利用 NVIDIA DOCA 2.0 改变 IPsec 的部署

Janet_dpu&doca 2023-07-04 16:07:55

NVIDIA DOCA 2.0 已于 2023 年 3 月发布，它是适用于 BlueField DPU 的最新版本 NVIDIA SDK。NVIDIA DOCA 和 BlueField DPU 共同加速了应用程序的开发，通过一个全面、开放的开发平台实现突破性的网络、安全和存储性能。

NVIDIA DOCA 2.0 新增了对 BlueField-3 数据路径加速器（DPA）子系统的支持，并增强了 DOCA 存储仿真和 VirtIO 仿真功能。DOCA 2.0 还引入了新的 GPUNetIO 库、IPsec 加密和解密库，并为 DOCA Flow 库添加了功能。

正如在最近的 NVIDIA GTC 大会上所公布的那样，NVIDIA DOCA 2.0 为 BlueField-3 DPU 提供了许多以安全为重点的用例。本文将讨论工作负载的转换，以及 DOCA 和 BlueField DPU 如何共同实现新的性能和效率水平。我们首先回顾全新的 DOCA IPsec 库，以及它如何为您提供创建下一代 IPsec 安全解决方案的机会。

传统 IPsec 解决方案

IPsec 是一种流行的协议，用于通过互联网和数据中心内的服务器之间进行安全通信。它为加密、解密和身份验证提供了一种强大的机制。这使其成为保护传输中数据的理想解决方案，保护 IP 数据包上运行的任何流量免受未经授权的访问、篡改或窃听。

IPsec 可以通过各种方式进行部署。在传统部署中，它通常使用专用硬件来实现。这种硬件通常安装在网络网关上，例如路由器或防火墙。它通常可以提供快速的性能，但缺乏基础设施的灵活性，除非在这些固定路由器或防火墙之间运行，否则无法保护流量。随着网络基础设施的变化，它还需要重新配置或更换。这一耗时的过程需要大量资源，还可能导致网络停机。

虽然 IPsec 的专用硬件部署能够有效的确保网络通信的安全，但也存在一些缺点。IPsec 所需的专用硬件通常成本高昂，且需要专业知识才能进行安装和配置。

解决方案的可扩展性和性能也往往受到限制。随着组织的发展和网络流量的增加，使用专用硬件的系统部署缓慢，容量和功能也受到限制，从而导致性能或功能瓶颈，并降低网络性能。

另一方面，基于 CPU 的 IPsec 处理易于部署，但也有其自身的负担，无法跟上应用程序的流量。对安全和高速通信需求的增加将影响更广泛的应用程序和系统性能。

由于必须对每个数据包进行加密和解密，IPsec 增加了网络流量的开销。IPsec 的额外开销和处理需求增加了网络延迟，影响了应用程序的响应速度和用户体验。

使用 NVIDIA BlueField DPU 来部署 IPsec

随着 NVIDIA DOCA 和新开发的 IPsec 库的出现，IPsec 现在可以通过卸载到 NVIDIA BlueField DPU 来进行部署。这是一个范式的转变，与传统 IPsec 部署形成了鲜明的对比。这种演变为开发人员和合作伙伴提供了新的优势，并凸显了 BlueField DPU 如何为企业领域的客户带来益处。

BlueField DPU 提供了一种可编程解决方案，可用于从 CPU 卸载网络处理任务。在使用 IPsec 的情况下，DPU 可以以多种方式改进 IPsec 过程，同时加速网络流量的加密和解密。

将 IPsec 卸载到 BlueField DPU 可以提高 IPsec 性能，简化网络管理并减少管理开销，从而释放 CPU 来处理其他任务。加密/解密过程以及任何其他网络安全任务现已与服务器的 CPU 和应用程序域隔离。这使得安全性更具弹性，并且更容易检测对手是否在攻击服务器。

在当今的数据中心中，效率和有效性仍然很重要。作为回应，下一代解决方案必须具有可扩展性、灵活性和可组合性。BlueField DPU 可以进行编程，以处理特定的网络相关处理任务，并支持广泛的网络协议和加密算法。例如，DPU 可以执行数据包路由、数据包检查或负载均衡功能，同时还可以加速 IPsec。

随着网络基础设施的发展，无需为每个新功能需求而更换硬件。BlueField DPU 提供了高度可扩展、可定制且具有成本效益的产品。