Software e alto desempenho: por que eles não precisam ser mutuamente exclusivos

Tom AtkinsGerente Principal de Marketing de Produto | F5

A esta altura, os benefícios de migrar de ambientes dominados por hardware para arquiteturas de nuvem e definidas por software já são bem conhecidos — maior escalabilidade, agilidade operacional e flexibilidade econômica, para citar apenas alguns. No entanto, também existe o equívoco comum de que, para obter esses benefícios, as organizações precisam sacrificar o desempenho de seus aplicativos. Afinal, como uma infraestrutura compartilhada e virtualizada pode chegar perto de oferecer o mesmo desempenho que um hardware personalizado e dedicado?

E embora muitos aplicativos novos, sem estado e nativos da nuvem sejam projetados para escalar horizontalmente à medida que a demanda aumenta, ainda existem milhares de cargas de trabalho monolíticas com requisitos de estado que as restringem à escalabilidade vertical para atender ao aumento da demanda. Para esses aplicativos, um melhor desempenho de software (e maior escalabilidade) é fundamental, pois muitos não serão — ou simplesmente não poderão ser — rearquitetados durante a migração para a nuvem.

Conheça o BIG-IP Virtual Edition (VE)

Desde o lançamento do BIG-IP VE, há uma década, uma das perguntas mais frequentes dos clientes é mais ou menos esta: “Que nível de escalabilidade e desempenho no processamento de tráfego podemos esperar do VE em comparação com o hardware de vocês?” Naquela época, a diferença entre os dois era considerável, pois as primeiras versões do VE destinavam-se apenas a substituir o hardware de entrega de aplicações que atendia a aplicações específicas com baixo tráfego. Naquele período, o VE só conseguia processar cerca de 1 Gbps de tráfego e suportava apenas uma fração das solicitações e conexões L4/L7 possíveis em hardware.

Avançando para os dias atuais, no entanto, e dadas as condições adequadas, as VEs agora podem processar mais de 100 Gbps de tráfego de aplicações e se equiparar a praticamente todos os appliances, exceto os de mais alto desempenho, em outras métricas de processamento de tráfego. Neste artigo, analisaremos alguns aprimoramentos recentes das VEs e as tecnologias de aceleração compatíveis, que ajudaram a praticamente eliminar a diferença de desempenho em relação às suas equivalentes físicas, além de apresentar uma prévia do próximo projeto de otimização de VEs no qual estamos trabalhando com SmartNICs.

1. Drivers personalizados de modo de sondagem para VE que otimizam a virtualização de E/S de raiz única (SR-IOV)Para quem não está familiarizado com os fundamentos da virtualização, o conceito central envolve um servidor físico que hospeda uma camada de software (SO/hipervisor) que emula as funções do hardware subjacente e permite que várias máquinas virtuais distintas (como o BIG-IP VE), possivelmente com sistemas operacionais diferentes, sejam executadas sobre ele. Embora seja excelente para otimizar a utilização dos recursos do servidor físico e viabilizar a mobilidade dos aplicativos, a camada adicional do hipervisor e o switch virtual necessário aumentam a latência e prejudicam o desempenho, pois as solicitações precisam passar por eles, com todas as cópias e interrupções associadas. No entanto, o uso de SR-IOV permite que a VE interaja diretamente com a interface de rede (NIC) do servidor físico, contornando a camada do switch virtual e melhorando a latência e o desempenho. Embora a SR-IOV seja uma tecnologia bastante comum atualmente (com suporte da maioria dos fornecedores de NICs), os drivers de convidado incluídos no kernel do SO ou fornecidos pelos fabricantes de NICs são genéricos e não são otimizados especificamente para o BIG-IP. Por isso, a F5 também investiu fortemente no desenvolvimento de drivers de modo de sondagem para VE destinados a uma variedade de adaptadores NIC líderes de mercado, ajudando a acelerar o processamento de pacotes da VE ao usar SR-IOV. Foi essa abordagem que permitiu às VEs atingir taxas de transferência de L4 de até 20 Gbps na AWS (usando o AWS Elastic Network Adapter em instâncias Gen5), até 10 Gbps no Azure (usando o Azure Accelerated Networking) e superar 85 Gbps em ambientes de nuvem privada (usando Mellanox CX5 NIC de 100G). Além disso, é possível atingir mais de 100 Gbps por meio da agregação de links, que essencialmente combina várias portas NIC distintas para criar um único caminho de dados de alta taxa de transferência. Com essa abordagem, você pode descobrir como uma única VE atingiu 108 Gbps usando três NICs Intel de 40G neste artigo do DevCentral.
2. Descarregamento do processamento criptográfico com a Intel Quick Assist Technology (QAT)Bem mais da metade do tráfego da Web já é criptografada e, com o crescimento explosivo dos dispositivos de IoT e o movimento global rumo ao 5G, a quantidade de dados que precisa ser criptografada deve aumentar exponencialmente. Operando em uma arquitetura de proxy completo entre clientes e servidores, o BIG-IP VE descriptografa todo o tráfego criptografado, o que permite inspecionar, analisar e bloquear cargas úteis aparentemente maliciosas antes de criptografar novamente os dados e encaminhá-los ao destino desejado. Embora o VE tenha sido otimizado para oferecer criptografia de alto desempenho baseada em software, esse processo ainda pode sobrecarregar os recursos da CPU, reduzindo o número de ciclos de processamento disponíveis para outras tarefas de L7, iRules ou aplicação de políticas. Para atenuar esse efeito em cargas de trabalho com requisitos significativos de processamento criptográfico, o VE transfere a criptografia para o Intel QAT, um acelerador de hardware desenvolvido especificamente para processamento criptográfico e compactação. Com isso, o VE consegue transferir essas tarefas que consomem muitos recursos da CPU, liberar ciclos de computação e aumentar o desempenho geral. Uma evidência disso pode ser encontrada neste estudo recente sobre o impacto do uso do QAT com o VE, que mostrou:
   • Redução de até 45% na utilização da CPU
   • Aumento de até 200% na taxa de transferência em massa
   • Aumento de até 500% nas transações por segundo (TPS)
3. Introdução de VEs de alto desempenho sem limitação

