Resultados de desempenho de SSL: F5 BIG-IP iSeries vs. Citrix e A10

Realizamos os testes, e os resultados chegaram: a nova plataforma de entrega de aplicações F5 BIG-IP iSeries apresenta um desempenho de SSL ECC TPS cinco vezes maior do que o de dispositivos equivalentes de nossos concorrentes.

À medida que o mundo avança para um conjunto mais amplo de suítes de criptografia, a F5 está em uma posição privilegiada para manter sua liderança em SSL/TLS. Os ADCs com aceleradores de hardware SSL de gerações anteriores compensam essas deficiências processando as conexões criptografadas por software. Isso impõe uma carga adicional ao sistema, o que pode reduzir o desempenho dos aplicativos e limitar a capacidade. A nova iSeries da F5 inclui a mais recente geração de hardware de aceleração criptográfica para descarregar o processamento da criptografia de curva elíptica Diffie-Hellman (ECDHE), permitindo a rápida adoção das suítes de criptografia ECC e ECDHE, mesmo em ambientes TLS de alta carga.

Para determinar como o desempenho da iSeries se compara ao de outros dispositivos disponíveis no mercado, realizamos rigorosos testes de desempenho na plataforma usando a cifra SSL ECDH-ECDSA-AES128-SHA256, juntamente com dispositivos comparáveis da A10 Networks e da Citrix.

Em nosso teste, o cliente se conectou a um servidor virtual com SSL no lado do cliente, compatível com o conjunto de criptografia SSL ECDH-ECDSA-AES128-SHA256. Após o estabelecimento da conexão, o cliente enviou uma única solicitação de arquivo; o servidor respondeu com o arquivo e um status 200 OK. Em seguida, o cliente encerrou a conexão por meio de um fechamento em quatro etapas. A reutilização foi desabilitada em todos os testes.

Como você pode ver pelos números abaixo, os dispositivos da Citrix e da A10 Networks que testamos — ambos equipados com chips comerciais para descarregar o processamento de SSL — não conseguiram igualar o desempenho oferecido pelo hardware de aceleração criptográfica iSeries da F5.

Processo e ambiente de testes

Cada um dos produtos passou pelo mesmo processo de testes em várias etapas que a F5 utilizou em relatórios anteriores. Esse processo consiste nas seguintes etapas:

1. Testes preliminares: crie e valide a configuração de cada dispositivo em teste (DUT) para que todos os DUTs gerenciem o tráfego de rede da mesma forma.
2. Testes exploratórios: esta etapa determina as melhores configurações de teste para cada dispositivo e revela seu desempenho em cada tipo de teste. A configuração dos dispositivos sob teste (DUTs) é finalizada durante esta fase.
3. Testes finais: cada tipo de teste é executado várias vezes. Os testes são repetidos até que haja pelo menos três execuções bem-sucedidas que produzam consistentemente os melhores resultados. Podem ser necessárias muitas execuções de um teste para atingir esse padrão de consistência.
4. Determinação dos melhores resultados: As três melhores execuções de cada tipo de teste são examinadas detalhadamente para identificar qual delas apresentou o melhor desempenho geral. Os resultados da melhor execução de cada tipo de teste são os utilizados neste relatório.

No total, foram realizadas mais de 50 execuções de teste para produzir esses resultados.

Produtos testados

Os produtos que testamos estavam em faixas de preço semelhantes e incluíam:

• Citrix 14080 (US$ 113.069)
• A10 4440S (US$ 94.240)
• F5 BIG-IP i7800 (US$ 85.000)

Testes de processamento SSL

A criptografia Secure Sockets Layer (SSL) é usada em todo o mundo para proteger as comunicações entre usuários e aplicações. O SSL é um protocolo de criptografia padrão disponível em todos os principais sistemas operacionais, navegadores da Web, smartphones e outros dispositivos. A tecnologia SSL ajuda a tornar as compras on-line seguras, permite o acesso remoto seguro (VPN SSL) e muito mais — o SSL está presente em praticamente todas as soluções de segurança de rede comerciais e voltadas ao consumidor. O SSL oferece segurança por meio de uma combinação de criptografia de chave pública para compartilhar as chaves criptográficas e criptografia simétrica (geralmente RC4, 3DES ou AES) para efetivamente criptografar o tráfego. Tanto a troca de chaves quanto os diversos algoritmos de criptografia exigem grande capacidade computacional e, em praticamente todos os usos comerciais do SSL, requerem hardware especializado no lado do servidor para alcançar um desempenho aceitável ou operar em grande escala.

O desempenho de transações SSL por segundo (TPS) é principalmente uma medida da capacidade de troca de chaves/handshake de um dispositivo. Normalmente aferida com arquivos pequenos, essa métrica mede as operações de handshake que ocorrem no início de cada nova sessão SSL. Essa operação exige grande capacidade computacional, e todos os principais fornecedores de soluções de offload de SSL usam hardware especializado para acelerá-la. No caso de respostas do servidor e arquivos maiores, o custo computacional da operação de handshake é menos relevante. Como a operação ocorre apenas uma vez, no início de uma sessão, a sobrecarga é muito menor. Uma métrica mais equilibrada para comparar o desempenho é a taxa de transferência do tráfego criptografado, também conhecida como criptografia simétrica ou criptografia em massa. A criptografia em massa mede a quantidade de dados que pode ser criptografada e transferida em um segundo.

Há diferentes abordagens para lidar com o tráfego SSL. Alguns dispositivos usam hardware especializado apenas para o handshake SSL/a troca de chaves e, em seguida, usam a CPU para a criptografia em massa contínua. Outros dispositivos têm a vantagem de usar hardware especializado para ambas as funções. O F5 iSeries foi projetado de forma exclusiva para lidar de maneira otimizada com o estabelecimento de conexões SSL e a taxa de transferência em massa. Ao utilizar plenamente o hardware criptográfico avançado, as plataformas F5 iSeries oferecem excelente desempenho transacional e, ao mesmo tempo, processam grandes volumes de dados criptografados. Isso permite que clientes e administradores de sistemas preservem ciclos de CPU para obter desempenho ou funcionalidades adicionais.

Como de costume, os testes foram realizados com diversos tamanhos de arquivo (128 B, 5 KB, 16 KB e 512 KB) para demonstrar o desempenho em diferentes situações.

Os testes foram executados com chaves de 384 bits, tamanho recomendado por todas as agências de segurança de renome, usando cifras ECDH-ECDSA-AES128-SHA256, um dos algoritmos de criptografia mais comuns disponíveis.

Conclusão

A plataforma iSeries reforça a liderança da F5 no fornecimento de soluções SSL abrangentes aos nossos clientes, sendo inclusive o primeiro ADC a oferecer suporte à aceleração de ECDHE por hardware dedicado. À medida que mais empresas adotam conjuntos de cifras ECC para obter sigilo de encaminhamento perfeito, continuará crescendo a demanda por soluções que garantam o desempenho das aplicações. Nossos testes de desempenho mostram que as plataformas iSeries da F5 mantêm os mais altos níveis de desempenho e, ao mesmo tempo, oferecem suporte à mais ampla variedade de conjuntos de cifras para o futuro.