Comment ajuster les algorithmes de chiffrement SMB?

Question

Chiffrement SMB sur le partage de fichiers d'entreprise a échoué après activation. Pas de débit normal.

Performances acceptables non possibles. Utilisation CPU très élevée et chute de débit sévère bloquent, serveur redémarré. Transferts de fichiers échouent.

Lors de l'analyse constaté que les anciens serveurs n'ont pas les instructions matérielles AES-NI - évtl. choix entre AES-128-GCM et AES-128-CCM mal configuré. À quoi ressemble la procédure correcte pour ajuster les algorithmes de chiffrement SMB, sans risquer de saturer le processeur?

Answer 1

Bonjour Jaxon Bailey,

Cette description, qui est typique d'un autre serveur sans prise en charge AES‑NI : une simple mise en œuvre SMB activée, le CPU doit fonctionner de la même manière AES dans le mode logiciel, a été extrêmement haut et a été massivement exploité. La société Korrekte Vorgehensweise est la société SMB-Chiffren utilisée pour les entreprises. Standardmäßig nutzt Windows Server ab 2019 AES‑128‑GCM, as nur mit Hardwarebeschleunigung performant ist. Auf Systemen ohne AES-NI solltest of expplizit auf AES-128-CCM zurückschalten, car this weniger CPU-intensiv ist.

L'analyse a été effectuée via PowerShell avec Set-SmbServerConfiguration -EncryptData 1 -RejectUnencryptedAccess 1 -SmbEncryptionAlgorithm AES_128_CCM. Damit zwingst dun Server, CCM au lieu de GCM pour l'utiliser. Vous pouvez utiliser l'algorithme actif avec Get-SmbServerConfiguration. Il s'agit d'un serveur simple et d'un client dense qui prend en charge l'algorithme, qui est également utilisé pour la liaison. Nach der Umstellung solltest du die CPU‑Last et den Durchsatz erneut messen ; in der Regel reduziert sich the Belastung deutlich, auch wenn die Performance nicht an unverschlüsselte Verbindungen heranreicht.

La première solution est la parfaite connaissance du matériel avec AES‑NI ou nouveau, de Microsoft avec la variante GCM comme standard. Le registre ou la configuration PowerShell s'effectuent lors d'une seule utilisation, sans le processeur prévu pour la dernière fois.

Si ma réponse vous est utile, veuillez cliquer sur Accepter la réponse pour me soutenir.

Merci,

Domic.