使用第三代英特尔® 至强® 可扩展处理器架构，大幅提高 vCMTS 数据平面的性能

英特尔® 平台技术可将虚拟电缆调制解调器终端系统 (vCMTS) 数据平面的性能提高多达 70%。

简介                  

随着 DOCSIS 分布式接入架构 (DAA) 的标准化以及灵活 MAC 架构 (FMA) 标准的进一步发展，向以软件为中心的电缆网络基础设施过渡已成为可能。本文将基于以下各类部署场景，探讨如何利用英特尔® 技术提高 vCMTS 性能（见图 1）。每一场景均可部署相同的 DOCSIS MAC 软件，部署用途包括：
 

• 作为虚拟 MAC 核心网 (vCore)，又称多系统运营商 (MSO) 头端服务器上的虚拟电缆调制解调器终端系统 (vCMTS)；
• 作为边缘计算节点上远程 MAC 核心网 (RMC) 和远程 PHY 部署的一部分；
• 或者作为边缘计算节点上远程 MAC-PHY 设备 (RMD) 部署的一部分。

图 1. 灵活 MAC 架构 (FMA) 部署场景

这种以软件为中心的方法在数据平面开发套件 (DPDK) 和英特尔® 多缓冲区加密库 (intel-ipsec-mb) 等技术的支持下，性能大大提升，因为上述技术可在紧跟英特尔® 架构发展步伐的软件中提供高度优化的数据包处理能力。英特尔® 架构提供的原生指令和功能尤其可提升 vCMTS 等接入网络功能的数据平面数据包处理能力。

图 2. 英特尔® 至强® CPU 代际增强情况^{1 2 3 4 5 6 7 8}

独立软件供应商 (ISV) 依托第三代英特尔® 至强® 可扩展处理器架构（代号 “Ice Lake”）能够显著提高 vCMTS 性能。这主要得益于图 2 所示的新一代 CPU 架构增强措施，包括更大的各级缓存、更高的内核数、更多高速内存通道和更大的 I/O 带宽。                                              

本文将着重介绍如何利用各项先进功能，例如：
 

• 增强版英特尔® 高级矢量扩展 512 技术（英特尔® AVX-512）
• 双 AES 加密引擎
• 英特尔® 矢量 AES 新指令 (AES-NI)
• 英特尔® 矢量 PCLMULQDQ 无进位乘法指令
• 英特尔® QuickAssist 技术

本文还提供对于实施选择方案的看法和见解，并建立一个实证性能数据基准，可用于预估在基于第三代英特尔® 至强® 可扩展处理器架构的行业标准大容量服务器上运行 vCMTS 平台的表现。实际测量是在基于第三代英特尔® 至强® 可扩展处理器的系统上进行的（配置详情请参阅附录 D）。

数据充分展示了在处理 IMIX 混合流量的纯 DOCSIS 3.1 配置中，以 2.2 GHz 主频运行的单个第三代英特尔® 至强® 可扩展处理器内核如何能够为接近五个正交频分复用 (OFDM) 信道提供下行信道带宽支持。当系统使用英特尔® QuickAssist 技术（英特尔® QAT）加速时，单个内核即可满足接近纯 DOCSIS 3.1 配置的下行带宽上限。由于 vCMTS 工作负载表现出良好的可扩展性，因此基于两个第三代英特尔® 至强® 可扩展处理器（例如总共 64 个处理器内核）的典型刀片服务器可实现出色的性能密度。

需要注意的是，在 RMC 和 RMD 场景（图 1）中部署通用计算组件也能实现这些性能优势。换言之，英特尔® 架构和补充技术（例如英特尔® QAT 和英特尔® 多缓冲区加密库）也可用于在边缘计算节点上实现类似的性能优势。

DOCSIS MAC 功能可分为四类：下行数据平面、上行数据平面、控制平面和系统管理。从网络性能的角度来看，计算最为密集的工作负载是数据平面处理，因此是本文的介绍重点。

英特尔® vCMTS 参考数据平面

英特尔基于 DPDK 数据包处理框架开发了符合 DOCSIS 3.1 规范的 vCMTS 参考数据平面。该数据平面已在英特尔开源技术中心 01.org 网站 01.org/access-network-dataplanes 上公开发布。开发这一参考数据平面的主要目的是提供一种工具，展示英特尔® 至强® 处理器平台的 vCMTS 数据平面数据包处理性能，并协助 ISV 和 MSO 部署 vCMTS。

