מידע על הצפנה בזמן ההעברה

בדף הזה מובאת סקירה כללית על הצפנה במעבר ב-Memorystore for Redis.

הוראות להצפנת חיבור באמצעות הצפנה בזמן ההעברה מפורטות במאמר הפעלת הצפנה בזמן ההעברה.

ב-Memorystore for Redis יש תמיכה רק בפרוטוקול TLS בגרסה 1.2 ומעלה.

מבוא

‫Memorystore for Redis תומך בהצפנה של כל התעבורה ב-Redis באמצעות פרוטוקול Transport Layer Security ‏ (TLS). כשההצפנה במעבר מופעלת, לקוחות Redis מתקשרים רק דרך חיבור מאובטח ליציאה. לקוחות Redis שלא הוגדרו ל-TLS ייחסמו. אם בוחרים להפעיל הצפנה במעבר, אתם אחראים לוודא שלקוח Redis שלכם יכול להשתמש בפרוטוקול TLS.

דרישות מוקדמות להצפנה בזמן העברה

כדי להשתמש בהצפנה במעבר עם Memorystore for Redis, צריך:

  1. לקוח Redis שתומך ב-TLS או ב-TLS sidecar של צד שלישי
  2. רשות אישורים שמותקנת במכונת הלקוח שניגשת למופע Redis

גרסאות קודמות לגרסה 6.0 של Redis בקוד פתוח לא תמכו ב-TLS מובנה. לכן, לא כל ספריות הלקוח של Redis תומכות ב-TLS. אם אתם משתמשים בלקוח שלא תומך ב-TLS, מומלץ להשתמש בתוסף Stunnel של צד שלישי, שמאפשר TLS ללקוח שלכם. במאמר חיבור מאובטח למכונת Redis באמצעות Stunnel ו-telnet יש דוגמה לחיבור למכונת Redis באמצעות Stunnel.

רשות אישורים

במופע Redis שמשתמש בהצפנה במעבר יש רשות אישורים (CA) ייחודית אחת או יותר שמשמשת לאימות הזהות של השרת. CA הוא מחרוזת שצריך להוריד ולהתקין בלקוח שמקבל גישה למופע Redis. תעודת CA תקפה למשך עשר שנים מהתאריך שבו היא נוצרה. כדי להבטיח את המשכיות השירות, צריך להתקין את רשות האישורים החדשה בלקוחות של מופע Redis לפני שרשות האישורים הקודמת תפוג.

רוטציה של רשות אישורים

אחרי שיוצרים מופע עם הצפנה במעבר, רשות אישורים (CA) תקפה למשך 10 שנים. בנוסף, חמש שנים אחרי שיוצרים את המופע, Memorystore for Redis יוצר רשות CA חדשה ומאפשר להשתמש בה.

ה-CA הישן נשאר בתוקף עד לתאריך התפוגה שלו, כך שיש לכם חלון זמן של חמש שנים להורדה ולהתקנה של ה-CA החדש בלקוחות שמתחברים למופע Redis. אחרי שתוקף ה-CA הישן יפוג, תוכלו להסיר אותו מהלקוחות שלכם.

רוטציה של אישורי שרת

רוטציה של אישורים בצד השרת מתרחשת כל 180 ימים, וגורמת לניתוק זמני של החיבור למשך כמה שניות. כדי ליצור מחדש את החיבור, צריך להגדיר לוגיקה של ניסיון חוזר עם השהיה מעריכית לפני ניסיון חוזר (exponential backoff). רוטציה של אישורים לא גורמת למעבר לגיבוי (failover) במופעים של מסלול רגיל.

מגבלות על חיבורים להצפנה בזמן ההעברה

הפעלת הצפנה במעבר במופע Redis מגדירה מגבלות על המספר המקסימלי של חיבורי לקוח שיכולים להיות למופע. המגבלה תלויה בגודל המכונה. אם אתם צריכים יותר חיבורים ממה שנתמך ברמת הקיבולת הנוכחית שלכם, כדאי להגדיל את הגודל של מופע Redis.

