Аппаратные ускорители в NGFW: как добиться высокой производительности и снизить затраты
Автор: Петухов Олег Анатольевич, эксперт по информационной безопасности, руководитель юридической компании ЛЕГАС
Сайт: legascom.ru
Email: petukhov@legascom.ru
Аппаратное ускорение в межсетевых экранах нового поколения (NGFW) стало отраслевым стандартом: оно позволяет сочетать высокую пропускную способность с приемлемой стоимостью и низким энергопотреблением. Для телекома, финсектора и дата‑центров, где критичны задержки и объём трафика, такие решения - не опция, а необходимость.
Зачем нужны аппаратные ускорители
Главные преимущества ускорителей на базе FPGA и ASIC перед универсальными CPU:
Высокая производительность при низких задержках. Это особенно важно при обработке Elephant Flows - длительных и объёмных сессий, типичных для ЦОД. На CPU каждая сессия занимает отдельное ядро, и при высоких скоростях ресурсы быстро заканчиваются, а глубина анализа падает. Ускорители обрабатывают трафик «на лету», не перегружая память, шины и кэш.
Энергоэффективность. Специализированные микросхемы потребляют кратно меньше энергии на гигабит трафика. Это напрямую снижает эксплуатационные расходы на питание и охлаждение ЦОД.
Современные направления аппаратного ускорения
В индустрии развиваются два ключевых подхода:
DPU (Data Processing Unit) - программируемые SoC, объединяющие ARM‑ядра, специализированные блоки и сетевые контроллеры. DPU рассматриваются как переход от роли сопроцессора к автономной вычислительной платформе для обработки сетевого трафика.
Собственные ASIC под отдельные задачи. Некоторые вендоры выделяют отдельные процессоры для сетевых, контентных и защитных функций. Такой подход позволяет добиться высокой производительности при умеренной стоимости за счёт серийного производства.
Тренды на российском рынке NGFW
Сегодня в России доминируют два подхода к наращиванию производительности:
Программное ускорение на базе x86 с DPDK и процессорами Intel Xeon 4–5 поколений. Плюс - быстрый вывод решений на рынок. Минусы - ограниченное масштабирование внутри одного устройства, высокое энергопотребление и нестабильная предсказуемость производительности под высокой нагрузкой.
Аппаратные ускорители на базе FPGA. В этом направлении фокус на сегменте ЦОД: FPGA берёт на себя ресурсоёмкие сетевые функции и разгружает CPU. На практике в форм‑факторе 1U удаётся достигать порядка 85 Гбит/с на трафике EMIX в режиме FW L4 и около 25 Гбит/с в режиме FW L4 + IPS при FPGA ёмкостью около 500 тыс. LUT. В среднесрочной перспективе показатели могут вырасти до 200 Гбит/с и 40 Гбит/с за счёт оптимизации взаимодействия CPU и ускорителя.
В будущем ожидается переход к более мощным FPGA и энергоэффективным CPU на архитектуре ARM: это позволит выйти на производительность до 800 Гбит/с в режиме FW L4 при компактности и умеренном энергопотреблении.
Ещё одно перспективное направление - встраиваемые ускорители в формате PCI‑E. Такие модули позволяют нарастить производительность на десятки гигабит в секунду без замены существующих программно‑аппаратных комплексов и продлить их жизненный цикл.
Барьеры развития в России
Ключевые ограничения:
Отсутствие собственного экономически обоснованного производства FPGA. Вендоры вынуждены использовать зарубежные компоненты и одновременно выстраивать процессы для защиты конфиденциальности и санкционной устойчивости цепочек поставок.
Высокие первоначальные инвестиции и длительные сроки разработки. Проекты требуют редких узкопрофильных компетенций и значительных ресурсов.
Ограниченный доступ к масштабному производству ASIC. В мировой практике FPGA часто используют для отработки архитектуры с последующим переходом на серийные ASIC, но российский рынок не располагает сопоставимыми объёмами выпуска и производственными цепочками, в том числе из‑за санкционных ограничений.
При этом у FPGA есть важное преимущество - возможность перенастройки. Это позволяет поэтапно наращивать функциональность и развивать экспертизу без замены аппаратной части.
Для большинства российских вендоров программные решения на универсальных CPU остаются более доступными и менее рискованными. Ранее предпринимались попытки создать полноценные аппаратно‑ускоренные продукты, но часть проектов была закрыта из‑за высокой сложности, стоимости и ограниченной окупаемости.
Таким образом, аппаратное ускорение - ключевой фактор для построения высокопроизводительных NGFW. В России развитие этого направления сдерживают технологические и экономические барьеры, однако отдельные подходы (FPGA, встраиваемые ускорители, оптимизация взаимодействия CPU и ускорителей) сохраняют высокий потенциал для сегмента ЦОД и высоконагруженных инфраструктур.
