为企业提供增强的人工智能 5G 安全的智能交通分流

保护私有 5G 和边缘应用带来了许多挑战。复杂的基于 AI 和 ML 的攻击活动需要安全性来实时响应。

Palo Alto Networks 的安全平台多年来一直在整合 ML 和 AI 技术突破，以确保实时 ML 功能和 AI 驱动的事件响应是自主的。

Palo Alto Networks 和 NVIDIA 的团队合作构建了 智能交通卸载（ITO），我们的目标非常明确：使任何企业都能在不损害安全性同时保持性能和效率的情况下接受 5G。我们创建了 ITO 作为一种基础解决方案，以帮助现代企业建立快速、安全的私有 5G 基础设施。

数据处理器（DPU）是边缘计算 AI 和 ML 基础设施、超大规模电信云以及任何提供 IT、OT 或 IoT 网络和服务的云中的关键组件。企业客户使用 ITO 扩展安全功能，并将防火墙的总体吞吐量提高至少 5 倍。

我们为 ITO 带来了多种增强功能，为您提供了更多的选择、易于部署和更高的性能，包括以下功能：

• 新增支持 NVIDIA BlueField-3 数据处理单元 (DPU)
• 具有第三层路由功能的扩展部署模式
• 基于网络地址转换（NAT）的卸载

虽然静态和动态路由提供了扩展的部署选项，但基于 NAT 的卸载可以帮助您保护互联网周边，以保护最终用户身份，同时卸载流量。

ITO 现在在 NVIDIA BlueField-3 上 

除了现有的 NVIDIA BlueField-2 DPU 集成，我们正在扩大我们的产品范围，以包括对下一代 NVIDIA BlueField-3 DPU 的支持。

我们的 ITO 解决方案通过 NVIDIA BlueField DPU 加速 Palo Alto Networks 的 VM 系列虚拟下一代防火墙（NGFW），显著提高吞吐量，同时大幅降低基础设施成本。

ITO 增强选项：L3 支持 

当我们推出 ITO 时，我们支持插入防火墙的 vWire 模式。这意味着防火墙不执行任何切换或路由功能。它就像电线上的一个凸起。这对于不需要路由或切换的特定环境是有益的，或者如果防火墙从单个 L3 域获取所有流量。

新的第 3 层模式真正扩展了您利用数据中心内安全性的能力，依靠防火墙将流量切换和路由到网络域。

图 1 显示了数据包流在第 3 层模式下的工作方式。

在图 1 中，数据包流具有以下特征：

• 接口 e1/1 和 e1/2 是在第 3 层模式下配置的。
• VR1 配置有到 5G 第 3 层路由器或 UPF 以及到互联网对等路由器的静态或动态路由。
• 支持标记和未标记的流量。路由器和 DPU 或 NIC 可以处于访问模式或中继模式。

这是第 3 层模式的数据包流过程：

1. 数据包从 5G UPF（第 3 层路由器）发送到第 3 层叶/路由器。
2. 当数据包到达连接到 DPU 和 SmartNIC PF0 的路由器端口 PA1 时，它们将被编程以添加 vlanX 标记到数据包。
3. 当数据包到达 DPU 端口 pf0vf0 时，无论是否移除 VLAN，它们都会被传送到 VM 系列。
4. 防火墙正在 L3 模式下运行。它找到数据包的下一跳及其 MAC 地址。
5. 防火墙通过 gRPC 使用新的目标 MAC 地址和vlanY，如果需要。
6. 带有标签的数据包 vlanY 从 DPU 和 SmartNIC 端口 PF1 到达路由器端口 PA2。
7. 如果数据包未标记，则路由器端口 PA2 可以添加标签 vlanY，以便进行标识。
8. 数据包被发送到下一跳地址，并被传递到互联网对等端。在动态路由的情况下，通过任何路由更新，VM 系列都会使用新的下一跳 MAC 地址更新 DPU。

ITO 增强选项：对 vWire 和 L3 的 NAT 支持 

通常，在 5G 部署和某些超大型企业环境中，PAN VM 系列虚拟 NGFW 可保护互联网周边或南北流量。在这样的部署中，您可以利用我们的 NAT 模式来确保最终用户设备不会暴露在互联网上。

我们在 vWire 和第 3 层部署模式中都提供了具有 ITO 功能的 NAT 支持。现在，您可以使用 IPv4 配置多种 NAT 模式，例如具有动态 IP 地址和端口转换的源 NAT、目标 NAT 端口转换和转发。

图 2 从数据包流的角度展示了这是如何工作的。

以下是 NAT 策略的配置方式：

• VM 系列已将 NAT 策略配置为执行 IP 和端口到动态 IP 和端口映射的源 NAT。
• 所定义的 NAT 策略还可以执行目的地 IP 和端口的转换和转发。

这是配置 NAT 策略时的数据包流过程：

1. 数据包通过 5G UPF 或第 3 层路由器从 5G 设备发送，其源 IP 地址和端口为 172.10.20.30:320。
2. 数据包到达 VM 系列，其中 NAT 策略被定义为执行源 NAT 到动态 IP 地址和端口的转换。源 IP:端口 172.10.20.30:320 被转换为 192.168.100.15:545。
3. VM 系列根据定义的 NAT 策略对数据包进行第 2 层和第 3 层重写，可以是具有动态 IP 地址和端口转换的源 NAT，也可以是具有端口转换和转发的目的地 NAT。
4. VM 系列通过带有 NAT 转换的 gRPC 更新 DPU 和 SmartNIC。
5. SNAT DIPP 通过为具有相同原始源 IP 地址和端口对的后续会话保留专用源 IP 地址与端口对与特定公共（翻译的）源 IP 地址及端口对的绑定来保持持久性。在这种情况下，172.10.20.30:320 及其转换的 192.168.100.15:545 地址对于多个目标 IP 地址端口是持久的。

结论 

通过利用 ITO 的增强功能，您现在可以扩展选项，以 vWire 或第 3 层模式部署 VM 系列 NGFW。您可以在带有 ITO 的 VM 系列上无缝地继续使用 NAT 功能。 NVIDIA BlueField-3 DPU 也提供了这些功能，您可以在这里以至少 5 倍的安全性能解锁更高吞吐量的进一步优势。

Palo Alto Networks 和 NVIDIA 共同为企业带来了零信任安全，在性能和效率方面没有任何妥协。立即开始使用 BlueField DPU 上的智能流量卸载，通过查看 ITO 部署指南。然后，采取下一步行动， 联系您的 NVIDIA 销售代表。