-->
示例：
set ssl parameter - softwareCryptoThreshold 80
Done
show ssl parameter
Advanced SSL Parameters
SSL quantum size : 8 KB
Max CRL memory size : 256 MB
Strict CA checks : NO
Encryption trigger timeout : 100 ms
Send Close-Notify : YES
Encryption trigger packet c : 45
Deny SSL Renegotiation : ALL
Subject/Issuer Name Insertion Format : Unicode
OCSP cache size : 10 MB
Push flag : 0x0 (Auto)
Strict Host Header check for SNI enabled SSL sessions : NO
PUSH encryption trigger timeout : 1 ms
Crypto Device Disable Limit : 0
Global undef action for control policies : CLIENTAUTH
Global undef action for data policies : NOOP
Default profile : DISABLED
Disable TLS 1.1/1.2 for SSL_BRIDGE secure monitors : NO
Disable TLS 1.1/1.2 for dynamic and VPN services : NO
Software Crypto acceleration CPU Threshold : 80
Signature and Hash Algorithms supported by TLS1.2 : ALL
<!--NeedCopy-->
使用 GUI 启用混合模型
- 导航到 流量管理 > SSL > 更改高级 SSL 设置。
- 输入 软件加密阈值 (%)。
为 ECDHE 汇率设置 SNMP 警报
基于 ECDHE 的密钥交换可能导致设备上的每秒交易量下降。从 13.0 版本 52.x 开始，您可以为基于 ECDHE 的事务配置 SNMP 警报。在此警报中，您可以设置 ECDHE 汇率的阈值和正常限值。添加了一个新的计 nsssl_tot_sslInfo_ECDHE_Tx 数器。此计数器是设备前端和后端所有基于 ECDHE 的事务计数器的总和。当基于 ECDHE 的密钥交换超过配置的限制时，将发送 SNMP 陷阱。当该值恢复到配置的正常值时，将发送另一个陷阱。
使用 CLI 为 ECDHE 汇率设置 SNMP 警报
在命令提示符下，键入：
set snmp alarm ECDHE-EXCHANGE-RATE -logging ( ENABLED | DISABLED ) -severity <severity>
-state ( ENABLED | DISABLED ) -thresholdValue <positive_integer> [-normalValue <positive_integer>] -time <secs>
<!--NeedCopy-->
示例：
set snmp alarm ECDHE-EXCHANGE-RATE -logging eNABLED -severity critical -state eNABLED -thresholdValue 100 -normalValue 50
<!--NeedCopy-->