Die Vorteile einer Migration von hardwaredominierten Umgebungen hin zu Cloud- und softwaredefinierten Architekturen sind inzwischen allgemein bekannt – dazu zählen unter anderem eine höhere Skalierbarkeit, betriebliche Agilität und wirtschaftliche Flexibilität. Allerdings hält sich auch der weitverbreitete Irrglaube, Unternehmen müssten Abstriche bei der Leistung ihrer Anwendungen machen, um von diesen Vorteilen profitieren zu können. Wie sollte eine gemeinsam genutzte, virtualisierte Infrastruktur schließlich auch nur annähernd die gleiche Leistung wie maßgeschneiderte, dedizierte Hardware bieten können?
Und während viele neue, zustandslose, cloudnative Anwendungen darauf ausgelegt sind, bei steigender Nachfrage horizontal zu skalieren, gibt es nach wie vor Tausende monolithische Workloads mit zustandsbehafteten Anforderungen, die zur Bewältigung einer höheren Nachfrage nur vertikal skaliert werden können. Für diese Anwendungen sind eine höhere Softwareleistung (und Skalierbarkeit) von entscheidender Bedeutung, da viele beim Umstieg in die Cloud nicht neu konzipiert werden sollen – oder schlichtweg nicht neu konzipiert werden können.
Hier kommt BIG-IP Virtual Edition (VE) ins Spiel
Seit der Einführung von BIG-IP VE vor einem Jahrzehnt stellen Kunden besonders häufig eine Frage, die in etwa so lautet: „Welche Skalierbarkeit und Leistung bei der Datenverkehrsverarbeitung können wir von VE im Vergleich zu Ihrer Hardware erwarten?“ Damals war der Unterschied zwischen beiden beträchtlich, da die ersten VEs eigentlich nur als Ersatz für Anwendungsauslieferungshardware gedacht waren, die bestimmten Anwendungen mit geringem Datenverkehr vorgeschaltet war. Zu jener Zeit konnte VE lediglich etwa 1 Gbit/s an Datenverkehr verarbeiten und bewältigte nur einen Bruchteil der mit Hardware möglichen L4-/L7-Anfragen und -Verbindungen.
Heute hingegen können VEs unter den richtigen Bedingungen mehr als 100 Gbit/s an Anwendungsdatenverkehr verarbeiten und bei anderen Kennzahlen zur Datenverkehrsverarbeitung mit nahezu allen Appliances außer den leistungsstärksten mithalten. In diesem Artikel werfen wir einen Blick auf einige aktuelle VE-Verbesserungen und unterstützte Beschleunigungstechnologien, die dazu beigetragen haben, die Leistungslücke gegenüber den physischen Pendants nahezu vollständig zu schließen. Außerdem geben wir einen kleinen Ausblick auf das nächste VE-Optimierungsprojekt, an dem wir mit SmartNICs arbeiten.
- Benutzerdefinierte VE-Poll-Mode-Treiber zur Optimierung der Single-Root-I/O-Virtualisierung (SR-IOV)Für alle, die mit den Grundlagen der Virtualisierung nicht vertraut sind: Das Kernkonzept besteht darin, dass ein physischer Server eine Softwareschicht (Betriebssystem/Hypervisor) hostet, die die Funktionen der zugrunde liegenden Hardware emuliert und die Ausführung mehrerer separater virtueller Maschinen (beispielsweise BIG-IP VE) mit potenziell unterschiedlichen Betriebssystemen ermöglicht. Dies eignet sich zwar hervorragend, um die Ressourcenauslastung des physischen Servers zu optimieren und die Anwendungsmobilität zu ermöglichen, doch die zusätzliche Hypervisor-Schicht und der dafür erforderliche virtuelle Switch erhöhen die Latenz und beeinträchtigen die Leistung, da Anfragen diese Schichten mit allen damit verbundenen Kopiervorgängen und Interrupts durchlaufen müssen. Durch den Einsatz von SR-IOV kann VE jedoch direkt mit der Netzwerkschnittstelle (NIC) des physischen Servers interagieren. Dadurch wird die virtuelle Switch-Schicht umgangen, was Latenz und Leistung verbessert. Obwohl SR-IOV heutzutage eine recht verbreitete Technologie ist (die von den meisten NIC-Anbietern unterstützt wird), sind die im Betriebssystem-Kernel enthaltenen oder von den NIC-Anbietern bereitgestellten Gasttreiber generisch und nicht speziell für BIG-IP optimiert. Aus diesem Grund hat F5 auch umfangreich in die Entwicklung von VE-Poll-Mode-Treibern für eine Reihe führender NIC-Adapter investiert, die bei Verwendung von SR-IOV die Paketverarbeitung durch VE beschleunigen. Dank dieses Ansatzes erreichen VEs einen L4-Durchsatz von bis zu 20 Gbit/s auf AWS (mit AWS Elastic Network Adapter in Gen5-Instanzen), bis zu 10 Gbit/s auf Azure (mit Azure Accelerated Networking) und mehr als 85 Gbit/s in Private-Cloud-Umgebungen (mit Mellanox CX5 100G-NIC). Darüber hinaus lassen sich durch Link-Aggregation mehr als 100 Gbit/s erreichen. Dabei werden im Wesentlichen mehrere separate NIC-Ports zu einem einzigen Datenpfad mit hohem Durchsatz zusammengefasst. Wie eine einzelne VE mit drei 40G-NICs von Intel 108 Gbit/s erreichte, erfahren Sie in diesem DevCentral-Artikel.
