如何为 AI、HPC 和数据中心加入网络安全防护

AI 与 HPC 正在改变数据中心网络。现代基础设施通常由前端网络（连接用户、存储和管理系统）和后端网络（互连 GPU 与计算节点）组成。在最大规模下，AI 集群跨多个地点部署，依靠跨规模组网（scale-across networking）构建统一的基础设施。

虽然大多数现代数据中心采用叶脊（leaf-spine）架构，但具体实施选择不仅受技术需求影响。现有的供应商关系、产品可获得性、供应链因素以及总体拥有成本都起着重要作用。因此，追求类似目标的组织往往会根据自身的业务优先级、运营限制和升级策略来部署网络。

AI 与 HPC 基础设施处理有价值的数据，并代表着巨额的财务投资。保护这些环境需要以下控制手段：

访问控制与身份认证
通过加密实现数据机密性
用户、租户与工作负载之间的隔离
检测篡改、重放及其他威胁

同时，安全机制必须支持 AI 基础设施的根本目标：

满线速吞吐量以及最小的延迟影响
可扩展至大量端口和节点
可接受的功耗、芯片面积和部署成本

该行业得益于十余年来 MACsec 和 IPsec 等技术在高速网络中的运营经验。如今的主要挑战是确定这些能力应当在哪里以及如何实现。

现代 AI 网络以每秒数百吉比特的速率运行，并正迅速迈向数太比特的速度。在这样的性能水平下，网络安全必须按以下方式实现：

安全数据平面执行实时的数据包处理与保护。这些功能被集成到交换 ASIC、SmartNIC、DPU、光 DSP 或接口设备中。
控制平面负责实现安全策略管理、会话建立以及运行时操作，例如定期刷新加密密钥。

图 1：包含数据平面与控制平面的硬件加速网络安全架构。

最重要的架构决策之一是 MACsec、IPsec 或新兴的 Ultra Ethernet 安全机制等安全功能的部署位置。

将安全功能直接集成到交换 ASIC 中，可使加密与认证成为数据包转发流水线的一部分。

优点：

与数据包分类和转发原生集成。
在光模块和可插拔模块的选择上具有广泛的灵活性。

挑战：

消耗本可用于提高端口密度、数据包缓冲和交换容量的芯片面积。
安全能力与 ASIC 生命周期绑定，限制了未来的升级。

或者，安全功能可以实现在外部 PHY 设备（如线卡重定时器/变速器）或具备安全能力的可插拔模块中。

优点：

更容易引入新的安全能力。
保留交换 ASIC 资源用于网络功能。
将额外功耗从主 ASIC 上转移出去，并使用功耗优化的技术。

挑战：

形成对外部供应商和模块供应情况的依赖。
将安全边界从芯片层面转移到面板层面。

AI 与计算系统依赖专用的传输协议，包括 InfiniBand、RoCEv2、Ultra Ethernet Transport（UET）。与网络架构（fabric）级安全不同，传输安全通常与特定用户、作业或工作负载绑定，因此以端到端服务的方式运行。安全机制必须对底层网络架构保持透明，同时保持加速计算所需的低延迟与高吞吐量。

因此，传输安全被集成到（智能）网卡（NIC）中，并与硬件加速的传输处理紧密耦合，且通常同时支持多种传输与安全协议，以满足多样化的通信需求。

图 2：AI 网卡中的网络安全。

现代基础设施会根据拓扑结构、信任边界和工作负载需求，同时部署多层安全防护：

MACsec 用于第二层（Layer 2）防护
IPsec 用于第三层（Layer 3）安全
UET-TSS 用于 Ultra Ethernet 传输安全
专有安全协议针对特定网络架构和部署环境进行优化

这些机制在很大程度上是互补而非竞争关系。MACsec 通常用于链路级保护，IPsec 保护跨网络路由的流量，而传输级安全则保护 AI 与 HPC 的通信流。

光电子技术的进步正在扩展网络安全的部署选择。得益于针对低功耗数据包处理优化的硅技术，MACsec 现已可直接集成到 800G 和 1.6T 光模块中。

展望未来，基于芯粒（chiplet）的交换机与网卡架构，以及近封装光学（near-package optics）和共封装光学（co-packaged optics），可能为安全集成创造新的机会。专用的 I/O 芯粒可以成为加密与认证功能的天然载体，同时保留宝贵的计算与交换资源。

如今，网络安全已成为 AI、HPC 和云规模数据中心的基本需求。要保护太比特级的流量，需要基于硬件的实现方案，既能维持线速性能，又能满足成本与功耗目标。

业界提供了多种部署选择，包括交换机 ASIC、外置 PHY、光模块、SmartNIC，以及未来基于芯粒的架构。这种灵活性使数据中心设计者能够根据自身基础设施的需求，在安全性、性能、能效和系统成本之间取得平衡。

Rambus 通过涵盖广泛的业界验证的网络安全的硅 IP 产品组合来应对这些挑战，支持的速率高达 1.6T，未来将达到 3.2T。客户可以在安全特性、吞吐量、功耗和集成工作量之间进行权衡，部署满足其硅器件性能、成本和上市时间要求的网络安全能力。您可以在下方“链接”部分的白皮书中了解更多相关内容。

链接

Maxim Demchenko

(全部文章)
Maxim Demchenko 是 Rambus 安全 IP 的技术总监。他随 Inside Secure 被 Rambus 收购而加入该公司。他的工作重点是网络安全 IP 架构、设计/验证方法，以及将多款线速 MACsec/IPsec 和 Ultra Ethernet 产品推向市场。他的职责包括与领先的 SoC 和系统厂商直接沟通，以定义最优的产品解决方案。加入 Rambus 之前，Demchenko 曾在 Philips 担任 FPGA/ASIC 工程师。