Logiciels et hautes performances : pourquoi ils ne sont pas forcément incompatibles

Tom AtkinsResponsable principal du marketing produit | F5

À ce stade, les avantages d’une migration des environnements dominés par le matériel vers le cloud et les architectures définies par logiciel sont bien connus : évolutivité accrue, agilité opérationnelle et flexibilité économique, pour n’en citer que quelques-uns. Pourtant, une idée reçue persiste : pour bénéficier de ces avantages, les entreprises seraient contraintes de sacrifier les performances de leurs applications. Après tout, comment une infrastructure partagée et virtualisée pourrait-elle offrir des performances comparables à celles d’un matériel dédié et conçu sur mesure ?

Et si de nombreuses nouvelles applications cloud natives sans état sont conçues pour évoluer horizontalement à mesure que la demande augmente, il existe encore des milliers de charges de travail monolithiques soumises à des exigences de persistance qui les contraignent à évoluer verticalement pour répondre à une demande accrue. Pour ces applications, l’amélioration des performances logicielles (et de l’évolutivité) est cruciale, car beaucoup ne seront pas — ou ne pourront tout simplement pas — être réarchitecturées lors de leur migration vers le cloud.

Découvrez BIG-IP Virtual Edition (VE)

Depuis le lancement de BIG-IP VE il y a dix ans, l’une des questions les plus fréquemment posées par les clients est la suivante : « À quels niveaux d’évolutivité et de performances de traitement du trafic pouvons-nous nous attendre avec VE par rapport à votre matériel ? » À l’époque, l’écart entre les deux était considérable, car les premières versions de VE étaient essentiellement destinées à remplacer le matériel de mise à disposition d’applications placé en frontal d’applications spécifiques à faible trafic. VE ne pouvait alors traiter qu’environ 1 Gbit/s de trafic et ne prenait en charge qu’une fraction des requêtes et connexions L4/L7 que le matériel pouvait gérer.

Aujourd’hui, toutefois, dans des conditions adéquates, les VE peuvent traiter plus de 100 Gbit/s de trafic applicatif et rivaliser avec tous les équipements, à l’exception des plus performants, selon les autres indicateurs de traitement du trafic. Dans cet article, nous examinerons quelques améliorations récentes apportées aux VE ainsi que les technologies d’accélération prises en charge, qui ont permis de quasiment combler l’écart de performances avec leurs équivalents physiques. Nous vous donnerons également un aperçu du prochain projet d’optimisation des VE sur lequel nous travaillons avec des SmartNIC.

1. Pilotes VE personnalisés en mode polling optimisant la virtualisation des E/S à racine unique (SR-IOV)Pour ceux qui ne connaissent pas les principes fondamentaux de la virtualisation, le concept de base repose sur un serveur physique hébergeant une couche logicielle (système d’exploitation/hyperviseur) qui émule les fonctions du matériel sous-jacent et permet à plusieurs machines virtuelles distinctes (BIG-IP VE, par exemple), pouvant disposer de systèmes d’exploitation différents, de s’exécuter par-dessus. Bien que cette approche soit idéale pour optimiser l’utilisation des ressources du serveur physique et permettre la mobilité des applications, la couche d’hyperviseur supplémentaire et le commutateur virtuel associé qui est nécessaire augmentent la latence et nuisent aux performances, car les requêtes doivent les traverser, avec toutes les copies et interruptions que cela implique. L’utilisation de SR-IOV permet toutefois à VE d’interagir directement avec l’interface réseau (NIC) du serveur physique, en contournant la couche du commutateur virtuel, ce qui réduit la latence et améliore les performances. Bien que SR-IOV soit aujourd’hui une technologie assez répandue (prise en charge par la plupart des fournisseurs de NIC), les pilotes invités inclus dans le noyau du système d’exploitation ou fournis par les fabricants de NIC sont génériques et ne sont pas spécifiquement optimisés pour BIG-IP. C’est pourquoi F5 a également beaucoup investi dans le développement de pilotes VE en mode polling pour une gamme d’adaptateurs NIC de premier plan, afin d’accélérer le traitement des paquets par VE lors de l’utilisation de SR-IOV. Cette approche a permis aux VE d’atteindre des débits L4 allant jusqu’à 20 Gbit/s sur AWS (avec AWS Elastic Network Adapter sur des instances Gen5), jusqu’à 10 Gbit/s sur Azure (avec Azure Accelerated Networking) et plus de 85 Gbit/s dans des environnements de cloud privé (avec Mellanox CX5 NIC 100G). Il est également possible de dépasser 100 Gbit/s grâce à l’agrégation de liens, qui consiste essentiellement à combiner plusieurs ports NIC distincts afin de créer un chemin de données unique à haut débit. Pour découvrir comment cette approche a permis à une seule VE d’atteindre 108 Gbit/s à l’aide de trois NIC Intel 40G, consultez cet article DevCentral.
2. Déchargement du traitement cryptographique avec la technologie Intel Quick Assist (QAT)Bien plus de la moitié du trafic web est désormais chiffrée et, avec la croissance fulgurante des appareils IoT et le déploiement mondial de la 5G, le volume de données à chiffrer devrait augmenter de manière exponentielle. Fonctionnant au sein d’une architecture de proxy complet entre les clients et les serveurs, BIG-IP VE déchiffre l’ensemble du trafic chiffré afin de pouvoir inspecter et analyser les charges utiles suspectes, puis les bloquer, avant de rechiffrer les données et de les acheminer vers la destination souhaitée. Bien que VE ait été optimisé pour fournir un chiffrement logiciel hautes performances, ce processus peut néanmoins peser sur les ressources du processeur, réduisant ainsi le nombre de cycles de traitement disponibles pour d’autres tâches L7, les iRules ou l’application des politiques. Afin d’atténuer cet effet pour les charges de travail nécessitant un traitement cryptographique important, VE décharge le chiffrement sur Intel QAT, un accélérateur matériel spécialement conçu pour le traitement cryptographique et la compression. VE peut ainsi décharger ces tâches gourmandes en ressources processeur, libérer des cycles de calcul et améliorer les performances globales. Ces résultats sont notamment illustrés par cette étude récente sur l’incidence de l’utilisation de QAT avec VE, qui a montré :
   • Réduction de l’utilisation du processeur pouvant atteindre 45 %
   • Augmentation du débit des opérations en masse jusqu’à 200 %
   • Augmentation du nombre de transactions par seconde (TPS) jusqu’à 500 %
3. Introduction de VE hautes performances sans limitation

