src/plugins/dpdk/ipsec/dpdk_crypto_ipsec_doc.md

   1 # VPP IPSec implementation using DPDK Cryptodev API    {#dpdk_crypto_ipsec_doc}
   2
   3 This document is meant to contain all related information about implementation and usability.
   4
   5
   6 ## VPP IPsec with DPDK Cryptodev
   7
   8 DPDK Cryptodev is an asynchronous crypto API that supports both Hardware and Software implementations (for more details refer to [DPDK Cryptography Device Library documentation](http://dpdk.org/doc/guides/prog_guide/cryptodev_lib.html)).
   9
  10 When there are enough Cryptodev resources for all workers, the node graph is reconfigured by adding and changing the default next nodes.
  11
  12 The following nodes are added:
  13 * dpdk-crypto-input : polling input node, dequeuing from crypto devices.
  14 * dpdk-esp-encrypt : internal node.
  15 * dpdk-esp-decrypt : internal node.
  16 * dpdk-esp-encrypt-post : internal node.
  17 * dpdk-esp-decrypt-post : internal node.
  18
  19 Set new default next nodes:
  20 * for esp encryption: esp-encrypt -> dpdk-esp-encrypt
  21 * for esp decryption: esp-decrypt -> dpdk-esp-decrypt
  22
  23
  24 ### How to enable VPP IPSec with DPDK Cryptodev support
  25
  26 When building DPDK with VPP, Cryptodev support is always enabled.
  27
  28 Additionally, on x86_64 platforms, DPDK is built with SW crypto support.
  29
  30
  31 ### Crypto Resources allocation
  32
  33 VPP allocates crypto resources based on a best effort approach:
  34 * first allocate Hardware crypto resources, then Software.
  35 * if there are not enough crypto resources for all workers, the graph node is not modified and the default VPP IPsec implementation based in OpenSSL is used. The following message is displayed:
  36
  37       0: dpdk_ipsec_init: not enough Cryptodevs, default to OpenSSL IPsec
  38
  39
  40 ### Configuration example
  41
  42 To enable DPDK Cryptodev the user just need to provide cryptodevs in the startup.conf.
  43
  44 Below is an example startup.conf, it is not meant to be a default configuration:
  45
  46 ```
  47 dpdk {
  48     dev 0000:81:00.0
  49     dev 0000:81:00.1
  50     dev 0000:85:01.0
  51     dev 0000:85:01.1
  52     vdev crypto_aesni_mb0,socket_id=1
  53     vdev crypto_aesni_mb1,socket_id=1
  54 }
  55 ```
  56
  57 In the above configuration:
  58 * 0000:81:01.0 and 0000:81:01.1 are Ethernet device BDFs.
  59 * 0000:85:01.0 and 0000:85:01.1 are Crypto device BDFs and they require the same driver binding as DPDK Ethernet devices but they do not support any extra configuration options.
  60 * Two AESNI-MB Software (Virtual) Cryptodev PMDs are created in NUMA node 1.
  61
  62 For further details refer to [DPDK Crypto Device Driver documentation](http://dpdk.org/doc/guides/cryptodevs/index.html)
  63
  64 ### Operational data
  65
  66 The following CLI command displays the Cryptodev/Worker mapping:
  67
  68     show crypto device mapping [verbose]
  69
  70
  71 ### nasm
  72
  73 Building the DPDK Crypto Libraries requires the open source project nasm (The Netwide
  74 Assembler) to be installed. Recommended version of nasm is 2.12.02. Minimum supported
  75 version of nasm is 2.11.06. Use the following command to determine the current nasm version:
  76
  77     nasm -v
  78
  79 CentOS 7.3 and earlier and Fedora 21 and earlier use unsupported versions
  80 of nasm. Use the following set of commands to build a supported version:
  81
  82     wget http://www.nasm.us/pub/nasm/releasebuilds/2.12.02/nasm-2.12.02.tar.bz2
  83     tar -xjvf nasm-2.12.02.tar.bz2
  84     cd nasm-2.12.02/
  85     ./configure
  86     make
  87     sudo make install