To Accelerate IPsec Using Multiple cores and Intel DPDK

Abstract

현대에는 급증하고 있는 온라인 거래와 다양한 인터넷 서비스의 확대로 인하여 인터넷 사용량은 꾸준히 증가하고 있으며, 네트워크의 성능향상은 오래전부터 요구되어왔다. 하지만 커널은 다양한 프로토콜의 처리와 기존 커널의 분리된 구조 때문에 성능향상의 제한이 되고 있다. 그래서 기존 커널의 패킷 처리를 우회하여 패킷처리의 성능을 높이려는 지속적인 시도가 있었으며, 가장 대표적인 기술이 데이터 플레인 기술이다. 하지만 고속 데이터 통신을 제공하면서 안전성을 고려하는 것은 매우 어려운 문제이다. 현재 개발된 데이터 플레인 가속화 기술도 보안은 전혀 고려되지 않고 사용하는 개발자 혹은 사용자에게 책임을 넘기며 개발되고 있다. 그러므로 사용자와 개발자의 편의를 위해 안전하고 빠른 데이터 통신의 새로운 매커니즘이 필요하다. 본 논문은 데이터 플레인 가속화 기술과 상용 IPsec 프로그램과의 첫 연동이다. 대표적인 데이터 플레인 가속화 기술인 Intel DPDK와 상용 IPsec 프로그램인 strongSwan과의 연동을 통하여 기존 IPsec 처리의 성능을 개선하였다. 커널의 socket API를 대신하여 Intel DPDK의 API를 사용함으로 strongSwan에서 주고 받는 패킷의 처리 속도를 향상하였다. 또한 기존 strongSwan의 병렬 처리 구조를 변경하여, 동시에 여러 패킷이 암복호화가 가능하도록 개선하였다. 결과적으로 기존의 성능 처리보다 약 20%향상 되었으며, 특히 CPU코어의 갯수가 많은 서버 장비에서는 더욱 더 향상될 것으로 예상한다.; Due to the rapid increase in online transactions and the expansion of various Internet services in the modern world, Internet usage has been steadily increasing, and network performance has been required for a long time. However, the performance of the kernel has been limited due to the processing of various protocols and the separate structure of the existing kernel. Therefore, there has been a continuous attempt to improve the performance of packet processing by bypassing the packet processing of the existing kernel, and the most representative technology is data plane technology. However, it is very difficult to consider safety while providing high-speed data communication. The currently developed data plane acceleration technology is being developed with responsibility for the developer or user who uses it without considering security at all. Therefore, a new mechanism for secure and fast data communication is needed for convenience of users and developers. This paper is the first interworking between data plane acceleration technology and common used IPsec program. The performance of existing IPsec processing is improved by interworking with Intel DPDK, a typical data plane acceleration technology, and strongSwan, a common used IPsec program. By using the Intel DPDK API instead of the kernel's socket API, we improved the processing speed of packets exchanged in kernel with strongSwan. We also modified the existing strongSwan parallel processing structure to improve the encryption and decryption of several packets at the same time. As a result, it is about 20% higher than conventional performance processing, In particular, server equipment is expected to improve even more.