Avant la disponibilité des VE hautes performances de F5, toutes les VE utilisaient un modèle de licence avec limitation du débit, dans lequel les licences correspondaient à des niveaux de débit et à un nombre de processeurs prédéfinis (200 Mbit/s et 2 processeurs virtuels, par exemple). Pour les applications de petite taille, une instance de 25 Mbit/s était probablement suffisante ; à l’inverse, pour les applications très sollicitées, l’instance la plus importante, offrant 10 Gbit/s, pouvait être plus adaptée.

Mais qu’en est-il des applications plus exigeantes ? Ou de celles dont les besoins sont imprévisibles ? Lorsque F5 a commencé à prendre en charge des cartes réseau à plus haut débit et à dépasser les 10 Gbit/s, nous avons lancé les VE hautes performances, dont les licences étaient basées sur le nombre de vCPU qu’elles étaient autorisées à utiliser. Les performances maximales pouvant être atteintes avec les VE hautes performances dépendent donc du nombre de vCPU qui leur sont attribués, de 8 à 24 vCPU, par paliers de 4 vCPU. En plus de permettre aux VE de tirer de chaque processeur le moindre « paquet par seconde », cette approche est également mieux adaptée aux cas d’usage gourmands en ressources processeur, notamment l’atténuation des attaques DDoS et le chiffrement SSL/TLS.

Découvrez les fonctionnalités de High Performance VE dans la fiche technique de BIG-IP VE.

1. À venir – Atténuation des attaques DDoS à très grande échelle à l’aide d’une SmartNIC Intel
   

Les attaques par déni de service distribué (DDoS) restent l’une des formes de cyberattaque les plus efficaces et les plus répandues : des joueurs en ligne frustrés aux équipes cyber d’États-nations, tous y ont recours pour mettre hors ligne des applications et des services ciblés. En exploitant potentiellement des milliers de connexions distinctes provenant de machines réparties dans le monde entier, ces attaques peuvent rapidement submerger les solutions de sécurité, en particulier celles dont la capacité d’atténuation est insuffisante. Avec la transition mondiale vers la 5G, les attaques DDoS ne feront que gagner en ampleur, en gravité et en complexité, car il devient plus facile de constituer, avec moins d’appareils, d’immenses botnets capables de paralyser les ressources.

Heureusement, vous pourrez bientôt décharger certaines fonctions gourmandes en ressources processeur, notamment l’atténuation des attaques DDoS, de BIG-IP VE vers la carte d’accélération programmable N3000 d’Intel, une SmartNIC intégrant un réseau de portes programmables (FPGA). Correctement programmée par F5, qui s’appuie sur plus de 10 ans d’expérience dans l’utilisation des FPGA, cette SmartNIC peut accroître de manière exponentielle les capacités d’atténuation des attaques DDoS de VE. En effet, les premiers tests réalisés par F5 ont montré que cette solution combinée pourra résister à une attaque DDoS d’une ampleur 70 fois supérieure à celle que VE peut supporter en utilisant uniquement le processeur, contribuant ainsi à sécuriser vos applications et votre réseau.

Cette intégration devrait être disponible pour tous dans le courant de l’année. Pour plus d’informations, consultez cette présentation de la solution.

Ressources supplémentaires

• Fiche technique de BIG-IP VE
• Page web BIG-IP VE
• Essai gratuit de BIG-IP VE

À propos de l’auteur

Tom AtkinsResponsable principal du marketing produit | F5

Autres articles de Tom Atkins