使用NVIDIA DOCA SDK提升數(shù)據(jù)中心的性能和安全性

首席執(zhí)行官黃仁勛在其 NVIDIA GTC 秋季主題演講中推出了一種新型處理器，即 BlueField-2 DPU(數(shù)據(jù)處理器)，和一款功能強(qiáng)大的 DPU 新軟件開發(fā)套件 – DOCA，以及 DPU 和 AI 創(chuàng)新的三年路線圖。NVIDIA BlueField-2 DPU 首次實(shí)現(xiàn)了集數(shù)據(jù)中心基礎(chǔ)設(shè)施于芯片的架構(gòu)，并針對(duì)現(xiàn)代企業(yè)數(shù)據(jù)中心進(jìn)行了優(yōu)化。在支持 DPU 卸載、加速和隔離數(shù)據(jù)中心服務(wù)，推動(dòng)企業(yè)和 AI 應(yīng)用程序?qū)⑿阅?、安全性和可靠性提升至新高度方面，DOCA 起著關(guān)鍵作用。具體而言，DOCA 旨在幫您在當(dāng)前和未來(lái)的 BlueField DPU上，提供廣泛的面向可加速的軟件定義網(wǎng)絡(luò)、存儲(chǔ)、安全和管理服務(wù)等。

圖 1.運(yùn)行在 DPU 上的面向數(shù)據(jù)中心基礎(chǔ)設(shè)施應(yīng)用的 DOCA 分層。

NVIDIA 還發(fā)布了 BlueField-2X，這是一款先進(jìn)的基于 AI 的DPU，完美集成了 BlueField-2 的所有功能與 NVIDIA的 Ampere GPU 技術(shù)。DOCA 將添加對(duì)于 BlueField-2X 的支持，讓您能夠構(gòu)建基于 AI 的、且經(jīng)過(guò)優(yōu)化的基礎(chǔ)設(shè)施管理和網(wǎng)絡(luò)安全應(yīng)用。

憑借 DOCA 及其 BlueField DPU 系列，NVIDIA 正在重新塑造企業(yè)數(shù)據(jù)中心架構(gòu)，讓您可以構(gòu)建安全且加速的基礎(chǔ)設(shè)施服務(wù)。DOCA 之于 DPU 就像 CUDA 之于 GPU。就像CUDA 讓您實(shí)現(xiàn)了加速計(jì)算應(yīng)用的編程一樣，DOCA可讓您對(duì)數(shù)據(jù)處理的加速應(yīng)用進(jìn)行編程，將數(shù)據(jù)移入和移出服務(wù)器、虛擬機(jī)和容器。DOCA 與 CUDA 一起，服務(wù)于一個(gè)安全、加速的數(shù)據(jù)中心中的各類 NVIDIA AI 應(yīng)用。

DOCA 已面向精選的搶先體驗(yàn)合作伙伴推出。如果您感興趣，可以在 DOCA 開發(fā)者領(lǐng)地頁(yè)面注冊(cè)了解進(jìn)一步信息。BlueField-2 正在樣品階段，它在多個(gè)操作系統(tǒng)發(fā)行版下的驅(qū)動(dòng)、工具、加速庫(kù)已經(jīng)可以工作。

在本文中，我將探討 DOCA 的優(yōu)勢(shì)并深入探究 API，提供一個(gè)功能強(qiáng)大的開發(fā)工具，實(shí)現(xiàn)從數(shù)據(jù)中心到邊緣全面提升服務(wù)器的性能、效率和安全性。

應(yīng)對(duì)軟件定義一切的挑戰(zhàn)

Marc Andreessen 在 2011 年一份著名的出版物中說(shuō)：“軟件正在吞噬整個(gè)世界?！睍r(shí)間快進(jìn)到 2020 年?，F(xiàn)在，在企業(yè)數(shù)據(jù)中心中占主導(dǎo)地位約 15 年之久的硬件設(shè)備已經(jīng)轉(zhuǎn)變?yōu)樘摂M化、按需付費(fèi)、安裝在每臺(tái)服務(wù)器上的軟件服務(wù)?，F(xiàn)代企業(yè)數(shù)據(jù)中心是軟件定義、完全可編程的數(shù)據(jù)中心，旨在跨云、核心和邊緣環(huán)境為高度分布式的應(yīng)用工作負(fù)載提供服務(wù)。

軟件定義的數(shù)據(jù)中心可提供類似云的靈活性和敏捷性，但會(huì)消耗許多CPU核資源。軟件定義的“性能稅”會(huì)消耗我們的業(yè)務(wù)應(yīng)用或租戶的 CPU 資源，并且降低服務(wù)器和數(shù)據(jù)中心的效率，有時(shí)還很嚴(yán)重。

