SSLパフォーマンス結果：F5 BIG-IP iSeriesとCitrixおよびA10の比較

テストの結果、新しいF5 BIG-IP iSeriesアプリケーションデリバリープラットフォームは、競合他社の同等デバイスと比べて5倍高速なSSL ECC TPS性能を発揮することが確認されました。

世界でより幅広い暗号スイートへの移行が進む中、F5はSSL/TLS分野でのリーダーシップを維持できる独自の地位を確立しています。旧世代のSSLハードウェアアクセラレータを搭載したADCは、暗号化接続をソフトウェアで処理することで、その性能不足を補います。その結果、システムに追加の負荷がかかり、アプリケーションのパフォーマンス低下や処理容量の制限につながる可能性があります。F5の新しいiSeriesは、最新世代の暗号化アクセラレーションハードウェアを搭載し、楕円曲線ディフィー・ヘルマン鍵共有（ECDHE）の処理をオフロードします。これにより、高負荷のTLS環境でもECCおよびECDHE暗号スイートを迅速に導入できます。

iSeriesのパフォーマンスを市場の他のデバイスと比較するため、ECDH-ECDSA-AES128-SHA256 SSL暗号スイートを使用し、A10 NetworksおよびCitrixの同等デバイスと併せて、プラットフォームに対する厳格なパフォーマンステストを実施しました。

テストでは、クライアントがECDH-ECDSA-AES128-SHA256 SSL暗号スイートをサポートするクライアント側SSL対応の仮想サーバーに接続しました。接続が確立されると、クライアントはファイルを取得するためのリクエストを1件送信し、サーバーはそのファイルと200 OKを返しました。その後、クライアントは4ウェイクローズによって接続を終了しました。すべてのテストで再利用は無効にしました。

以下の数値が示すように、テストしたCitrixおよびA10 Networksのデバイスはいずれも、汎用シリコンでSSL処理をオフロードしていましたが、F5のiSeries暗号処理オフロードハードウェアが実現するパフォーマンスには及びませんでした。

テストプロセスと環境

各製品に対し、F5が過去のレポートで採用したものと同じ複数段階のテストプロセスを実施しました。このプロセスは、以下のフェーズで構成されます。

1. 予備テスト：すべての被試験デバイス（DUT）がネットワークトラフィックを同じ方法で管理するように、各DUTの構成を作成して検証します。
2. 探索的テスト：各デバイスに最適なテスト設定を決定し、テストの種類ごとの性能を明らかにします。このフェーズでDUTの構成を確定します。
3. 最終テスト：各種テストを複数回実施します。最良の結果が安定して得られる良好なテスト実行が少なくとも3回確認できるまで、テストを繰り返します。この一貫性の基準を満たすには、テストを何度も実行する必要がある場合があります。
4. 最良の結果の特定：テストの種類ごとに、結果が最も良かった3回のテスト実行を詳細に検証し、総合的に最も優れたパフォーマンスを示した実行を特定します。本レポートでは、テストの種類ごとに、その最良の実行結果を使用しています。

これらの結果を得るために、合計50回を超えるテストを実施しました。

テスト対象製品

テストした製品はいずれも同程度の価格帯で、以下の製品が含まれます。

• Citrix 14080（$113,069）
• A10 4440S（$94,240）
• F5 BIG-IP i7800（$85,000）

SSL処理テスト

Secure Sockets Layer（SSL）暗号化は、ユーザーとアプリケーション間の通信を保護するために世界中で使用されています。SSLは、主要なオペレーティングシステム、Webブラウザー、スマートフォンなどで利用できる標準的な暗号化プロトコルです。SSLテクノロジーは、オンラインショッピングの安全性向上や安全なリモートアクセス（SSL VPN）などに役立ち、企業向けおよび一般消費者向けのネットワークセキュリティソリューションで広く利用されています。SSLでは、暗号鍵の共有に公開鍵暗号方式を使用し、実際のトラフィックの暗号化には共通鍵暗号方式（一般にRC4、3DES、AES）を使用することで、通信を保護します。鍵交換と各種暗号化アルゴリズムはいずれも計算負荷が高いため、SSLを商用利用するほぼすべてのケースで、許容可能なパフォーマンスや大規模処理を実現するには、サーバー側に専用ハードウェアが必要です。

SSL Transactions per Second（TPS）のパフォーマンスは、主にデバイスの鍵交換／ハンドシェイク処理能力を示す指標です。通常は小さいファイルサイズで測定し、新しいSSLセッションの開始時に行われるハンドシェイク処理の性能を評価します。この処理は計算負荷が高いため、主要なSSLオフロードベンダーはいずれも専用ハードウェアを使用して高速化しています。サーバーの応答やファイルのサイズが大きい場合、ハンドシェイク処理の計算コストはそれほど重要ではありません。この処理はセッションの開始時に1回だけ行われるため、オーバーヘッドが大幅に小さくなるからです。パフォーマンスをより総合的に比較できる指標は、暗号化トラフィックのスループットです。これは、対称鍵暗号化またはバルク暗号化とも呼ばれます。バルク暗号化は、1秒間に暗号化して転送できるデータ量を示す指標です。

SSLトラフィックの処理方法には、さまざまなアプローチがあります。一部のデバイスでは、SSLハンドシェイクと鍵交換にのみ専用ハードウェアを使用し、その後の「バルク」暗号化にはCPUを使用します。一方、両方の処理に専用ハードウェアを使用できるデバイスもあります。F5 iSeriesは、SSL接続の確立とバルクスループットを最適に処理できるよう独自に設計されています。高度な暗号化ハードウェアを最大限に活用することで、F5 iSeriesプラットフォームは優れたトランザクション性能を発揮すると同時に、大量の暗号化データを高いスループットで処理します。これにより、お客さまやシステム管理者は、CPUサイクルを追加の性能向上や機能のために確保できます。

通常どおり、さまざまな状況でのパフォーマンスを示すため、複数のファイルサイズ（128 B、5 KB、16 KB、512 KB）でテストを実施しました。

テストでは、信頼できるすべてのセキュリティ機関が推奨する384ビットの鍵サイズと、広く利用されている暗号アルゴリズムの1つであるECDH-ECDSA-AES128-SHA256暗号スイートを使用しました。

結論

iSeriesプラットフォームは、ECDHE専用ハードウェアオフロードをサポートする初のADCとなるなど、包括的なSSLソリューションをお客さまに提供してきたF5のリーダーシップをさらに強化します。Perfect Forward Secrecyを実現するためにECC暗号スイートへ移行する企業が増えるにつれ、アプリケーションのパフォーマンスを確保するソリューションの必要性は今後も高まります。F5のパフォーマンステストでは、iSeriesプラットフォームが今後も幅広い暗号スイートをサポートしながら、最高水準のパフォーマンスを維持できることが示されています。