Software y alto rendimiento: por qué no tienen que ser mutuamente excluyentes

Tom AtkinsResponsable principal de marketing de producto | F5

A estas alturas, las ventajas de dejar atrás los entornos dominados por el hardware y migrar a arquitecturas en la nube y definidas por software son bien conocidas: mayor escalabilidad, agilidad operativa y flexibilidad económica, por citar solo algunas. Sin embargo, también existe la idea errónea generalizada de que, para aprovechar estas ventajas, las organizaciones se ven obligadas a sacrificar el rendimiento de sus aplicaciones. Al fin y al cabo, ¿cómo puede una infraestructura compartida y virtualizada ofrecer un rendimiento similar al de un hardware personalizado y dedicado?

Y aunque muchas aplicaciones nuevas, sin estado y nativas de la nube están diseñadas para escalar horizontalmente a medida que aumenta la demanda, todavía existen miles de cargas de trabajo monolíticas con requisitos de persistencia de estado que las obligan a escalar verticalmente para satisfacer ese incremento. Para estas aplicaciones, es fundamental contar con un mayor rendimiento del software (y una mayor escalabilidad), ya que muchas no se rediseñarán —o sencillamente no podrán rediseñarse— durante su migración a la nube.

Presentamos BIG-IP Virtual Edition (VE)

Desde la aparición de BIG-IP VE hace una década, una de las preguntas más frecuentes de los clientes ha sido algo así: «¿Qué nivel de escalabilidad y rendimiento en el procesamiento del tráfico podemos esperar de VE en comparación con vuestro hardware?». Por aquel entonces, la diferencia entre ambos era considerable, ya que las primeras versiones de VE solo estaban realmente pensadas para sustituir al hardware de entrega de aplicaciones que daba servicio a aplicaciones específicas con poco tráfico. En esa época, VE solo podía procesar alrededor de 1 Gbps de tráfico y gestionar una fracción de las solicitudes y conexiones L4/L7 que admitía el hardware.

Sin embargo, si avanzamos hasta la actualidad, y siempre que se den las condiciones adecuadas, las VE pueden procesar ahora más de 100 Gbps de tráfico de aplicaciones y equipararse a prácticamente todos los dispositivos, salvo los de mayor rendimiento, en otras métricas de procesamiento de tráfico. En este artículo, analizaremos algunas mejoras recientes de las VE y las tecnologías de aceleración compatibles que han permitido prácticamente cerrar la brecha de rendimiento con respecto a sus equivalentes físicos, además de ofrecer un adelanto del próximo proyecto de optimización de VE en el que estamos trabajando con SmartNICs.

1. Controladores personalizados en modo sondeo para VE que optimizan la virtualización de E/S de raíz única (SR-IOV)Para quienes no estén familiarizados con los fundamentos de la virtualización, el concepto básico consiste en que un servidor físico aloja una capa de software (SO/hipervisor) que emula las funciones del hardware subyacente y permite ejecutar sobre ella varias máquinas virtuales independientes (por ejemplo, BIG-IP VE), posiblemente con distintos sistemas operativos. Aunque resulta muy útil para optimizar el uso de los recursos del servidor físico y facilitar la movilidad de las aplicaciones, la capa adicional del hipervisor y el conmutador virtual asociado que se necesita aumentan la latencia y reducen el rendimiento, ya que las solicitudes deben atravesarlos, con todas las copias e interrupciones que ello conlleva. Sin embargo, el uso de SR-IOV permite que VE interactúe directamente con la interfaz de red (NIC) del servidor físico, evitando la capa del conmutador virtual y mejorando la latencia y el rendimiento. Aunque SR-IOV es actualmente una tecnología bastante habitual (compatible con la mayoría de los proveedores de NIC), los controladores de invitado incluidos en el kernel del SO o proporcionados por los proveedores de NIC son genéricos y no están optimizados específicamente para BIG-IP. Por este motivo, F5 también ha realizado una importante inversión en el desarrollo de controladores en modo sondeo para VE destinados a una gama de adaptadores NIC líderes, lo que ayuda a acelerar el procesamiento de paquetes de VE cuando se utiliza SR-IOV. Este enfoque ha permitido que las VE alcancen rendimientos de capa 4 de hasta 20 Gbps en AWS (mediante AWS Elastic Network Adapter en instancias Gen5), de hasta 10 Gbps en Azure (mediante Azure Accelerated Networking) y superiores a 85 Gbps en entornos de nube privada (mediante Mellanox CX5 NIC de 100G). Además, es posible superar los 100 Gbps mediante la agregación de enlaces, que básicamente combina varios puertos NIC independientes para crear una única ruta de datos de alto rendimiento. En este artículo de DevCentral puede descubrir cómo, mediante este enfoque, una sola VE alcanzó 108 Gbps utilizando tres NIC Intel de 40G.
2. Descarga del procesamiento criptográfico mediante Intel Quick Assist Technology (QAT)Actualmente, bastante más de la mitad del tráfico web está cifrado y, con el crecimiento explosivo de los dispositivos IoT y la transición mundial al 5G, se prevé que la cantidad de datos que deben cifrarse aumente exponencialmente. Al operar con una arquitectura de proxy completo entre clientes y servidores, BIG-IP VE descifra todo el tráfico cifrado, lo que le permite inspeccionar, analizar y bloquear las cargas útiles que parezcan maliciosas antes de volver a cifrar los datos y dirigirlos al destino deseado. Aunque VE se ha optimizado para ofrecer cifrado de alto rendimiento basado en software, este proceso puede seguir suponiendo una carga para los recursos de la CPU, lo que reduce el número de ciclos de procesamiento disponibles para otras tareas de L7, iRules o la aplicación de políticas. Para mitigar este efecto en cargas de trabajo con requisitos importantes de procesamiento criptográfico, VE descarga el cifrado en Intel QAT, un acelerador de hardware diseñado específicamente para el procesamiento criptográfico y la compresión. De este modo, VE puede descargar estas tareas que consumen muchos recursos de la CPU, liberar ciclos de procesamiento y aumentar el rendimiento general. Esto queda demostrado en este estudio reciente sobre el impacto del uso de QAT con VE, que reveló lo siguiente:
   • Reducción de hasta un 45 % en el uso de la CPU
   • Aumento de hasta un 200 % en el rendimiento de las operaciones masivas
   • Aumento de hasta un 500 % en las transacciones por segundo (TPS)
3. Introducción de VE de alto rendimiento sin limitación

