不同于前幾代無線網(wǎng)絡(luò)，5G具有許多新的功能，如更低的延遲、更高的可靠性和吞吐量、通過云原生架構(gòu)實現(xiàn)的靈活服務(wù)部署、以及更高的設(shè)備密度等。5G的采用及其功能的擴(kuò)展推動了移動網(wǎng)絡(luò)寬帶達(dá)到100Gbps，甚至更高。

隨著5G的出現(xiàn)以及云計算的部署日益頻繁，網(wǎng)絡(luò)安全需要從新的方向增強(qiáng)以提供足夠的保護(hù)。如今的網(wǎng)絡(luò)攻擊方式日益復(fù)雜，并且攻擊面也日益擴(kuò)大，加之比本地部署更易受攻擊的現(xiàn)代云環(huán)境，想要妥當(dāng)?shù)芈鋵嵄Ｗo(hù)也并非易事。在5G時代，我們需要一種新的安全策略來提供充分的保護(hù)。

圖1 充分保障5G網(wǎng)絡(luò)安全所面臨的挑戰(zhàn)與日俱增

新一代5G防火墻

Palo Alto Networks和NVIDIA聯(lián)合創(chuàng)建了一種可擴(kuò)展的自適應(yīng)安全解決方案，該方案將Palo Alto新一代防火墻與NVIDIA BlueField-2數(shù)據(jù)處理器（DPU）相結(jié)合，提高了虛擬化軟件定義網(wǎng)絡(luò)的高性能安全標(biāo)準(zhǔn)。NVIDIA BlueField-2 DPU提供一套豐富的網(wǎng)絡(luò)流量卸載引擎，可滿足5G和云等高要求市場中不斷發(fā)展的安全需求。Palo Alto Networks發(fā)揮其在保護(hù)企業(yè)和移動網(wǎng)絡(luò)方面的專長，并將其應(yīng)用于5G。兩家公司憑借這些專長，部署了包括虛擬防火墻在內(nèi)的5G原生安全倡議。該虛擬防火墻致力于滿足5G云原生環(huán)境的嚴(yán)格安全需求，通過規(guī)模化、操作簡易性和自動化，為客戶提供無與倫比的安全保護(hù)。

圖2 Palo Alto Networks新一代防火墻提供原生5G安全

對于希望在5G和云環(huán)境中對安全基礎(chǔ)設(shè)施進(jìn)行現(xiàn)代化升級的數(shù)據(jù)中心而言，NVIDIA 和Palo Alto Networks軟件定義的硬件加速安全架構(gòu)可提高基礎(chǔ)設(shè)施的效率，以更靈活的粒度實現(xiàn)整體解決方案堆棧中零信任安全，并使安全和管理操作更高效。

圖3 BlueField-2 DPU智能流量卸載

這一動態(tài)解決方案內(nèi)置智能流量卸載，因此能夠針對實時威脅進(jìn)行適配，而無需改變網(wǎng)絡(luò)基礎(chǔ)設(shè)施。NVIDIA ASAP2 VNF流量卸載技術(shù)可對基于AppID的長流識別進(jìn)行過濾或轉(zhuǎn)發(fā)。此外，該AppID還被用于檢查前幾個數(shù)據(jù)包，以檢測其是否包含威脅或是否能夠卸載流量。如果數(shù)據(jù)包不適合流量卸載，將被發(fā)送至防火墻進(jìn)行檢查。如果防火墻確定該會話并無威脅，則其將被發(fā)送至PAN gRPCd進(jìn)程。該進(jìn)程會調(diào)用DPU守護(hù)程序，將該會話添加至DPU會話流表中，以便將來進(jìn)行卸載。DPU將處理流量中的所有后續(xù)數(shù)據(jù)包，且不消耗任何服務(wù)器CPU周期用于防火墻處理進(jìn)程。該解決方案提供高達(dá)100Gb/s的吞吐量，其中80%的流量被卸載至DPU，并確保在不運用CPU的情況下獲得最高性能。因此，與基于主機(jī)的傳統(tǒng)防火墻安全方案相比，其吞吐量增加了5倍。

關(guān)于作者

Ash Bhalgat 是 NVIDIA 網(wǎng)絡(luò)業(yè)務(wù)部門的云和電信市場開發(fā)高級總監(jiān)。他領(lǐng)導(dǎo)云和電信解決方案、技術(shù)營銷和合作伙伴生態(tài)系統(tǒng)業(yè)務(wù)開發(fā)，以推動網(wǎng)絡(luò)投資組合收入和市場份額增長。

審核編輯：郭婷