安全护航：DPU进入，构建算网融合新底座

（原标题：安全护航：DPU进入，构建算网融合新底座）

从 CPU + 交换 ASIC 芯片 到 CPU + 交换 ASIC 芯片 + DPU：交换机为何需要第三颗算力芯片？传统交换机的内部架构长期由两颗芯片支撑：一颗通用 CPU，一颗交换 ASIC 芯片。CPU 承担软件编程，交换 ASIC 芯片 承担硬件转发，二者分工明确，各司其职。这一架构在传统网络场景中运行多年，支撑了交换机从百兆到400G + 的持续演进。然而，当云网络需要承载的业务类型日益复杂，尤其是大量有状态业务需要在网络设备侧完成时，双芯架构的能力边界开始显现，网络功能的承载位置被迫外移，管控边界随之模糊。在此背景下，DPU 作为第三颗算力芯片进入交换机，形成 CPU + 交换 ASIC 芯片 + DPU 三芯架构，DPU 交换机由此成为网络计算边界重新划分的重要方向。

一、双芯架构的分工与能力空白

传统交换机的内部包含一颗通用处理器 CPU 和一颗交换 ASIC 芯片，各自承担明确的功能范畴。 CPU 一侧承担的是整台交换机的 “大脑” 工作。例如，它通过 CLI 与 SNMP 完成设备管理，日志与遥测数据同样经其上送。在协议栈层面，MAC 地址表与 ARP 表项由其学习；LLDP、LACP、BGP 等控制面协议由其协商运行。从这些用途可以看出，CPU 一侧的优势在于灵活 —— 业务逻辑以软件形式存在，可快速迭代以匹配需求变化；短板也同样明显 —— 通用核性能有限，难以在高速数据面承担大流量下的复杂计算。

交换 ASIC 芯片 则把高速数据面的功能在硬件上固化。报文进入芯片后，在流水线中依次执行解析、缓存、转发决策，并执行 ACL 与 QoS 等策略；在此基础上，交换 ASIC 芯片 还承担 VXLAN 等隧道封装的卸载，以及流量计量等数据面运维统计。其优势是确定性与高性能 —— 流水线一旦定型，转发速率与延迟都极为稳定；代价是业务灵活度低，流水线固化之后很难再快速容纳新的业务语义。

然而，云网络对交换机的要求，早已不止于高速转发。多租户、跨子网、东西向与南北向流量并存的业务形态，让越来越多的网络功能要求交换机在转发的同时理解连接状态。传统 CPU 与交换 ASIC 芯片 双芯分工在无状态转发时代运行良好，却在有状态业务面前暴露了其能力边界：交换 ASIC 芯片 所做的是无状态转发 —— 它根据五元组与表项做匹配，并不跟踪一条流的连接状态。因此，分布式防火墙（DFW） 这类需要维护连接状态的业务，在交换机内部找不到合适的承载位置，只能被推到业务服务器侧，由服务器上的软件完成。而 CPU 虽然可以承载有状态逻辑，其核性能却无法支撑大流量下的防火墙、网络地址转换（NAT）等功能，这类业务同样也被推到业务服务器侧。尽管也可在服务器上部署 DPU 网卡，或是构建专用网络功能池来承载这类有状态网络功能，但对绝大多数行业客户而言，存在硬件投入大、开发门槛高、运维复杂度上升等问题，整体 TCO 并不友好。

其造成的后果是网络功能被拆散在业务服务器和交换机设备之间，管控边界随之模糊，需要管理的设备数量成倍增长，网络与计算究竟应当在哪里完成，反而成了一个讲不清楚的问题。从能力维度看，CPU 是 “性能低、灵活高”，交换 ASIC 芯片 是 “性能高、灵活度低”，而云网络所需的，恰是介于二者之间的那种能力 —— 既接近交换 ASIC 芯片 的处理性能，又保留接近 CPU 的业务灵活。这一长期存在的能力空白，正是 DPU 进入交换机的逻辑起点。

