nginx - 如何在 nginx 中配置 openssl 引擎 aes-ni

Question

我使用 AES-NI 引擎来提高 openssl 速度(硬件加速)的性能，我的芯片支持 AES-NI 引擎(Intel(R) Xeon(R) CPU E5620 @ 2.40GHz)。

我尝试安装 openssl 版本 1.0.2-chacha 和 1.0.1l

1.0.2版chacha测试速度时使用openssl命令:

openssl speed aes-256-cbc

然后错误:

Error: bad option or value

版本 1.0.1 当使用 nginx 配置时出现错误:

nginx: [warn] ENGINE_by_id("aesni") failed (SSL: error:25066067:DSO support routines:DLFCN_LOAD:could not load the shared library:filename(/usr/lib/x86_64-linux-gnu/openssl-1.0.1/engines/libaesni.so): /usr/lib/x86_64-linux-gnu/openssl-1.0.1/engines/libaesni.so: cannot open shared object file: No such file or directory error:25070067:DSO support routines:DSO_load:could not load the shared library error:260B6084:engine routines:DYNAMIC_LOAD:dso not found error:2606A074:engine routines:ENGINE_by_id:no such engine:id=aesni)

我知道对于 openssl >= 1.0.1 的版本，AES-NI 不能通过引擎工作，并且不会显示在 openssl 引擎命令中。默认情况下，它在支持的硬件上处于事件状态。

我在 https://www.ruby-forum.com/topic/6873426#1168394 中看到一条命令说“没有配置选项，只要你的CPU支持它就可以工作”。

但我没有找到官方消息来源。

请建议使用版本 openssl 并配置 nginx 的解决方案。

Answer 1

在 OpenSSL >= 1.0.1 中，EVP 接口(interface)中默认启用 AES-NI，并且没有 aesni 引擎。因此，在 nginx 中，没有配置选项可以为 OpenSSL 版本 >= 1.0.1 启用 AES-NI，因为它在 OpenSSL 中默认启用(只要您的 CPU 支持它)。对于 OpenSSL 版本 < 1.0.1，尽管有可用的补丁，但没有对 AES-NI 的官方支持。

[http://openssl.6102.n7.nabble.com/having-a-lot-of-troubles-trying-to-get-AES-NI-working-tp44285p44301.html]