Limit concurrent IPSEC VPN / IPSEC SSL

You didn't say what kind of tunnels.  You need a lot more computing power with 3DES than with AES128...

The most cost-effective for you would be an unlimited Network Protection software subscription on a very powerful server.  I'd probably quote a 1U dual 6-core HP with 32GB of RAM and a dual 8-core with 64GB as a preferred alternative.  12 or 16 processors should do it.

Let us know what you wind up doing!

Cheers - Bob
PS The newest Intel Processors (some I7s, and I suspect the newest Xeons) have built-in IPsec instruction sets, and so are much more efficient with IPsec tunnels.  My estimates above don't take this potential acceleration into account as V9 is the first version that can take advantage of the IPsec instruction set.  To my knowledge, there is no comparative study yet available.

Hi Bob,

You're talking about the AES-NI instructions, right?

Barry

Thanks for the answers.
Did some more research, i think they are using StrongSwan and found:

The IKEv2 daemon is inherently multi-threaded (16 threads by default). It has been shown that up to 20,000 concurrent IPsec tunnels can be handled on industry-grade VPN gateways.

and

Test ikev2/1000-tunnels

> where we emulated the initial setup, rekeying and reauthentication of
> 1000 concurrent IPsec connections using virtual hosts on a single
> 2.2 GHz Intel Core2 Duo notebook computer. At a rate of 5-6 connections
> per second it takes about three minutes to establish the 1000 VPN
> tunnels. How much less would it take on accelerated hardware???

----------------

> You didn't say what kind of tunnels. You need a lot more computing power with 3DES than with AES128...

Of course, but our customer does not have that much information regarding the clients. I unfortunately have to calculate with the worst case.

> I'd probably quote a 1U dual 6-core HP with 32GB of RAM and a 
> dual 8-core with 64GB as a preferred alternative. 12 or 16 processors should do it.

OK, why is RAM so important?

> PS The newest Intel Processors (some I7s, and I suspect the newest Xeons) have 
> built-in IPsec instruction sets, and so are much more efficient with IPsec tunnels. My
> estimates above don't take this potential acceleration into account as V9 is the first
> version that can take advantage of the IPsec instruction set. To my knowledge, there
> is no comparative study yet available. 

Thanks for that, i didnt knew.

I will then go for the software version (v9 unlimited license) with 1(or 2 for HA) powerful servers, i have to take a look at some systems. Are there any recommendations for good GB NICs i should use for that?

Thanks!

NICs: The Broadcom NICs that HP uses onboard are excellent, as are server-grade Intel NICs.

Astaro 9 now does some offloading if the NIC supports it. IIRC, there was a bug found recently so I'm not certain what's enabled in 9.002.

Barry

It costs a lot less to run a single large server with one unlimited license than two lesser ones with two unlimited licenses.  HA in Hot-Standby (not Cluster) is what I would recommend.  See an example of "full mesh" attached.

Also, like Barry, I'm an HP ProLiant bigot.  If you have a second, identical server in Hot-Standby, you can get by with Next-Business-Day hardware support, otherwise I'd go for 6h CTR 24x7.

Yes, Fester, it is based on StrongSwan and, yes, Barry, I was thinking of the AES-NI instructions.

I would be interested in knowing if StrongSwan can/should use a Dual 8-Core server with multi-threading enabled (32 threads)?  If limited to 16 threads, I'd ask for confirmation that it's a lot faster with 16 cores with multi-threading disabled than with 8 cores with it enabled.

RAM is cheap, so I erred on the upper end.  Maybe, instead of 64GB, 16GB is enough with dual 8-core processors.  That's a question for which you should be able to get a good answer from Astaro/Sophos.

Cheers - Bob