Comment ajuster la priorité des suites de chiffrement SMB pour éviter une surcharge CPU

Question

Comment ajuster la priorité des suites de chiffrement SMB pour éviter une surcharge CPU

Luc Martin 20

Nous sommes confrontés à un défi critique sur l'un de nos serveurs de fichiers d'entreprise les plus vitaux, qui traite des volumes de transfert très importants. Le serveur s'effondre tout simplement avec une utilisation processeur saturée à 100 % et une chute vertigineuse des débits suite à l'activation du chiffrement SMB.

Nos analyses révèlent que le processeur de cette machine ne prend pas en charge les instructions matérielles d'accélération AES-NI, ce qui transforme le chiffrement logiciel en un goulot d'étranglement massif pour les ressources du système. Comment pouvons-nous configurer efficacement la priorité des suites de chiffrement SMB, notamment entre AES-128-GCM et AES-128-CCM, afin d'atténuer l'impact sur le processeur et stabiliser les performances de nos partages ?

0 commentaires

1 réponse

Votre réponse

Answer 1

Le problème que vous décrivez est typique des serveurs dépourvus d’accélération matérielle AES-NI : le chiffrement SMB devient entièrement logiciel et provoque une saturation CPU. Dans Windows Server, SMB 3.x utilise par défaut AES-128-GCM, qui est plus sécurisé et performant sur les processeurs modernes, mais paradoxalement plus coûteux sur des CPU sans instructions AES. AES-128-CCM est moins exigeant dans ce contexte, même si son efficacité cryptographique est légèrement inférieure.

Il n’existe pas de paramètre direct pour “prioriser” les suites de chiffrement SMB comme on le ferait avec TLS. Le mécanisme est basé sur une sélection automatique par le serveur et le client. Toutefois, vous pouvez forcer l’algorithme utilisé par SMB via PowerShell. La commande suivante permet de basculer le chiffrement SMB vers AES-128-CCM :

Set-SmbServerConfiguration -EncryptAlgorithm AES-128-CCM

Vous pouvez vérifier la configuration active avec :

Bonjour,

Get-SmbServerConfiguration | Select EncryptAlgorithm

Ce réglage est global au serveur et impactera toutes les connexions SMB chiffrées. Si vous souhaitez revenir à AES-128-GCM, il suffit de relancer la commande avec AES-128-GCM. Notez que Microsoft recommande GCM pour des raisons de sécurité et de performance sur matériel compatible, mais dans votre cas CCM est un compromis pragmatique pour réduire la charge CPU.

Enfin, gardez en tête que même avec CCM, un serveur sans AES-NI restera limité. Si la volumétrie est critique, la vraie solution pérenne est d’envisager un matériel doté d’accélération AES ou d’utiliser des cartes réseau avec offload de chiffrement SMB Direct (RDMA). À défaut, le réglage ci-dessus est le seul levier logiciel fiable pour stabiliser vos performances.J'espère que vous avez trouvé ici des informations utiles. Si cela vous a permis de mieux comprendre le problème, n'hésitez pas à accepter la réponse. Si vous avez d'autres questions, n'hésitez pas à laisser un message. Bonne journée !

HP.