Resultados de rendimiento SSL: F5 BIG-IP iSeries frente a Citrix y A10

Hemos realizado las pruebas y los resultados son concluyentes: la nueva plataforma de entrega de aplicaciones F5 BIG-IP iSeries ofrece un rendimiento de SSL ECC TPS cinco veces superior al de dispositivos comparables de nuestros competidores.

A medida que el mundo avanza hacia un conjunto más amplio de suites de cifrado, F5 se encuentra en una posición única para mantener su liderazgo en SSL/TLS. Los ADC con aceleradores de hardware SSL de generaciones anteriores compensan esas deficiencias procesando mediante software las conexiones cifradas. Esto supone una carga adicional para el sistema, lo que puede ralentizar el rendimiento de las aplicaciones y limitar la capacidad. La nueva iSeries de F5 incorpora la última generación de hardware de aceleración criptográfica para descargar el procesamiento de la criptografía de curva elíptica Diffie-Hellman (ECDHE), lo que permite adoptar rápidamente las suites de cifrado ECC y ECDHE, incluso en entornos TLS con una carga elevada.

Para determinar cómo se compara el rendimiento de iSeries con el de otros dispositivos del mercado, sometimos la plataforma a rigurosas pruebas de rendimiento utilizando el cifrado SSL ECDH-ECDSA-AES128-SHA256, junto con dispositivos comparables de A10 Networks y Citrix.

En nuestra prueba, el cliente se conectó a un servidor virtual con SSL del lado del cliente, compatible con el cifrado SSL ECDH-ECDSA-AES128-SHA256. Una vez establecida la conexión, el cliente envió una única solicitud de un archivo; el servidor respondió con el archivo y un código 200 OK. A continuación, el cliente cerró la conexión mediante un cierre en cuatro pasos. La reutilización se deshabilitó en todas las pruebas.

Como puede verse en las cifras que aparecen a continuación, los dispositivos de Citrix y A10 Networks que probamos —ambos basados en chips comerciales para descargar el procesamiento SSL— no pudieron igualar el rendimiento ofrecido por el hardware de descarga criptográfica iSeries de F5.

Proceso y entorno de pruebas

Cada uno de los productos se sometió al mismo proceso de pruebas en varias fases que F5 ha utilizado en informes anteriores. Este proceso consta de las siguientes fases:

1. Pruebas preliminares: cree y valide la configuración de cada dispositivo sometido a prueba (DUT) para que todos los DUT gestionen el tráfico de red de la misma manera.
2. Pruebas exploratorias: esta fase permite determinar la configuración de prueba óptima para cada dispositivo y evaluar su rendimiento en cada tipo de prueba. Durante esta fase se finaliza la configuración de los dispositivos sometidos a prueba (DUT).
3. Pruebas finales: Cada tipo de prueba se ejecuta varias veces. Las pruebas se repiten hasta obtener al menos tres ejecuciones válidas que produzcan sistemáticamente los mejores resultados. Pueden ser necesarias muchas ejecuciones de una prueba para alcanzar este nivel de consistencia.
4. Determinar los mejores resultados: Las tres mejores ejecuciones de cada tipo de prueba se examinan en detalle para identificar cuál de ellas ha ofrecido el mejor rendimiento general. En este informe se utilizan los resultados de la mejor ejecución de cada tipo de prueba.

En total, se realizaron más de 50 ejecuciones de prueba para obtener estos resultados.

Productos probados

Los productos que probamos se encontraban en rangos de precios similares y fueron los siguientes:

• Citrix 14080 (113.069 $)
• A10 4440S (94.240 $)
• F5 BIG-IP i7800 (85.000 $)

Pruebas de procesamiento SSL

El cifrado Secure Sockets Layer (SSL) se utiliza en todo el mundo para proteger las comunicaciones entre usuarios y aplicaciones. SSL es un protocolo de cifrado estándar disponible en los principales sistemas operativos, navegadores web, teléfonos inteligentes, etc. La tecnología SSL contribuye a que las compras en línea sean seguras, permite el acceso remoto seguro (VPN SSL) y mucho más; SSL está presente en todas las soluciones de seguridad de red comerciales y de consumo. SSL proporciona seguridad mediante una combinación de criptografía de clave pública para compartir las claves criptográficas y cifrado simétrico (normalmente RC4, 3DES o AES) para cifrar el tráfico. Tanto el intercambio de claves como los distintos algoritmos de cifrado requieren una gran capacidad de procesamiento y, en casi todos los usos comerciales de SSL, exigen hardware especializado en el servidor para lograr un rendimiento aceptable o funcionar a gran escala.

El rendimiento de las transacciones SSL por segundo (TPS) mide principalmente la capacidad de un dispositivo para realizar el intercambio de claves o el protocolo de enlace. Esta métrica, que normalmente se obtiene utilizando archivos de pequeño tamaño, mide las operaciones de protocolo de enlace que tienen lugar al inicio de cada nueva sesión SSL. Esta operación requiere una gran capacidad de procesamiento, por lo que los principales proveedores de soluciones de descarga SSL utilizan hardware especializado para acelerarla. En el caso de respuestas del servidor y archivos de mayor tamaño, el coste computacional de la operación de protocolo de enlace es menos relevante. Dado que esta operación solo se realiza una vez al inicio de cada sesión, la sobrecarga es mucho menor. Una métrica más equilibrada para comparar el rendimiento es el caudal del tráfico cifrado, también conocido como cifrado simétrico o cifrado masivo. El cifrado masivo mide la cantidad de datos que se pueden cifrar y transferir en un segundo.

Existen distintos enfoques para gestionar el tráfico SSL. Algunos dispositivos utilizan hardware especializado únicamente para el protocolo de enlace o intercambio de claves SSL y, a continuación, recurren a la CPU para el cifrado «masivo» continuo. Otros dispositivos cuentan con la ventaja de utilizar hardware especializado para ambas funciones. F5 iSeries presenta un diseño único que permite gestionar de forma óptima el establecimiento de conexiones SSL y el rendimiento masivo. Al aprovechar al máximo el hardware criptográfico avanzado, las plataformas F5 iSeries ofrecen un excelente rendimiento transaccional y, al mismo tiempo, procesan grandes volúmenes de tráfico cifrado. Esto permite a los clientes y administradores de sistemas reservar ciclos de CPU para obtener un mayor rendimiento o incorporar funciones adicionales.

Como de costumbre, las pruebas se realizaron con distintos tamaños de archivo (128 B, 5 KB, 16 KB y 512 KB) para demostrar el rendimiento en diversas situaciones.

Las pruebas se realizaron con claves de 384 bits, el tamaño recomendado por todos los organismos de seguridad de prestigio, y con el conjunto de cifrado ECDH-ECDSA-AES128-SHA256, uno de los más utilizados actualmente.

Conclusión

La plataforma iSeries consolida el liderazgo de F5 en el suministro de soluciones SSL integrales para nuestros clientes, incluido el primer ADC compatible con la descarga de ECDHE mediante hardware dedicado. A medida que más empresas adoptan conjuntos de cifrado ECC para lograr el secreto perfecto hacia adelante, seguirá creciendo la necesidad de soluciones que garanticen el rendimiento de las aplicaciones. Nuestras pruebas de rendimiento demuestran que las plataformas iSeries de F5 mantienen los niveles más altos de rendimiento y, al mismo tiempo, ofrecen compatibilidad con la gama más amplia de conjuntos de cifrado de cara al futuro.