NVIDIA DPU 赋能 Palo Alto Networks,大幅提升网络安全防御能力

2021-07-16 09:38:53

NVIDIA BlueField-2 助力 Palo Alto Networks 的虚拟新一代防火墙实现 5 倍加速

NVIDIA DPU 赋能 Palo Alto Networks,大幅提升网络安全防御能力

根据美国联邦调查局 (FBI) 的数据,2020 年网络犯罪给美国公众造成的损失高达 40 亿美元以上。

面对各种新型威胁,为提前做好防御,全球网络安全领导者 Palo Alto Networks 开发了首款通过 NVIDIA BlueField DPU(数据处理器)加速的虚拟 NGFW( Next-Generation FirewWall - 新一代防火墙)。

DPU 通过将流量从主机处理器卸载到独立于服务器 CPU 的专用硬件上,可加速对数据包的过滤和转发。该解决方案让每台服务器都能拥有 Palo Alto Networks 的虚拟 NGFW 的入侵防御和高级安全功能,且不以牺牲网络性能为代价,还能对网络流中的相关部分进行智能筛选,并将其余的操作卸载到 DPU,实现了对以前不可能或做不到的网络流进行检查。

作为市场上首款使用 DPU 加速的产品,这款硬件加速的软件 NGFW 是 Palo Alto Networks 公司提升软件防火墙性能以及实现数据中心安全覆盖范围和效率最大化进程中的一座里程碑。

最近发布的基于 DPU 的 Palo Alto Networks VM 系列 NGFW 采用了零信任网络安全原则,DPU 作为智能网络过滤器,能够以不消耗 CPU 的方式,对网络流进行解析、分类和引导,使 NGFW 能够在各种典型用例中达到接近 100Gb/s 的吞吐量。与单纯运行在 CPU 上的 VM 系列防火墙相比,其性能提高了 5 倍;而与传统的硬件方案相比,可节省高达 150% 的资本支出。

Palo Alto Networks 公司的产品高级副总裁 Muninder Singh Sambi 表示:“企业和电信公司都在建立类云数据中心,因此既需要云的敏捷性和自动化,同时又不能影响性能。我们与 NVIDIA 的合作,大幅提升了我们基于机器学习的 VM 系列虚拟 NGFW 的性能。对于在类云环境中运行的网络安全解决方案而言,业内领先的 NVIDIA BlueField DPU 是您的理想选择。”

作为市场上首款支持 BlueField DPU 的 NGFW,VM 系列产品通过将数据包过滤和转发等功能从主机处理器卸载到 BlueField DPU 上进行硬件加速,可助力于应用感知的分段(Segmentation)、预防恶意软件、检测新型威胁及阻止数据渗漏等业务。

NVIDIA DPU 赋能 Palo Alto Networks,大幅提升网络安全防御能力

智能流量卸载服务

在某些客户环境中,大多数流量或者是无需检查(如视频、游戏、视频会议等流媒体流量),或者是无法检查(如客户无法在防火墙上指定相应解密策略的加密流量等)。在这种情况下,智能流量卸载技术可以实现只那些能够受益于持续安全检查的网络流来确保防火墙资源的优化利用。

高达 80% 的网络流量,包括数据中心中的多媒体和加密数据,都无需或无法由防火墙进行检查。如何来区分这些流量,NVIDIA 和 Palo Alto Networks 的联合解决方案包括了 ITO(智能流量卸载)服务,该技术可以对网络流量进行检查,以区分每个会话(Session)是否受益于安全检查。

ITO(智能流量卸载)服务通过检查流量中的每个会话(Session),以确定该会话是否能受益于安全检查。如果防火墙确定该会话无法受益于安全检查,则 ITO 会指示 BlueField-2 DPU 将该会话中的所有后续数据包直接转发到目的地,而不必再发送到防火墙(见下表)。

只有检查能够受益于安全检查的网络流,才会把其余安全操作卸载到 DPU,既减少了防火墙和主机 CPU 上的总负载,又提升了性能和安全性。

ITO(智能流量卸载)使企业、电信和云运营商能够在零信任环境下,通过在每台主机上运行 NGFW 来保护最终用户,助力其加快数字化转型,同时免受各种网络威胁。

NVIDIA DPU 赋能 Palo Alto Networks,大幅提升网络安全防御能力

Palo Alto Networks 的 ITO 服务通过 NVIDIA BlueFIeld DPU,智能卸载无需进一步安全检查的流量

扩展 NVIDIA DOCA SDK 开发者生态系统

Palo Alto Networks 在 BlueField DPU 上的 NGFW 的早期开发使用了 gRPC 中的开源远程程序来调用框架(云原生计算基金会的一个项目)和 NVIDIA 的ASAP2(一款开源硬件加速框架)。

现在 BlueField 和 ASAP2 的 gRPC 接口现已并入 NVIDIA DOCA SDK,这一芯片架构上的数据中心基础架构开发平台为开发者提供了一个开源平台,使开发者能够构建在 BlueField DPU 上运行的软件定义和硬件加速的网络、存储、安全与管理应用程序。

NVIDIA 致力于建立一个大型开发者社区,为基于 NVIDIA GPU 和 BlueField DPU 的数据中心基础设施应用和服务带来彻底的改观,DOCA 正是其中的一部分。

电话咨询
最新产品
官方商城
QQ客服