DPU 位于每個(gè)數(shù)據(jù)中心的節(jié)點(diǎn)內(nèi)，DOCA 可以讓應(yīng)用程序開發(fā)者和 NVIDIA 技術(shù)合作伙伴可以提供運(yùn)行在 DPU上的各種服務(wù)，讓 DPU 成為與業(yè)務(wù)隔離的、安全的服務(wù)域（或 Enclave），用于網(wǎng)絡(luò)、安全、存儲(chǔ)和基礎(chǔ)設(shè)施管理。DPU 可加速所有關(guān)鍵數(shù)據(jù)中心的基礎(chǔ)設(shè)施服務(wù)，還可以上運(yùn)行控制平面的軟件，如軟件定義網(wǎng)絡(luò) (SDN) 的控制器、分布式存儲(chǔ)軟件，或在可編程 Arm 核上運(yùn)行新一代防火墻代理。

圖 2.DOCA 實(shí)現(xiàn)了在 DPU 上的各種基礎(chǔ)設(shè)施（網(wǎng)絡(luò)、存儲(chǔ)、安全和管理）應(yīng)用運(yùn)行在一個(gè)與 CPU 上的應(yīng)用域相分離的一個(gè)隔離的、安全的服務(wù)域中。

加快基礎(chǔ)設(shè)施服務(wù)走向市場(chǎng)的時(shí)間

DOCA 是一款 SDK，包括了 API、驅(qū)動(dòng)、庫(kù)、示例代碼、文檔和預(yù)設(shè)的容器等，可激活 BlueField-2 DPU 的加速、安全和虛擬化功能。DOCA 為您提供一套統(tǒng)一且可靠的工具，用于開發(fā)基于 DPU 運(yùn)行的關(guān)鍵數(shù)據(jù)中心服務(wù)，以處理多種類型的數(shù)據(jù)處理。其中包括定向網(wǎng)絡(luò)流量；存儲(chǔ)的加速、虛擬化和壓縮；數(shù)據(jù)加密和解密；安全威脅掃描；與遠(yuǎn)程管理工具的集成；在 Arm 核上運(yùn)行控制平面應(yīng)用。您可以對(duì)這些卸載和加速器進(jìn)行編程，實(shí)現(xiàn)單獨(dú)或一起使用，并可與基于 GPU 的 NVIDIA AI 平臺(tái)進(jìn)行集成。

DOCA 助力應(yīng)用程序開發(fā)者、設(shè)備供應(yīng)商、研究人員和 NVIDIA 軟件合作伙伴通過(guò)一個(gè) SDK 對(duì)所有這些 DPU 功能進(jìn)行編程。許多功能的接口在底層的 API 和上層編程語(yǔ)言中均會(huì)提供。這些基于 DPU 運(yùn)行的服務(wù)不僅僅是軟件定義、硬件加速，而且支持 AI、易于編程。

未來(lái)幾代 BlueField DPU 將借助新的增強(qiáng)型加速器提供更強(qiáng)的計(jì)算力。DOCA 可通過(guò)擴(kuò)展API的方式來(lái)支持新的功能，確保了與DPU 的前向兼容。NVIDIA 致力于通過(guò)架構(gòu)流程技術(shù)和軟件創(chuàng)新來(lái)提升性能。我們持續(xù)提升云、核心和邊緣環(huán)境以及應(yīng)用工作負(fù)載的性能和功能。

簡(jiǎn)化 BlueField DPU 上的服務(wù)創(chuàng)建流程

下面，我們進(jìn)一步了解 DOCA 如何處理四項(xiàng)關(guān)鍵的數(shù)據(jù)中心功能：網(wǎng)絡(luò)、存儲(chǔ)、安全性和管理。

網(wǎng)絡(luò)

對(duì)于網(wǎng)絡(luò)，DPU 可加速領(lǐng)先的的數(shù)據(jù)中心 SDN 和網(wǎng)絡(luò)功能虛擬化 (NFV)：開放虛擬交換 (OVS)、Overlay 網(wǎng)絡(luò)（例如 VXLAN）、網(wǎng)絡(luò)地址轉(zhuǎn)換 (NAT)、自動(dòng)負(fù)載平衡、細(xì)粒度流量管理和內(nèi)容分發(fā)網(wǎng)絡(luò)。