שכבת קיבולת מספר החיבורים המקסימלי ל-Redis בגרסאות 4.0,‏ 5.0 ו-6.x1 מספר החיבורים המקסימלי ל-Redis מגרסה 7.0 ואילך1
M1 (1-4GB) 1000 65,000
‫M2 (5-10GB) 2,500 65,000
M3 (11-35GB) 15,000 65,000
‫M4‏ (36-100GB) 30,000 65,000
M5 (101GB ומעלה) 65,000 65,000

‫1 מגבלות החיבור האלה הן משוערות, והן תלויות בקצב ובמורכבות של פקודות Redis שנשלחות לכל חיבור.

מעקב אחרי חיבורים

למופעי Redis עם הצפנה בנתונים בזמן העברה יש מגבלות חיבור ספציפיות, ולכן כדאי לעקוב אחרי המדד redis.googleapis.com/clients/connected כדי לוודא שלא חורגים ממגבלת החיבור. אם חורגים מהמגבלה, מופעלת דחייה של ניסיונות חיבור חדשים למופע Redis. במקרה כזה, מומלץ להגדיל את גודל המופע כך שיכיל את מספר החיבורים הנדרש. אם אתם חושדים שחיבורים בלי פעילות מהווים מספר משמעותי מתוך החיבורים שלכם, אתם יכולים לסיים את החיבורים האלה באופן יזום באמצעות פרמטר ההגדרה timeout.

השפעה על הביצועים של הפעלת הצפנה בזמן ההעברה

תכונת ההצפנה בזמן ההעברה מצפינה ומפענחת נתונים, מה שגורם לעומס יתר על העיבוד. כתוצאה מכך, הפעלת הצפנה במעבר עלולה להפחית את הביצועים. בנוסף, כשמשתמשים בהצפנה במעבר, כל חיבור נוסף כרוך בעלות משאב משויכת. כדי לקבוע את זמן האחזור שמשויך לשימוש בהצפנה בזמן העברה, משווים את ביצועי האפליקציה על ידי השוואת ביצועי האפליקציה עם מופע Redis שבו ההצפנה בזמן העברה מופעלת, ועם מופע Redis שבו היא מושבתת.

הנחיות לשיפור הביצועים

  • כדאי לצמצם את מספר החיבורים של הלקוחות כשאפשר. עדיף ליצור חיבורים ארוכים ולעשות בהם שימוש חוזר, במקום ליצור חיבורים קצרים לפי דרישה.
  • להגדיל את הגודל של מופע Memorystore (מומלץ להשתמש ב-M4 או בגודל גדול יותר).
  • מגדילים את משאבי ה-CPU של המכונה המארחת של לקוח Memorystore. במכונות של לקוחות עם מספר גבוה יותר של ליבות CPU, הביצועים טובים יותר. אם משתמשים במכונה וירטואלית של Compute Engine, מומלץ להשתמש במכונות שעברו אופטימיזציה לחישובים.
  • להקטין את גודל המטען הייעודי (payload) שמשויך לתנועת נתונים באפליקציה, כי מטען ייעודי גדול יותר דורש יותר הלוך ושוב.

ההשפעה של הצפנה בזמן העברה על השימוש בזיכרון

הפעלת ההצפנה בזמן העברה שומרת חלק מהזיכרון של מופע Redis לתכונה. בהנחה שכל שאר הדברים זהים, אם ההצפנה במעבר מופעלת, הערך של מדד יחס השימוש בזיכרון המערכת גבוה יותר בגלל התקורה הנוספת של הזיכרון שמשמשת את התכונה.

שיפורי ביצועים ב-Redis גרסה 7.0

השימוש ב-Redis בגרסה 7.0 ב-Memorystore for Redis משפר את הביצועים של ההצפנה במעבר. כדי ליהנות משיפורים בביצועים, כדאי לשדרג את המופע לגרסה 7.0 של Redis. אם משתמשים בגרסה הזו, Memorystore for Redis לא מפסיק את החיבורים שמשמשים להחלפת אישורי שרת או לביצוע פעולות עדכון.

המאמרים הבאים