图 3. 英特尔® vCMTS 参考数据平面

图 3 所示为针对英特尔® vCMTS 参考数据平面实施的上行和下行数据包处理管道。下行数据平面作为两阶段管道实施，分别执行上 MAC 层和下 MAC 层处理。另外，用于每个重要 DOCSIS MAC 数据平面数据包处理阶段的 DPDK API 也得到体现。                                             

附录 A 详细说明了图 3 所示的上行和下行数据包处理阶段。英特尔® vCMTS 参考数据平面支持许多重要的创新和性能优化，包括：

基于英特尔® AES-NI 和 AVX-512 指令实现 AES 加密和循环冗余校验码 (CRC) 并行处理的多缓冲区优化
 

• 基于英特尔® AVX-512 指令实现 DES 加密处理的多缓冲区优化
• 使用英特尔® QuickAssist 技术加速 AES 和 DES DOCSIS 加密处理
• 基于英特尔® AVX-512 指令实现 CRC32 和 DOCSIS 包头校验序列 (HCS) 计算优化
• 基于 DPDK HQoS 实现 DOCSIS 服务流和信道调度
• 基于 DPDK Mbuf API 的数据包流式传输协议 (PSP) 实现分片/重组
• 使用 100 G 英特尔® 以太网 800 系列网络接口卡 (NIC) 进行 DOCSIS MAC 数据平面预处理
• 可配置的 DOCSIS MAC 数据平面线程选项 – 双线程、单线程、单独或组合式上行和下行线程

英特尔® vCMTS 参考数据平面采取 Kubernetes 编排，在基于 Docker 容器的行业标准环境中运行。附录 B 对此有详细介绍。

vCMTS 数据平面性能分析 – 单一服务组

性能测试采用英特尔® vCMTS 参考数据平面及 OFDM 信道配置来进行，以展现纯 DOCSIS 3.1 部署的最大吞吐能力。使用英特尔® 多缓冲区加密库和英特尔® QAT 实现的密码操作硬件加速性能在测试中也有所体现。另外，测试中还比较了以 2.2 GHz 内核频率运行的第三代英特尔® 至强® 可扩展处理器与以 2.3 GHz 内核频率运行的第二代英特尔® 至强® 可扩展处理器（代号 “Cascade Lake”）的性能⁹。                                              

信道配置是有六条 OFDM 信道的纯 DOCSIS 3.1 部署，理论上可产生 11.3 Gbps 的累积带宽。但是，对于每个服务组 (SG) 的 DOCSIS 3.1 带宽限制而言，有效下行带宽限制为 10 Gbps。请注意，该限制是通过 vCMTS 数据平面管道将每个服务组的下行 QoS 速率限制为 10 Gbps 来强制实施的。

图 4. 不同大小的数据包的单核下行吞吐量

图 4 显示了不同大小的数据包的下行吞吐量。随着数据包不断增大，包头到有效负载的处理速率会下降，这通常会导致数据包总吞吐量增大。但数据包越大，基于软件的加密和 CRC 生成需要的计算资源就越多。灰色的 IMIX 条显示的是运行不同大小 IMIX 数据包时测得的吞吐量范围。尽管加权后的平均数据包大小约为 1,000 字节，但实证测量数据表明 IMIX 数据包大小在 800 到 900 字节范围内。
                
第三代英特尔® 至强® 可扩展处理器的纯软件加密曲线（即无 QAT 密码操作硬件加速）表明 IMIX 下行吞吐量为 9 Gbps，在数据包大小接近 1,024 字节时 DOCSIS 3.1 达到带宽限制饱和。QAT 加速曲线比纯软件曲线更加陡峭，在 IMIX 上达到 9.6 Gbps，这代表了英特尔® QAT 密码操作硬件加速为大数据包处理带来的性能优势。值得注意的是，QAT 密码操作硬件加速更有利于处理更大的数据包，因为 QAT 分流具有固定的 CPU 周期成本，不受数据包大小的影响。再加上 CRC 处理是在软件中完成的，因此大小在 256 到 512 字节之间的数据包均体现出这一优势。这种固定成本还能带来其他优势。例如，减少数据包大小不一致引起的抖动。
                
