ソフトウェアと高パフォーマンス：両立できないとは限らない理由

F5エコシステム | 2020年3月03日

現在では、ハードウェア中心の環境からクラウドやソフトウェア定義アーキテクチャへ移行するメリットは広く知られています。たとえば、拡張性の向上、運用の俊敏性、コスト面での柔軟性などです。しかし、こうしたメリットを得るには、アプリケーションのパフォーマンスを犠牲にせざるを得ないという誤解も根強くあります。共有型の仮想化インフラストラクチャが、カスタム設計の専用ハードウェアと同等のパフォーマンスを実現できるはずがない、と思われがちだからです。

多くの新しいステートレスなクラウドネイティブアプリは、需要の増加に応じて水平スケーリングできるよう設計されています。一方で、ステートフル要件があるため、需要の増加に対応するには垂直スケーリングに頼らざるを得ないモノリシックなワークロードも、依然として数多く存在します。こうしたアプリの多くは、クラウドへの移行時に再設計されない、あるいは再設計そのものが不可能なため、ソフトウェアのパフォーマンス（およびスケーラビリティ）の向上が不可欠です。

BIG-IP Virtual Edition（VE）の登場

10年前にBIG-IP VEが登場して以来、お客さまから特に多く寄せられる質問の1つは、次のようなものです。「VEでは、ハードウェアと比べてどの程度のスケーラビリティとトラフィック処理性能を期待できますか？」当時は両者の差が大きく、初期のVEは、トラフィック量が少ない特定のアプリのフロントエンドに配置されたアプリケーションデリバリーハードウェアを置き換えることだけを実質的に想定していました。当時のVEが処理できるトラフィックは約1 Gbpsにとどまり、処理可能なL4/L7のリクエスト数と接続数も、ハードウェアのごく一部にすぎませんでした。

しかし現在では、適切な条件下であれば、VEは100 Gbpsを超えるアプリケーショントラフィックを処理できるようになり、その他のトラフィック処理指標でも、最高性能のアプライアンスを除くほぼすべてに匹敵します。この記事では、物理アプライアンスとの性能差をほぼ解消するうえで役立った、最近のVEの機能強化とサポート対象の「アクセラレーションテクノロジー」を紹介するとともに、F5がSmartNICsを活用して取り組んでいる次のVE最適化プロジェクトについても少しご紹介します。

Single-Root I/O Virtualization（SR-IOV）を最適化するカスタムVEポーリングモードドライバー仮想化の基本をご存じない方のために説明すると、その中核となる概念は、物理サーバー上で基盤ハードウェアの機能をエミュレートするソフトウェアレイヤー（OS／ハイパーバイザー）をホストし、その上で、異なるオペレーティングシステムを使用する可能性のある複数の独立した仮想マシン（BIG-IP VEなど）を実行できるようにすることです。これは、物理サーバーのリソース利用率の最適化やアプリの可搬性の実現に非常に有効です。一方、追加のハイパーバイザーレイヤーと、それに伴って必要となる仮想スイッチをリクエストが通過する際に、コピー処理や割り込みが発生するため、レイテンシーが増加し、パフォーマンスが低下します。しかし、SR-IOVを使用すると、VEは物理サーバー上のネットワークインターフェイス（NIC）と直接やり取りできるため、仮想スイッチレイヤーを迂回し、レイテンシーとパフォーマンスを改善できます。現在、SR-IOVは広く普及しており、ほとんどのNICベンダーがサポートしていますが、OSカーネルに含まれるゲストドライバーやNICベンダーが提供するゲストドライバーは汎用的なものであり、BIG-IP専用に最適化されていません。そのため、F5は、主要な各種NICアダプター向けのVEポーリングモードドライバーの開発にも多額の投資を行い、SR-IOV使用時のVEパケット処理の高速化を支援しています。このアプローチにより、VEはAWSで最大20 Gbps（Gen5インスタンスのAWS Elastic Network Adapterを使用）、Azureで最大10 Gbps（Azure Accelerated Networkingを使用）のL4スループットを達成し、プライベートクラウド環境では85 Gbpsを超えるスループット（Mellanox CX5 100G NICを使用）を実現しています。さらに、複数の独立したNICポートを組み合わせて単一の高スループットデータパスを構成するリンクアグリゲーションにより、100 Gbpsを超えるスループットも実現できます。このアプローチを使用し、3基の40G Intel NICによって単一のVEが108 Gbpsを達成した方法については、DevCentralの記事をご覧ください。
Intel Quick Assist Technology（QAT）による暗号処理のオフロード現在、Webトラフィックの半分を大きく上回る量が暗号化されています。IoTデバイスの爆発的な増加と世界的な5Gへの移行に伴い、暗号化が必要なデータ量は今後、指数関数的に増加すると見込まれます。BIG-IP VEは、クライアントとサーバーの間でフルプロキシアーキテクチャとして動作し、暗号化されたすべてのトラフィックを復号します。これにより、不正と思われるペイロードを検査、分析、ブロックした後、データを再暗号化して目的の宛先にルーティングできます。VEは高性能なソフトウェアベースの暗号化を実現するよう最適化されていますが、この処理は依然としてCPUリソースに負荷をかけ、他のL7タスク、iRules、ポリシー適用に使用できる処理サイクルを減少させる可能性があります。暗号処理の要件が高いワークロードでこの影響を軽減するため、VEは暗号化処理を、暗号処理と圧縮専用に設計されたハードウェアアクセラレーターであるIntel QATにオフロードします。これにより、VEはCPUに負荷のかかるタスクをオフロードしてコンピューティングサイクルを解放し、全体的なパフォーマンスを向上させることができます。その効果は、最近の調査で確認できます。この調査では、VEでQATを使用した場合の影響について、次の結果が示されています。
- CPU使用率を最大45%削減
- バルクスループットが最大200%向上
- 1秒あたりのトランザクション数（TPS）が最大500%増加
スロットリングのない高性能VEの導入

