Perso, j'ai servi facilement 200Mbps de trafic avec un nœud arm chez scaleway il y a 2 ou 3 ans. C'est pour ça que je vois mal la question de la perf.
Le débit ça coûte rien. C'est du chiffrement symétrique si je ne m'abuse. Il te faut juste un gros CPU. Ce qui peut te flinguer c'est par exemple l'ouverture de connexion. Ouvrir 10k connexions TLS par seconde ça commence à demander de l'entropie, du chiffrement asymétrique pour l'échange de clef, de la validation de certificat, de la deserialisation de certificats1,... Tout ça va impacter sensiblement ta latence.
Des dizanes de milliers de mobile, 4a me semble assez facile de répartir avec un load-balancer tcp en front avant d'avoir les front qui exposent le TLS.
En IPv4 (c'est pas ma décision), ton loadbalancer va devoir gérer du NAT, ce qui va lui demander pas mal de RAM, mais oui ça consiste à multiplier ton nombre de machines. C'est un choix ça a un coût, ça se calcul.
Mon point n'est pas forcément de dire que c'est impossible juste que ce n'est pas aussi évident que « c'est un minimum ». Ce n'est pas forcément trivial à mettre en place selon le contexte.
[^] # Re: En outre...
Posté par barmic 🦦 . En réponse au journal Elastic fait fermer les dépôts SearchGuard sur GitHub. Évalué à 2.
Le débit ça coûte rien. C'est du chiffrement symétrique si je ne m'abuse. Il te faut juste un gros CPU. Ce qui peut te flinguer c'est par exemple l'ouverture de connexion. Ouvrir 10k connexions TLS par seconde ça commence à demander de l'entropie, du chiffrement asymétrique pour l'échange de clef, de la validation de certificat, de la deserialisation de certificats1 ,... Tout ça va impacter sensiblement ta latence.
En IPv4 (c'est pas ma décision), ton loadbalancer va devoir gérer du NAT, ce qui va lui demander pas mal de RAM, mais oui ça consiste à multiplier ton nombre de machines. C'est un choix ça a un coût, ça se calcul.
Mon point n'est pas forcément de dire que c'est impossible juste que ce n'est pas aussi évident que « c'est un minimum ». Ce n'est pas forcément trivial à mettre en place selon le contexte.
je ne l'avais pas benché et je ne pensais pas que ça puisse poser problème, mais ça a l'air d'être sensible https://jbp.io/2019/07/01/rustls-vs-openssl-performance.html ↩
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll