Skip to main content
开放网络的先行者与推动者—星融元
加入我们技术支持(Support)  TEL:(+86)4000989811

标签: 产品特性价值

技术分享-P4可编程平台+DPU的负载均衡实现思路


关注星融元


在选择硬件还是软件负载均衡方案时,务必根据实际的场景去考量。我们总结衡量负载均衡性能的关键指标,主要有以下几条:会话表项容量、新建并发处理数量、转发性能。

硬件负载均衡的优势:高性能,功能全面,打包提供安全功能

在定制处理器上运行的独立负载均衡服务器。硬件负载均衡一般都支持全局负载均衡并提供全面的、复杂的负载均衡算法,功能强大;并且基于专用的处理器,吞吐量也能做到很高,可以支持单机百万以上的并发。此外硬件负载均衡往往具备防火墙、防DDOS等安全功能。

硬件负载均衡的问题:昂贵、灵活性差、扩展性差、无法被云平台统一管控

支持硬件负载均衡的专用设备是一个封闭的盒子,当需要进行动态扩容/网络改造时会非常不灵活。举个例子,目前有很多上云的业务希望用云管平台统一管理起来。但是如果是用封闭的硬件负载均衡方案,就无法做到灵活的统一管控。另一个更为实际的因素,价格。专用硬件负载均衡设备价格昂贵,大多数用户负担不起。以F5 的设备为例,一台比较低端的设备在市场价格可达到 30 万左右,如果还需要进行高可靠部署,成本就是翻倍的。

IB交换设备图

软件负载均衡的优势:可在标准硬件上运行,低成本,良好的扩展性

软件负载均衡的问题:性能差、部分情况配置复杂、部署在服务器上大量消耗了服务器性能

显而易见,性能上达不到专用硬件的性能。在做这种软件负载均衡的情况下需要考虑各种各样的接口,业务的配置,这会是非常复杂的情况。并且所有基于软件的负载均衡实现方式都需要部署在我们服务器上,也就意味着消耗服务器 CPU 的性能,造成了我们各种各样的一个厂商成本上升。

基于P4+ DPU可编程平台的的负载均衡实现思路

1、P4+DPU的可编程开放硬件平台(需配合用户自研负载均衡软件)

  • 可提供千万级的会话表项和百万级的高并发
  • 相比专用的负载均衡设备,在设备成本上有非常大的缩减
  • 管理平面、控制平面和数据平面全部可与CloudOS对接

P4+DPU的可编程开放硬件平台

P4+DPU的可编程开放硬件平台的转发过程

负载均衡实现概要

有一个新请求过来,设备首先会去查表,如果命中就直接走硬件的快速转发;如果没有命中就会把请求上送到智能业务处理卡(GHC卡),由其进行转发。与此同时它还会把相关信息发送给CPUCPU会生成详细的会话表项,并把表项的摘要下发到交换芯片中,交换芯片在数据流下次进来的时候直接转发,从而实现智能快速转发和慢速转发的结合。

在实际的负载均衡场景中,往往存在着非常定制化的开发需求。X-T系列硬件平台可提供一款针对开放、可编程网络构建的底层操作系统(AsterNOS-Framework,它作为一站式的综合开发环境,以轻量化的SONiC为内核,将三种异构硬件单元(x86/ARM/P4 Switch ASIC)融合成一个完整的网络系统,可为开发者大大缩短开发周期。

相关链接:https://asterfusion.com/product/x3-t/

2、Helium DPU网卡(Server in Server,卸载服务器上的软件负载均衡)

  • 高性能DPU芯片,多核ARM64、集成多个硬件加速协处理器,拥有百G级的网络连接能力
  • 智能网卡的外挂扩展内存可解决四七层负载均衡对会话表容量的要求
  • 卸载OVS+负载均衡释放服务器集群性能,降低服务器集群压力

卸载服务器上的软件负载均衡

除了标准的Linux以外,Helium DPU网卡还可提供底层基座操作系统FusionNOS-Framework和DPDK开发套件,客户可以此为基础,直接开发上层应用程序。基于x86开发的各种DPDK应用、VPP应用和一般Linux驱动应用,仅需要简单编译就可以迅速移植到Helium DPU网卡上。

提供底层基座操作系统FusionNOS-Framework和DPDK开发套件

各种DPDK应用、VPP应用,仅需简单编译就可以迅速移植到Helium DPU网卡

相关链接:https://asterfusion.com/product/helium_dpu/

相关文章

低时延特性媲美Infiniband交换机,星融元发布200GE和400GE新款型


关注星融元


CX-N系列是星融元自主开发的超低时延以太网云交换机,可为云数据中心的高性能计算(HPC)集群、AI大数据分析、高频交易、Cloud OS融合等多种业务提供高性能的网络服务,亦可部署于云化园区网络、运营商网络等多种场景。

超低时延以太网云交换机

  • Port to Port 时延最低可达400ns
  • 搭载功能完备的企业级SONiC发行版 – AsterNOS
  • 支持RoCEv2协议以及各项网络拥塞控制技术,提升
  • 带宽利用率并减少网络传输的延迟、抖动,帮助构建高性价比的无损以太网
  • 全盒式设备,组网灵活易扩展
  • 支持零配置部署和上线,简化运维工作量,降低整体运营成本

星融元硬件与网络操作系统的架构优势

新增200GE/400GE款型

充分满足下一代数据中心高带宽需求

超低时延交换机新增机型及规格

  • 采用业界主流的最新一代低时延可编程芯片,对芯片进行重编程优化
  • 新算法重构上层软件协议,在控制面保持低时延特性
  • 单个盒式交换机提供更多的200GE/400GE接口速率,承担更大的业务吞吐量
  • 精简网络中的交换机数量,降低整体功耗,可将更多资源用于计算和存储业务
  • 促进网络扁平化,TOR交换机之上的跳数更少,延迟更小
  • 配合星融元带内网络遥测(Inband Network Telemetry)方案,实时、精准监测网络运行状态,保障网络稳定运行

性能媲美IB的平价替代之选

真实场景测试:超低时延以太网交换机 VS. Infiniband交换机

以下是在分布式存储网络场景下的对比测试,参与测试的设备同为32x100G规格。对比各项测试结果,我们可以明显看到:星融元的CX532P-N的整体性能优于Mellanox的SB7700,时延更低。

测试结论

在本次存储场景测试中,CX532P-N交换机各项特性可超越Infiniband交换机(SB7700),而作为通用以太网硬件的CX-N系列,成本仅为专用设备的50%左右。

相比建设高性能计算或存储专网,采用CX-N系列构建多网合一的融合增强型以太网可大大降低运维难度和成本投入。

存储场景测试测试结果

测试环境-硬件

存储场景测试环境-硬件

测试环境-软件工具

存储场景测试环境-软件工具

相关文章

积极响应客户反馈,SONiC交换机全面支持思科风格命令行


关注星融元


今天,我们不谈产品也不谈方案,想先给大伙分享一个客户「不成功案例」 。

配图

来简单说说背景吧。正如诸位所见,近些年越来越多的新锐科技企业都开始有了业务上云的需求。云成为了支撑业务运转的生产力工具,云上的数据更是企业的宝贵的核心资产。

出于多方面因素,不少公司放弃了公有云方案,考虑构建一个弹性扩展、自主可控的私有云。但这无疑向云基础设施提出了严苛要求。例如云网络,就得具备低时延,高可靠、易扩展等特性才能轻松承载大批量的AI分析业务等等……当然,还需兼顾到自主建云的性价比。


D公司是国内一家创新文化浓厚的互联网科技企业,在业务上云的需求驱动下他们决定“取法乎上”——跳过所谓的”传统网络转型阶段”,直接对标海内外的云计算大厂,通过采用早已在头部大云中规模部署的SONiC方案,将开放开源的网络技术快速应用到自己的数据中心。
于是,专精于此的星融元很自然地进入到D公司的视野当中。

取得联系后,星融元的CX系列产品顺利部署到客户现场,并且最终的测试结果也十分喜人:CX系列交换机完全可以满足客户理想中的云网络需求!

不料,客户在最后关头犹豫了!
然后给星融元发了一张“好人卡”。
“你们的产品真的很好,但……”

D公司后来也解释了他们的顾虑:原生SONiC的命令行是Linux/Python风格的,而公司内部运维团队的技术能力都是建立在Cisco风格命令行基础之上。这一来所产生的学习成本,让他们不得不重新思索开放网络这件事。

寥寥几句,却引发了星融元产品和研发团队的深刻反思。
做一款最好用的企业级SONiC发行版一直是我们的使命和目标。这些年来,我们一直领先社区为AsterNOS开发了丰富的软件特性,适配了几乎所有主流商用交换芯片,并为网络自动化提供了全量的操作编程API,让AsterNOS变得更为强大、稳定……但相较而言,对于SONiC NOS在人机交互层面存在的巨大提升空间,的确显得重视不足。

意外的挫败令人无比遗憾,但也将市场的真实需求摆到了我们跟前:D公司运维团队现状绝非个例,当前IT基础设施建设转型变革的道路上,多的是这般 「心向往之而身不可至 」的尴尬。让更多的网络工程师轻松地把SONiC用起来,是推动开放网络从概念阶段走向方案落地当中不可或缺的一环。

于是星融元快速启动了针对AsterNOS命令行风格的开发工作。

KLISH(Kommand Line Interface SHell) 是一个在 Unix 系统上实现 Cisco 方式的命令行接口框架。基于SONiC开放解耦的灵活架构,开源的 Klish 已被集成到sonic-mgmt-framework 容器中作为命令行界面工具,通过AsterNOS所提供的API,我们可以很快地完成这项工作并适配到不同硬件平台。

KLISH是一个在Unix系统上实现Cisco方式的命令行接口框架

话说回来,这正是星融元开放网络技术的价值所在:当现有功能满足不了需求时,基于AsterNOS的API,我们能以传统时代下难以想象的效率,为客户开发出新的APP来解决他们的问题。Cisco风格命令行仅仅是APP之一。

不过这可能也是让公司里“某老年工程师”最失落,也最兴奋的事。

早年间,他带着几十个工程师为华为VRP1.0进行命令行设计实现和改造,还定义出过华为VRP第一个特性路标规划。但现在作为App进行开发的Klish命令行居然不需要那么多人去改造整个OS,更没有机会把一个个类似的独立需求放进路标规划里……甚至客户完全就可以自己动手写新App来解决问题——AsterNOS能让Python/Golang程序员在容器里开发一个新应用来增强和扩展交换机,就像写个Android App一样简单、快速。

AsterNOS已经可以同时支持两种命令行模式(Cisco风格/Klish)。

如今,版本更新后的AsterNOS已经可以同时支持两种命令行模式:标准的Linux Bash和传统商用交换机风格(Cisco风格/Klish)。

基于SONiC的AsterNOS在操作上变得更符合传统网络工程师的使用习惯。我们的工程师只需登录交换机敲上两行代码,便可进入到Klish界面快速开始工作(文末有录屏演示?)。

无论是园区还是云数据中心,只要是在星融元的交换机上,广大网络工程师都可以继续用他们早已熟稔于心的操作完成部署,为客户大大降低了因软件平台切换而导致的效率损耗。目前,AsterNOS对Cisco风格命令行的支持已经覆盖了90%以上的常用功能,而且该项工作还在不断推进。今后星融元所有交换机都将优先支持Cisco风格。


将一次错失客户的遗憾转变为积极响应市场需求的动力,并实现了产品快速升级迭代。这一切的背后是星融元在开放网络领域多年技术积累所带来的满满信心,以及围绕客户需求长期投入的不变决心。

附录:

AsterNOS对Klish命令行的支持情况
(部分展示,持续更新中)

仅需两步!在SONiC交换机上使用Cisco风格命令行

SONiC交换机上使用Cisco风格命令行

1 admin@sonic:~$ sudo config cli-mode cli
2 admin@sonic:~$ sudo sonic-cli
3 sonic# configure terminal

切换回Bash模式?Just Exit !

退出界面视图,回到标准Linux Bash模式

退出界面视图,回到标准Linux Bash模式(部分命令可支持混配,详情请询售前)

1 sonic# exit

相关文章

新品抢先看!星融元将SONiC引入云化园区网络


关注星融元


传统的园区网络架构方案下,网络中不同层级承担不同的网络功能,且都需要运维人员来进行接入和控制。随着园区内企业规模不断扩大、用户数目增多,网络规模和功能随之激增,最终导致了网络部署和管理难度越来越大。
– 手机、PC、IoT、安防需求各不相同;移动办公、虚拟团队、智慧园区要求更复杂
– 终端数量、带宽及其交互不断增多,东西向流量的持续增长迫使网络连接能力不断扩容
– 蠕虫、木马,黑客攻击等系统风险每天都在发生,需要新增各种安全防护能力
网络扩容、新业务开通、定位广播风暴、增加访问策略、解决WiFI掉线….广大园区网络工程师们每天都在为这些大事小事操碎了心。


以上种种问题,究其根源是传统层级化的网络架构已经跟不上复杂多变的业务需求。传统园区网亟待升级,新一代的云化园区需要更加精简高效的网络支撑。

众所周知,搭载着SONiC的交换机已在谷歌、微软等全球最先进的数据中心广泛应用,以SONiC和SAI代表的开放网络技术正在为IT行业带来巨大变革。
星融元是全球第一家把SONiC跑在园区接入层的开放网络解决方案供应商。
在绝大多数人的固有认知里,接入交换机往往意味着“低端型号”、“纯二层交换机”,或者…能通就行。而星融元却“一反常规”,给定位于园区接入/汇聚层的产品搭载了全功能的企业级SONiC发行版——AsterNOS
AsterNOS继承了开源Linux内核的内生安全和SONiC开放架构带来的扩展性,兼具商业版本的稳定性和易用性。凭借AsterNOS所提供的强大软件功能,仅搭配三、五款硬件便足以搭建起从接入层到核心层的完整网络架构,实现从中小企业办公室到跨楼栋的大型园区场景全覆盖。
这背后自然是有一套解决方案可以聊聊的,但今天先卖个关子,让我们重点关注一下星融元今年新推出的这款CX-M系列园区交换机本身。

软件能力:全功能的SONiC

完备的二、三层网络功能

支持多种IP路由协议,构建园区高弹性的IP Fabric

CX-M系列支持静态路由和OSPFv2/v3、BGP4/4+、ISIS等多种动态路由协议,满足IP网络的基本互联互通;此外还可支持更加灵活的策略路由,以及ECMP(等价多路径路由)以增加园区网络中路由可靠性,提高实际可用的传输带宽。

提供网络虚拟化功能,满足云化园区多租户使用场景

随着园区网络承载的业务越来越多,规模越来越大,根据职能部门的业务需求独立建设专网的思路已不再适用。当前网络虚拟化技术在云中的应用已经相当成熟,为云带来的便利在园区同样适用——通过VXLAN/EVPN 对园区物理网络做资源抽象,我们可以在CX-M系列组建的一张物理网络上创建多个虚拟专网,应用于不同的业务,例如办公、研发、IoT等等……实现一网多用和灵活部署,此外还可通过设备所提供的API对接管理平台,实现跨楼栋和区域的统一自动化运维管理。

园区全网无缝漫游和业务随行

CX-M支持ARP to Host技术,当终端设备通过无线AP连接到园区网络时,对应接入层的CX-M交换机会将其转为32位主机路由上线。当设备发生网络漫游,切换到了新的AP,CX-M又会借助分布式的算法在全网更新路由和其他安全认证信息,使原本的业务流得以快速转到正确路径。
漫游全程,终端的IP地址和安全策略都保持不变,网络切换无感知,原有业务不中断。这意味着,哪怕是在手机视频会议中跨楼层移动办公,您都不会感觉到任何卡顿。

为语音、视频、上网等数据流提供差异化服务,带来流畅互联体验

在办公地点分布广、人员分散的大型园区网络中,语音业务数据流对传输质量的要求高于普通的上网数据流。CX-M系列支持Voice VLAN功能,以MAC地址和VLAN ID两种方式识别语音业务数据流,并提高其传输优先级,保障语音业务服务质量。此外,CX-M也同样支持优先级映射、流量监管、流量整形、队列调度等QoS策略,在有限带宽的情况下为园区内的关键业务提供端到端的服务质量保证。

丰富实用的园区安全特性

  • 支持DHCP/ND Snooping,可抵御仿冒DHCP服务器、网关以及合法用户的各种网络攻击
  • 多种园区认证方式(802.1x 认证/MAB)配合IP源防护(IPSG)、动态ARP检测等技术,多重关卡防范外部非法接入
  • 值得一提的是,采用CX-M可构建一个全三层的园区网,每个接口就是一个广播域,终端之间二层隔离,因二层广播机制而产生的安全风险都将不复存在

硬件设计:全面贴合园区场景

CX-M系列园区交换机全系共11个款型,面向园区网络真实部署场景设计,并且全系采用开放解耦的通用硬件,成本和供货期更加可控。

  1. 搭载数据中心级的可编程交换芯片,为不断扩张的园区网络提供灵活的大表项空间;使用交换芯片内置处理器作为管理CPU,一定程度上可为客户降低组网成本
  2. 考虑到未来园区发展趋势,CX-M提供25G/100G的上行接口,天然适应WiFi 6时代带来的高带宽流量;24口/48口的高密度下行接入,有助于简化网络部署复杂度
  3. 绿色节能的元器件选型配合智能的端口/风扇节能机制,CX-M系列整机满负载情况下功耗最低仅63W

特殊款型举例:

园区交换机特殊款型展示图

部署价值:全三层组网,CX-M系列切实为您降本增效

传统组网与星融元云化园区交换机组网对比图

相关文章

为什么都叫智能网卡,Helium却牛X得很?


关注星融元


伴随着云和虚拟化技术在数据中心乃至整个通信领域的快速发展,在x86上基于Kernel架构实现的OVS(Open vSwitch)和各种虚拟化网络功能,转发性能无法保证,且需要耗费大量的计算资源。

传统网卡:在x86上基于Kernel架构实现的OVS和各种虚拟化网络功能

后来,DPDK出现了,性能有了大幅提升,但处理过程仍依赖于未针对数据传输进行优化的服务器和标准网卡,仍然存在性能瓶颈和占用计算资源的问题。

传统网卡:DPDK的出现,性能有了大幅提升
那么,应用功能需求与软件实现上的矛盾,如何解决呢?于是乎,基于硬件实现的智能网卡现身江湖了。

基于硬件实现的智能网卡,解决应用功能需求与软件实现上的矛盾

智能网卡应用非常广泛,从网络加速、存储加速到安全加速。

  • 网络加速如OVS卸载/VXLAN终结、TCP卸载、GRE/GTP等隧道封装/解封装、可靠UDP、5G UPF加速等;
  • 安全加速如IPSec、SSL、XDP/eBPF、vFW/vLB/vNAT、DPI、DDoS、压缩/解压缩等;
  • 存储加速如RDMA卸载、NVMe-oF等。

Helium横空出世

通用的高性能硬件平台

Helium是Asterfusion自主研发的基于高性能SoC芯片(24核ARM集成各类硬件加速协处理器)的25GE以太网智能网卡,可以提供高达100Gbps典型混合业务处理能力,助力客户构建高性能、智能化、可编程的业务网络,充分释放宝贵的计算资源,节约建设成本。

星融元Helium DPU智能网卡 全开放的软件架构

全开放的软件架构—-大x86 Server中的小“ARM Server”

云时代的大背景下,对于整个 IT架构虚拟化的需求越来越高,对于网络功能的要求也越来越多,这就要求网络架构更加开放。

基于Asterfusion全开放的软件架构,可以为客户打造一个开放、兼容的网络生态系统,客户原来跑在x86服务器上的各种DPDK应用和普通应用仅需要简单编译一下就可以迅速移植到Helium智能网卡上,客户可以依据自己网络的实际功能需求,灵活进行功能组合,以满足不同环境下的部署需要,就好像人们根据自己的喜好在手机上安装各种APP一样的方便快捷。

可以依据自己网络的实际功能需求,灵活进行功能组合

软硬一体的一站式综合开发环境

Asterfusion为客户提供了软硬一体的一站式综合开发环境,除了通用的高性能硬件平台外,还提供了底层基座操作系统FusionNOS-Framework,客户可以不用考虑底层支撑框架,直接开发上层应用程序即可,从而可以加速开发和移植进度,满足快速演进的市场需求。

软硬一体的一站式综合开发环境

Helium应用实践验证

Helium智能网卡可以广泛应用于网络加速、存储加速、安全加速等领域,Asterfusion基于该智能网卡也进行的丰富的应用场景验证实践,如云网功能卸载(OVS/VXLAN)、5G UPF、SSL卸载、网络可视化等领域。

云网功能卸载加速

Helium智能网卡可以支撑多种云网卸载实现模式,客户可以根据自己的需要进行灵活的选择和部署,最大程度上提高了服务器资源的利用效率,为最终用户业务应用带来切实的性能提升。

云网功能卸载加速

5G UPF

Helium智能网卡支持UPF功能(信令面和用户面)全卸载,实现与MEC Host的无缝融合,UPF功能全卸载,保证了UPF与MEC之间的逻辑隔离,互不影响,UPF不再依赖服务器的通用处理器,不需要考虑VNF与边缘云的兼容性和适配问题,可以有效减少核心网的安全隐患、降低UPF在边缘场景中与MEC共平台部署难度。

