簡(jiǎn)介BlueField-2 DPU解決方案官方資料系統(tǒng)性梳理了數(shù)據(jù)中心從以CPU為中心到向DPU卸載的演進(jìn)路徑適合云計(jì)算、網(wǎng)絡(luò)虛擬化、存儲(chǔ)加速與裸金屬架構(gòu)的工程師快速建立整體認(rèn)知。資源為單份PDF文件共4.7MB體量精煉便于通讀已有807人瀏覽學(xué)習(xí)。內(nèi)容從DPU定義與片上加速引擎切入列舉6.9B晶體管、8個(gè)64位Arm核心、100Gbps IPsec、50Gbps正則匹配、5M NVMe IOPS、200Gbps以太網(wǎng)與InfiniBand等關(guān)鍵指標(biāo)并給出惡意軟件檢測(cè)、視頻流、IPsec、云網(wǎng)絡(luò)覆蓋等場(chǎng)景下的加速倍數(shù)同時(shí)展開(kāi)安全加速、存儲(chǔ)加速、網(wǎng)絡(luò)加速與裸金屬云方案穿插ConnectX-6 Dx、Arm A72子系統(tǒng)、PCIe Gen4交換等硬件細(xì)節(jié)并引入DOCA SDK與VMware Project Monterey等生態(tài)組件。整體資料能夠幫助讀者理解DPU如何將網(wǎng)絡(luò)、存儲(chǔ)、安全等基礎(chǔ)設(shè)施負(fù)載從x86 CPU卸載支撐裸金屬與虛擬化共存的下一代數(shù)據(jù)中心這一方向?qū)ξ磥?lái)基礎(chǔ)設(shè)施演進(jìn)亦有參考價(jià)值。1. DPU 浮出水面一份方案文檔為什么被當(dāng)成云基礎(chǔ)設(shè)施的轉(zhuǎn)折點(diǎn)把網(wǎng)絡(luò)、存儲(chǔ)和安全都塞進(jìn)一顆芯片讓主機(jī) CPU 專注于業(yè)務(wù)負(fù)載同時(shí)還要支撐裸金屬和虛擬化兩種形態(tài)——這不是下一代網(wǎng)卡的愿景而是一份 2020 年底發(fā)布的 DPU 方案文檔直接給出的目標(biāo)。單純看名字DPU 似乎只是 SmartNIC 的另一個(gè)縮寫(xiě)但這套方案真正要說(shuō)的是數(shù)據(jù)中心本身正在成為一個(gè)可編程、可加速的計(jì)算單元。這份文檔的硬指標(biāo)很直接一顆 DPU 芯片包含 569 億晶體管、8 個(gè) 64 位精簡(jiǎn)指令集 CPU 核心、雙 16 通道 VLIW 引擎網(wǎng)絡(luò)帶寬做到 200Gbps最高可替代約 125 個(gè) x86 CPU 核心。放在當(dāng)時(shí)的時(shí)間點(diǎn)沒(méi)有多少芯片廠商敢把“替代 125 個(gè) CPU 核心”寫(xiě)進(jìn)官方材料里。更值得關(guān)注的是文檔沒(méi)有停留在硬件規(guī)格而是把安全、存儲(chǔ)、網(wǎng)絡(luò)三條基礎(chǔ)設(shè)施加速線分別成章展開(kāi)并在最后引出一個(gè)生態(tài)化的開(kāi)發(fā)者平臺(tái)。這套邏輯已經(jīng)超出了傳統(tǒng)網(wǎng)卡產(chǎn)品手冊(cè)的范疇更像是在定義一類新的計(jì)算基礎(chǔ)設(shè)施組件。對(duì)從業(yè)者來(lái)說(shuō)這份資料值得讀的原因不是某個(gè)數(shù)字多驚艷而是它回答了三個(gè)長(zhǎng)期懸而未決的問(wèn)題裸金屬云怎么補(bǔ)上虛擬化隔離的空缺存儲(chǔ)組合如何做到讓遠(yuǎn)程存儲(chǔ)看起來(lái)像本地盤(pán)安全信任根能不能從 CPU 遷移到專用硬件上接下來(lái)的分析就從這三個(gè)問(wèn)題出發(fā)逐層拆解這份方案里的信號(hào)。2. 方案拆解569 億晶體管與“替代 125 個(gè) x86 核心”的底氣來(lái)自哪里2.1 從“網(wǎng)卡”到“基礎(chǔ)設(shè)施單片系統(tǒng)”定位徹底變了方案文檔在開(kāi)頭給出一組對(duì)比左邊是傳統(tǒng)硬件設(shè)備時(shí)代專門(mén)的網(wǎng)卡、專門(mén)的安全網(wǎng)關(guān)、專門(mén)的存儲(chǔ)控制器每樣設(shè)備都承擔(dān)一項(xiàng)單一職能。右邊則是軟件定義的數(shù)據(jù)中心基礎(chǔ)設(shè)施把網(wǎng)絡(luò)、存儲(chǔ)、安全、管理全部做成軟件運(yùn)行在通用的處理器上。