DPU 进入交换机之后，整机形成 "CPU + 交换 ASIC 芯片 + DPU" 三芯架构，三者各司其职：CPU 继续承担传统控制面与设备管理，交换 ASIC 芯片 继续承担高速无状态转发，DPU 则补齐数据面的有状态处理与可编程能力。从公开的工程实践看，这一新形态在能力上有几个值得注意的落点。首先，DPU 具备超高的高速数据面处理能力，并支持百万级流表，足以承载存储等大扇出业务。其次，高速数据面具备有状态能力，能够跟踪 TCP 会话与 NAT 会话，把过去只能放在服务器上的连接级逻辑收回交换机。最后，数据面可编程，业务流水线可以在不更换硬件的前提下重新定义，且其新建与更新流表的处理能力显著快于纯 CPU 方案。

把这些能力放回最初的问题上，可以很容易发现：过去因为交换 ASIC 芯片 无状态与 CPU 性能不足而外迁至服务器的 NAT、云防火墙等网络功能，如今在 DPU 交换机上同时具备了“承载得下”与“改得动” 的条件。网络与计算的边界，由此从“持续外移” 重新走向“向内收敛”。

二、业界的探索方向：DPU 与交换芯片的融合

DPU 交换机并非孤立的技术路线。近年来，工业界与学术界已有多项代表性工作，围绕同一方向展开探索：将 DPU 的可编程、有状态能力，与交换芯片的高性能转发能力整合至同一设备或同一流水线。

海外云厂商微软在 Azure 上前后做了多代网络功能卸载方案，仍然面临三个问题：网络功能编程模型过于灵活，难以实现硬件加速；DPU 池化方案占用大、部署复杂；厂商 SDK 拖慢迭代速度。针对上述问题，其推出了 SmartSwitch，将交换 ASIC 芯片 与 DPU 集成于盒式交换机， 依托 P4编程模型构建一体化流水线，并已在 Azure 规模部署。国内云厂商也在持续迭代同类方案，腾讯 SmartSwitch 相关方案已演进至3.0版本；字节提出 Gryphon 网关，将 P4可编程 DPU 与交换 ASIC 芯片 集成为统一可编程流水线，解决超大规模多租户云网关面临的表项与吞吐瓶颈。

与云厂商从内部网关需求出发、向外探索的路径不同，传统网络设备商选择了另一种切入思路 —— 把 DPU 直接做进商用交换机里。与云厂商侧重网关吞吐和流表建立性能不同，思科把 DPU 的可编程能力首先押在安全一侧：通过 DPU 安全模式，交换机本身即可完成分布式、有状态的 DoS 防护，把过去需要外部防火墙或服务器侧 DPU 卡才能完成的租户隔离与攻击拦截，直接下沉到网络之内，使“安全服务像转发一样跑在交换机里” 第一次成为商用产品的默认形态。

上述工作的切入角度不同，但方向一致：DPU 不应仅部署于服务器侧，也不应仅以池化形式存在，而需与交换芯片更紧密地结合，甚至集成于同一设备。DPU 交换机，正是这一方向下的进一步形态。

三、潜在应用场景

DPU 交换机的能力，最终需落到具体场景。从当前云网络的实际痛点看，至少有以下几类场景值得关注。

3.1云网关与微隔离

在云场景中，VXLAN 网关与 SG/ACL 隔离方案长期面临四种选择，各有明显代价：集中式裸机网关以独立服务器组承载，约30台业务服务器需配置2台网关服务器，性能低、成本高。增强型裸机网关将 VXLAN 网关部署于交换机，但业务隔离仍需引流至网关服务器池完成，隔离能力弱。分布式裸机网关为每台服务器配置 DPU 卡，性能高，但每服务器必配，成本极高。分布式虚拟化网关由服务器分配少量核心承担网络卸载，性能中低，且消耗服务器 CPU 资源。