Helium智能网卡支持UPF功能(信令面和用户面)全卸载

云网功能卸载同时,集成虚拟化网络功能应用

Helium智能网卡在卸载云网功能的同时,可以基于容器环境加载各种第三方的VNF功能,同时可以为外部网络、虚拟机、VNF容器之间提供灵活的流量调度能力。

云网功能卸载同时,集成虚拟化网络功能应用

Helium特点小结

Helium DPU网卡的特性

  • 高性能:高达100Gbps典型混合业务处理能力
  • 易移植:x86上DPDK应用都能便捷移植
  • 多场景:云网卸载/VNF卸载/UPF/安全/存储等

相关文章

星融元SSL/TLS解密:高性能计算模块加持,解密监控得心应手


关注星融元


采用模块化设计,提供可选的SSL解密解决方案(NSA解密模块),从而有效的解决了行业或企业用户在访问HTTPS情况下的网络可视化问题。NF2000系列高级业务处理引擎提供基于硬件的加解密引擎,单引擎可以支持高达29K TPS处理能力以及10~20Gbps的流量解密能力。

为什么需要SSL解密?

SSL/TLS是一个安全通信框架,上面可以承载Http协议或者SMTP/POP3协议等。Https经由Http进行通信,但利用SSL/TLS来加密数据包。当前网络环境下,Https的业务已经得到了越来越广泛的应用。

来自Chrome所统计到的受Https保护的流量

如图所示是来自Chrome所统计到的受Https保护的流量,Https已经成为大势所趋。然而其中隐含的安全问题也日益突出——随着SSL/TLS协议更多地应用在政务信息安全、支付体系加密、企业网站稳定、API接口与APP之间,很多隐藏在Https中的不法行为和安全威胁无法被发现,这使得监管变得更加困难。

业务不可视,埋下安全隐患

某些安全设备可能无法解密和检测SSL/TLS流量,成为企业的安全盲点。导致这些加密流量直接游走在整个网络中,无法被监视到。

以防火墙为例,若客户端与服务器之间使用的是Https,那么任何数据都已经变为加密数据,防火墙上的相关的安全内容的功能可能都不会生效。例如,反病毒功能主要是依靠识别支持的协议,从流量中提取特征在病毒库中进行特征匹配之后,进行相关的安全内容的检查;以及某些IPS生效的原理也与之类似,是靠收集来的巨大的签名特征库去对相关的流量进行审查。所以若数据被SSL层加密,像上述这类安全功能便都形同虚设了。

目前,网络中大约有50%的安全攻击会通过SSL通道进行,很多传统的安全设备都将会面临严重的挑战——只有将这些加密流量解析出来才能让安全设备很好的防御,SSL解密方案的重要性可见一斑。

具体到技术实现的角度上,我们接下来详细看看SSL加密和解密之间的联系。

SSL加密原理

SSL加密原理图

SSL通过握手过程在客户端和服务器之间协商会话参数,并建立会话。会话包含的主要参数有会话ID、双方的证书、加密套件(密钥协商算法、对称加密算法和摘要算法等)以及主密钥(master secret)。通过SSL会话传输的数据,都将采用该会话的预主密钥生成的主密钥和加密套件进行加密、计算MAC等处理。

握手过程如下:

  1. 客户端给服务器端发送协议版本、客户端支持的加密算法、一个随机数。
  2. 服务器端选择加密算法,并向客户端发送一个服务器数字证书和一个随机数。
  3. 客户端使用数字证书中的公钥,将随机数加密发送给服务器。
  4. 服务器使用私钥对随机数解密。
  5. 服务器端和客户端通过事先协商好的加密算法,对这三个随机数进行加密生成“主秘钥“即对称加密的秘钥,用于接下来整个对话过程的加密。

如何针对SSL协商进行解密

对应上述SSL协商过程,解密原理如图所示:

SSL协商过程
SSL协商过程

首先是要提取到对应位置的数据。比方说在图中所述的协商过程中若能提取到客户端随机数、服务器端的随机数、加密的预主密钥的信息,提取到这三个信息后,如果带有服务器的私钥的话,这时候就可以解析出预主密钥了。

有了预主密钥、客户端随机数、服务器端随机数,我们就可以计算出整个通信过程中所用到的主密钥。

有了主密钥之后,我们便可以对整个SSL加密协商过程进行操作。

星融元智能网络可视交换机,内置高性能计算模块支撑SSL解密,实现网络安全流量解密监控

星融元的智能网络可视交换机系列设备,可将内置的高性能计算模块,定义为NSA模块。NSA模块有多种部署模式,可实现对流量的多种负载均衡处理从而给予后端分析工具定制化的流量。NSA在能够获取到服务器端CA证书的情况下,达到可以解密客户端和服务器端的通信过程,完成解密监控的需要。

全流量解密监控示意图

1、灵活的部署模式,满足多种场景需求

提供旁路解密部署方案和串接解密部署方案,支持重建解密后的数据流,满足金融、政务、校园等多种实际应用场景。旁路部署模式下,不会对原有通信过程造成任何影响。

2、可进行SSL卸载加速

提供高度稳定、安全、可靠的硬件和软件解决方案。将关键功能(安全、压缩、虚拟化、随机数生成)组合到高性能、低功耗芯片中。

3、性能强大,具备多样功能

吞吐量可达到数万级,高性能处理单元灵活应对大流量场景,提供2Gbps~100Gbps的单机解密监控方案,灵活进行解密后TCP端口设置,并能计算TCP序列并且修复TCP/IP效验和。最新的安全算法支持,满足下一代应用程序的安全加速需求

星融元NF系列智能可视交换机采用模块化设计,提供可选的SSL解密解决方案(NSA解密模块),从而有效的解决了行业或企业用户在访问HTTPS情况下的网络可视化问题。NF2000系列高级业务处理引擎提供基于硬件的加解密引擎,单引擎可以支持高达29K TPS处理能力以及10~20Gbps的流量解密能力。

相关文章

上蒸下煮,如何解暑可视网络运维的“三伏天”?


