NVIDIA DOCA 2.0 已于 2023 年 3 月釋出，它是适用于 BlueField DPU 的最新版本 NVIDIA SDK。NVIDIA DOCA 和 BlueField DPU 共同加速了應用程式的開發，通過一個全面、開放的開發平台實作突破性的網絡、安全和存儲性能。
NVIDIA DOCA 2.0 新增了對 BlueField-3 資料路徑加速器（DPA）子系統的支援，并增強了 DOCA 存儲仿真和 VirtIO 仿真功能。DOCA 2.0 還引入了新的 GPUNetIO 庫、IPsec 加密和解密庫，并為 DOCA Flow 庫添加了功能。
正如在最近的 NVIDIA GTC 大會上所公布的那樣，NVIDIA DOCA 2.0 為 BlueField-3 DPU 提供了許多以安全為重點的用例。本文将讨論工作負載的轉換，以及 DOCA 和 BlueField DPU 如何共同實作新的性能和效率水準。我們首先回顧全新的 DOCA IPsec 庫，以及它如何為您提供建立下一代 IPsec 安全解決方案的機會。
傳統 IPsec 解決方案
IPsec 是一種流行的協定，用于通過網際網路和資料中心内的伺服器之間進行安全通信。它為加密、解密和身份驗證提供了一種強大的機制。這使其成為保護傳輸中資料的理想解決方案，保護 IP 資料包上運作的任何流量免受未經授權的通路、篡改或竊聽。
IPsec 可以通過各種方式進行部署。在傳統部署中，它通常使用專用硬體來實作。這種硬體通常安裝在網絡網關上，例如路由器或防火牆。它通常可以提供快速的性能，但缺乏基礎設施的靈活性，除非在這些固定路由器或防火牆之間運作，否則無法保護流量。随着網絡基礎設施的變化，它還需要重新配置或更換。這一耗時的過程需要大量資源，還可能導緻網絡停機。
雖然 IPsec 的專用硬體部署能夠有效的確定網絡通信的安全，但也存在一些缺點。IPsec 所需的專用硬體通常成本高昂，且需要專業知識才能進行安裝和配置。
解決方案的可擴充性和性能也往往受到限制。随着組織的發展和網絡流量的增加，使用專用硬體的系統部署緩慢，容量和功能也受到限制，進而導緻性能或功能瓶頸，并降低網絡性能。
另一方面，基于 CPU 的 IPsec 處理易于部署，但也有其自身的負擔，無法跟上應用程式的流量。對安全和高速通信需求的增加将影響更廣泛的應用程式和系統性能。
由于必須對每個資料包進行加密和解密，IPsec 增加了網絡流量的開銷。IPsec 的額外開銷和處理需求增加了網絡延遲，影響了應用程式的響應速度和使用者體驗。
使用 NVIDIA BlueField DPU 來部署 IPsec
随着 NVIDIA DOCA 和新開發的 IPsec 庫的出現，IPsec 現在可以通過解除安裝到 NVIDIA BlueField DPU 來進行部署。這是一個範式的轉變，與傳統 IPsec 部署形成了鮮明的對比。這種演變為開發人員和合作夥伴提供了新的優勢，并凸顯了 BlueField DPU 如何為企業領域的客戶帶來益處。
BlueField DPU 提供了一種可程式設計解決方案，可用于從 CPU 解除安裝網絡處理任務。在使用 IPsec 的情況下，DPU 可以以多種方式改進 IPsec 過程，同時加速網絡流量的加密和解密。
将 IPsec 解除安裝到 BlueField DPU 可以提高 IPsec 性能，簡化網絡管理并減少管理開銷，進而釋放 CPU 來處理其他任務。加密/解密過程以及任何其他網絡安全任務現已與伺服器的 CPU 和應用程式域隔離。這使得安全性更具彈性，并且更容易檢測對手是否在攻擊伺服器。
在當今的資料中心中，效率和有效性仍然很重要。作為回應，下一代解決方案必須具有可擴充性、靈活性和可組合性。BlueField DPU 可以進行程式設計，以處理特定的網絡相關處理任務，并支援廣泛的網絡協定和加密算法。例如，DPU 可以執行資料包路由、資料包檢查或負載均衡功能，同時還可以加速 IPsec。
随着網絡基礎設施的發展，無需為每個新功能需求而更換硬體。BlueField DPU 提供了高度可擴充、可定制且具有成本效益的産品。
圖 1 . NVIDIA DOCA 2.0 軟體架構
用于分布式防火牆的 BlueField-3 DPU、
NVIDIA DOCA 2.0 和 IPsec
對于實際用例，請檢視具有加速 IPsec 加密和解密功能的防火牆。在此類部署中，将 IPsec 處了解除安裝到 BlueField-3 DPU 可為網絡基礎設施帶來顯著優勢。
正如之前提到的，IPsec 提供了一系列功能來保護 IP 資料包免受未經授權的通路、篡改和竊聽。這些 CPU 密集型功能意味着解除安裝是一個有吸引力的解決方案。
在基于軟體的分布式防火牆中，通過解除安裝到 BlueField-3 DPU 可以優化操作并加速性能。可信流量被解除安裝到 DPU，并使用 IPsec 協定發送到接收主機。這降低了 CPU 的使用率，并快速、高效地管理可信流量。其他流量仍然需要進行威脅檢查，通過防火牆邏輯進行路由。
由于 CPU 不再管理 IPsec 流量，是以該過程現已得到了優化，并為防火牆提供了更好的應用程式性能。通過在 DPU 上終止 IPsec 連接配接，您可以執行網絡檢查。如果伺服器僅僅通過所有 IPsec 加密的流量而不解密，這将是不可能的。
就下一代防火牆（NGFW）的開發而言，新的 DOCA IPsec 庫中包含的資源池有助于簡化流程并縮短上市時間。這些資源組合有助于建立更高效的控制平面，進而提供更大的規模和更高的性能，以達到數千個并發連接配接。
除了 NGFW 之外，新的 DOCA IPsec 庫可以用于通過 NVIDIA DPU 在各種用例中使用 IPsec 傳遞：
- 虛拟專用網絡（VPN）網關
- 入侵檢測和預防系統（IDPS）
- 用于負載均衡和微分段的加密
DOCA IPsec 也可用于存儲網絡加密和東西向流量的透明 IPsec 加密。
BlueField 和 NVIDIA DOCA：
為企業帶來益處
此示例隻是 BlueField-3 DPU 和 NVIDIA DOCA 相結合來增加了商業和技術價值的用例之一：
- 減少資源使用率，以便您有更多的時間用于其他項目。
- 縮短上市時間，為應用程式開發者和系統內建商提供潛在的競争優勢。
- 在不對 CPU 使用産生任何重大影響的情況下，加速根程序，進而獲得技術進步。
總結
NVIDIA DOCA SDK 是 BlueField-3 DPU 的實作平台。使用 NVIDIA DOCA 元件（API、運作時、庫和驅動程式）有助于加快應用程式的開發。與 NVIDIA DPU 一起使用，它提供了以前無法實作的性能水準。
*本文轉載自 NVIDIA英偉達
*與 NVIDIA 産品相關的圖檔或視訊（完整或部分）的版權均歸 NVIDIA Corporation 所有。