文 / Intel Arch SIG
技术背景
网络信息传输的可靠性、机密性和完整性要求日渐晋升，HTTPS 协定曾经广泛应用。HTTPS 的 SSL/TLS 协定波及加解密、校验、签名等密码学计算，耗费较多 CPU 计算资源。因而 CPU 硬件厂商推出过多种减速卸载计划，如 AES-NI、QAT、KAE、ARMv8 平安扩大等。
业界软件生态在优化 HTTPS 的性能上也做了诸多摸索（参考[1]），传统的软件优化计划有 Session 复用、OCSP Stapling、False Start、dynamic record size、TLS1.3、HSTS 等, 但软件层面的优化无奈满足流量日益增长的速度，CPU 硬件加速成为业界一个通用的解决方案。
CPU 新个性
不久前公布的第三代英特尔®至强®可扩大处理器（代号 Ice Lake），单核性能晋升 30%，整机算力晋升 50% 以上（参考[9]）。
ISA 指令集
在传统的 AES-NI 减速指令根底上，Ice Lake 新增了基于 Intel® Advanced Vector Extensions 512（Intel® AVX-512）的 Intel® Crypto Acceleration 个性，包含 Vector AES（VAES）、Integer Fused Multiply Add（IFMA 大数计算）、Galois Field New Instructions（GFNI）等（参考[2]）。同时也补充反对了 SHA extension(SHA-NI)，补足了上一代的 SHA256 性能短板。
（图 1/ Ice Lake 新增 Intel AVX512 指令集）
Multi-buffer
Multi-buffer 是一种集中批量申请进行并发解决的技术（参考[10]）。应用软件通过异步 SSL 配合 multi-buffer library 应用 SIMD 向量指令（AVX/AVX2/AVX512）减速密码学计算。OpenSSL (BabaSSL，BoringSSL)、Nginx (Tengine)、DPDK Cryptodev、dm-crypt、ISA-L 等开源软件生态已局部反对。
（图 2/ Multi-buffer 配合 SIMD 减速）
龙蜥操作系统（Anolis OS）
阿里云操作系统通过龙蜥社区和 Intel 工程师单干（参考 [2]），率先反对云上 Ice Lake CPU，输入了最新的指令减速个性（参考[10]）。Ice Lake 单核 AES 性能减速 2.2 倍，达到上一代 Cascade Lake 的 3.4 倍。RSA 单核减速 4.9 倍，达到上一代的 5.1 倍。Tengine (Nginx) 单核 SSL/TLS 握手性能相应地减速 3.1 倍，达到上一代的 3.2 倍。
（图 3/ 零碎 OpenSSL 根底性能）
（图 4/ 端到端利用 HTTPS TLS 短连贯性能（左图 Tengine、右图 Nginx））
减速软件栈
受害于以往的 QAT 计划，OpenSSL、Nginx (Tengine)、DPDK、Envoy 等支流软件曾经反对 SSL/TLS 减速。Intel®Crypto Acceleration 计划沿用和扩大了 QAT 的软件框架 QAT Engine（参考[2]），使之从专用的硬件加速卡场景扩大到了通用的 CPU 指令减速场景，极大扩大了适用范围。
（图 5/ Intel SSL/TLS 减速软件栈）
Tengine 减速计划
阿里对立接入网关 Tengine 承当着团体所有的入口流量（参考[1]），随着 HTTPS 化的全面推动，对于网关的性能挑战也十分大。业务驱动了技术创新，2017 年接入网关在硬件加速畛域也迈出了第一步，开始尝试 QAT 卡硬件加速计划。在经验 Tengine QAT 的摸索实际后，阿里云推出了基于开源 Envoy 构建的 MSE 云原生网关产品（参考[5]）。
Tengine 从 2.2.2 版本开始反对 async SSL，反对 QAT 减速 SSL/TLS（参考[3]），反对的底层 lib 版本为：OpenSSL-1.1.0f 和 QAT_Engine-0.5.30（参考[4]）。龙蜥 OS 引入 CPU 减速后降级到：OpenSSL-1.1.1g 和 QAT_Engine-0.6.6，不须要 QAT 驱动和 qatlib。
