及时借助NIC

F5生态系统 | 2020年10月08日

如果在20世纪90年代拆开台式计算机的机箱，首先映入眼帘的部件之一就是网络接口卡（NIC），它用于将计算机连接到以太网电缆。

听起来或许难以置信，但不起眼的NIC如今有望帮助电信行业及其客户应对全球分布式拒绝服务（DDoS）攻击的大幅激增，而这只是其众多用途之一。

现代NIC的功能远不止引导流量。这类专用硬件如今称为SmartNIC，可帮助电信运营商应对一项重大挑战：迁移到虚拟化架构，该架构依赖由CPU（中央处理器）控制的行业标准服务器。这些虚拟机旨在支持云端网络功能，但通常难以应对大量设备同时请求网络资源的大规模DDoS攻击。CPU很快就会不堪重负。

当前，这些CPU比以往任何时候都更需要保护。根据F5 Labs近期对安全事件报告（SIRT）数据的分析，1月，DDoS攻击仅占所有已报告客户事件的十分之一。到3月，DDoS攻击数量已增至所有事件数量的3倍。此外，去年向F5 SIRT报告的DDoS攻击中，有4.2%被确定为针对Web应用。2020年，这一比例增长了5倍，达到26%。许多其他研究也反映了这些趋势，其原因并不难理解。远程办公以及人们上网时间增加，显著提高了风险水平，并扩大了可利用的攻击面。

一种保护方法是在虚拟网络前端部署专门用于检测和缓解DDoS攻击的专用设备。虽然这仍是可行的选择，但会削弱全虚拟网络的部分成本优势。此外，电信运营商目前正在部署紧凑型边缘计算中心，以降低网络延迟，而专用设备也会占用其中宝贵的空间。

硬件助力

F5认识到，在日益虚拟化和以云为中心的环境中，将大流量DDoS缓解能力移植到配备专用处理器（即现场可编程门阵列（FPGA））的SmartNIC上，可以发挥重要作用。关键在于，这些专用处理器能够承担大部分繁重的处理任务，并且与在CPU上运行的传统软件实现相比，可以更快地过滤入站流量。

正是这一洞察促使我们率先成为首家为Intel FPGA可编程加速卡专门开发应用的软件公司（N3000 SmartNIC）。该应用已通过多家全球知名服务提供商的验证和测试。

为实现这一愿景，我们采用与自有硬件中FPGA相同的编程方式，对Intel SmartNIC FPGA进行编程，以支持BIG-IP Advanced Firewall Manager (AFM)虚拟版解决方案。该解决方案旨在利用硬件加速，高效阻止云环境中的入站DDoS攻击。

该解决方案使用SmartNIC处理网络威胁情报、基于数据包的分析、允许列表及其他DDoS缓解措施，从而释放CPU周期用于其他功能，确保网络正常运行。此外，SmartNIC速度极快，可按线速检查并移除恶意数据包，不会影响延迟和用户体验。事实上，将DDoS防御等特定功能迁移到SmartNIC，可以提升核心网络和网络边缘的性能并降低延迟。

这也并非只是实现渐进式提升，利用SmartNIC可能带来显著收益。例如，F5 BIG-IP VE解决方案可应对规模高达纯软件实施方案300倍的DDoS攻击，同时将总拥有成本降低约47%。

基于SmartNIC的解决方案可保障运营商级网络的安全性和高可用性，使运营商无需采用昂贵的高性能定制硬件，也能满足严苛的服务级别协议要求，并提供超低延迟连接。

同时，FPGA可根据需要重新编程，从而为电信运营商提供更高的架构灵活性和敏捷性，并让标准服务器专注于处理云原生网络功能这一核心任务。