Résultats des performances SSL : F5 BIG-IP iSeries face à Citrix et A10

Nous avons effectué les tests, et les résultats sont sans appel : la nouvelle plateforme de fourniture d’applications F5 BIG-IP iSeries offre des performances SSL ECC TPS cinq fois supérieures à celles des appareils comparables de nos concurrents.

Alors que le monde évolue vers un éventail plus large de suites cryptographiques, F5 est particulièrement bien placé pour conserver sa position de leader dans le domaine du SSL/TLS. Les ADC équipés d’accélérateurs matériels SSL d’ancienne génération compensent leurs lacunes en traitant les connexions chiffrées de manière logicielle. Cela impose une charge supplémentaire au système, susceptible de ralentir les performances des applications et de limiter la capacité. La nouvelle gamme iSeries de F5 intègre la toute dernière génération de matériel d’accélération cryptographique afin de décharger le traitement de la cryptographie sur courbes elliptiques Diffie-Hellman (ECDHE), permettant ainsi l’adoption rapide des suites cryptographiques ECC et ECDHE, même dans les environnements TLS soumis à de fortes charges.

Afin de comparer les performances de l’iSeries à celles d’autres appareils disponibles sur le marché, nous avons soumis la plateforme à des tests de performance rigoureux utilisant la suite de chiffrement SSL ECDH-ECDSA-AES128-SHA256, ainsi que des appareils comparables d’A10 Networks et de Citrix.

Lors de notre test, le client s’est connecté à un serveur virtuel utilisant SSL côté client et prenant en charge la suite de chiffrement SSL ECDH-ECDSA-AES128-SHA256. Une fois la connexion établie, le client a envoyé une requête unique pour obtenir un fichier ; le serveur a répondu en envoyant le fichier ainsi qu’un code 200 OK. Le client a ensuite fermé la connexion au moyen d’une fermeture en quatre étapes. La réutilisation des connexions était désactivée pour tous les tests.

Comme le montrent les chiffres ci-dessous, les équipements Citrix et A10 Networks que nous avons testés — qui utilisaient tous deux des puces standard pour décharger le traitement SSL — n’ont pas réussi à égaler les performances du matériel d’accélération cryptographique iSeries de F5.

Processus et environnement de test

Chacun des produits a été soumis au même processus de test en plusieurs phases que celui utilisé par F5 dans ses précédents rapports. Ce processus comprend les phases suivantes :

1. Tests préliminaires : créez et validez la configuration de chaque équipement testé (DUT) afin que tous les DUT gèrent le trafic réseau de la même manière.
2. Tests exploratoires : cette phase permet de déterminer les paramètres de test optimaux pour chaque appareil et d’évaluer ses performances pour chaque type de test. La configuration des appareils sous test (DUT) est finalisée au cours de cette phase.
3. Tests finaux : chaque type de test est exécuté plusieurs fois. Les tests sont répétés jusqu’à obtenir au moins trois exécutions concluantes ayant systématiquement produit les meilleurs résultats. De nombreuses exécutions peuvent être nécessaires pour atteindre ce niveau de reproductibilité.
4. Détermination des meilleurs résultats : les trois meilleurs essais pour chaque type de test sont examinés en détail afin d’identifier celui qui a produit les meilleures performances globales. Les résultats du meilleur essai pour chaque type de test sont ceux utilisés dans ce rapport.

Au total, plus de 50 essais ont été réalisés afin d’obtenir ces résultats.

Produits testés

Les produits que nous avons testés se situaient dans des gammes de prix similaires et comprenaient :

• Citrix 14080 (113 069 $)
• A10 4440S (94 240 $)
• F5 BIG-IP i7800 (85 000 $)

Tests de traitement SSL

Le chiffrement Secure Sockets Layer (SSL) est utilisé dans le monde entier pour sécuriser les communications entre les utilisateurs et les applications. SSL est un protocole de chiffrement standard disponible sur tous les principaux systèmes d’exploitation, navigateurs web, smartphones, etc. La technologie SSL contribue à sécuriser les achats en ligne, permet un accès à distance sécurisé (VPN SSL) et bien plus encore : SSL est omniprésent dans les solutions de sécurité réseau destinées aux entreprises comme aux particuliers. SSL assure la sécurité en combinant la cryptographie à clé publique pour échanger les clés cryptographiques et le chiffrement symétrique (généralement RC4, 3DES ou AES) pour chiffrer effectivement le trafic. L’échange de clés comme les différents algorithmes de chiffrement nécessitent une puissance de calcul importante et, dans la quasi-totalité des utilisations commerciales de SSL, requièrent du matériel spécialisé côté serveur afin d’obtenir des performances acceptables ou de prendre en charge des déploiements à grande échelle.

Les performances en transactions SSL par seconde (TPS) mesurent principalement la capacité d’un appareil à effectuer l’échange de clés et la négociation de connexion. Généralement mesurée avec des fichiers de petite taille, cette valeur correspond aux opérations de négociation effectuées au début de chaque nouvelle session SSL. Cette opération exige une grande puissance de calcul, et tous les principaux fournisseurs de solutions de déchargement SSL utilisent du matériel spécialisé pour l’accélérer. Pour les réponses de serveur et les fichiers de plus grande taille, le coût de calcul de l’opération de négociation est moins significatif. Comme cette opération n’a lieu qu’une seule fois au début d’une session, la surcharge est nettement moindre. Le débit du trafic chiffré, également appelé chiffrement symétrique ou chiffrement en masse, constitue un indicateur plus équilibré pour comparer les performances. Le chiffrement en masse mesure la quantité de données pouvant être chiffrées et transférées en une seconde.

Il existe différentes approches pour gérer le trafic SSL. Certains appareils utilisent du matériel spécialisé uniquement pour la négociation SSL et l’échange de clés, puis font appel au processeur pour le chiffrement « en masse » continu. D’autres appareils ont l’avantage d’utiliser du matériel spécialisé pour ces deux fonctions. F5 iSeries est spécialement conçu pour gérer de manière optimale l’établissement des connexions SSL et le débit en masse. En exploitant pleinement le matériel cryptographique avancé, les plateformes F5 iSeries offrent d’excellentes performances transactionnelles tout en assurant simultanément un débit élevé de données chiffrées en masse. Les clients et les administrateurs système peuvent ainsi préserver des cycles processeur afin d’améliorer les performances ou d’ajouter des fonctionnalités.

Comme à l’accoutumée, les tests ont été réalisés avec différentes tailles de fichiers (128 octets, 5 Ko, 16 Ko et 512 Ko) afin d’évaluer les performances dans diverses situations.

Les tests ont été effectués avec des clés de 384 bits, taille recommandée par tous les organismes de sécurité reconnus, et avec les suites cryptographiques ECDH-ECDSA-AES128-SHA256, qui figurent parmi les plus couramment utilisées.

Conclusion

La plateforme iSeries confirme le leadership de F5 dans la fourniture de solutions SSL complètes à ses clients, notamment en étant le premier contrôleur de mise à disposition d’applications (ADC) à prendre en charge le déchargement matériel dédié d’ECDHE. À mesure que les entreprises adoptent les suites de chiffrement ECC pour bénéficier de la confidentialité persistante, le besoin de solutions garantissant les performances des applications continuera de croître. Nos tests de performance montrent que les plateformes iSeries de F5 maintiennent les niveaux de performance les plus élevés tout en prenant en charge la plus large gamme de suites de chiffrement pour l’avenir.