而這份方案提出的 DPU正是這組對(duì)比的中間形態(tài)——它不是把軟件繼續(xù)堆在 CPU 上而是把這一整層軟件定義基礎(chǔ)設(shè)施搬進(jìn)一顆芯片里文檔原話叫“基礎(chǔ)設(shè)施即芯片”。從行業(yè)角度看這個(gè)定位轉(zhuǎn)變很關(guān)鍵。傳統(tǒng)網(wǎng)卡解決的是數(shù)據(jù)從網(wǎng)線到內(nèi)存的搬運(yùn)問(wèn)題主要工作是校驗(yàn)、分段、中斷和隊(duì)列管理DPU 則內(nèi)置了完整的 CPU 子系統(tǒng)、加速引擎和高速網(wǎng)絡(luò)控制器能夠獨(dú)立運(yùn)行軟件棧。換句話說(shuō)DPU 不再是一塊“更聰明的網(wǎng)卡”而是一臺(tái)沒(méi)有顯示器、跑基礎(chǔ)設(shè)施軟件的微型計(jì)算機(jī)插在服務(wù)器的 PCIe 插槽上替主機(jī) CPU 扛下所有重復(fù)性的基礎(chǔ)設(shè)施操作。這份文檔反復(fù)強(qiáng)調(diào)一個(gè)概念數(shù)據(jù)中心是新的計(jì)算單元。過(guò)去談算力看的是 CPU 和 GPU現(xiàn)在加上了 DPU 這一項(xiàng)。三者的分工大致是CPU 跑通用業(yè)務(wù)邏輯GPU 跑并行計(jì)算和大模型訓(xùn)練DPU 跑數(shù)據(jù)中心基礎(chǔ)設(shè)施服務(wù)。對(duì)于云廠商和大型企業(yè) IT 團(tuán)隊(duì)來(lái)說(shuō)這個(gè)分工意味著選型邏輯會(huì)從“買(mǎi)多少核的 CPU”擴(kuò)展成“整套計(jì)算底座怎么搭”。2.2 核心規(guī)格表不是網(wǎng)卡是一臺(tái)小型服務(wù)器文檔第 6 頁(yè)給出了 BlueField-2 的完整規(guī)格可以整理成下面這張表。讀這張表時(shí)請(qǐng)先不要想著“這是網(wǎng)卡參數(shù)”而是把它當(dāng)作“一臺(tái) 1U 服務(wù)器的小型化參數(shù)”來(lái)看。規(guī)格項(xiàng)文檔標(biāo)注對(duì)從業(yè)者的意義晶體管規(guī)模56.9B569 億已接近當(dāng)前主流 GPU 的集成度說(shuō)明是完整 SoCCPU 子系統(tǒng)8 個(gè) 64 位 RISC 核心最高 2.5GHz8MB L2、6MB L3板載獨(dú)立計(jì)算能力可跑控制面和協(xié)議棧加速引擎雙 16 通道 VLIW 引擎用于正則、加密、壓縮等固定功能卸載網(wǎng)絡(luò)能力200Gbps 以太網(wǎng) / InfiniBand支持 NRZ 與 PAM4 調(diào)制滿足下一代云網(wǎng)絡(luò)帶寬需求安全加速100Gbps IPsec50Gbps RegEx加解密與深度報(bào)文檢測(cè)可在線處理視頻流100Gbps 視頻流處理可用于轉(zhuǎn)碼、內(nèi)容識(shí)別等重負(fù)載存儲(chǔ)性能最高 5M NVMe IOPs存儲(chǔ)章節(jié)標(biāo)注 5.4M IOPs 4K小 I/O 隨機(jī)讀寫(xiě)不再是主機(jī) CPU 的負(fù)擔(dān)PCIe 拓?fù)浼?PCIe 交換機(jī)16 通道 Gen4支持 Root Complex 與 End Point 模式既能做設(shè)備也能做根節(jié)點(diǎn)部署形態(tài)靈活帶外管理1GbE 管理端口管理與數(shù)據(jù)面分離運(yùn)維更安全先把晶體管規(guī)模單獨(dú)拿出來(lái)看569 億晶體管不是一顆普通網(wǎng)卡的體量它已經(jīng)進(jìn)入了 SoC 的領(lǐng)域。這意味著芯片上除了網(wǎng)絡(luò)控制器還容納了 CPU 核心、緩存陣列、各種加速引擎和 PCIe 交換結(jié)構(gòu)。8 個(gè) 64 位 RISC 核心在這個(gè)架構(gòu)里不是給業(yè)務(wù)虛擬機(jī)用的而是用來(lái)跑數(shù)據(jù)中心基礎(chǔ)設(shè)施軟件——比如 Open vSwitch 控制面、IPsec 協(xié)議棧、存儲(chǔ)虛擬化層、安全策略引擎。文檔里描述為“分片 Tile 架構(gòu)”4 個(gè) Tile 之間共享 L3 緩存這種設(shè)計(jì)是為了讓不同加速任務(wù)之間不會(huì)互相爭(zhēng)搶內(nèi)存帶寬。PCIe 部分特別值得展開(kāi)。