Antes da disponibilização das VEs de alto desempenho da F5, todas as VEs usavam um modelo de licenciamento com limitação da taxa de transferência, no qual as licenças correspondiam a níveis predefinidos de taxa de transferência e quantidade de CPUs (200 Mbps e 2 vCPUs, por exemplo). Para aplicativos menores, uma instância de 25 Mbps provavelmente seria suficiente; por outro lado, para aplicativos com alta demanda, a maior instância, de 10 Gbps, poderia ser mais adequada.

Mas e quanto aos aplicativos com demandas maiores? Ou àqueles com requisitos imprevisíveis? À medida que a F5 passou a oferecer suporte a NICs de maior largura de banda e a superar 10 Gbps, introduzimos as VEs de alto desempenho, licenciadas de acordo com o número de vCPUs que podiam utilizar. O desempenho máximo alcançável com as VEs de alto desempenho depende do número de vCPUs atribuídas a elas — de 8 a 24 vCPUs, em incrementos de 4 vCPUs. Além de permitir que a VE extraia de cada CPU até o último “pacote por segundo”, essa abordagem também oferece melhor suporte a casos de uso com uso intensivo de CPU, incluindo mitigação de DDoS e criptografia SSL/TLS.

Saiba mais sobre os recursos do High Performance VE no datasheet do BIG-IP VE.

1. Futuro – Mitigação de DDoS em hiperescala usando uma SmartNIC da Intel
   

Os ataques distribuídos de negação de serviço (DDoS) continuam sendo uma das formas mais eficazes e amplamente utilizadas de ataque cibernético — empregados por todos, desde jogadores on-line frustrados até equipes cibernéticas de Estados-nação, para tirar do ar aplicativos e serviços específicos. Utilizando potencialmente milhares de conexões distintas provenientes de máquinas localizadas em todo o mundo, esses ataques podem sobrecarregar rapidamente as soluções de segurança, especialmente aquelas que não têm capacidade suficiente para mitigá-los. E, com a transição global para o 5G, os ataques DDoS só tendem a aumentar em escala, gravidade e complexidade, à medida que se torna mais fácil formar botnets gigantescas, capazes de esgotar recursos, usando menos dispositivos.

Felizmente, em breve você poderá transferir funções específicas que exigem uso intensivo da CPU, incluindo a mitigação de DDoS, do BIG-IP VE para a placa de aceleração programável N3000 da Intel — uma SmartNIC com uma matriz de portas programáveis em campo (FPGA) integrada. Quando programada corretamente pela F5, que aproveita sua ampla experiência de mais de 10 anos com FPGAs, essa SmartNIC é capaz de aumentar exponencialmente os recursos de mitigação de DDoS do VE. De fato, os testes iniciais da F5 demonstraram que essa solução combinada será capaz de resistir a um ataque DDoS de magnitude 70 vezes maior do que o VE usando apenas a CPU, ajudando a manter seus aplicativos e sua rede seguros.

Espera-se que essa integração esteja disponível ao público em geral ainda este ano. Mais informações estão disponíveis neste resumo da solução.

Recursos adicionais

• Ficha técnica do BIG-IP VE
• Página da Web do BIG-IP VE
• Avaliação gratuita do BIG-IP VE

Sobre o autor

Tom AtkinsGerente Principal de Marketing de Produto | F5

Mais publicações de Tom Atkins