软件与高性能：为何二者并非不可兼得

F5生态系统 | 2020年3月03日

如今，从以硬件为主的环境迁移到云和软件定义架构的优势已广为人知，例如提高可扩展性、运营敏捷性和经济灵活性。但人们也普遍存在一种误解，认为组织要获得这些优势，就不得不牺牲应用性能。毕竟，共享的虚拟化基础设施如何能提供接近定制专用硬件的性能？

尽管许多新型无状态云原生应用都设计为随着需求增长进行横向扩展，但仍有数以千计的单体工作负载因有状态要求而只能通过纵向扩展来满足不断增长的需求。对于这些应用而言，更高的软件性能（以及可扩展性）至关重要，因为其中许多应用在迁移到云端时不会重新设计架构，或根本无法重新设计架构。

BIG-IP Virtual Edition (VE) 登场

自BIG-IP VE于十年前问世以来，客户最常提出的问题之一大致是：“与贵公司的硬件相比，VE的扩展能力和流量处理性能预计能达到什么水平？”当时，两者之间的差距相当明显，因为早期VE实际上仅用于替代部署在低流量特定应用前端的应用交付硬件。那时，VE只能处理约1 Gbps的流量，所能处理的L4/L7请求和连接数量也仅为硬件的一小部分。

如今，在适当条件下，VE可处理超过100 Gbps的应用流量；在其他流量处理指标上，除性能极高的设备外，VE也已能与其他设备相媲美。本文将介绍VE近期的一些增强功能和支持的加速技术。这些改进已帮助VE大幅缩小与物理设备之间的性能差距。我们还将简要介绍正在利用SmartNIC开展的下一项VE优化项目。

可优化单根I/O虚拟化（SR-IOV）的自定义VE轮询模式驱动程序如果不熟悉虚拟化的基本原理，其核心概念是：物理服务器托管一个模拟底层硬件功能的软件层（操作系统/虚拟机监控程序），从而支持多个相互独立且可能运行不同操作系统的虚拟机（例如BIG-IP VE）在其上运行。这种方式非常有助于优化物理服务器的资源利用率并实现应用迁移，但额外的虚拟机监控程序层及其所需的虚拟交换机会增加延迟并影响性能，因为请求必须经过该层，并伴随相关的复制和中断操作。SR-IOV则允许VE直接与物理服务器上的网络接口卡（NIC）交互，从而绕过虚拟交换机层，改善延迟和性能。如今，SR-IOV已是一项相当常见的技术（大多数NIC供应商均支持），但操作系统内核自带或NIC供应商提供的客户机驱动程序通常为通用型，并未针对BIG-IP进行专门优化。因此，F5还投入了大量资源，为多款主流NIC适配器开发VE轮询模式驱动程序，帮助在使用SR-IOV时加快VE数据包处理。借助这种方法，VE在AWS上的L4吞吐量最高可达20 Gbps（在Gen5实例中使用AWS Elastic Network Adapter），在Azure上最高可达10 Gbps（使用Azure Accelerated Networking），在私有云环境中则可超过85 Gbps（使用Mellanox CX5 100G NIC）。此外，通过链路聚合还可实现超过100 Gbps的吞吐量。链路聚合本质上是将多个独立的NIC端口组合成一条高吞吐量数据路径。有关如何使用这种方法，通过3个40G Intel NIC使单个VE达到108 Gbps，请参阅这篇DevCentral文章。
使用Intel Quick Assist Technology（QAT）卸载加密处理目前，远超一半的Web流量已加密。随着物联网设备迅猛增长以及全球向5G演进，需要加密的数据量预计将呈指数级增长。BIG-IP VE采用位于客户端与服务器之间的全代理架构，可解密所有加密流量，以便检查、分析并阻止疑似恶意的有效负载，然后重新加密数据并将其路由到目标位置。尽管VE已针对高性能软件加密进行优化，但这一过程仍可能占用大量CPU资源，导致可用于其他L7任务、iRules或策略执行的处理周期减少。对于加密处理需求较高的工作负载，为减轻这一影响，VE会将加密处理卸载到Intel QAT。Intel QAT是一款专为加密处理和压缩而设计的硬件加速器。这样，VE便可卸载这些消耗CPU资源的任务，释放计算周期并提升整体性能。有关VE使用QAT所产生影响的证据，可参阅这项近期研究，研究结果显示：
- CPU利用率最多可降低45%
- 批量吞吐量提升高达200%
- 每秒事务数（TPS）提升最高可达500%
推出不受限流的高性能VE

在F5 High Performance VE推出之前，所有VE均采用吞吐量受限的许可模式，许可证与设定的吞吐量级别和CPU数量相对应（例如，200 Mbps和2个vCPU）。对于较小的应用，25 Mbps实例通常足以满足需求；相反，对于需求量较高的应用，10 Gbps这一最大规格的实例可能更合适。

但需求更高的应用呢？需求难以预测的应用又该怎么办？随着F5开始支持更高带宽的NIC并突破10 Gbps，我们推出了High Performance VE，其许可取决于获准使用的vCPU数量。High Performance VE可达到的最高性能则取决于分配给它的vCPU数量，范围为8个至24个vCPU，每次增加4个。除了让VE充分发挥每个CPU的每秒数据包处理能力外，这种方式也更适合DDoS缓解和SSL/TLS加密等CPU密集型用例。

在BIG-IP VE数据表中详细了解High Performance VE的功能。

未来功能：使用Intel SmartNIC实现超大规模DDoS缓解

分布式拒绝服务（DDoS）攻击仍是效果显著且广泛使用的网络攻击形式之一。从心怀不满的网络游戏玩家到国家级网络攻击团队，都可能利用此类攻击使目标应用和服务下线。这些攻击可能利用分布在全球各地的计算机发起数千个独立连接，迅速突破安全解决方案的承载能力，尤其是缓解能力不足的解决方案。随着全球向5G过渡，使用更少设备即可更轻松地组建规模庞大、足以耗尽资源的僵尸网络，因此DDoS攻击的规模、严重程度和复杂性只会不断增加。

不过，值得庆幸的是，您很快就能将包括DDoS缓解在内的特定CPU密集型功能从BIG-IP VE卸载到Intel的N3000可编程加速卡上。该加速卡是一款嵌入现场可编程门阵列（FPGA）的SmartNIC。F5拥有10多年的FPGA应用经验，经过F5正确编程后，这款SmartNIC能够大幅提升VE的DDoS缓解能力。事实上，F5的早期测试表明，与仅使用CPU的VE相比，这一组合解决方案将能够抵御规模高出70倍的DDoS攻击，从而帮助保护应用和网络安全。

此集成功能预计将于今年晚些时候正式发布，更多信息请参阅这份解决方案简介。