性能提升一倍！云原生网关支持 TLS 硬件加快
发布时间：2022-04-25 09:54:41 所属栏目：云计算 来源：互联网
导读：随着网络环境的日渐复杂，传统 HTTP 明文传输协议带来的传输安全风险也日渐升高，因此 HTTPS 的密文传输协议得到了业界的普遍认可与广泛应用;任何事情都有其两面性，HTTPS 带来更高传输安全性的同时，由于需要做认证及数据加解密，相比 HTTP 使用 HTTPS 后使
|
随着网络环境的日渐复杂，传统 HTTP 明文传输协议带来的传输安全风险也日渐升高，因此 HTTPS 的密文传输协议得到了业界的普遍认可与广泛应用;任何事情都有其两面性，HTTPS 带来更高传输安全性的同时，由于需要做认证及数据加解密，相比 HTTP 使用 HTTPS 后使得网站访问速度变“慢”，且导致服务器 CPU 消耗变高、从而机器成本变得更“贵”。 业界在优化 HTTPS 的性能上也做了诸多探索，传统的软件优化方案有 Session 复用、OCSP Stapling、False Start、dynamic record size、TLS1.3、HSTS 等, 但软件层面如何优化也无法满足流量日益增长的速度，加上 CPU 摩尔定律已入暮年，使得专用硬件卸载 CPU 密集型运算成为业界一个通用解决方案。 一、阿里在硬件加速上的探索 阿里统一接入网关 Tengine 承担着集团所有的入口流量，随着 HTTPS 化的全面推进，对于网关的性能挑战也非常大。业务驱动了技术创新，2017 年接入网关在硬件加速领域也迈出了第一步，开始尝试 QAT 卡硬件加速方案。 1.基于 QAT 卡的 TLS 硬件加速方案 整体方案由三部分组成：Tengine的ssl_async 指令、OpenSSL + QAT Engine 及 QAT Driver。其中 Tengine 通过适配 OpenSSL-1.1.0 的异步接口，将私钥操作卸载至硬件的 QAT engine 中，引擎通过 QAT 驱动调用硬件完成非对称算法取回结果。方案图示如下： 2.基于 CPU Multi-Buffer 特性的 TLS 卸载加速方案 在经历 Tengine QAT 的探索实践后，阿里云推出了基于开源 Envoy 构建的 MSE 云原生网关产品，读到这里有的同学可能会疑惑为什么选择 Envoy 而不是内部的 Tengine。 阿里云 2021 年发布了 搭载最新至强处理器 Ice Lake 的 ECS 产品，利用 CPU 的硬件特性使得算力大幅提升 50% 以上。其中提供的 Crypto Acceleration 特性，包括 Vector AES ，通过 multi-buffer lib 配合，能够加速 AES、 RSA、EC 等密码学计算。利用该特性使得 HTTPS 硬件加速得以摆脱专用硬件加速卡的限制，使用 CPU 内置指令结合 SIMD 机制也可以大幅提升 HTTPS 的性能。基于此云原生网关率先完成了对其适配，将硬件加速的性能优势带给用户，在不增加用户资源成本的同时大幅度提升 HTTPS 的性能。 从上图压测数据可以看出使用 TLS 硬件加速后，相比普通 HTTPS 请求 TLS 握手时延降低一倍，极限 QPS 提升 80% 以上。 方案压测 （1）压测基础环境 云原生网关规格: 1C2G * 1 压测工具：Grafana k6 请求大小: 1kb 证书：RSA2048 加密套件:ECDHE-RSA-CHACHA20-POLY1305(TLS1.2) TLS_AES_256_GCM_SHA384(TLS1.3) （2）压测结论 1C2G 情况下，开启硬件加速后极限 QPS 提高 80% 以上，TLS 握手时间降低一倍。注：采用 1C2G 规格是因为更容易观察单核极限性能。 方案优点 无需独立硬件支持，运维成本低且易于弹性扩缩容。 适用场景更广泛。 三、写在最后 目前硬件加速功能已经正式上线，相比自建，您无需关心底层硬件加速机器的运维就能在同规格下获取一倍的 HTTPS 性能提升，具体可参考新建云原生网关进行硬件加速机器的购买。 （编辑：济南站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
站长推荐