這顆 DPU 集成了完整的 PCIe 交換機(jī)16 條通道可以按需要拆分并且同時(shí)支持 Root Complex 和 End Point 兩種模式。End Point 模式對(duì)應(yīng)傳統(tǒng)網(wǎng)卡或存儲(chǔ)控制卡的角色Root Complex 模式則讓 DPU 可以直接管理下游設(shè)備比如掛載 NVMe 固態(tài)盤(pán)后把整塊存儲(chǔ)資源通過(guò) SNAP 框架共享給主機(jī)。這種靈活的拓?fù)淠芰κ呛竺嫠新憬饘俸痛鎯?chǔ)組合場(chǎng)景的基礎(chǔ)。選型時(shí)如果再有人跟你說(shuō)“DPU 就是速率更高的網(wǎng)卡”拿這張表就能把問(wèn)題講清楚。2.3 效率倍數(shù)2.5 倍到 150 倍怎么讀才不會(huì)翻車方案中有一張應(yīng)用效率表列出單個(gè) DPU 在特定場(chǎng)景下相當(dāng)于額外增加多少 CPU。原文數(shù)據(jù)整理如下工作負(fù)載等效額外 CPU 倍數(shù)云覆蓋網(wǎng)絡(luò)2.5X惡意軟件特征匹配10X視頻流轉(zhuǎn)碼/流處理15XIPsec 加密30X彈性塊存儲(chǔ)50XNG 有狀態(tài)防火墻150X第一次看到 150X 時(shí)我第一反應(yīng)是懷疑測(cè)試條件。這個(gè)數(shù)字本身不是通用收益承諾而是針對(duì)特定負(fù)載的對(duì)照結(jié)果NG 有狀態(tài)防火墻屬于典型的“狀態(tài)匹配 連接跟蹤 加解密”混合負(fù)載這些操作在通用 CPU 上既耗算力又難優(yōu)化而在 DPU 里由專用引擎和可編程流水線協(xié)作處理倍數(shù)差距自然大。相反云覆蓋網(wǎng)絡(luò)僅 2.5 倍說(shuō)明這類負(fù)載已經(jīng)接近通用處理器的優(yōu)化極限卸載收益有限。讀這類倍數(shù)表時(shí)行業(yè)慣例是從中提取方向性的結(jié)論凡是“重復(fù)、固定格式、長(zhǎng)尾查詢”型的基礎(chǔ)設(shè)施操作都是 DPU 加速的重點(diǎn)。惡意軟件特征匹配和正則匹配屬于模式固定的大規(guī)模掃描IPsec 屬于固定的加解密流水線彈性塊存儲(chǔ)屬于高頻小 I/O 轉(zhuǎn)發(fā)。把這些操作從 CPU 挪走主機(jī) CPU 就能把更多精力放在業(yè)務(wù)邏輯上。至于廠商宣稱的“替代 125 個(gè) x86 CPU 核心”更合理的理解是在一臺(tái)滿載基礎(chǔ)設(shè)施負(fù)載的服務(wù)器上DPU 接管原本需要約 125 個(gè)核心才能完成的工作而不是說(shuō)一顆 DPU 能頂 125 核的性能。任何一個(gè)認(rèn)真做選型的人都應(yīng)該把這份表當(dāng)作 PoC 起點(diǎn)而不是采購(gòu)承諾。3. 安全、存儲(chǔ)、網(wǎng)絡(luò)三條加速線DPU 到底改寫(xiě)了什么3.1 安全安全邊界從核心數(shù)據(jù)中心向每一臺(tái)主機(jī)“下沉”這份方案在安全章節(jié)用了非常直白的描述安全正在從邊界移到服務(wù)器內(nèi)部。過(guò)去的數(shù)據(jù)中心安全模型是南北向的——外部流量先經(jīng)過(guò)核心防火墻再進(jìn)入服務(wù)器東西向流量在服務(wù)器之間跑往往只能依賴虛擬化平臺(tái)自帶的策略。這種模型在物理機(jī)上問(wèn)題不大但在多租戶云環(huán)境里已經(jīng)過(guò)時(shí)一旦租戶虛擬機(jī)被攻破橫向移動(dòng)幾乎暢通無(wú)阻。DPU 給出的做法是把安全能力內(nèi)嵌到每一臺(tái)主機(jī)。文檔明確列出了分布式 NG 防火墻、IDS/IPS、DDoS 防護(hù)、微隔離、深度包檢測(cè)、主機(jī)內(nèi)省等能力同時(shí)把 Root of Trust信任根放在 DPU 上與控制面隔離。翻譯成部署語(yǔ)言就是每臺(tái)物理機(jī)的入站出站流量在 DPU 里就已經(jīng)完成狀態(tài)檢測(cè)、規(guī)則匹配和加密處理不再需要把流量繞行到集中的防火墻設(shè)備。這樣做的好處很直接攻擊面急劇縮小因?yàn)榧词怪鳈C(jī)操作系統(tǒng)被完全攻破租戶也觸碰不到 DPU 上運(yùn)行的安全策略同時(shí)威脅響應(yīng)粒度從“整個(gè) VPC”細(xì)化到“單臺(tái)主機(jī)、單個(gè)工作負(fù)載”。文檔特別強(qiáng)調(diào)了一個(gè)概念信任遷移到 DPU。