クラウド環境で最大300倍規模のDDoS攻撃を緩和：SmartNIC向けBIG-IP VEのご紹介

F5エコシステム | 2020年6月24日

SmartNICとは何か、なぜ必要なのか？

ネットワークインターフェイスカード（略称NIC）は、もともとコンピューティングデバイスとストレージデバイスをイーサネットネットワークに接続するためだけに設計されたもので、過去数十年にわたりネットワークを支えてきました。最新技術に対応するため進化を続け、処理能力が飛躍的に向上するとともに、基本機能も拡張されています。クラウドファースト戦略がパフォーマンス低下とコスト上昇によってますます制約を受けるなか、最新世代のSmartNICは、ハイパースケールクラウドアーキテクチャの再活性化に重要な役割を果たすと期待されています。本記事では、BIG-IP Virtual EditionとIntel SmartNICを組み合わせたF5の新しいソリューションが、ソフトウェアのみのソリューションよりもはるかに大規模なDDoS脅威からクラウド環境を保護しながら、総所有コストを大幅に削減できる仕組みを詳しく説明します。

SmartNICは、FPGA、NPU、SoCなどのプログラム可能なコンポーネントを搭載することで、接続先のアプリケーションやサーバーに代わって、ユーザーが指定したネットワーク機能を実行できます。これにより、CPUリソースの負荷を軽減し、パフォーマンスを大幅に向上させます。タクシーから冷蔵庫の温度を遠隔調整したり、冷凍庫でグリーンピースを探しながらカーダシアン一家の近況をチェックしたりできるような一部の「スマート」製品とは異なり、SmartNICは実際に有意義な価値をもたらします。ニーズの変化に応じて再プログラムできるため、クラウドネイティブなネットワーク機能を導入する組織が求める、アーキテクチャの柔軟性と俊敏性の実現に役立ちます。

5Gネットワークインフラストラクチャや最新のクラウドアーキテクチャへ移行するサービスプロバイダーや企業にとって、これは特に有用です。低コストの標準ベースのサーバー上で仮想環境をホストしながら、特定の機能をSmartNICに移行することで、ネットワークのコアとエッジにおけるパフォーマンスを向上させ、レイテンシーを低減できます。

Multi-Access Edge Computing（MEC）アーキテクチャの要件について、業界アナリストのZeus Kerravala氏は、SmartNICが5Gネットワークを強化する可能性を高く評価しています。同氏は次のように述べています。「エッジアプリケーションやサービスを低遅延かつ大規模にユーザーへ提供するうえで役立つものは、この競争の激しい市場において、サービスプロバイダーに競争優位性をもたらします。エッジVNFをSmartNICで補強し、セキュリティ制御を強化するとともに、NATやトラフィックシェーピングなどのトラフィック管理ユースケースを高速化することで、5Gネットワークの堅牢性と信頼性を高められる可能性があります」

このたび、F5の新しいBIG-IP VE for SmartNICsソリューションの一般提供開始を発表できることを大変うれしく思います。 この共同ソリューションは、BIG-IP AFM Virtual EditionとIntel FPGA Programmable Acceleration Card (PAC) N3000（FPGAベースのSmartNIC）を統合したもので、組織は従来の高いパフォーマンスを損なうことなく、F5ハードウェアからソフトウェアへ移行できます。

この新しいソリューションの最初のユースケースは、重要なDDoS対策です。これは、5Gネットワークが世界的に展開される中で、新世代のハイパースケールDDoS脅威が出現する可能性への懸念が高まっていることに対応するものです。F5は、10年以上にわたるFPGAプログラミングの専門知識を活用し、IntelのPAC N3000 に組み込まれたFPGAをプログラミングすることで、受信するDDoS攻撃を効率的にブロックします。DDoS攻撃の検知と緩和をAFM VEからSmartNICにオフロードすることで、VEのCPUサイクルを他の機能に振り向けられるだけでなく、DDoS攻撃の総合的な緩和能力も大幅に向上します。実際、BIG-IP VE for SmartNICsソリューションとソフトウェアのみのBIG-IP AFM VEインスタンスを比較した初期テストでは、前者は最大300倍の規模のDDoS攻撃に耐えられると同時に、総所有コストを約47%削減できることが示されました。

図1：DDoS攻撃から保護するため、F5のBIG-IP AFMの処理をIntel N3000 SmartNICにオフロード

この共同ソリューションが現在の市場のギャップにどのように対応するかについて、IntelのProgrammable Solutions Group担当バイスプレジデント兼ゼネラルマネージャーであるRonnie Vasishta氏は、次のように述べています。

「クラウドへ移行するサービスプロバイダーは、アーキテクチャの柔軟性と俊敏性の向上を目指しています。しかし、高性能な専用ハードウェアを使用せずに、求められる高水準のSLAと超低遅延接続を実現することは容易ではありません。Intelサーバープラットフォーム基盤の一部としてIntel FPGA PAC N3000を活用するこのハイブリッド型BIG-IP VE for SmartNICsソリューションにより、サービスプロバイダーは、通信事業者グレードのネットワークのセキュリティと可用性を維持しながら、処理能力とパフォーマンスを犠牲にすることなく、迅速に移行できます。」

マルチクラウドアプリケーションサービス分野のパイオニアであるF5は、SmartNICテクノロジーを活用して仮想DDoSソリューションを強化した初の企業です。この革新的なソリューションは、SmartNIC内でネットワーク脅威インテリジェンス、機械学習、パケットベースの分析、許可リストを適用することで、ソフトウェアファースト戦略を加速しながら、ネットワーク攻撃をより効率的にブロックし、進化する脅威環境に対応できます。また、ネットワーク経路上に新たな処理ポイントを追加することへの懸念に対しては、SmartNIC内で悪意のあるパケットを回線速度で検査・除去するため、レイテンシやユーザーエクスペリエンスに悪影響を及ぼしません。

F5のグローバルチャネルパートナーの1社であるWWTのテクニカルソリューションアーキテクト、Clint Huffaker氏との対話の中で、同氏は、クラウドへ移行するお客さまを支援するには、このようなソリューションが必要だと強調し、次のように述べています。

「当社のお客さまの多くは、クラウドへの移行に際して、セキュリティとパフォーマンスという2つの大きな懸念を抱えています。この新しいソリューションに大いに期待しており、長年にわたるこれらのお客さまの懸念に対処するうえで役立つと考えています。」

現時点では、BIG-IP VE for SmartNICsソリューションは、新規または既存のBIG-IP Advanced Firewall Manager VEインスタンス向けのアドオンとして提供されています。詳細については、こちらの Lightboard Lessonをご覧いただくか、こちらの DevCentral記事をご確認ください。