DOCA 支持您通過(guò)標(biāo)準(zhǔn) DPDK API將服務(wù)應(yīng)用和DPU加速引擎關(guān)聯(lián)起來(lái)，例如 rte_flow 庫(kù)可以支持基于流的不同操作，包括Overlay封包、、header rewrite， hairpin，以及對(duì)廣泛的虛擬網(wǎng)絡(luò)功能的測(cè)量。

為提升性能和主機(jī) CPU 效率，DOCA 還包含了原生 OVS 和 OVS-over-DPDK 應(yīng)用程序，通過(guò) BlueField DPU 的硬件加速交換和數(shù)據(jù)包處理 (ASAP 2) 技術(shù)提供無(wú)縫加速。DPU 硬件對(duì)于主機(jī)網(wǎng)絡(luò)的加速，由 DOCA 編程平臺(tái)上運(yùn)行的 OVS 應(yīng)用來(lái)定義，數(shù)據(jù)中心 SDN 控制器來(lái)編排所有網(wǎng)絡(luò)，并通過(guò) DPU 的帶外管理端口進(jìn)行連接。

P4 是另一種語(yǔ)言，可以對(duì) BlueField DPU 中靈活、可編程的數(shù)據(jù)路徑加速器進(jìn)行編程。DOCA 支持 P4語(yǔ)言，可支持未來(lái)基于 P4 開發(fā)的 VNF 業(yè)務(wù)。這個(gè)功能被集成到了已經(jīng)擁有豐富的 VNF 產(chǎn)品生態(tài)系統(tǒng)的其它 API 中 。此架構(gòu)允許同時(shí)執(zhí)行面向內(nèi)核、RoCE、DPDK、SPDK、P4 和 P4.runtime 接口編寫的程序，這些可無(wú)縫共存并充分利用 DPU 數(shù)據(jù)路徑加速。

存儲(chǔ)

對(duì)于存儲(chǔ)，DPU 支持加速軟件定義的彈性存儲(chǔ)、NVMe over Fabrics (NVMe-oF)、RoCE、靜態(tài)數(shù)據(jù)（data-at-rest）加密、數(shù)據(jù)刪除、分布式糾錯(cuò)和數(shù)據(jù)壓縮。BlueField DPU NVMe SNAP 技術(shù)可提供彈性塊存儲(chǔ)功能，并向主機(jī)提供遠(yuǎn)程塊存儲(chǔ)，如同它是本地 NVMe 塊存儲(chǔ)或 VirtIO blk 塊設(shè)備一樣具有低延遲、高吞吐量和高 IOPS等特性。

DOCA 完全支持 SPDK 開源框架，可助力您創(chuàng)建自己的存儲(chǔ)解決方案。通過(guò)模擬對(duì) PCIe NVMe 磁盤的的訪問(wèn)，利用 BlueField DPU 的多項(xiàng)加速功能來(lái)實(shí)現(xiàn)各種自定義的邏輯，主機(jī)應(yīng)用可以透明地管理模擬出來(lái)的NVMe存儲(chǔ)。其中包括加密、ECC 分布式糾錯(cuò)、壓縮、重復(fù)數(shù)據(jù)刪除和惡意軟件掃描。如果您要通過(guò) DOCA 進(jìn)行編程，現(xiàn)在無(wú)需對(duì)個(gè)別引擎進(jìn)行顯式編程，即可輕松調(diào)用用于數(shù)據(jù)存儲(chǔ)的功能。

安全性

DPU 還可以卸載、加速和隔離所有關(guān)鍵數(shù)據(jù)中心安全服務(wù)。其中包括支持新一代防火墻、微分段、使用透明 IPSec 和 TLS 進(jìn)行動(dòng)態(tài)數(shù)據(jù)在線加密以及入侵保護(hù)。DPU 擁有一組專用的安全引擎，包含了構(gòu)建安全解決方案的所有模塊。

DOCA 包含一組用于開發(fā)安全應(yīng)用程序的標(biāo)準(zhǔn)化 API。所有安全服務(wù)均始于數(shù)據(jù)包采集、解密、連接狀態(tài)的有狀態(tài)跟蹤，一直到第 7 層深度數(shù)據(jù)包檢查。這樣會(huì)將應(yīng)用程序流量分類為受信任或惡意。此外，它最終還會(huì)將定義的安全策略轉(zhuǎn)換為一系列操作，例如數(shù)據(jù)包允許、丟棄、重寫或重定向。編程通過(guò)標(biāo)準(zhǔn) DPDK API 完成，如下所示：

