Ich verwende Proxmox und einige VMs darauf. Ich möchte einen Nginx-Proxy einrichten, der das SSL-Offloading für alle meine Dienste übernimmt. Ich frage mich, ob die Ausführung auf einer der VMs bedeuten würde, dass es keine hardwarebasierte Verschlüsselung gäbe, was die Leistung erheblich beeinträchtigen würde, im Gegensatz zur Ausführung direkt auf dem Host.
Wenn ich auf dem Host anzeige /proc/cpuinfo, sehe ich diese Einträge:
processor : 0
vendor_id : AuthenticAMD
cpu family : 23
model : 113
model name : AMD Ryzen 5 3600 6-Core Processor
stepping : 0
microcode : 0x8701021
cpu MHz : 3352.873
cache size : 512 KB
physical id : 0
siblings : 12
core id : 6
cpu cores : 6
apicid : 13
initial apicid : 13
fpu : yes
fpu_exception : yes
cpuid level : 16
wp : yes
flags : fpu vme de pse tsc msr pae mce cx8 apic sep mtrr pge mca cmov pat pse36 clflush mmx fxsr sse sse2 ht syscall nx mmxext fxsr_opt pdpe1gb rdtscp lm constant_tsc rep_good nopl nonstop_tsc cpuid extd_apicid aperfmperf pni pclmulqdq monitor ssse3 fma cx16 sse4_1 sse4_2 movbe popcnt aes xsave avx f16c rdrand lahf_lm cmp_legacy svm extapic cr8_legacy abm sse4a misalignsse 3dnowprefetch osvw ibs skinit wdt tce topoext perfctr_core perfctr_nb bpext perfctr_llc mwaitx cpb cat_l3 cdp_l3 hw_pstate sme ssbd mba sev ibpb stibp vmmcall fsgsbase bmi1 avx2 smep bmi2 cqm rdt_a rdseed adx smap clflushopt clwb sha_ni xsaveopt xsavec xgetbv1 xsaves cqm_llc cqm_occup_llc cqm_mbm_total cqm_mbm_local clzero irperf xsaveerptr wbnoinvd arat npt lbrv svm_lock nrip_save tsc_scale vmcb_clean flushbyasid decodeassists pausefilter pfthreshold avic v_vmsave_vmload vgif umip rdpid overflow_recov succor smca
bugs : sysret_ss_attrs spectre_v1 spectre_v2 spec_store_bypass
bogomips : 7187.19
TLB size : 3072 4K pages
clflush size : 64
cache_alignment : 64
address sizes : 43 bits physical, 48 bits virtual
power management: ts ttp tm hwpstate cpb eff_freq_ro [13] [14]
/proc/cpuinfoin der VM werden deutlich weniger Flags angezeigt, nämlich das aesFlag fehlt auch.
processor : 5
vendor_id : AuthenticAMD
cpu family : 15
model : 6
model name : Common KVM processor
stepping : 1
microcode : 0x1000065
cpu MHz : 3593.248
cache size : 512 KB
physical id : 0
siblings : 6
core id : 5
cpu cores : 6
apicid : 5
initial apicid : 5
fpu : yes
fpu_exception : yes
cpuid level : 13
wp : yes
flags : fpu vme de pse tsc msr pae mce cx8 apic sep mtrr pge mca cmov pat pse36 clflush mmx fxsr sse sse2 ht syscall nx lm rep_good nopl cpuid extd_apicid tsc_known_freq pni cx16 x2apic hypervisor cmp_legacy 3dnowprefetch vmmcall
bugs : fxsave_leak sysret_ss_attrs swapgs_fence spectre_v1 spectre_v2
bogomips : 7186.49
TLB size : 1024 4K pages
clflush size : 64
cache_alignment : 64
address sizes : 40 bits physical, 48 bits virtual
power management:
Antwort1
Ich beantworte meine eigene Frage, nachdem ich einige Tests durchgeführt habe. Mein Setup: Proxmox-Box mit einigen VMs und LXC-Containern. Anfangs habe ich meinen Proxy in einer der VMs eingerichtet. Die Leistung litt mit einem virtualisierten Prozessor erheblich. Nachdem ich den Proxy in einen LXC-Container auf Proxmox gesteckt und die KVM-Virtualisierungsschicht entfernt hatte, versuchte ich, ein 7 GB großes ISO auf Proxmox hochzuladen. Die Geschwindigkeit war absolut rasend schnell, während ein Nginx-Arbeitsprozess 50 % eines Kerns nutzte, während in einer VM der Nginx-Arbeitsprozess einen ganzen Kern mit um ein Vielfaches langsamerer Geschwindigkeit in Anspruch nehmen würde.
Bearbeiten:
Dies ist nur der Fall, wenn der Proxmox-Standard-CPU-Typ - gewählt wird kvm64. Nach einigem Nachforschen fand ich heraus, dass dies standardmäßig getan wird, um eine Live-VM-Migration auf einen anderen Host zu ermöglichen, der einen anderen CPU-Typ haben könnte. Die KVM-emulierte CPU hat weniger Flags, funktioniert aber garantiert überall.
Der CPU-Typ kann geändert werden, hostwodurch alle CPU-Flags an die VM weitergegeben werden und so unter anderem eine hardwarebasierte Verschlüsselung ermöglicht wird.
Quelle