以前服務(wù)器信任根建立在 CPU 的 TPM 和主板固件上虛擬化安全依賴 Hypervisor現(xiàn)在 DPU 提供了獨(dú)立的硬件信任鏈。對(duì)于運(yùn)行裸金屬云的企業(yè)這一點(diǎn)是決定性的——裸金屬租戶沒(méi)有 Hypervisor 隔離只有 DPU 能在硬件層面把租戶與租戶、租戶與云管理面隔開(kāi)。安全邊界從物理防火墻上移到 DPU這個(gè)趨勢(shì)在文檔里不是某個(gè)功能的附帶說(shuō)明而是專門(mén)一節(jié)的重點(diǎn)值得安全團(tuán)隊(duì)關(guān)注。3.2 存儲(chǔ)遠(yuǎn)程存儲(chǔ)偽裝成本地 NVMe裸金屬云也能享受“本地盤(pán)”存儲(chǔ)加速是這份方案里含金量最高的一章。核心是一個(gè)叫 SNAP 的框架DPU 通過(guò) PCIe 接口向主機(jī)模擬出標(biāo)準(zhǔn)的 NVMe 控制器或 virtio-blk 設(shè)備主機(jī)操作系統(tǒng)看到的是一塊實(shí)實(shí)在在的本地固態(tài)盤(pán)但數(shù)據(jù)實(shí)際上全部落在遠(yuǎn)端存儲(chǔ)池上走的是 NVMe-oF、iSCSI、iSER、NFS 或 Ceph。整個(gè)協(xié)議轉(zhuǎn)換、RDMA 卸載、加解密、去重壓縮全部在 DPU 內(nèi)部完成。這套機(jī)制解決了裸金屬云長(zhǎng)期的一個(gè)尷尬裸金屬服務(wù)器為了性能都要物理盤(pán)但物理盤(pán)無(wú)法跨節(jié)點(diǎn)調(diào)度也無(wú)法在故障時(shí)快速重建。有了 SNAP裸金屬主機(jī)可以像虛擬機(jī)一樣從遠(yuǎn)端存儲(chǔ)池引導(dǎo)和掛載數(shù)據(jù)盤(pán)完全不用裝額外的驅(qū)動(dòng)——文檔特意強(qiáng)調(diào)支持 inbox 標(biāo)準(zhǔn)驅(qū)動(dòng)操作系統(tǒng)任意版本都能識(shí)別。同時(shí)存儲(chǔ)章節(jié)給出最高 5.4M IOPs 4K 的數(shù)據(jù)這個(gè)量級(jí)已經(jīng)接近本地 NVMe 盤(pán)的體驗(yàn)說(shuō)明遠(yuǎn)程存儲(chǔ)的性能瓶頸通過(guò) DPU 卸載后基本被消除。從基礎(chǔ)設(shè)施演進(jìn)的角度看SNAP 最大的信號(hào)是“存儲(chǔ)可組合性”。傳統(tǒng)超融合方案用軟件把多臺(tái)服務(wù)器的本地盤(pán)聚合成存儲(chǔ)池但虛擬機(jī)仍然被限制在物理節(jié)點(diǎn)上DPU 把遠(yuǎn)程存儲(chǔ)直接暴露為本地 PCIe 設(shè)備存儲(chǔ)資源就可以脫離物理計(jì)算節(jié)點(diǎn)獨(dú)立擴(kuò)展。文檔原話說(shuō)這將“打破企業(yè)云經(jīng)濟(jì)學(xué)”——計(jì)算不足時(shí)只擴(kuò)計(jì)算節(jié)點(diǎn)存儲(chǔ)不足時(shí)只擴(kuò)存儲(chǔ)節(jié)點(diǎn)超賣比例和機(jī)架密度都能顯著優(yōu)化。對(duì)于正在評(píng)估超融合或分布式存儲(chǔ)架構(gòu)的團(tuán)隊(duì)這條值得單獨(dú)做一輪驗(yàn)證。3.3 網(wǎng)絡(luò)vSwitch、vRouter 的卸載是整套方案的數(shù)據(jù)面骨架網(wǎng)絡(luò)加速章節(jié)在這份 PDF 里恰好停在標(biāo)題處但前面各章已經(jīng)透露出足夠的網(wǎng)絡(luò)卸載邏輯。原文檔在介紹 DPU 加速能力時(shí)明確列出軟件定義網(wǎng)絡(luò)、vRouter、vSwitch、NAT/負(fù)載均衡、覆蓋網(wǎng)絡(luò)隧道以及 Telemetry 遙測(cè)。這些內(nèi)容共同指向一件事主機(jī) CPU 不再負(fù)責(zé)在用戶態(tài)和內(nèi)核態(tài)之間搬運(yùn)網(wǎng)絡(luò)包DPU 里的可編程流水線直接處理匹配-動(dòng)作表。行業(yè)里常說(shuō)的“卸載 OVS 數(shù)據(jù)面”在這份方案里的實(shí)現(xiàn)方式大致是Hypervisor 或容器宿主機(jī)上保留一個(gè)標(biāo)準(zhǔn)網(wǎng)絡(luò)接口所有虛擬網(wǎng)絡(luò)策略通過(guò)控制下發(fā)到 DPUDPU 內(nèi)核對(duì)來(lái)自虛擬機(jī)的數(shù)據(jù)包執(zhí)行 VXLAN 封裝解封裝、隧道頭處理、安全檢測(cè)和負(fù)載均衡然后直接轉(zhuǎn)發(fā)到物理網(wǎng)絡(luò)。