Antes de que estuvieran disponibles las VE de alto rendimiento de F5, todas las VE utilizaban un modelo de licencias con limitación de la tasa de transferencia, en el que las licencias se ajustaban a unos niveles de rendimiento y un número de CPU determinados (por ejemplo, 200 Mbps y 2 vCPU). Para las aplicaciones más pequeñas, probablemente bastaría con una instancia de 25 Mbps; por el contrario, para las aplicaciones con una gran demanda, podría ser más adecuada la instancia de mayor capacidad, de 10 Gbps.

Pero ¿qué ocurre con las aplicaciones que tienen mayores exigencias? ¿O con aquellas cuyos requisitos son impredecibles? A medida que F5 fue incorporando compatibilidad con NIC de mayor ancho de banda y superando los 10 Gbps, introdujimos las VE de alto rendimiento, cuyas licencias se basaban en el número de vCPU que podían utilizar. El rendimiento máximo que se puede alcanzar con las VE de alto rendimiento depende, en cambio, del número de vCPU que tengan asignadas: de 8 a 24 vCPU, en incrementos de 4 vCPU. Además de permitir que la VE exprima hasta el último «paquete por segundo» de cada CPU, este enfoque también se adapta mejor a casos de uso con un uso intensivo de la CPU, como la mitigación de ataques DDoS y el cifrado SSL/TLS.

Obtenga más información sobre las capacidades de High Performance VE en la ficha técnica de BIG-IP VE.

1. Futuro: mitigación de DDoS a hiperescala mediante una SmartNIC de Intel
   

Los ataques distribuidos de denegación de servicio (DDoS) siguen siendo una de las formas de ciberataque más eficaces y utilizadas. Desde jugadores en línea frustrados hasta equipos de ciberseguridad de Estados nación, todo tipo de actores los emplean para dejar fuera de servicio aplicaciones y servicios específicos. Estos ataques, que pueden llegar a utilizar miles de conexiones distintas procedentes de equipos ubicados por todo el mundo, pueden desbordar rápidamente las soluciones de seguridad, especialmente aquellas que no cuentan con capacidad suficiente para mitigarlos. Además, con la transición mundial al 5G, los ataques DDoS no harán sino aumentar en tamaño, gravedad y complejidad, ya que cada vez será más fácil crear enormes redes de bots capaces de agotar los recursos con un menor número de dispositivos.

Afortunadamente, pronto podrá descargar determinadas funciones que hacen un uso intensivo de la CPU, incluida la mitigación de DDoS, de BIG-IP VE a la tarjeta de aceleración programable N3000 de Intel, una SmartNIC con una matriz de puertas lógicas programable en campo (FPGA) integrada. Cuando F5 la programa correctamente, aprovechando sus más de 10 años de experiencia con FPGA, esta SmartNIC puede aumentar exponencialmente las capacidades de mitigación de DDoS de VE. De hecho, las primeras pruebas realizadas por F5 han demostrado que esta solución combinada podrá resistir un ataque DDoS de una magnitud 70 veces superior a la que puede soportar VE utilizando únicamente la CPU, lo que contribuirá a mantener seguras sus aplicaciones y su red.

Se espera que esta integración esté disponible de forma general a finales de este año. Puede consultar más información en este resumen de la solución.

Recursos adicionales

• Ficha técnica de BIG-IP VE
• Página web de BIG-IP VE
• Prueba gratuita de BIG-IP VE

Sobre el autor

Tom AtkinsResponsable principal de marketing de producto | F5

Más artículos de Tom Atkins