关注星融元


曾经,在各大行业的数据中心,各类后端安全工具做数据监测工作时,往往会通过零散的流量镜像或分光方式,去各大区域采集所需的流量。

但通常辛辛苦苦跑一趟采集回来的流量,不够全面,后端安全工具也“难为无米之炊”,“原生态”,无任何标识也未经过预处理,害得网络运维人员长期背黑锅,大家提起流量采集是“爱恨交加”。

零散的流量镜像或分光方式,去各大区域采集所需的流量

不仅如此,当后端安全工具流量需求发生变化时,要从头进行网络规划和策略分解、配置,一发不可牵,牵之动全身,要是正好赶上HW行动类似的安防需求,根本无法及时应对。

后端安全工具流量需求发生变化时,要从头进行网络规划和策略分解、配置

随着大数据时代的到来,业务网络相应升级扩容,必然地,监测设备的数量不断增多,监测链路规模不断扩大,如果部署方式还是一成不变的话,自然要求配套更多的流量镜像设备,老板们投入的,各类硬件设备的成本也水涨船高,越来越不堪重负。

无所不能神通广大的厂商们,总是能敏锐地嗅出需求的味道,搞出来了一套【网络可视化】解决方案成功pk掉,职场“摆烂”的传统零散分光或镜像模式,并顺利C位出道。

星融元网络可视化解决方案配图

这张业务能力不错的可视网络,集流量定向采集、源端口标记,租户信息标记、采集报文预处理,状态监控和过载保护…….等功能于一身,真香警告!

千行百业,前仆后继,纷纷入手。然而随着企业业务发展壮大,可视网络规模持续攀升,从最初的两层组网,到后来的三层,还不够,再来一套汇聚层双核心部署。

网络规模不断扩展配图

对于这样日渐膨胀的可视网络,讲真,得需要好好“管教”,传统的控制器采用的【集中管理】方式,在过去很长时间算是一个流行的招式。

它一定程度上也确实发挥了,设备自动发现、拓扑发现等方面的功力。但当运维人员下发配置策略的时候,还是要一台一台的登录、实现。其本质仍然是每台设备的单独策略设置和管理,简直累死个人。

低效网络运维如何破局?星融元推出了集群管理版本的控制器,专为行业客户的可视网络量身打造
同属早先发布的AFC(Asteria Fabric Controller)系列它的英文名字叫【AFC-NPB】。

在AFC-NPB的管理下,多台设备构建而成的可视网络矩阵,摇身一变成为一台逻辑设备,轻松搞定全网策略统一下发和灵活的流量调度,大大提升运维管理效率。

说一千道一万,AFC-NPB是时候亮亮绝活了

01、自动的网络拓扑呈现

自动的网络拓扑呈现

02、智能的路径计算与优化

智能的路径计算与优化

03、实时的大屏数据呈现

实时的大屏数据呈现

04、多维度的网络状态监控

多维度的网络状态监控

05、灵活的组网部署与扩展

灵活的组网部署与扩展

AFC-NPB的能力,远不止如此。还有一体化虚拟流量采集管理、多样化的辅助管理等更多方面的功能,让【可视网络】运维管理,真正做到“又快又省”。

我们总说,这是一个科技改变世界的时代,当网络厂商们的努力,能够带来的网络基础设施、成本降低、效能增高运维和管理的便捷……

这才是每个人能够享受到的科技荣光。

相关文章

“行业鲶鱼”,加速开放网络的崛起和繁荣


关注星融元


开放网络正在重塑网络世界,SONiC随之成为开放网络程序员的首选开源网络操作系统。但是,程序员们基于SONiC开发网络应用时,往往焦头烂额,任重道“猿”。

面对SONiC庞大的、成千上万行的代码,根本无从下手!

开发一个网络应用时,还需要掌握复杂的底层逻辑,具备庞大的知识体系,一不留神还会踩了“重新发明轮子”的坑!而且!

SONiC社区的文档内容属实骨感,有些简略,用于实际开发指导时,令人抓耳又挠腮!

so,开放网络应用开发,难度巨高!时间巨长!工作量巨大!苦不堪言!

为了解决程序猿们“猿猿不断”的困扰,星融元以SONiC为内核构建了,AsterNOS网络操作系统——SONiC的企业级发行版!!!

SONiC的企业级发行版-AsterNOS

并且,为AsterNOS提供了一套开放网络的NetDevOps环境——AsterNOS SDK,以支持对开放网络的高效运维和二次开发。相信,AsterNOS SDK这条“鲶鱼”,必将助推开放网络的崛起和繁荣!AsterNOS SDK一如“开发神器”,拥有了它,开发者的角色武力值即可瞬间暴涨,在开放网络世界征战四方,无往不胜!

AsterNOS SDK的优势

AsterNOS SDK主要包括三部分:

AsterNOS SDK主要包括三部分

事实上,星融元的魅力不仅体现在完善的AsterNOS SDK上,还有硬核的SONiC专家团队。

正是在这样,强大组合的加持之下,可以让开发者,如虎添翼,在具备技术领先、品质稳定的,企业级开放网络操作系统上,轻松进行开放网络应用开发,体验畅游在开放网络的快乐!

