### 第4章 测试环境搭建：硬件选型、操作系统配置与依赖库安装

测试环境搭建：从选型到落地的实战经验

环境搭建这件事，说简单也简单，说复杂也复杂。我见过不少团队，花了大力气写脚本，最后却因为底层环境没配好，压测数据根本没法看。

嗯，这一章我们就把底打结实。硬件怎么选、系统怎么配、库怎么装，一个一个来。

硬件选型：加密卡还是云HSM？

我个人习惯，先把需求说清楚，再选硬件。你想想看，如果压测目标是10000 TPS，和目标是100 TPS，硬件方案能一样吗？

维度	本地加密卡（PCIe）	云HSM（网络）
延迟	微秒级，极低	毫秒级，受网络影响
吞吐	取决于卡型，通常>5000 TPS	受带宽限制，通常<2000 TPS
部署	需要物理服务器、插槽、驱动	API调用，一键开通
成本	一次性采购高，运维成本低	按使用付费，长期可能更贵
可扩展性	受限于物理槽位	弹性扩展

加密卡选型要点

• 驱动兼容性： 确认卡厂商提供完整Linux驱动，且支持你的内核版本。我曾经碰到过新内核编译不过驱动的惨案，最后只能降回老内核。
• 多卡协同： 如果需要多卡并行，看一眼板卡是否支持热插拔、是否支持统一密钥管理。
• 固件版本： 压测前务必升级到厂商推荐的最新稳定版固件，很多诡异的随机失败都是固件bug。

云HSM选型要点

• 网络延迟： 用iperf测一下压测机到云HSM端点的RTT，保证在2ms以内，不然压测数据会被网络噪声污染。
• 并发连接数： 云HSM实例有并发连接数上限，压测时容易触发限制。压之前先问清楚限频阈值。
• 分区/租户隔离： 确保你用的是专属实例，不是共享实例。共享实例的性能……嗯，你懂的。

操作系统配置：为压测“瘦身”

系统配置这块，很多同学觉得不重要。其实恰恰相反——我见过不少压测结果异常，最后追根溯源都是系统的某个参数没调对。

关键配置项

配置项	推荐值	为什么重要
CPUfreq governor	performance	避免CPU自动降频导致TPS锯齿
IRQ affinity	绑定到非压测核心	减少中断干扰
Linux HugePages	1GB大页	减少TLB miss，提升内存密集型操作
文件描述符上限	65535+	高并发连接场景容易触及默认上限
网络内核参数	net.core.somaxconn=1024	改善连接队列深度

操作系统“瘦身”清单

1. 关闭服务： systemd的哪些用不上的服务，firewalld、auditd、rpcbind，统统disable。
2. 关闭swap： swapoff -a ; 注释掉fstab里的swap行。压测时只要触发一次swap，延迟就崩了。
3. 设置CPU隔离： 在grub配置里加上 isolcpus=2-15 这样的参数，把压测程序绑定到隔离核，减少调度干扰。
4. 调整limits.conf： 设置 soft/hard nofile 为 65535 或更高，防止并发连接数不够。

关于lib目录的补充

我建议把所有HSM SDK依赖的.so文件单独放在 /opt/hsm/lib 下面，然后用 ldconfig 加入缓存，或者直接用 LD_LIBRARY_PATH。为什么我专门挑这个说？因为之前有团队把SDK依赖扔到了系统目录，结果和另一个版本的SSL库冲突了，压测遇到签名错误，耽误了一整天。

# 推荐做法：统一管理依赖
mkdir -p /opt/hsm/lib
cp /path/to/hsm-sdk/lib/*.so /opt/hsm/lib/
echo "/opt/hsm/lib" > /etc/ld.so.conf.d/hsm.conf
ldconfig

依赖库安装：SDK供应商隐藏的坑

依赖库这块，我习惯先看SDK官方文档里的"Prerequisites"列表，但不要只看列表。

你想想看，很多SDK在静态编译时还好，一到运行时就开始报动态链接的错误。为什么？因为rpath没设置对，或者某个.so的版本号和系统上装的不一致。

依赖库安装三大类

• 基础运行时库：glibc、libstdc++、libpthread（一般系统自带，但注意glibc版本，太老可能不行）
• 加密算法库：OpenSSL（1.1.1或3.x，注意SDK要求的具体版本）、gmp、nss
• SDK自身依赖：PKCS#11的protobuf库、RESTful客户端用到的curl、json-c等

依赖库	版本建议	验证命令
OpenSSL	1.1.1w 或 3.0.13	openssl version
libcurl	7.85+	curl --version
json-c	0.15+	pkg-config --modversion json-c
protobuf-c	1.3.3+	pkg-config --modversion protobuf-c

# 以OpenSSL安装为例（源码安装，避免系统版本冲突）
wget https://www.openssl.org/source/openssl-3.0.13.tar.gz
tar -xzf openssl-3.0.13.tar.gz && cd openssl-3.0.13
./config --prefix=/opt/openssl3 --openssldir=/opt/openssl3/ssl
make -j$(nproc) && make install

# 编译压测程序时指定rpath
gcc -o hsm_benchmark hsm_benchmark.c \
    -I/opt/openssl3/include \
    -L/opt/openssl3/lib64 \
    -Wl,-rpath,/opt/openssl3/lib64 \
    -lssl -lcrypto -lp11

依赖库安装后的自检清单

1. ldd 检查压测程序是否链接到正确版本的.so，不要出现 "not found"。
2. 跑一次最简单的SDK初始化代码（比如C_Initialize(NULL)），确认底层通信正常。
3. 如果使用云HSM，检查网络可达：nc -zv [HSM_ENDPOINT] [PORT]。