- Auslagerung der kryptografischen Verarbeitung mit Intel Quick Assist Technology (QAT)Weit mehr als die Hälfte des Web-Datenverkehrs ist mittlerweile verschlüsselt. Angesichts des rasanten Wachstums von IoT-Geräten und des weltweiten Umstiegs auf 5G dürfte die zu verschlüsselnde Datenmenge exponentiell zunehmen. BIG-IP VE arbeitet innerhalb einer Full-Proxy-Architektur zwischen Clients und Servern und entschlüsselt den gesamten verschlüsselten Datenverkehr. Dadurch kann die Lösung verdächtige Nutzdaten untersuchen, analysieren und blockieren, bevor sie die Daten erneut verschlüsselt und an das gewünschte Ziel weiterleitet. Obwohl VE für eine leistungsstarke softwarebasierte Verschlüsselung optimiert wurde, kann dieser Prozess die CPU-Ressourcen dennoch stark beanspruchen und so die Anzahl der für andere L7-Aufgaben, iRules oder die Durchsetzung von Richtlinien verfügbaren Verarbeitungszyklen reduzieren. Um diese Auswirkungen bei Workloads mit hohen Anforderungen an die kryptografische Verarbeitung zu mindern, lagert VE die Verschlüsselung an Intel QAT aus – einen speziell für die kryptografische Verarbeitung und Komprimierung entwickelten Hardwarebeschleuniger. Dadurch kann VE diese CPU-intensiven Aufgaben auslagern, Rechenzyklen freigeben und die Gesamtleistung steigern. Belege dafür liefert diese aktuelle Studie zu den Auswirkungen des Einsatzes von QAT mit VE. Sie zeigte Folgendes:
- Reduzierung der CPU-Auslastung um bis zu 45 %
- Steigerung des Massendurchsatzes um bis zu 200 %
- Steigerung der Transaktionen pro Sekunde (TPS) um bis zu 500 %
- Einführung ungedrosselter Hochleistungs-VEs
Vor der Verfügbarkeit der High Performance VEs von F5 nutzten alle VEs ein Lizenzmodell mit begrenztem Durchsatz, bei dem die Lizenzen auf festgelegte Durchsatzraten und eine bestimmte Anzahl von CPUs abgestimmt waren (z. B. 200 Mbit/s und 2 vCPUs). Für kleinere Anwendungen dürfte eine Instanz mit 25 Mbit/s ausreichen, während für stark nachgefragte Anwendungen möglicherweise die größte Instanz mit 10 Gbit/s besser geeignet ist.
Doch wie sieht es mit Anwendungen mit höheren Anforderungen aus? Oder mit solchen, deren Anforderungen unvorhersehbar sind? Als F5 begann, NICs mit höherer Bandbreite zu unterstützen und die 10-Gbit/s-Grenze zu überschreiten, führten wir High Performance VEs ein, deren Lizenzierung sich nach der Anzahl der vCPUs richtete, die sie verwenden durften. Die mit High Performance VEs maximal erreichbare Leistung hängt stattdessen von der Anzahl der ihnen zugewiesenen vCPUs ab – von 8 bis 24 vCPUs in Schritten von jeweils 4 vCPUs. Dieser Ansatz ermöglicht es einer VE nicht nur, aus jeder CPU auch das letzte „Paket pro Sekunde“ herauszuholen, sondern eignet sich auch besser für CPU-intensive Anwendungsfälle wie DDoS-Abwehr und SSL/TLS-Verschlüsselung.
Weitere Informationen zu den Funktionen von High Performance VE finden Sie im BIG-IP VE Datenblatt.
- Zukünftig – Hyperskalierbare DDoS-Abwehr mit einer SmartNIC von Intel
Distributed-Denial-of-Service-Angriffe (DDoS) gehören nach wie vor zu den effektivsten und am weitesten verbreiteten Formen von Cyberangriffen. Sie werden von frustrierten Online-Gamern ebenso wie von staatlichen Cyberteams eingesetzt, um gezielt Anwendungen und Dienste lahmzulegen. Da diese Angriffe potenziell Tausende unterschiedlicher Verbindungen von Rechnern auf der ganzen Welt nutzen, können sie Sicherheitslösungen schnell überlasten – insbesondere solche, deren Kapazität für die Abwehr nicht ausreicht. Mit dem weltweiten Übergang zu 5G werden DDoS-Angriffe zudem immer größer, schwerwiegender und komplexer, da sich mit weniger Geräten leichter riesige Botnetze aufbauen lassen, die Ressourcen vollständig ausschöpfen.
Glücklicherweise werden Sie jedoch schon bald bestimmte CPU-intensive Funktionen, einschließlich der DDoS-Abwehr, von BIG-IP VE auf Intels N3000 Programmable Acceleration Card auslagern können – eine SmartNIC mit integriertem Field Programmable Gate Array (FPGA). Wenn diese SmartNIC von F5 unter Nutzung unserer mehr als zehnjährigen Erfahrung mit FPGAs korrekt programmiert wird, kann sie die DDoS-Abwehrleistung von VE exponentiell steigern. Erste Tests von F5 haben gezeigt, dass diese kombinierte Lösung einem DDoS-Angriff standhalten kann, der 70-mal stärker ist als bei einer ausschließlich CPU-basierten VE – und so zum Schutz Ihrer Anwendungen und Ihres Netzwerks beiträgt.
Diese Integration wird voraussichtlich im Laufe dieses Jahres allgemein verfügbar sein. Weitere Informationen finden Sie in dieser Lösungsübersicht.
Weitere Ressourcen
Über den Autor
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...