|
NVIDIA BlueField-2助力Palo Alto Networks的虛擬新一代防火墻實(shí)現5倍加速 根據美國聯(lián)邦調查局（FBI）的數據，2020年網(wǎng)絡(luò )犯罪給美國公眾造成的損失高達40億美元以上。 面對各種新型威脅，為提前做好防御，全球網(wǎng)絡(luò )安全領(lǐng)導者Palo Alto Networks開(kāi)發(fā)了首款通過(guò)NVIDIA BlueField DPU（數據處理器）加速的虛擬NGFW（ Next-Generation FirewWall - 新一代防火墻）。 DPU通過(guò)將流量從主機處理器卸載到獨立于服務(wù)器CPU的專(zhuān)用硬件上，可加速對數據包的過(guò)濾和轉發(fā)。該解決方案讓每臺服務(wù)器都能擁有Palo Alto Networks的虛擬NGFW的入侵防御和高級安全功能，且不以犧牲網(wǎng)絡(luò )性能為代價(jià)，還能對網(wǎng)絡(luò )流中的相關(guān)部分進(jìn)行智能篩選，并將其余的操作卸載到DPU，實(shí)現了對以前不可能或做不到的網(wǎng)絡(luò )流進(jìn)行檢查。 作為市場(chǎng)上首款使用DPU加速的產(chǎn)品，這款硬件加速的軟件NGFW是Palo Alto Networks公司提升軟件防火墻性能以及實(shí)現數據中心安全覆蓋范圍和效率最大化進(jìn)程中的一座里程碑。 最近發(fā)布的基于DPU的Palo Alto Networks VM系列NGFW采用了零信任網(wǎng)絡(luò )安全原則，DPU作為智能網(wǎng)絡(luò )過(guò)濾器，能夠以不消耗CPU的方式，對網(wǎng)絡(luò )流進(jìn)行解析、分類(lèi)和引導，使NGFW能夠在各種典型用例中達到接近100Gb/s的吞吐量。與單純運行在CPU上的VM系列防火墻相比，其性能提高了5倍；而與傳統的硬件方案相比，可節省高達150%的資本支出。 Palo Alto Networks公司的產(chǎn)品高級副總裁Muninder Singh Sambi表示：“企業(yè)和電信公司都在建立類(lèi)云數據中心，因此既需要云的敏捷性和自動(dòng)化，同時(shí)又不能影響性能。我們與NVIDIA的合作，大幅提升了我們基于機器學(xué)習的VM系列虛擬NGFW的性能。對于在類(lèi)云環(huán)境中運行的網(wǎng)絡(luò )安全解決方案而言，業(yè)內領(lǐng)先的NVIDIA BlueField DPU是您的理想選擇�！� 作為市場(chǎng)上首款支持BlueField DPU的NGFW，VM系列產(chǎn)品通過(guò)將數據包過(guò)濾和轉發(fā)等功能從主機處理器卸載到BlueField DPU上進(jìn)行硬件加速，可助力于應用感知的分段（Segmentation）、預防惡意軟件、檢測新型威脅及阻止數據滲漏等業(yè)務(wù)。 
智能流量卸載服務(wù) 在某些客戶(hù)環(huán)境中，大多數流量或者是無(wú)需檢查（如視頻、游戲、視頻會(huì )議等流媒體流量），或者是無(wú)法檢查（如客戶(hù)無(wú)法在防火墻上指定相應解密策略的加密流量等）。在這種情況下，智能流量卸載技術(shù)可以實(shí)現只那些能夠受益于持續安全檢查的網(wǎng)絡(luò )流來(lái)確保防火墻資源的優(yōu)化利用。 高達80%的網(wǎng)絡(luò )流量，包括數據中心中的多媒體和加密數據，都無(wú)需或無(wú)法由防火墻進(jìn)行檢查。如何來(lái)區分這些流量，NVIDIA和Palo Alto Networks的聯(lián)合解決方案包括了 ITO（智能流量卸載）服務(wù)，該技術(shù)可以對網(wǎng)絡(luò )流量進(jìn)行檢查，以區分每個(gè)會(huì )話(huà)（Session）是否受益于安全檢查。 ITO（智能流量卸載）服務(wù)通過(guò)檢查流量中的每個(gè)會(huì )話(huà)（Session），以確定該會(huì )話(huà)是否能受益于安全檢查。如果防火墻確定該會(huì )話(huà)無(wú)法受益于安全檢查，則ITO會(huì )指示BlueField-2 DPU將該會(huì )話(huà)中的所有后續數據包直接轉發(fā)到目的地，而不必再發(fā)送到防火墻（見(jiàn)下表）。 只有檢查能夠受益于安全檢查的網(wǎng)絡(luò )流，才會(huì )把其余安全操作卸載到DPU，既減少了防火墻和主機CPU上的總負載，又提升了性能和安全性。 ITO（智能流量卸載）使企業(yè)、電信和云運營(yíng)商能夠在零信任環(huán)境下，通過(guò)在每臺主機上運行NGFW來(lái)保護最終用戶(hù)，助力其加快數字化轉型，同時(shí)免受各種網(wǎng)絡(luò )威脅。
Palo Alto Networks的ITO服務(wù)通過(guò)NVIDIA BlueFIeld DPU，智能卸載無(wú)需進(jìn)一步安全檢查的流量 擴展NVIDIA DOCA SDK開(kāi)發(fā)者生態(tài)系統 Palo Alto Networks在BlueField DPU上的NGFW的早期開(kāi)發(fā)使用了gRPC中的開(kāi)源遠程程序來(lái)調用框架（云原生計算基金會(huì )的一個(gè)項目）和NVIDIA 的ASAP2（一款開(kāi)源硬件加速框架）。 現在BlueField和ASAP2 的gRPC接口現已并入NVIDIA DOCA SDK，這一芯片架構上的數據中心基礎架構開(kāi)發(fā)平臺為開(kāi)發(fā)者提供了一個(gè)開(kāi)源平臺，使開(kāi)發(fā)者能夠構建在BlueField DPU上運行的軟件定義和硬件加速的網(wǎng)絡(luò )、存儲、安全與管理應用程序。 NVIDIA致力于建立一個(gè)大型開(kāi)發(fā)者社區，為基于NVIDIA GPU和BlueField DPU的數據中心基礎設施應用和服務(wù)帶來(lái)徹底的改觀(guān)，DOCA正是其中的一部分。 |
