AI 和 HPC 正在更改數據中心網絡。現代基礎設施通常由前端網絡和後端網絡組成：前端網絡連接用戶、存儲和管理系統，後端網絡則將 GPU 和計算節點互聯起來。在最大規模下，AI 集羣會跨越多個地點進行部署，並依靠跨域擴展網絡（scale-across networking）來構建統一基礎設施。

儘管大多數現代資料中心採用葉脊架構，但具體實現並不僅由技術要求決定。既有供應商關係、產品可用性、供應鏈因素以及總體擁有成本都發揮著重要作用。因此，目標相近的組織往往會根據自身業務優先級、運營約束和升級策略來實施網路。

AI 和 HPC 的基礎設施處理的是高價值數據，也代表着鉅額資金投入。保護這些環境需要針對以下方面採取控制措施：

同時，安全機制必須支持 AI 基礎設施的基本目標：

• 全線高速吞吐量及盡可能低的時延影響
• 可擴展到大量端口和節點
• 功耗、硅面積和部署成本均可接受

業界已經在高速網絡中累積了十多年的關於 MACsec 和 IPsec 等技術的運行經驗。當前的主要挑戰在於，確定這些能力應該在何處以及如何實現。

現代 AI 網路運行速率已達到數百 Gbps，並正快速邁向多 Tbps。在這一性能水準下，網絡安全必須以下列方式實現：

安全數據平面負責實時的數據包處理和防護。這些功能被集成到交換器 ASIC、SmartNIC、DPU、光纖 DSP 或接口設備中。

控制平面則負責安全策略管理、會話建立，以及週期性的加密密鑰刷新等運行時操作。

圖1：具備資料平面與控制平面的硬體加速網路安全架構。

最重要的架構決策之一，就是將 MACsec、IPsec 或新興的 Ultra Ethernet 安全機制等安全功能放置在哪個位置。

將安全性直接整合到交換 ASIC 中，可以讓加密和認證成為數據包轉發流水線的一部分。

優點：

• 與數據包分類和轉發原生集成
• 在光模組和可插拔模組的選擇上具有更大的靈活性

挑戰：

• 會佔用本可用来提高端口密度、數據包緩存和交換容量的硅面積
• 安全能力受限于 ASIC 的生命周期，未來升級空間有限。

另一種方式是将安全功能放置在外部 PHY 裝置中（例如線路卡重定時器 / gearbox），或放置於支持安全功能的可插拔模組中。

優點：

• 更容易引入新的安全能力
• Didirisiwa tsa switšhe tse di beetsweng kwa thoko di dirisediwa ditiro tsa neteweke.
• 將額外的功耗從主 ASIC 中移除，並使用更適合功耗優化的技術。

挑戰：

• 對外部供應商和模塊的可用性形成依賴
• 安全邊界從芯片級轉移到前面板級

AI 和計算系統依賴專用傳輸協議，包括 InfiniBand、RoCEv2 和 Ultra Ethernet Transport（UET）。與 fabric 層的安全性不同，傳輸安全通常與特定用戶、作業或工作負載相關，因此以端到端服務的形式運行。安全性必須在不影響底層 fabric 的前提下保持透明，同時保留加速計算所需的低時延和高吞吐量。

因此，傳輸安全被整合到（Smart）NIC中，並與硬體加速的傳輸處理緊密結合，且通常支持多種傳輸和安全協議同時運行，以適應不同的通訊需求。

圖2：AI NIC中的網絡安全。

現代基礎設施會根據拓撲結構、信任邊界和工作負載需求，同時部署多層安全機制：

• 用於二層保護的 MACsec
• 用於三層安全性的 IPsec
• 用於 Ultra Ethernet 傳輸安全的 UET-TSS
• 針對特定 fabric 和部署優化的專有安全協議

這些機制大體上是互補的，而非競爭關係。MACsec 通常用於鏈路級保護，IPsec 用於保護跨網絡路由流量，而傳輸層安全則保護 AI 和 HPC 的通信流。

光學技術的進步正在擴大網絡安全的使用選項。如今，MACsec已開始直接整合到800G和1.6T光模組中，這得益於針對低功耗數據包處理優化的硅技術。

展望未來，基於芯粒的交換和 NIC 架構，以及近封裝光學和共封裝光學，可能為安全集成創造新的機會。專用 I/O 芯粒有望成為加密和認證功能的自然落點，同時保留寶貴的計算和交換資源。

網絡安全如今已經成為 AI、HPC 和雲端規模數據中心的基本要求。要在 Tbps 的速率下保護流量，就必須採用硬體實現，在滿足成本和功耗目標的同時保持線速性能。

業界提供了多種部署選項，包括交換機 ASIC、外部 PHY、光模組、SmartNIC 以及未來的芯片粒化架構。這種靈活性讓數據中心設計者能夠根據自身的基礎設施需求，在安全性、性能、能效和系統成本之間進行平衡。

Rambus 透過其覆蓋範圍廣泛、經過行業驗證的網絡安全 IP 组合來應對這些挑戰，目前支持最高 1.6T 的處理能力，未來可擴展至 3.2T。客戶可以在安全功能、吞吐量、功耗和集成工作量之間進行權衡，以部署滿足其芯片器件性能、成本和上市時間要求的網絡安全能力。更多內容可參見下方鏈接中的白皮書。

連結

白皮書——為 AI、HPC 和數據中心加入網絡安全

__BJW_BOLOKA_00001__

__BJW_BOLOKA_00001__