DPU 交换机的思路是在交换机内通过 DPU 芯片实现有状态、有方向、高性能的流量隔离。其无需为每台服务器配置 DPU 卡，亦不依赖服务器池完成隔离引流，而是将 VXLAN 网关与 SG/ACL 隔离统一收敛至交换机内，简化 Region 级策略部署与引流管理，同时保证策略与流表生命周期管理、数据面卸载转发、设备组内业务同步。

3.2高精度业务 KPI 可观测与探针下沉

在传统交换机里，可观测数据的获取方式是：由 CPU 主动查询交换芯片内部的计数器与流表，把统计结果上送给采集平台。这套机制有两个先天约束。一是容量 —— 交换芯片本身的统计资源通常在10K 量级，只能覆盖少数关键流，做不到全业务监控；二是时效 ——CPU 还要跑控制面协议与设备管理，留给统计轮询的预算有限，输出频率往往只能做到秒级，运维只能看到秒内的平均值，难以反映业务实时状态。对于瞬时抖动、偶发丢包或短时流量突增，数据上报时故障往往已经结束。

DPU 交换机带来的变化，是把采集与分析两件事同时拆开。DPU 一侧的流表容量可扩至百万量级，足以承载全业务流的长期记录；CPU 与 DPU 之间再做一次分工 ——DPU 负责高频采集与本地聚合，CPU 负责跨流表关联分析与对外上报，控制路径与数据路径分离，不再抢占转发资源。由此，信息密度从秒级提升到毫秒级，运维侧不再只有粗粒度统计，而是能观察到更接近实时的业务状态。单条流的劣化、单段链路的延迟偏移，都能在故障发生的同一时间窗口内被识别。

3.3分布式拨测系统自诊断

网络拨测是另一个长期依赖外部资源的场景。传统 PingMesh 系统需在机房内部署专用服务器，按预设路径周期性发包、收包并计算往返时延。该方案存在三方面代价：专用服务器数量有限，拨测节点无法覆盖的区域形成监控盲区；节点间路径为预先规划，业务迁改后拨测路径难以及时同步；故障发生时，判断具体链路故障点仍需人工交叉比对多个探针数据。

DPU 交换机的思路，是将拨测节点直接下沉至交换机内部。每台交换机本身即成为一个拨测探针，无需额外部署专用服务器；节点密度从 “数十台 PingMesh 服务器” 提升至 “每台交换机均为节点”，拨测路径自然覆盖交换机之间的全部互联链路。多台交换机采集的结果通过分布式分析完成交叉定位 —— 哪段链路在何时出现丢包或时延抬升，由网络自身在毫秒级完成识别，而非事后依赖运维人员倒查。

其直接收益有二：其一，拨测无死角，受限于专用服务器数量的监控盲区被全部补齐；其二，网络通断问题可实现自诊断，不再依赖外部探针的事后上报，交换机自身即可完成故障定位，相关拨测逻辑运行于 DPU，不占用主 CPU 算力，保障整机网络转发稳定性。

此外，服务化网关承载与开放可编程亦是 DPU 交换机的重要方向。交换机不再仅是转发设备，而可承载服务化网关功能，业务迭代不再受限于硬件流水线的固化节奏。

四、结语

从 CPU + 交换 ASIC 芯片 到 CPU + 交换 ASIC 芯片 + DPU，交换机增加的不仅是一颗芯片。 双芯架构的局限，事实上造成了网络功能的被迫外移：有状态业务在交换机内找不到合适的承载组件，只能散落至服务器。DPU 补上的，正是 CPU 与 交换 ASIC 芯片 之间的能力空白，使有状态、可编程、高性能三项要求首次能在同一台交换机内同时满足。 业界多项代表性工作已经表明，DPU 与交换芯片结合得越紧密，系统的性能与容量表现越优。DPU 交换机是这一路径上的自然延伸。当交换机开始具备网络计算能力，其与服务器之间的边界，也将被重新划分。