阿里七层流量入口Tengine硬件加速探索之路-OpenRestyCon2018.PDF

阿里七层流量入口 Tengine硬件加速探索之路 王发康（毅松） /wangfakang 前 言 Tengine作为阿里集团七层流量入口核心系统，支撑 着阿里巴巴双11等大促活动平稳度过，并提供智能的 流量转发策略、HTTPS加速、安全防攻击、链路追 踪等众多高级特性，秉着软硬件结合的性能优化思想 ，2017年接入层在硬件加速领域迈出了第一步。 01 Tengine性能分析 模块名称 功能介绍 CPU 占比 Gzip 解压缩 15%-20% Sinfo 流量镜像 10% Limite flow 限流 8% Lua lua相关业务 8% Security 防火墙 6% 其它众多模 ... ... 块 业内解决方案 SSL硬件加速 腾讯 百度 70% CloudFlare 52% Gzip硬件加速 45% 无已知 39% 注： 图片来源 /keyless-ssl-the-nitty-gritty-technical-details/ Tengine硬件加速——HTTPS卸载篇 HTTPS现状简介 虽然全站HTTPS已经是一个老生常谈的话题，但是国内为何能做到的网站却还是屈指可 数？原因简单总结来说有两点，首先使用HTTPS后使得网站访问速度变 “慢” ，其次 导致服务器CPU消耗变高、从而机器成本变 “贵”。 软件优化方案：如Session复用、OCSP Stapling、False Start、dynamic record size、 TLS1.3、HSTS等。 但软件层面如何优化也无法满足流量日益增长的速度，加上CPU摩尔定律已入暮年，使 得专用硬件卸载CPU密集型运算成为业界一个通用解决方案。 HTTPS硬件加速方案 Tengine基于Intel QAT的异步加速方案，其总体框架 如右图所示。由三部分组成Tengine的ssl_async指令、 OpenSSL + QAT Engine及QAT Driver。 其中Tengine通过适配OpenSSL-1.1.0的异步接口，将 私钥操作卸载至Intel提供的引擎(QAT engine)中，引擎通 过QAT驱动调用硬件完成非对称算法取回结果。 HTTPS硬件加速原理介绍 注 ：图片来源Intel® QuickAssist Technology (QAT) HTTPS硬件加速性能对比 Tengine启用ssl_async QAT加 速 ： RSA套件提升3.8倍(8核) ECDHE-RSA提升2.65倍(8核) ECDHE-ECDSA(P-384) 提升 2倍(16核) ECDHE-ECDSA(P-256) 8核达 到QAT硬件处理峰值16k左右 ， 只有23%的性能提升 Tengine硬件加速——GZIP卸载篇 方案对比及选择 Intel QAT卡（1 ） 智能网卡（2 ） FPGA卡（3 ） ASIC模式