傳統(tǒng)軟件交換機(jī)最耗 CPU 的部分被移出主機(jī)網(wǎng)絡(luò)吞吐變得可預(yù)測(cè)。這里要提醒一句網(wǎng)絡(luò)加速的收益最容易被高估也最容易被低估。高估的人以為任何網(wǎng)絡(luò)流量都能跑滿 200G 線速低估的人覺(jué)得網(wǎng)絡(luò)卸載只是讓測(cè)試好看。實(shí)際部署中收益取決于流表規(guī)模和流量模型流表規(guī)則少、大包吞吐多的場(chǎng)景卸載收益明顯規(guī)則多、小包密集的場(chǎng)景DPU 的控制面和逐包處理邏輯會(huì)影響延遲。方案文檔把網(wǎng)絡(luò)加速列為獨(dú)立章節(jié)說(shuō)明它在整個(gè) DPU 架構(gòu)里是數(shù)據(jù)面的骨架但不是萬(wàn)能加速器。選型時(shí)最務(wù)實(shí)的做法是先把自己環(huán)境的流量鏡像出來(lái)在 DPU 上跑一遍真實(shí)測(cè)試。4. 裸金屬與虛擬化DPU 如何補(bǔ)上云主機(jī)的最后一層隔墻4.1 裸金屬云DPU 是那堵看不見(jiàn)的“虛擬機(jī)隔離墻”裸金屬云的業(yè)務(wù)邏輯很簡(jiǎn)單租戶需要獨(dú)占物理機(jī)的 CPU、內(nèi)存和網(wǎng)卡不想要 Hypervisor 的性能損耗也不能容忍鄰居租戶的干擾。但性能直通換來(lái)的是安全隔離的缺失——虛擬機(jī)時(shí)代由 Hypervisor 提供的網(wǎng)絡(luò)隔離、存儲(chǔ)加密和快照能力在裸金屬環(huán)境下全部需要重新解決。過(guò)去最常見(jiàn)的方案是把裸金屬服務(wù)器放進(jìn)獨(dú)立 VLAN用物理防火墻做粗粒度隔離但租戶內(nèi)部的微隔離完全做不了。DPU 改變了這個(gè)等式。裸金屬主機(jī)插入 DPU 后網(wǎng)絡(luò)流量從物理網(wǎng)卡進(jìn)入 DPU由 DPU 執(zhí)行虛擬網(wǎng)絡(luò)策略和安全規(guī)則再交給主機(jī)操作系統(tǒng)。租戶看到的是一塊完全直通的網(wǎng)絡(luò)設(shè)備實(shí)際上數(shù)據(jù)已經(jīng)經(jīng)過(guò)了一層硬件隔離墻。文檔里關(guān)于裸金屬與虛擬化的說(shuō)明用的正是這個(gè)邏輯裸金屬 Linux 和 Windows 都能被隔離網(wǎng)絡(luò)和安全策略可以在同一套編排體系中管理。這意味著裸金屬云不必再犧牲精細(xì)的安全控制云服務(wù)商可以用一套統(tǒng)一的策略管理虛擬機(jī)和裸金屬主機(jī)。從成本角度看裸金屬云最大的成本項(xiàng)是服務(wù)器閑置。沒(méi)有 DPU 時(shí)租戶買(mǎi)了裸金屬實(shí)例后基礎(chǔ)設(shè)施軟件云監(jiān)控、安全代理、虛擬網(wǎng)絡(luò)只能占用租戶的 CPU 周期有 DPU 后這些全部跑到 DPU 上租戶拿到的 CPU 資源更干凈云廠商的超賣計(jì)算也更準(zhǔn)確。文檔在存儲(chǔ)部分提到的“OS 無(wú)關(guān)、支持舊系統(tǒng)”同樣適用于裸金屬只要操作系統(tǒng)能識(shí)別標(biāo)準(zhǔn) NVMe 和網(wǎng)絡(luò)設(shè)備就能無(wú)縫接入 DPU 管控的環(huán)境。4.2 虛擬化Hypervisor 只管計(jì)算網(wǎng)絡(luò)與存儲(chǔ)交給 DPU 之后發(fā)生了什么方案文檔里用了一整頁(yè)來(lái)描述 DPU 與主流虛擬化平臺(tái)的聯(lián)合方案核心思路是重新劃分 Hypervisor 的職責(zé)。在傳統(tǒng)架構(gòu)中Hypervisor 要管 CPU 調(diào)度、內(nèi)存虛擬化、虛擬網(wǎng)絡(luò)、虛擬存儲(chǔ)和安全策略前兩項(xiàng)是它擅長(zhǎng)的后三項(xiàng)在云規(guī)模下會(huì)消耗大量資源。引入 DPU 后虛擬網(wǎng)絡(luò)、安全服務(wù)和存儲(chǔ)訪問(wèn)全部卸載到 DPUHypervisor 只保留計(jì)算調(diào)度功能。