Cisco Live 思科已通過采用 Google 和 Meta 在大規模場景下驗證過的開源軟件，重新進入負載均衡市場。

這家網絡巨頭在 2012 年退出負載均衡器市場，當時它決定停止開發其 Application Control Engine 負載均衡器。而這次的回歸由 Isovalent 團隊負責 —— 該團隊正是背后開發 Cilium 網絡與安全工具的公司，后者于 2023 年被思科收購。

Isovalent 聯合創始人兼 CTO Thomas Graf 現任思科安全業務副總裁，他表示，思科客戶要求開發一種能夠在 Kubernetes 容器、虛擬機 (VM) 以及現有基礎設施上運行的負載均衡器。大量此類需求來自 VMware 客戶，他們曾使用 VMware 的虛擬負載均衡器，因 Broadcom 修改 VMware 許可條款（幾乎總會提升成本）而尋求其他替代方案。

Cilium 作為一個運行在 eBPF 上的程序而存在，eBPF 是一種源自擴展 Berkeley Packet Filter 的開源技術，它能夠有效地為 Linux 內核創建插件。Graf 在接受 The Register 采訪時表示，eBPF 也將成為新項目的核心，該項目目前被命名為 Isovalent 負載均衡器。

Graf 指出：“eBPF 能夠在單個 Intel 核心上處理一千萬個數據包”，這對于大多數應用來說已經綽綽有余。Isovalent 團隊在 Cilium 上的實踐經驗，使他們已具備在 eBPF 上構建網絡工作負載的能力。

Cilium 還采用了基于 eBPF 的 Maglev 負載均衡器，該技術最初由 Google 開發用于自用，后期開源。Meta 也開源了一個利用 eBPF 的負載均衡器，團隊同樣吸收了部分該技術成果。

eBPF，電影般的存在

如果你想了解更多關于 eBPF 的信息，其開發者還委托制作了一部 30 分鐘的迷你紀錄片 。

基于上述決策，現已推出的負載均衡器采用了 Google 與 Meta 已證明能在大規模運行的技術，并且能夠在 Kubernetes 環境、虛擬機中，或與云端虛擬機并行運行的虛擬設備上運行。

無論用戶選擇哪種部署方式，都可以對所有負載均衡器實例進行集中管理。

Graf 表示，思科計劃通過兩種方式將該軟件引入網絡硬件領域。

首先，思科將利用許多網絡設備運行定制 Linux 的事實。如果這種 Linux 版本支持 eBPF —— 而思科交換機上的 Linux 是支持的 —— 那么負載均衡器便可順利運行于此。

其次，思科將瞄準那些內置數據處理單元（亦稱為智能 NIC —— 具備計算能力的網卡，可以在隔離環境下運行網絡與安全工作負載，從而減輕 CPU 部分負擔）的交換機市場。

目前，思科將以獨立產品的形式銷售 Isovalent 負載均衡器。未來的版本將與思科的 Cloud Operations 控制平臺以及 Nexus 儀表板實現集成。

Graf 在接受 The Register 采訪時表示，他希望隨著時間推進，這項技術能夠成為“云原生領域的 Nexus” —— 換句話說，成為云原生版的思科 Nexus 數據中心交換機。

更多 eBPF 在思科的應用

本周在思科 Live 上，負載均衡器并非是唯一采用 eBPF 的創新成果。

公司還推出了一款名為 Live Protect 的工具，該工具利用 eBPF 重新配置網絡，以實現“補償性控制”。這種控制措施能夠針對軟件或硬件中已知漏洞提供保護，而無需安裝補丁。

舉個例子，補償性控制之一是網絡微分段 —— 一個僅用于特定流量且與更大網絡隔離的虛擬網絡。當組織意識到某漏洞可能使攻擊者侵入網絡時，微分段便能將入侵者限制在一個受控區域內。漏洞依舊存在，但利用該漏洞的攻擊將無法奏效，同時為用戶贏得了在非干擾時刻進行補丁更新的時間。

思科總裁 Jeetu Patel 指出，組織通常需要 45 天來修補新公布的漏洞，而攻擊者僅在三天內便可加以利用。Live Protect 使得組織在準備補丁期間能夠有效緩解攻擊風險，同時無需重啟設備，從而避免服務中斷 —— 前提是他們正在使用 Nexus 交換機。