rte_security，用于加密和解密

rte_sft 庫(kù)，用于連接感知

rte_regex 庫(kù)，用于正則表達(dá)式模式匹配

rte_dpi 庫(kù)，用于對(duì)所有流水線加速函數(shù)進(jìn)行深度包檢查

DOCA 還支持基于 IPSec、TLS 和存儲(chǔ) AES-XTS 的原生內(nèi)核加密，由 DPU 實(shí)現(xiàn)在線加速，可以輕松用于基于 OpenSSL 或 OVS-IPSec 的應(yīng)用。這支持 DPU 在不通知主機(jī)的情況下透明地對(duì)所有流量進(jìn)行加密和解密。其中包括 DPU 在安全 Enclave 內(nèi)執(zhí)行密鑰管理。

通過(guò) RDMA 庫(kù)對(duì)主機(jī)進(jìn)行快速內(nèi)存訪問(wèn)，DOCA可讓您創(chuàng)建嚴(yán)格的主機(jī)自檢方案。借助自動(dòng)惡意軟件掃描，您可以進(jìn)一步了解從 DPU 到主機(jī)的一舉一動(dòng)。如果發(fā)現(xiàn)惡意活動(dòng)，您可以通過(guò)對(duì) DPU 的硬件加速引擎的編程，達(dá)到以線速來(lái)執(zhí)行策略。

基礎(chǔ)設(shè)施管理

傳統(tǒng)管理會(huì)在每臺(tái)服務(wù)器上運(yùn)行代理。但是，運(yùn)行這些代理會(huì)消耗本可用于業(yè)務(wù)應(yīng)用的 CPU 周期。代理通常無(wú)法監(jiān)控服務(wù)器上 VM之間以及容器之間的網(wǎng)絡(luò)流量。如果代理執(zhí)行數(shù)據(jù)包過(guò)濾或流量遙測(cè)等功能，則會(huì)消耗更多 CPU 周期。如果服務(wù)器發(fā)生嚴(yán)重故障，則基于 VM 或容器的管理代理不太可能報(bào)告狀態(tài)或重啟服務(wù)器。

DOCA 允許于業(yè)務(wù)隔離的、基于 DPU 的代理執(zhí)行帶內(nèi)或帶外管理，而不會(huì)給服務(wù)器 CPU 增加負(fù)擔(dān)。如果服務(wù)器需要重置，或者甚至租戶或業(yè)務(wù)應(yīng)用需要一臺(tái)無(wú)代理的裸金屬服務(wù)器，通過(guò) DOCA 編程的 DPU 仍可發(fā)送遙測(cè)數(shù)據(jù)、執(zhí)行遠(yuǎn)程重置或允許安全啟動(dòng)服務(wù)器，這些操作均無(wú)需在服務(wù)器 CPU 上運(yùn)行代理。

BlueField 和 DOCA：強(qiáng)強(qiáng)聯(lián)手

通過(guò) BlueField DPU 和 DOCA，可以整合通常無(wú)法一起部署的數(shù)據(jù)中心基礎(chǔ)設(shè)施服務(wù)。例如，由 CPU 或獨(dú)立Look-aside加密卡對(duì)動(dòng)態(tài)數(shù)據(jù)進(jìn)行加密時(shí)，無(wú)法和 RoCE、壓縮、哈?；?Overlay 網(wǎng)絡(luò)一起工作。事實(shí)上，執(zhí)行此類加密會(huì)禁用以上操作及許多其它網(wǎng)絡(luò)卸載功能。這是因?yàn)?，如果先?duì)數(shù)據(jù)進(jìn)行加密的話，意味著網(wǎng)絡(luò)設(shè)備不再能識(shí)別數(shù)據(jù)包的內(nèi)容，進(jìn)而無(wú)法執(zhí)行巧妙的數(shù)據(jù)包重路由、過(guò)濾、擁塞管理等操作。但是，使用 BlueField DPU 和 DOCA， 您可以通過(guò)編程將 RoCE、VXLAN、哈希計(jì)算、壓縮，以及許多其它卸載功能與加密功能組合在一起，以及它們之間互相組合。

DOCA 將對(duì)所有功能合并到一個(gè) SDK，讓您使用基于通用開放API的加速庫(kù)來(lái)即刻釋放 DPU 的力量。您還可以使用 DOCA，透明地將關(guān)鍵控制平面應(yīng)用或代理從 X86 域移植到 DPU 的Arm 核，從而提高服務(wù)器性能、效率，并實(shí)現(xiàn)工作負(fù)載和安全的隔離。