這個(gè)改動(dòng)對(duì)性能和運(yùn)維都有深遠(yuǎn)影響。性能上虛擬機(jī)發(fā)送數(shù)據(jù)包時(shí)不再需要 Hypervisor 陷入處理而是直接把 I/O 請(qǐng)求推到 DPU由 DPU 完成策略匹配和轉(zhuǎn)發(fā)延遲路徑變短。運(yùn)維上網(wǎng)絡(luò)和安全策略的配置不再依賴 Hypervisor 的插件生態(tài)而是在 DPU 上以獨(dú)立服務(wù)形式運(yùn)行即使 Hypervisor 本身崩潰或需要升級(jí)DPU 上的安全策略仍然生效。文檔提到的主機(jī)管理通道獨(dú)立走 1GbE 帶外端口正是為了讓管理面與數(shù)據(jù)面徹底隔離。更值得關(guān)注的是這個(gè)設(shè)計(jì)為虛擬機(jī)提供了一種“物理級(jí)”的隔離。傳統(tǒng)虛擬化安全依賴 Hypervisor 自身不被攻破而 DPU 的安全控制面與主機(jī)完全隔離虛擬機(jī)即使越獄逃逸到 Hypervisor也無(wú)法觸碰 DPU 上的策略。這種“信任根下沉”的架構(gòu)正在成為混合云環(huán)境中高安全合規(guī)需求的默認(rèn)選項(xiàng)。對(duì)運(yùn)維團(tuán)隊(duì)來(lái)說(shuō)未來(lái)做虛擬化排障時(shí)可能要習(xí)慣一個(gè)新的邊界虛擬機(jī)內(nèi)看網(wǎng)絡(luò)DPU 外看路徑兩層分開(kāi)查。4.3 生態(tài)SDK 和參考應(yīng)用決定 DPU 不是“一次性硬件”整套方案的最后一層是軟件生態(tài)。文檔特別強(qiáng)調(diào)DPU 配套的開(kāi)發(fā)者平臺(tái)提供開(kāi)放 API包括 DPDK、SPDK、P4 等標(biāo)準(zhǔn)接口同時(shí)提供認(rèn)證過(guò)的參考應(yīng)用和第三方解決方案支持多種操作系統(tǒng)。這里的信號(hào)很清楚硬件只是載體真正的護(hù)城河在于圍繞基礎(chǔ)設(shè)施應(yīng)用建立的軟件生態(tài)。從開(kāi)發(fā)者的視角看DPDK 解決了高性能包處理框架的問(wèn)題SPDK 解決了存儲(chǔ)數(shù)據(jù)面用戶態(tài)驅(qū)動(dòng)的問(wèn)題P4 解決了網(wǎng)絡(luò)流水線可編程的問(wèn)題。DPU 把這三者整合進(jìn)一套 SDK并給出基礎(chǔ)設(shè)施組件包處理加速、加密與信任根、RDMA、存儲(chǔ)模擬、管理和遙測(cè)。這意味著一個(gè)團(tuán)隊(duì)不需要分別調(diào)網(wǎng)卡驅(qū)動(dòng)、存儲(chǔ)驅(qū)動(dòng)和安全引擎大部分基礎(chǔ)設(shè)施功能都可以在 SDK 的框架內(nèi)完成開(kāi)發(fā)。文檔里提到“認(rèn)證參考應(yīng)用”等于告訴集成商常見(jiàn)場(chǎng)景已經(jīng)有人跑通不需要從零踩坑。對(duì)于采購(gòu)方生態(tài)成熟度比硬件參數(shù)更重要。一顆 DPU 的硬件生命周期可能是五年但軟件生態(tài)決定了五年里你能在上面跑多少新功能。文檔結(jié)尾把生態(tài)列為單獨(dú)篇幅而不是只講芯片規(guī)格說(shuō)明方案方已經(jīng)把“開(kāi)發(fā)者平臺(tái)”當(dāng)作與硬件同等重要的產(chǎn)品。評(píng)估 DPU 時(shí)除了看參數(shù)表還應(yīng)該看配套 SDK 的文檔質(zhì)量、社區(qū)活躍度和參考案例是否貼近自己的業(yè)務(wù)。沒(méi)有軟件可跑的高速芯片最后只能變成昂貴的數(shù)據(jù)通路加速器。5. 常見(jiàn)誤判別把 DPU 方案當(dāng)成“高檔網(wǎng)卡”來(lái)選型5.1 誤判一DPU 只是“更快的網(wǎng)卡”誤判點(diǎn)看到 200Gbps 帶寬和 PCIe Gen4就認(rèn)為這是一塊性能更高的智能網(wǎng)卡用傳統(tǒng)網(wǎng)卡的選型方法比較速率和隊(duì)列數(shù)。為什么這是誤判DPU 與網(wǎng)卡最大的區(qū)別在于板載 CPU 子系統(tǒng)和可編程流水線。網(wǎng)卡是固定功能設(shè)備DPU 是能運(yùn)行自定義軟件的計(jì)算節(jié)點(diǎn)。如果只按網(wǎng)卡思路選型你會(huì)忽略它真正能卸載什么任務(wù)也無(wú)法判斷基礎(chǔ)設(shè)施服務(wù)能不能從 CPU 遷到 DPU 上。