6.12. Configuration de la décharge matérielle ESP sur une liaison pour accélérer une connexion IPsec

Procédure

1. Activer la prise en charge de la décharge matérielle ESP sur la liaison réseau :

   # nmcli connection modify bond0 ethtool.feature-esp-hw-offload on

   Cette commande active la prise en charge du délestage matériel ESP sur la connexion bond0.

2. Réactiver la connexion bond0:

   # nmcli connection up bond0

3. Modifiez le fichier de configuration de Libreswan dans le répertoire /etc/ipsec.d/ de la connexion qui doit utiliser le délestage matériel ESP, et ajoutez l'instruction nic-offload=yes à l'entrée de la connexion :

   conn example
       ...
       nic-offload=yes

4. Redémarrez le service ipsec:

   # systemctl restart ipsec

Vérification

1. Affiche le port actif de la liaison :

   # grep "Currently Active Slave" /proc/net/bonding/bond0
   Currently Active Slave: enp1s0

2. Affiche les compteurs tx_ipsec et rx_ipsec du port actif :

   # ethtool -S enp1s0 | egrep "_ipsec"
        tx_ipsec: 10
        rx_ipsec: 10

3. Envoyer du trafic à travers le tunnel IPsec. Par exemple, envoyer un ping à une adresse IP distante :

   # ping -c 5 remote_ip_address

4. Affichez à nouveau les compteurs tx_ipsec et rx_ipsec du port actif :

   # ethtool -S enp1s0 | egrep "_ipsec"
        tx_ipsec: 15
        rx_ipsec: 15

   Si les valeurs des compteurs ont augmenté, le délestage matériel ESP fonctionne.