IPSec VPN на скоростях NGFW: как выжать максимум из железа и не потерять в безопасности

Современный NGFW обязан обрабатывать большие объемы зашифрованного трафика на скоростях до 400 Гбит/с, и бизнес больше не готов отключать функции безопасности ради производительности. Разрабатывая межсетевой экран с чистого листа, мы обошли классические ограничения, и все шло отлично, пока в этот идеальный конвейер не потребовалось встроить IPSec VPN. Обработка такого объема трафика всегда приводит к следующим проблемам: высокие требования к вычислительным ресурсам, плохой параллелизм, Elephant Flow и связанная с ним сложность балансировки нагрузки на несколько ядер CPU. Три вещи, которые вы унесёте с доклада. Каждая из них — не про VPN как таковой, а про приёмы, применимые к любому высоконагруженному приложению. Первая — понимание, где именно стандартный стек теряет производительность. Мы разберём классический путь пакета в Linux по стадиям и покажем, какие именно стадии не дают выйти за пределы. И почему тонкая настройка ОС не помогает на высоких скоростях. Вторая — набор архитектурных приёмов для высоконагруженного конвейера на примере NGFW. Отказ от использования функций ядра (kernel bypass), работа без копирования (zero copy), векторная обработка (vector processing), неделимый поток управления, аккуратная работа с памятью. Применимы к любому приложению, не только к NGFW. Третья — идеи, как параллелить то, что по природе плохо параллелится. VPN как раз из такого рода проблем. У нас есть поток данных, который хотелось бы обрабатывать параллельно на N ядрах, но параллельная обработка часто мешает, когда нам требуется поддерживать определенный порядок обрабатываемых данных, соблюдать консистентность общего состояния. Разберём каждый из пунктов на примере добавления IPSec в конвейер NGFW. На самом деле, приёмы универсальные, их может использовать каждый при решении своих задач, необязательно сетевых.