相关文章

DPU架构高性能智能网卡(SmartNIC)- 星融元


关注星融元


智能网卡 (SmartNIC) 技术的价值

智能网卡SmartNIC 技术的核心目的就是以比普通CPU低得多的成本实现对各种虚拟化功能的支持。

后摩尔时代,CPU算力增长无法跟上数据中心网络传输的增长速度,而且在高带宽和更加新型的传输体系下,网络功能处理同时也越发复杂。VXLAN等Overlay协议,以及OpenFlow、Open vSwitch(OVS)等虚拟交换技术的引入,使得基于服务器的网络数据平面的复杂性急剧增加;网络接口带宽的增加意味着在软件中执行这些功能会给CPU资源造成难以承受的负载,留给运行应用程序的CPU资源很少或根本没有。

传统网卡固定功能的流量处理功能无法适应SDN、云和虚拟化部署的需要,市场对网络功能卸载到可编程硬件的需求愈发急迫

智能网卡的功能价值是:在服务器侧引入智能网卡,可以将网络、存储、操作系统中不适合CPU处理的高性能数据处理功能卸载到硬件执行,提升数据处理能力,释放CPU算力。(例如:OVS卸载/VXLAN终结、TCP卸载、GRE/GTP等隧道封装/解封装、可靠UDP、5G UPF加速等;安全加速如IPSec、SSL、XDP/eBPF、vFW/vLB/vNAT、DPI、DdoS防御等;存储加速如NVMe-oF(TCP)、压缩/解压缩等。)

Helium DPU智能网卡的照片

智能网卡(SmartNIC)在公有云数据中心/IDC,超算、高性能存储等场景的应用

目前来说最广泛应用的行业是公有云服务商,因为其本身具有自研能力,通过大规模部署智能网卡,降低CPU开销,提升网络性能;另外在金融行业、以及有AI、超算集群,高性能存储需求的行业,通过提升服务器网络转发性能,降低网络时延。

网络功能卸载

不少采用混合SDN方案的数据中心IDC,例如中国移动IT云和网络云,面向不同业务提供虚拟机或裸机部署能力,面向虚拟化场景,引入智能网卡突破提升vSwitch转发性能和数据处理能力;面向裸机场景,引入智能网卡构建弹性裸金属服务。

存储功能卸载

存储功能卸载包括云盘挂载卸载和高性能存储协议卸载,前者通过支持virtio-blk,提高存储访问灵活性和安全性;后者面向边缘计算视频加速、CDN等场景,进一步提升存储协议处理性能,构建端到端低时延网络。

运维能力卸载

当前硬件交换机及vSwitch实现仍存在限制,采样性能及精细化程度受限。引入智能网卡,将vSwitch采样点下沉到服务器智能网卡,实现真正实现业务端到端网络可视化,降低CPU消耗。

传统的智能网卡(SmartNIC)和DPU架构的智能网卡(DPU网卡)区别

HeliumDPU网卡的硬件优势

1. 传统的网卡基于ASIC硬件架构实现,仅实现数据链路层和物理层的功能,由端系统CPU负责处理网络协议栈中更高层的逻辑,CPU按照网络协议栈中传输层、路由层的逻辑,负责数据包的封装和解封;网卡则负责更底层的数据链路层帧的封装和解封,以及物理层电气信号的相应处理。

2. 智能网卡在硬件架构的实现上主要有ASIC、 FPGA、SoC、DPU等架构,其中ASIC、 FPGA主要是实现转发面的卸载;而SoC、DPU可以实现控制面和转发面的全卸载。DPU(Data Processing Unit)是以数据为中心构造的专用处理器,采用软件定义技术路线支撑基础设施层资源虚拟化,支持存储、安全、服务质量管理等基础设施层服务。DPU智能网卡是一个具有加速能力并可卸载服务器(或存储服务器) CPU 功能的网络适配器。DPU 智能网卡使用其板载的处理器,来执行任何加密/解密、防火墙、TCP/IP 和HTTP 网络处理不同任务的组合,非常适合于高流量的网络服务器。

3. 星融元Asterfusion自主研发的Helium DPU卡是基于高性能DPU芯片设计,符合PCle及以太网协议,提供PCle x 16 Gen4.0通道接口并支持高达100Gbps多功能业务处理能力。此外还提供了底层基座操作系统FusionNOS-Framework和开发套件;客户可以此为基础,直接开发上层应用程序,从而加速应用的开发和移植进度。

Helium DPU智能网卡的照片

Helium DPU智能网卡:网络加速、安全加速、存储加速

HeliumDPU智能网卡的架构图

Android生态系统与网络开放生态的对比图

相关文章

解开能力封印,白盒交换机上的网络应用开发如此简单


关注星融元


在云网络的新需求引领之下,“开放式交换机”(白盒交换机/白牌交换机)开始崭露头角——白盒交换机抛弃了传统网络”黑盒”设备的封闭锁定,可以支持各类第三方操作系统和软件在其上运行,而SONiC经过了近十年的市场反复淘洗,如今几乎成为了开源网络操作系统的首选 。

当网络同计算和存储一样,用成本更加可控的标准化硬件和高度软件定义的方式解除了曾经被“封印”住的能力,网络也会像存储和计算一样与云融为一体,为云中的产品业务的高效率开发和运营注入强劲动力,承载更多创新可能。

走向开放灵活,白盒交换机承载无尽可能

尽管软件定义网络 (SDN)、网络功能虚拟化 (NFV) 和SD-WAN等技术概念的产生、发展与实践,已经使得网络更加智能,但是网络设备若仍停留在传统的封闭锁定的“黑盒”时代,依旧是难以满足云计算时代下云管理平台对网络提出的更高需求(如开放接口、软件定义、模块化构建、快速迭代等等)。如此一来,本应是云计算三大基础设施之一的“云网络”,却游离在云的统一管理之外,成为了限制云计算自身发展的瓶颈。

