恒为科技利用其针对 DPI 和 RDMA 网络加速而优化的 FPGA 加速卡来确保网络安全

要点综述

作为中国领先的网络解决方案提供商，恒为科技基于最新英特尔 Agilex 7 FPGA F 系列，开发并上市了 PA8921 加速卡，以满足网络安全解决方案的需求。PA8921 加速卡现已推出，其配有两个 100 GbE 端口和高达 64 GB 的内存，并设计有一些特殊功能，旨在加速各类应用，如负载均衡、网络安全、流量监控、服务网关和其他数据中心服务。

为了快速交付其解决方案，恒为科技采用了 OFS 硬件和软件基础设施。借助此开源基础设施和相应技术文档，恒为科技能够将 OFS 作为其定制主板设计的起点，以缩短上市时间。

背景及挑战

恒为科技是一家领先的网络基础设施和平台提供商，致力于满足客户对高性能网络解决方案的需求。恒为科技总部位于中国，可为中国当地及全球无线网络、通信和云计算领域提供服务。其产品类别包括网络加速、保护和设备，以及在多个网络接口上管理流量所需的硬件模块和相关软件。

利用网络技术，用户能够在商业和教育系统内的信息系统之间交换大量数据。这些网络由计算机、服务器和边缘设备等互连设备组成。随着这些网络日益复杂，鉴于机构和企业越来越依赖其网络来开展业务，网络安全变得愈加重要。

网络安全需要为整个网络基础设施提供保护，以防止未授权访问、滥用或盗窃。这包括多层软件和硬件，用于保护网络和网络数据。

深度数据包检查 (DPI) 是网络安全应用中的基本功能。DPI 是一种网络数据包识别和过滤形式，用于检查和管理网络流量。与只检查数据包标头的传统数据包检查不同，DPI 会检查通过网络中的检查点的数据包内容。如果检测到任何不合规协议、垃圾邮件或病毒，可以使用 DPI 准确阻止或重新路由网络数据包。

常用于进行 DPI 的技术包括 IP 地址匹配、主机和 URL 匹配以及浮动字符串匹配等。传统上，在 CPU 上执行这些复杂的网络安全操作需要完成许多计算周期。可以将这些计算密集型匹配任务转移并卸载到基于 FPGA 的加速卡上，以提高系统和应用的整体性能。

解决方案

恒为科技开发了 PA8921 FPGA 网络加速卡来满足行业对数据中心加速平台的需求，这类平台能够有效提升 DPI 和其他网络安全应用的性能。

PA8921 FPGA 加速卡基于英特尔 Agilex 7 FPGA F 系列，其采用业界领先的 SuperFin 技术，与 7 纳米节点竞品相比，性能功耗比提升高达 2 倍¹，与上一代英特尔® Stratix® 10 FPGA 相比，总功耗降低高达 40%。除搭载英特尔 Agilex FPGA 以外，PA8921 还配有两个 100 GbE 端口，用于加速高性能被动和内联应用部署，为负载均衡、网络安全、流量监控、服务网关和其他数据中心服务提供了灵活而高效的加速解决方案。

图 1：PA8921 加速卡技术规格

PA8921 经过优化，以执行复杂的匹配任务，可以将这些任务卸载到 FPGA 上并进行优化，进而提高 DPI 和其他网络安全应用的性能。恒为科技为开发人员提供了经过优化的主板和 DPI 知识产权内核。

为改进 DPI 加速，在 PA8921 上启用了以下功能特性：

1. PA8921 搭载有与标准 virtio-net 驱动程序兼容的 virtio 后端。这减轻了前端驱动程序软件的工作量，可更加方便地进行虚拟机迁移。
2. PA8921 支持单根 I/O 虚拟化 (SR-IOV)，并可以将其配置到自定义数量的物理功能 (PF) 或虚拟功能 (VF)。可以根据实现最高效解决方案所需的虚拟机数量来调整 PF/VF 配置。
3. PA8921 支持数据平面开发工具包 (DPDK)，该工具包提供了一组多样化的平台库，并使加速卡能够满足高性能网络流量处理要求。
4. PA8921 的物理功能 (PF) 多队列负载均衡功能采用了灵活的 5 元组配置进行配置，并支持 VLAN、MPLS 和隧道。这样，它即可对同一数据流或会话实施负载均衡，便于其在同一内核上运行，从而实现本地高速缓存利用，并提高处理效率。
5. PA8921 支持精确 IPv4/IPv6 规则，掩码 IPv4/IPv6 规则，主机/URL、固定偏移和浮动字符串规则，以实现完整数据包捕获。支持这些规则使得 FPGA 能够准确地卸载命中流量，并提高整体系统性能。

此外，PA8921 加速卡还突破了传统 RDMA 网卡的常见限制。与传统网卡不同，PA8921 既不需要将与对等端的距离保持在 2 公里以内，也不需要替换原有的网络交换机。使用现有网络基础设施，通过直接用 PA8921 卡替代网卡，即可用 TCP 端到端传输替代 RDMA，同时保持完整的 RDMA 传输速率和性能。这样，客户就可以在性能与功耗之间实现最佳平衡。

恒为科技利用开源 OFS 基础设施减少了其 PA8921 加速卡的开发工作量并缩短了上市时间。利用 OFS 这款关键的基础工具，FPGA 开发人员能够加速开发基于 FPGA 的主板和工作负载并实现标准化。OFS 基础设施完全开源，并包括 FPGA 接口管理器（FIM，通常称为“shell”）和加速器功能单元 (AFU) 区域（用于工作负载开发的指定区域）。借助 OFS，主板或 FIM 开发人员可以利用开源基础设施或基础 FIM，根据目标应用或目标行业为其主板快速开发量身定制的 FIM。

结果

实施基于 FPGA 的加速后，恒为科技发现，70% 的主机流量被卸载到加速卡上，从而将系统性能提升了约 3 倍。进一步的测试证实，利用在 100 GB 带宽下超过 90% 的有效利用率，PA8921 能够在超过 500 公里的数据节点之间支持高速、低延迟数据互连，其效率几乎是传统 TCP 传输的 50 倍，比现有 RDMA 远距离传输能力高 88 倍。这些性能提升可广泛应用于各种应用，以改进资源整合并提高效率。

如何开始利用 OFS 进行 FPGA 加速

FPGA 开发人员可以利用恒为科技已启用 OFS 的 PA8921 FPGA 加速卡以及开源文档和源代码，开始构建他们的自定义工作负载。

下表概述了开发人员如何利用恒为科技加速主板进行基于 FPGA 的工作负载开发。