Rambus为AI、HPC与数据中心增加网络安全

2026-11-05 18:43 创芯观察来源：海外媒体

16 阅读参与讨论

核心导读 AI与HPC数据中心网络迈向多太比特，安全需保持线速和低时延。文章介绍MACsec、IPsec、UET在交换ASIC、PHY、光模块和智能网卡中的部署选择，以及Rambus最高1.6T并面向3.2T的安全IP。

AI与HPC正在改变数据中心网络。现代基础设施通常包括一个连接用户、存储和管理系统的前端网络，以及一个互连GPU和计算节点的后端网络。在最大规模下，AI集群跨越多个地点，依靠跨规模组网形成统一基础设施。

虽然大多数现代数据中心采用叶脊架构，但实现选择受到技术以外因素的影响。现有供应商关系、产品供应情况、供应链考量和总拥有成本都发挥重要作用。因此，追求相似目标的组织往往会根据自身业务优先级、运营约束和升级策略来建设网络。

AI与HPC基础设施处理有价值的数据，并代表重大资金投入。保护这些环境需要以下控制能力：访问控制与身份认证；通过加密实现数据机密性；用户、租户和工作负载之间的隔离；对篡改、重放和其他威胁的检测。

同时，安全机制必须支持AI基础设施的基本目标：全线速吞吐并将时延影响降至最低；在大量端口和节点之间可扩展；功耗、芯片面积和部署成本可接受。

行业已从高速网络中MACsec和IPsec等技术十余年的运营经验中受益。当前的主要挑战是确定这些能力应在何处以及如何实施。

现代AI网络以每秒数百吉比特的速度运行，并迅速迈向多太比特速度。在这些性能水平下，网络安全必须按以下方式实现：安全数据平面执行实时报文处理与保护，这些功能集成到交换ASIC、智能网卡、DPU、光DSP或接口器件中；控制平面实施安全策略管理、会话建立以及周期性加密密钥刷新等运行时操作。

图1：包含数据平面和控制平面的硬件加速网络安全架构。

最重要的架构决策之一是MACsec、IPsec或新兴Ultra Ethernet安全机制等安全功能的位置。

将安全功能直接集成到交换ASIC中，可使加密和认证成为报文转发流水线的一部分。其优势包括：与报文分类和转发原生集成；在光器件和可插拔模块选择方面具有广泛灵活性。其挑战包括：消耗原本可用于提高端口密度、报文缓存和交换容量的芯片面积；安全能力与ASIC生命周期绑定，限制未来升级。

或者，安全功能也可以实现在外部PHY器件中，例如线卡重定时器/齿轮箱，或具备安全功能的可插拔模块中。其优势包括：更容易引入新的安全能力；为网络功能保留交换ASIC资源；将额外功耗从主ASIC转移出去，并采用功耗优化技术。其挑战包括：形成对外部供应商和模块供应的依赖；将安全边界从芯片级转移到前面板级。

AI与计算系统依赖专用传输协议，包括InfiniBand、RoCEv2、Ultra Ethernet Transport（UET）。与fabric级安全不同，传输安全通常与特定用户、作业或工作负载相关，因此作为端到端服务运行。安全必须对底层fabric保持透明，同时保持加速计算所需的低时延和高吞吐。

因此，传输安全被集成到（智能）网卡中，并与硬件加速传输处理紧密耦合；这类方案通常可同时支持多种传输和安全协议，以适应多样化通信需求。

图2：AI网卡中的网络安全。

现代基础设施会根据拓扑、信任边界和工作负载要求同时部署多层安全：MACsec用于二层保护；IPsec用于三层安全；UET-TSS用于Ultra Ethernet传输安全；针对特定fabric和部署优化的专有安全协议。

这些机制在很大程度上是互补而非竞争关系。MACsec通常用于链路级保护，IPsec用于保护跨网络路由流量，传输级安全则保护AI和HPC通信流。

光学技术的进步正在扩展网络安全的部署选项。借助面向低功耗报文处理优化的硅技术，MACsec如今正被直接集成到800G和1.6T光模块中。

展望未来，基于芯粒的交换和网卡架构，以及近封装光学和共封装光学，可能为安全集成带来新机会。专用I/O芯粒有望成为加密和认证功能的自然承载位置，同时保留宝贵的计算和交换资源。

网络安全如今已成为AI、HPC和云级数据中心的基本要求。在太比特速度下保护流量需要基于硬件的实现，使其在满足成本和功耗目标的同时保持线速性能。

行业提供了多种部署选项，包括交换ASIC、外部PHY、光模块、智能网卡以及未来基于芯粒的架构。这种灵活性使数据中心设计者能够根据基础设施需求，在安全、性能、能效和系统成本之间取得平衡。

Rambus通过一套广泛的、经行业验证的网络安全硅IP组合应对这些挑战，支持最高1.6T速率，并将在未来支持3.2T。客户可以平衡安全功能、吞吐量、功耗和集成工作量，部署满足其芯片器件性能、成本和上市时间要求的网络安全能力。您可以在下方链接部分的白皮书中阅读更多关于该主题的信息。