怎么看選型時(shí)不要問(wèn)“速率跑多高”而是問(wèn)三件事第一主機(jī)上哪些 CPU 周期能被 DPU 接管第二DPU 上能運(yùn)行誰(shuí)的代碼、控制面是否開(kāi)放第三網(wǎng)絡(luò)、存儲(chǔ)、安全是否共享同一套可編程框架。如果三個(gè)答案都明確它才是 DPU否則只是普通網(wǎng)卡。拿著網(wǎng)卡的框架去套 DPU是團(tuán)隊(duì)最容易犯的第一個(gè)錯(cuò)。5.2 誤判二只看網(wǎng)絡(luò)速度不看內(nèi)存子系統(tǒng)與 PCIe 拓?fù)湔`判點(diǎn)把 200Gbps 當(dāng)作衡量 DPU 性能的唯一標(biāo)準(zhǔn)忽略了 CPU 核心、緩存容量、PCIe 通道數(shù)和 Root Complex/Endpoint 模式。為什么這是誤判DPU 本質(zhì)上是一臺(tái)微型服務(wù)器它的吞吐上限由網(wǎng)絡(luò)接口、CPU 子系統(tǒng)、內(nèi)存帶寬、PCIe 拓?fù)涔餐瑳Q定。緩存不夠會(huì)導(dǎo)致命中率下降PCIe 通道不足會(huì)導(dǎo)致掛載 NVMe 盤(pán)的數(shù)量受限Root Complex 模式不可用則意味著存儲(chǔ)組合方案無(wú)法落地。這些參數(shù)里任何一項(xiàng)太弱都會(huì)成為整個(gè)數(shù)據(jù)路徑的瓶頸。怎么看把 DPU 當(dāng)作“一臺(tái)擁有 8 個(gè)核心、8MB L2、6MB L3 的小型服務(wù)器”來(lái)評(píng)估。先畫(huà)一張數(shù)據(jù)路徑圖流量從網(wǎng)卡進(jìn)入后哪些字段會(huì)被 CPU 核心處理哪些走專用加速引擎I/O 請(qǐng)求如何到達(dá) PCIe switch。路徑上任何一環(huán)不滿足性能目標(biāo)都不能錄取。只看帶寬宣傳頁(yè)等到 PoC 時(shí)發(fā)現(xiàn) CPU 子系統(tǒng)跟不上那就是選型上最典型的翻車點(diǎn)。5.3 誤判三以為裝上 DPU現(xiàn)有軟件棧不用改誤判點(diǎn)認(rèn)為 DPU 是透明加速設(shè)備插上去之后虛擬機(jī)、容器、存儲(chǔ)協(xié)議和安全策略全部照舊性能自動(dòng)提升若干倍。為什么這是誤判DPU 的收益依賴軟件棧配合。想用 SNAP 框架需要把存儲(chǔ)路徑從主機(jī)的內(nèi)核驅(qū)動(dòng)切換為 virtio-blk 或 NVMe 模擬設(shè)備想卸載安全策略需要把防火墻規(guī)則從 Hypervisor 遷移到 DPU 的控制面想優(yōu)化網(wǎng)絡(luò)數(shù)據(jù)面需要把流程表項(xiàng)下放到 DPU 可編程流水線。文檔專門(mén)用一整章講 SDK 和參考應(yīng)用已經(jīng)暗示這不是即插即用。怎么看在規(guī)劃階段把改造范圍列清楚。先選一個(gè)負(fù)載做試點(diǎn)比如把 IPsec 終端遷移到 DPU 上或者把某類虛擬機(jī)的存儲(chǔ)路徑切換到 SNAP。觀察試點(diǎn)前后的數(shù)據(jù)路徑變化確認(rèn)哪些組件需要升級(jí)哪些代碼需要重寫(xiě)。不要指望一次接入全部卸載DPU 更適合分階段交付每交付一個(gè)場(chǎng)景都做一次完整驗(yàn)證。5.4 誤判四把 150 倍、替代 125 個(gè) x86 核心當(dāng)成通用收益誤判點(diǎn)把方案文檔里的效率倍數(shù)寫(xiě)進(jìn)項(xiàng)目收益測(cè)算推斷一臺(tái)服務(wù)器可以少買(mǎi) 125 個(gè) CPU 核心或者任何安全負(fù)載都能獲得 150 倍加速。為什么這是誤判文檔中 150X 是對(duì) NG 有狀態(tài)防火墻這一特定負(fù)載的對(duì)照值云覆蓋網(wǎng)絡(luò)場(chǎng)景只有 2.5X。實(shí)際收益高度依賴報(bào)文大小、連接數(shù)、規(guī)則條數(shù)和 CPU 型號(hào)。廠商在大流量、大包、規(guī)則數(shù)量適中的環(huán)境下測(cè)試出的倍數(shù)換到你的生產(chǎn)環(huán)境未必成立。把未經(jīng)驗(yàn)證的倍數(shù)當(dāng)成投資回報(bào)依據(jù)項(xiàng)目立項(xiàng)時(shí)很激進(jìn)驗(yàn)收時(shí)很尷尬。