NVIDIA DPU赋能Palo Alto Networks，大幅提升网络安全防御能力

NVIDIA BlueField-2助力Palo Alto Networks的虚拟新一代防火墙实现5倍加速

根据美国联邦调查局（FBI）的数据，2020年网络犯罪给美国公众造成的损失高达40亿美元以上。

面对各种新型威胁，为提前做好防御，全球网络安全领导者Palo Alto Networks开发了首款通过NVIDIA BlueField DPU（数据处理器）加速的虚拟NGFW（ Next-Generation FirewWall - 新一代防火墙）。

DPU通过将流量从主机处理器卸载到独立于服务器CPU的专用硬件上，可加速对数据包的过滤和转发。该解决方案让每台服务器都能拥有Palo Alto Networks的虚拟NGFW的入侵防御和高级安全功能，且不以牺牲网络性能为代价，还能对网络流中的相关部分进行智能筛选，并将其余的操作卸载到DPU，实现了对以前不可能或做不到的网络流进行检查。

作为市场上首款使用DPU加速的产品，这款硬件加速的软件NGFW是Palo Alto Networks公司提升软件防火墙性能以及实现数据中心安全覆盖范围和效率最大化进程中的一座里程碑。

最近发布的基于DPU的Palo Alto Networks VM系列NGFW采用了零信任网络安全原则，DPU作为智能网络过滤器，能够以不消耗CPU的方式，对网络流进行解析、分类和引导，使NGFW能够在各种典型用例中达到接近100Gb/s的吞吐量。与单纯运行在CPU上的VM系列防火墙相比，其性能提高了5倍；而与传统的硬件方案相比，可节省高达150%的资本支出。

Palo Alto Networks公司的产品高级副总裁Muninder Singh Sambi表示：“企业和电信公司都在建立类云数据中心，因此既需要云的敏捷性和自动化，同时又不能影响性能。我们与NVIDIA的合作，大幅提升了我们基于机器学习的VM系列虚拟NGFW的性能。对于在类云环境中运行的网络安全解决方案而言，业内领先的NVIDIA BlueField DPU是您的理想选择。”

作为市场上首款支持BlueField DPU的NGFW，VM系列产品通过将数据包过滤和转发等功能从主机处理器卸载到BlueField DPU上进行硬件加速，可助力于应用感知的分段（Segmentation）、预防恶意软件、检测新型威胁及阻止数据渗漏等业务。

智能流量卸载服务

在某些客户环境中，大多数流量或者是无需检查（如视频、游戏、视频会议等流媒体流量），或者是无法检查（如客户无法在防火墙上指定相应解密策略的加密流量等）。在这种情况下，智能流量卸载技术可以实现只那些能够受益于持续安全检查的网络流来确保防火墙资源的优化利用。

高达80%的网络流量，包括数据中心中的多媒体和加密数据，都无需或无法由防火墙进行检查。如何来区分这些流量，NVIDIA和Palo Alto Networks的联合解决方案包括了 ITO（智能流量卸载）服务，该技术可以对网络流量进行检查，以区分每个会话（Session）是否受益于安全检查。

ITO（智能流量卸载）服务通过检查流量中的每个会话（Session），以确定该会话是否能受益于安全检查。如果防火墙确定该会话无法受益于安全检查，则ITO会指示BlueField-2 DPU将该会话中的所有后续数据包直接转发到目的地，而不必再发送到防火墙（见下表）。

只有检查能够受益于安全检查的网络流，才会把其余安全操作卸载到DPU，既减少了防火墙和主机CPU上的总负载，又提升了性能和安全性。

ITO（智能流量卸载）使企业、电信和云运营商能够在零信任环境下，通过在每台主机上运行NGFW来保护最终用户，助力其加快数字化转型，同时免受各种网络威胁。

Palo Alto Networks的ITO服务通过NVIDIA BlueFIeld DPU，智能卸载无需进一步安全检查的流量 

扩展NVIDIA DOCA SDK开发者生态系统

Palo Alto Networks在BlueField DPU上的NGFW的早期开发使用了gRPC中的开源远程程序来调用框架（云原生计算基金会的一个项目）和NVIDIA 的ASAP²（一款开源硬件加速框架）。

现在BlueField和ASAP² 的gRPC接口现已并入NVIDIA DOCA SDK，这一芯片架构上的数据中心基础架构开发平台为开发者提供了一个开源平台，使开发者能够构建在BlueField DPU上运行的软件定义和硬件加速的网络、存储、安全与管理应用程序。

NVIDIA致力于建立一个大型开发者社区，为基于NVIDIA GPU和BlueField DPU的数据中心基础设施应用和服务带来彻底的改观，DOCA正是其中的一部分。