對(duì)數(shù)據(jù)處理加速和 AI 進(jìn)行編程

重要的是，DOCA 更進(jìn)一步地支持先進(jìn)的 GPU 加速的 AI 工作負(fù)載，被完全整合到了大型 NVIDIA NGC 加速計(jì)算軟件平臺(tái)，成為了其中的一個(gè)測(cè)試項(xiàng)。

對(duì)于傳統(tǒng)的企業(yè)應(yīng)用，DOCA 可加速包含 BlueField DPU 的系統(tǒng)中的數(shù)據(jù)中心基礎(chǔ)設(shè)施服務(wù)。但是，對(duì)于包含 DPU 和 GPU 的系統(tǒng)，加速 AI 和數(shù)據(jù)分析工作負(fù)載具有巨大優(yōu)勢(shì)。DOCA 已集成到 NGC 認(rèn)證計(jì)劃。它可以充分利用大量的開發(fā)、集成和測(cè)試資源，支持我們的全部 AI 應(yīng)用程序框架（NVIDIA Riva、NVIDIA Merlin、NVIDIA Metropolis、NVIDIA Clara、NVIDIA Aerial 等）。DOCA 與 NGC 平臺(tái)集成，還釋放了各類第三方軟件基礎(chǔ)設(shè)施與應(yīng)用的強(qiáng)大功能。

您可以將 DOCA 與 CUDA 結(jié)合使用，通過(guò) GPU 加速計(jì)算并通過(guò) DPU 加速數(shù)據(jù)中心服務(wù)。您還可以使用 DOCA 啟用 GPUDirect，加速整個(gè)網(wǎng)絡(luò)中 GPU 之間的通信。

通過(guò) DPU 簡(jiǎn)化對(duì)數(shù)據(jù)中心的加速和提升效率

DOCA 就像一個(gè)統(tǒng)一的編程網(wǎng)關(guān)，供 NVIDIA 開發(fā)者社區(qū)、合作伙伴和客戶在 DPU 上進(jìn)行開發(fā)，使他們受益于對(duì)于網(wǎng)絡(luò)、存儲(chǔ)和安全的加速以及簡(jiǎn)化管理?；贒OCA 開發(fā)的程序運(yùn)行在 BlueField DPU 上，可以為數(shù)據(jù)中心內(nèi)的每臺(tái)服務(wù)器和每個(gè)存儲(chǔ)節(jié)點(diǎn)卸載、加速和隔離端到端數(shù)據(jù)中心服務(wù)。因此，企業(yè)和私有云可通過(guò)硬件加速的 DPU 的性能和效率，實(shí)現(xiàn)軟件定義服務(wù)的靈活性和可擴(kuò)展性。

通過(guò) DPU 實(shí)現(xiàn)對(duì)數(shù)據(jù)中心基礎(chǔ)設(shè)施進(jìn)行軟件定義和硬件加速，您可以提高所有服務(wù)器的性能、效率和安全性。您將實(shí)現(xiàn)一種新的架構(gòu)，那就是數(shù)據(jù)中心成為了新的計(jì)算單元。NVIDIA DPU 在單個(gè)芯片上實(shí)現(xiàn)了數(shù)據(jù)中心基礎(chǔ)設(shè)施的各項(xiàng)功能，而 DOCA 則助您輕松地提高了數(shù)據(jù)中心的可擴(kuò)展性、性能和威脅保護(hù)。

立即試用 DOCA

現(xiàn)在，您可以使用 BlueField DPU 軟件包體驗(yàn) DOCA，該軟件包包含適用于網(wǎng)絡(luò)、存儲(chǔ)和安全的 DOCA 運(yùn)行時(shí)加速庫(kù)。這些庫(kù)有助于您對(duì) DPU 上運(yùn)行的數(shù)據(jù)中心基礎(chǔ)設(shè)施進(jìn)行編程。

關(guān)于作者

Ariel Kit 是 NVIDIA 網(wǎng)絡(luò)產(chǎn)品營(yíng)銷總監(jiān)。 Ariel 負(fù)責(zé)管理 NVIDIA BlueField DPU 軟件組合和網(wǎng)絡(luò)安全的戰(zhàn)略和交付。 Ariel 在網(wǎng)絡(luò)安全和嵌入式片上系統(tǒng)領(lǐng)域擁有 6 年以上的產(chǎn)品開發(fā)經(jīng)驗(yàn)，并擁有 12 年以上的研發(fā)管理經(jīng)驗(yàn)。他有學(xué)士學(xué)位。通信系統(tǒng)工程和工商管理碩士。

審核編輯：郭婷