云原生网关演进
阿里巴巴在 2018 年，开启了云原生上云的尾声，将容器、服务网格作为核心技术点进行演进，并尝试阿里巴巴和蚂蚁通过这次技术演进，来对立单方的中间件技术栈，让业务更聚焦业务开发，屏蔽底层分布式复杂度。作为服务网格一个重要方向，咱们开启了下一代网关的摸索之路。
传统网关
传统网关通过流量网关与业务网关两层网关来构建（参考[1]），流量网关提供全局性的、与后端业务无关的策略配置，例如 Tengine 就是典型的流量网关；业务网关提供独立业务域级别的、与后端业务紧耦合策略配置，随着利用架构模式从单体演进到当初的散布式微服务，业务网关也有了新的叫法 – 微服务网关。
（图 6/ 传统网关）
MSE 云原生网关
在容器技术与 K8s 主导的云原生时代，下一代的网关模式依然会是传统的流量网关与微服务网关的两层架构吗？带着这个问题，并联合阿里巴巴外部积淀的网关技术与运维教训，咱们尝试来答复下，什么是下一代网关。
（图 7/ 下一代网关的产品画像）
咱们对其中几个十分外围的因素开展阐明下：
云原生：要反对规范 K8s Ingress、K8s Gateway API 以及 K8s 服务发现，在云原生时代，K8s 曾经成为云 OS，而 K8s 原生集群内外部的网络是隔离的，负责内部流量进入，K8s 集群的标准定义就是 K8s Ingress，K8s Gateway API 是 K8s Ingress 的进一步演变，基于此，作为下一代网关，势必要反对这种个性。
拥抱开源：要基于开源生态构建网关，借助开源并助力开源，置信这点大家应该都不生疏。
高扩大：任何一个网关的能力都不可能笼罩所有的用户诉求，要具备可扩大能力，例如 K8s 的蓬勃发展其凋谢的扩大能力功不可没。
服务治理：随着利用架构演进到散布式微服务，网关自身就是为后端业务提供流量调度能力，其反对根本的服务治理能力也就顺其自然了。
丰盛的可观测性：散布式微服务架构带来协同效率晋升等好处的同时，对于问题排查及运维带来了更大的挑战，作为流量桥头堡的网关须要具备丰盛的可观测数据，帮忙用户来定位问题。
基于以上的剖析和实际，咱们认为在容器和 K8s 主导的云原生时代，Ingress 成为 K8s 生态的网关规范，赋予了网关新的使命，使得流量网关 + 微服务网关合二为一成为可能。
MSE 云原生网关将流量网关与微服务网关（Ingress）二合一，通过硬件加速、内核调优等伎俩在性能不打折的状况下，用户部署网关的资源老本直降 50%。
（图 8/ 云原生网关）
MSE 云原生网关劣势：
- 网关直连业务 Pod IP，不通过传统 Cluster IP，RT 更低。
- 反对 HTTPS 硬件加速，QPS 晋升 80%。
- 反对 Wasm 插件市场，插件热加载，满足用户多语言自定义插件诉求。
- 自研 Multi-Ingress Controller 组件反对多集群 Ingress 复用同一个网关实例。
- 原生兼容原生 K8s Ingress 标准，且反对 Nginx Ingress 外围性能注解的无缝转换。
（图 9/ 云原生网关技术架构）
客户案例分享
上海费芮网络科技有限公司之前始终应用 Nginx Ingress，应用过程中遇到运维老本高、平安差、原生性能弱等痛点，冀望可能找到一款代替产品；在接触 MSE 云原生网关后，在上线前的测试过程中对于 HTTPS 硬件加速性能十分认可，测试验证开启后的减速成果非常明显；联合网关提供的 Nginx Ingress 注解兼容性能 + HTTPS 硬件加速两个差别性能，用户最终抉择应用 MSE 云原生网关来代替 Nginx Ingress 网关。
（图 10/ 费芮客户迁徙云原生网关）
业务配置
MSE 云原生网关曾经将 HTTPS 硬件加速性能产品化，只须要在购买时开启即可，开启后的示意图如下：
（图 11/ 云原生网关开启硬件加速）
减速成果
减速前：
减速后：
- 1C2G 压测 HTTPS QPS 从 1004 晋升到 1873，晋升约 86%。
- TLS 握手 RT 从 313.84ms 降到 145.81ms，降落一倍。
计划长处：
- 无需独立专用的硬件反对，运维成本低且易于弹性扩缩容。
- 通用 CPU 减速个性的实用场景更宽泛。
参考链接（[1]-[12]）可移步龙蜥公众号（OpenAnolis 龙蜥）2022 年 8 月 30 日雷同推送查看。
—— 完 —