在新需求引领之下,“开放式交换机”(白盒交换机)开始崭露头角——白盒交换机抛弃了传统网络”黑盒”设备的封闭锁定,可以支持各类第三方操作系统和软件在其上运行,而SONiC经过了近十年的市场反复淘洗,如今几乎成为了开源网络操作系统的首选。

SONiC(Software for Open Networking in the Cloud)和与其伴生的SAI(交换抽象接口)是由微软(Microsoft)在近年来主导的两个在开放网络领域的开源项目。类似于今天的Windows/Linux操作系统能够运行在任何第三方基于标准设计的PC/Server硬件之上,SONiC/SAI网络软件系统能够运行在任何符合标准的开放式交换机之上,允许用户在网络设备上进行标准化的网络功能应用开发。就像在服务器上可以基于标准Linux的平台和工具来进行开发一样,网络也更加变得灵活,从而能够快速地满足生产场景的功能需求。

我们可以想见到这样的未来:当网络同计算和存储一样,用成本更加可控的标准化硬件和高度软件定义的方式解除了曾经被“封印”住的能力,网络也会像存储和计算一样与云融为一体,为云中的产品业务的高效率开发和运营注入强劲动力,承载更多创新可能。

白盒交换机的能力图

开放的云网络,这么近又那么远

开放网络掀起的白盒化浪潮已经到来。 据Gartner 2021年调查显示,SONiC 已经大规模部署在包括AT&T、 Microsoft Azure、Google、Facebook(Meta)、阿里、腾讯等在内的运营商和大型互联网企业数据中心生产场景。从 2020 年到 2021 年,Gartner 客户对 SONiC 的兴趣同比增长 87%。由于这种快速扩大的客户兴趣和商业生态系统,SONiC 很有可能在未来三到六年得到更广泛的部署。 正是因为顺应了云计算、软件定义、开源开放的趋势,到2020年,全球开放式(白盒)交换机的出货量已经占到了总量的约三成。

硬件白盒化对比图

当然,无论从数量还是体量上来看,目前SONiC社区内的玩家绝大多数都是最近这些年爆炸式增长的巨型互联网/云计算公司。正因为这类公司自身的业务都依托于云计算或正在往该方向转型,在构建云计算平台时是他们率先发现了传统网络的局限性,而他们恰恰又具备强大的技术能力,因此就直接绕过传统网络设备供应商,按照自己的需求对网络进行改造,甚至是自研。

SONiC生态合作伙伴的截图

图片来自:https://sonic-net.github.io/SONiC/

反观那些对云计算、云网络有着同样旺盛需求的传统企业用户,因为不具备与上述“大厂”同等的技术能力,所以仍然被禁锢在传统网络技术的体系中,无法享受开源开放的新一代云网络技术给产业发展带来的红利。 说到这里,你是否觉得开放网络是个只有云巨头才能“玩得转”的游戏?对于一般传统企业用户而言,通向未来的开放网络的大门难道就这样关上了?

星融元AsterNOS SDK:帮助云的使用者享受开放网络的红利

星融元数据技术有限公司是国内最早加入SONiC社区的成员之一,相比于社区内各大互联网/云计算公司巨头,星融元在开放网络领域的研究和投入则更为聚焦。 星融元专注于提供基于SONiC的网络操作系统(AsterNOS)的SDK能力和整机交付能力——通过为SONiC增加对不同交换芯片、对控制面协议扩展上的支持等等,让我们的用户和合作伙伴像Android和iOS开发APP一样简单地实现交换机上的应用,将网络能力真正开放出来,帮助使用者从各个方面享受开放网络的红利。

AsterNOS的能力图

型号为CX532P-N产品图片型号为CX312P-48Y-N的产品图片

基础网络功能即服务(NFaaS)

——供使用者按需调用,快速构建开放网络应用

AsterNOS将已经支持的各种基础网络功能(例如L2/L3转发、路由管理、ACL等)封装成了“服务”

AsterNOS将已经支持的各种基础网络功能(例如L2/L3转发、路由管理、ACL等)封装成了“服务”

高度软件定义的网络功能

——提供REST API和System API,助力高效的运维开发

提供REST API和System API,助力高效的运维开发

  • Rest API:满足对AsterNOS网络能力的配置和控制需求(运行状态查询、网络配置的增加删除调整)
  • System API:深度调用AsterNOS基础网络能力,完成高级网络开发

标准化的开发环境

——简化开发难度,为NetDevOps提供支持

为NetDevOps提供支持

无缝融合OpenStack / K8s云

——让云中的应用也能够轻松、快捷地调用基于AsterNOS的开放网络能力

无缝融合OpenStack / K8s云

Aster-Neutron-Plugin和Aster-CNI是AsterNOS SDK的重要组成部分,它们分别运行在OpenStack和Kubernetes环境中,接管云操作系统对网络标准接口的软件调用,并将这样的调用转化为对运行着AsterNOS的网络的操作与控制。

拥抱丰富多彩的开源社区示意图

  • 整体软件架构的开放彻底打开传统网络操作系统的封闭性
  • 基础网络功能的开放彻底摒弃传统网络操作系统的黑盒化
  • 面向开源生态的开放全面拥抱丰富多彩的开源社区

相关文章

对星融元产品感兴趣?

立即联系!

返回顶部

© 星融元数据技术(苏州)有限公司 苏ICP备17070048号-2