F5のHigh Performance VEが提供される以前は、すべてのVEでスループットが制限されたライセンスモデルが採用され、ライセンスは所定のスループットレベルとCPU数（例：200 Mbps、2 vCPU）に対応していました。小規模なアプリであれば25 Mbpsのインスタンスで十分と考えられます。一方、需要の高いアプリには、最大の10 Gbpsインスタンスの方が適している場合があります。

では、より高い処理能力が求められるアプリや、要件を予測できないアプリの場合はどうでしょうか。F5は、より広帯域のNICへの対応と10 Gbpsを超えるスループットの実現に向け、使用を許可されたvCPU数に応じてライセンスされるHigh Performance VEを導入しました。High Performance VEで実現可能な最大パフォーマンスは、割り当てられたvCPU数によって決まり、8 vCPUから24 vCPUまで4 vCPU単位で設定できます。この方式では、VEが各CPUから最大限の「1秒あたりのパケット処理性能」を引き出せるだけでなく、DDoS緩和やSSL/TLS暗号化など、CPU負荷の高いユースケースにもより適切に対応できます。

High Performance VEの機能について詳しくは、BIG-IP VEの「データシート」をご覧ください。

将来対応予定 – Intel製SmartNICを使用したハイパースケールDDoS緩和

分散型サービス拒否（DDoS）攻撃は、依然として最も効果的で広く用いられているサイバー攻撃の1つです。不満を抱くオンラインゲーマーから国家のサイバー攻撃チームに至るまで、さまざまな攻撃者が標的のアプリやサービスを停止させるために利用しています。こうした攻撃では、世界各地のマシンから数千もの個別の接続が使用される可能性があり、セキュリティソリューション、特に攻撃を緩和するための処理能力が不十分なソリューションは、短時間で処理能力を超える負荷にさらされるおそれがあります。さらに、世界的に5Gへの移行が進むことで、より少ないデバイスでも膨大なリソースを消耗させる大規模なボットネットを形成しやすくなるため、DDoS攻撃は規模、深刻度、複雑さのいずれも増していくと考えられます。

しかし幸いなことに、DDoS緩和を含む特定のCPU負荷の高い機能を、BIG-IP VEから、Field Programmable Gate Array（FPGA）を搭載したSmartNICであるIntelのN3000 Programmable Acceleration Cardへ、まもなくオフロードできるようになります。F5がFPGAに関する10年以上の豊富な経験を活かして適切にプログラムすることで、このSmartNICはVEのDDoS緩和能力を飛躍的に向上させることができます。実際、F5による初期テストでは、この統合ソリューションが、CPUのみを使用するVEと比べて70倍の規模のDDoS攻撃に耐えられることが示されており、アプリケーションとネットワークの保護に役立ちます。

この統合機能は今年後半に一般提供を開始する予定です。詳細については、こちらの「ソリューション概要」をご覧ください。