怎么看把文檔里的數(shù)字當(dāng)作“上限參考”而不是“保底承諾”。具體做法是用真實(shí)流量鏡像在 DPU 和純 CPU 環(huán)境各跑一輪記錄相同負(fù)載下的 CPU 占用率、吞吐和延遲。如果 PoC 測(cè)出的收益與官方倍數(shù)差距在可接受范圍再按這個(gè)數(shù)據(jù)做規(guī)?；扑?。任何跳過(guò) PoC 的效率測(cè)算都是黑匣子黑匣子里的數(shù)字不能用于采購(gòu)決策。6. 接下來(lái)怎么走三個(gè)趨勢(shì)信號(hào)與一份選型行動(dòng)清單從這份方案往后看DPU 正在從“新硬件品類”變成“云基礎(chǔ)設(shè)施的默認(rèn)底座”。第一個(gè)信號(hào)是裸金屬云和容器實(shí)例會(huì)加速采用 DPU 來(lái)補(bǔ)齊隔離短板。過(guò)去裸金屬的賣點(diǎn)是性能代價(jià)是粗放的安全管控DPU 讓裸金屬獲得接近虛擬機(jī)的策略隔離能力后高安全合規(guī)的客戶也會(huì)開(kāi)始接受裸金屬形態(tài)云廠商可以因此提高裸金屬占比和資源利用率。第二個(gè)信號(hào)是存儲(chǔ)組合與超融合的邊界會(huì)繼續(xù)模糊。SNAP 類技術(shù)讓遠(yuǎn)程存儲(chǔ)看起來(lái)像本地 NVMe 盤(pán)存儲(chǔ)資源池與計(jì)算節(jié)點(diǎn)可以獨(dú)立擴(kuò)容。未來(lái)服務(wù)器本地盤(pán)可能只是緩存真正的持久化數(shù)據(jù)全部落在由 DPU 加速的遠(yuǎn)端存儲(chǔ)池里。這會(huì)讓超融合架構(gòu)從“軟件定義存儲(chǔ)”轉(zhuǎn)向“硬件加速存儲(chǔ)組合”存儲(chǔ)性能的衡量標(biāo)準(zhǔn)也會(huì)從單一節(jié)點(diǎn) IOPS 變成端到端數(shù)據(jù)路徑延遲。第三個(gè)信號(hào)是安全信任根遷移。當(dāng)信任根從 CPU 和 Hypervisor 轉(zhuǎn)移到 DPU合規(guī)審計(jì)的關(guān)注點(diǎn)也會(huì)變化。以前審計(jì)虛擬機(jī)鏡像、Hypervisor 安全補(bǔ)丁、主機(jī)防火墻規(guī)則未來(lái)還要審計(jì) DPU 上運(yùn)行的策略版本、信任鏈狀態(tài)和帶外管理日志。安全團(tuán)隊(duì)需要提前構(gòu)建一套能觀測(cè) DPU 狀態(tài)的管理面不然等合規(guī)檢查再補(bǔ)時(shí)間完全不夠。行動(dòng)上建議按下面這張清單評(píng)估 DPU 方案比直接看廠商 PPT 實(shí)用得多評(píng)估維度要確認(rèn)的具體問(wèn)題網(wǎng)絡(luò)數(shù)據(jù)面流表規(guī)模和大小包混合場(chǎng)景下吞吐與延遲是否達(dá)標(biāo)CPU 子系統(tǒng)板載核心數(shù)、緩存容量是否滿足控制面軟件運(yùn)行需求存儲(chǔ)協(xié)議是否原生支持 NVMe-oF、iSCSI、NFS、Ceph 等混合存儲(chǔ)路徑安全能力信任根是否獨(dú)立、FW 規(guī)則能否熱更新、隔離粒度到主機(jī)還是工作負(fù)載軟件生態(tài)SDK 文檔和參考應(yīng)用是否貼近自己的業(yè)務(wù)場(chǎng)景支持哪些操作系統(tǒng)版本帶外管理管理口是否獨(dú)立、能否在主機(jī)宕機(jī)時(shí)完成遠(yuǎn)程固件升級(jí)與狀態(tài)采集我自己的經(jīng)驗(yàn)是兩年前第一次接觸同類 DPU 方案時(shí)我也被 150X 的倍數(shù)吸引覺(jué)得這是基礎(chǔ)設(shè)施性能的終極答案。結(jié)果在真實(shí)環(huán)境里跑了一圈發(fā)現(xiàn)收益集中在安全加解密和塊存儲(chǔ)轉(zhuǎn)發(fā)普通網(wǎng)絡(luò)轉(zhuǎn)發(fā)提升并不夸張。從那以后我每次看這類方案都會(huì)強(qiáng)制走一遍流程先確認(rèn)目標(biāo)負(fù)載再核對(duì)板載 CPU 與 PCIe 拓?fù)渥詈笥?PoC 驗(yàn)證數(shù)據(jù)路徑而不是直接信宣傳頁(yè)。希望這份拆解能幫你在評(píng)估 DPU 時(shí)少走一段彎路把每一分投資都花在真正能落地的加速場(chǎng)景上。本文還有配套的精品資源點(diǎn)擊獲取