ハードウェアとソフトウェアを使用して ECDHE と ECDSA 暗号のパフォーマンスを向上させましょう
注：
この拡張機能は次のプラットフォームにのみ適用されます。
- MPX/SDX 11000
- MPX/SDX 14000
- MPX 22000、MPX 24000、MPX 25000
- MPX/SDX 14000 FIPS
以前は、NetScalerアプライアンスでのECDHEとECDSAの計算はハードウェア（Caviumチップ）上でのみ実行されていたため、いつでもSSLセッションの数が制限されていました。この拡張機能により、一部の操作もソフトウェアで実行されるようになりました。つまり、Cavium チップと CPU コアの両方で処理が行われ、ECDHE と ECDSA の暗号性能が向上します。
処理はまず、設定されたソフトウェア暗号しきい値までソフトウェアで実行されます。このしきい値に達すると、操作はハードウェアにオフロードされます。そのため、このハイブリッドモデルでは、ハードウェアとソフトウェアの両方を使用して SSL のパフォーマンスを向上させます。要件に合わせて「SoftwareCryptoThreshold」パラメーターを設定することで、ハイブリッドモデルを有効にできます。ハイブリッドモデルを無効にするには、このパラメーターを 0 に設定します。
CPUのしきい値はECDHEとECDSAの計算に限定されないため、現在のCPU使用率がそれほど高くない場合に最大のメリットが得られます。たとえば、アプライアンスの現在のワークロードが CPU サイクルの 50% を消費し、しきい値が 80% に設定されている場合、ECDHE と ECDSA の計算では 30% しか使用できません。設定したソフトウェア暗号化しきい値の 80% に達すると、ECDHE と ECDSA の計算がさらにハードウェアにオフロードされます。その場合、ハードウェアで ECDHE と ECDSA の計算を実行すると一部の CPU サイクルが消費されるため、実際の CPU 使用率は 80% を超える可能性があります。
CLI を使用してハイブリッドモデルを有効にする
コマンドプロンプトで入力します。
set ssl parameter -softwareCryptoThreshold <positive_integer>
Synopsis:
softwareCryptoThreshold:
NetScaler CPU utilization threshold (as a percentage) beyond which crypto operations are not done in software. A value of zero implies that CPU is not utilized for doing crypto in software.
Default = 0
Min = 0
Max = 100
例：
set ssl parameter - softwareCryptoThreshold 80
Done
show ssl parameter
Advanced SSL Parameters
SSL quantum size : 8 KB
Max CRL memory size : 256 MB
Strict CA checks : NO
Encryption trigger timeout : 100 ms
Send Close-Notify : YES
Encryption trigger packet c : 45
Deny SSL Renegotiation : ALL
Subject/Issuer Name Insertion Format : Unicode
OCSP cache size : 10 MB
Push flag : 0x0 (Auto)
Strict Host Header check for SNI enabled SSL sessions : NO
PUSH encryption trigger timeout : 1 ms
Crypto Device Disable Limit : 0
Global undef action for control policies : CLIENTAUTH
Global undef action for data policies : NOOP
Default profile : DISABLED
Disable TLS 1.1/1.2 for SSL_BRIDGE secure monitors : NO
Disable TLS 1.1/1.2 for dynamic and VPN services : NO
Software Crypto acceleration CPU Threshold : 80
Signature and Hash Algorithms supported by TLS1.2 : ALL
GUI を使用してハイブリッドモデルを有効にする
- [ トラフィック管理 ] > [ SSL ] > [SSL の詳細設定の変更] に移動します。
- 「 ソフトウェア暗号しきい値 (%)」に値を入力します。
ECDHE 為替レートの SNMP アラームを設定します
ECDHE ベースのキー交換により、アプライアンスの 1 秒あたりのトランザクション数が減少する可能性があります。リリース 13.0 ビルド 52.x から、ECDHE ベースのトランザクションに SNMP アラームを設定できます。このアラームでは、ECDHE為替レートのしきい値と通常の制限を設定できます。 nsssl_tot_sslInfo_ECDHE_Tx 新しいカウンターが追加されます。このカウンタは、アプライアンスのフロントエンドとバックエンドにあるすべての ECDHE ベースのトランザクションカウンタの合計です。ECDHE ベースのキー交換が設定された制限を超えると、SNMP トラップが送信されます。値が設定された標準値に戻ると、別のトラップが送信されます。
CLI を使用して ECDHE 為替レートの SNMP アラームを設定します
コマンドプロンプトで入力します。
set snmp alarm ECDHE-EXCHANGE-RATE -logging ( ENABLED | DISABLED ) -severity <severity>
-state ( ENABLED | DISABLED ) -thresholdValue <positive_integer> [-normalValue <positive_integer>] -time <secs>
例：
set snmp alarm ECDHE-EXCHANGE-RATE -logging eNABLED -severity critical -state eNABLED -thresholdValue 100 -normalValue 50