另外，第二代英特尔® 至强® 可扩展处理器的纯软件曲线显示 IMIX 下行吞吐量为 6.6 Gbps，数据包大小不超过 1,536 字节时，不会达到 DOCSIS 3.1 带宽限制饱和。这表明，这两代英特尔® 至强® 处理器之间的代际单核吞吐量提高了 35%。
    
vCMTS 数据平面管道中的加密和 CRC 处理

加密（特别是基于 AES 的基线加密接口 (BPI+) 加密）以及数据包 CRC 生成会占用 vCMTS 数据平面数据包处理管道中很大一部分的 CPU 周期。但是，通过使用英特尔® 多缓冲区加密库和英特尔® QuickAssist 技术加速，该处理能力在第三代英特尔® 至强® 可扩展处理器上得到了明显提升。

图 5 描绘了第三代英特尔® 至强® 可扩展处理器架构中 AES 加密的重要增强功能。在 AES 加密增强功能中，为每个 CPU 内核新增了第二个 AES 端口，并且支持 AVX-512 矢量化 AES-NI 指令，从而使加密性能大幅提高。此外，AVX-512 指令集中新加入一个针对 PCLMULQDQ 无进位乘法指令的矢量指令，能够明显提高 CRC 性能，而这正是 DOCSIS MAC 数据平面处理管道的另一个重要组成部分。

在近期一项创新中，英特尔还在英特尔® 多缓冲区加密库和 DPDK 中成功实施加密与 CRC 的并行处理，从而进一步减少 CPU 周期成本，明显改善 DOCSIS MAC 数据平面的性能。

英特尔® QAT 提供的加速功能可以集成在小芯片中（适用于某些第三代英特尔® 至强® 处理器 SKU），也可以通过 PCI 扩展卡添加到系统中。这项技术执行硬件加速的加密功能，能够有效减少加密时的 CPU 周期成本，而不受数据包大小或加密类型（AES 或 DES）的影响。

图 5. 第三代英特尔® 至强® 可扩展处理器架构的 AES 增强功能

请注意，由于英特尔® QAT 尚不支持加密和 CRC 并行处理，因此 CRC 部分仍在软件中单独生成，但会通过全新的矢量化 PCLMULQDQ 指令进行加速。 
                
在基于软件进行加密和 CRC 处理时，有一个重要的考虑因素，那就是，可以用每字节成本对其进行描述。因此，数据包加密/解密和 CRC 生成的成本与数据包大小成正比。
                
与 QAT 加速一样，英特尔® 多缓冲区加密库加速也嵌于 DPDK 中，并实施能够充分利用英特尔® CPU 指令的数据缓冲区处理技术。从 DPDK 的 20.08 版本开始，英特尔® 多缓冲区加密库已针对上述 DOCSIS 加密和 CRC 并行处理进行了更新。通过在代码中交错插入英特尔® AES-NI 和 PCLMULQDQ 指令，性能得以提升，因而能够充分利用并行处理多个独立数据缓冲区的优势。

图 6. 下行数据平面 CPU 周期比较 (IMIX)

图 6 所示为第二代和第三代英特尔® 至强® 可扩展处理器架构上软件的多缓冲区加密-CRC 性能提升情况，以及使用 QAT 加速后带来的进一步的性能提升。此处比较的是处理特定于下行的 IMIX 数据包大小分布时，下行 DOCSIS MAC 数据平面管道的性能⁹。

图 7. 上行数据平面 CPU 周期比较 (IMIX)

图 7 显示的是与第二代英特尔® 至强® 可扩展处理器架构相比，采用第三代英特尔® 至强® 可扩展处理器架构时，软件的多缓冲区解密为上行性能带来的提升。这里比较的是处理特定于上行的 IMIX 数据包大小分布时的性能，并且假设上行不需要 CRC 验证。

另请注意，对于上行流量，通常小数据包比例较高，因此使用英特尔® QAT 无法带来明显优势⁹。

在 vCMTS 数据平面管道中使用超线程技术

英特尔® 超线程技术可用于进一步提高 vCMTS 性能。图 8 显示了上 MAC 层和下 MAC 层下行数据平面处理之间的功能拆分⁹。

由于上 MAC 层和相关的下 MAC 层具有相似的 CPU 周期成本，因此适合分别将其部署在 sibling 超线程（即同一处理器内核的超线程）上，这样就可以使用超线程时间切片提高指令处理效率。

上行数据平面的带宽需求低于下行数据平面；但是，通过在 sibling 超线程上运行两个单线程的上行数据平面实例，也能从超线程技术中受益¹⁰。

英特尔® vCMTS 参考数据平面的性能基准测试表明，与单线程相比，双线程下行数据平面的总 vCMTS 吞吐量得到了明显提高。

图 8. 下行 CPU 周期 - 上 MAC 层与下 MAC 层比较

系统可扩展性和服务器容量规划                                               

对于想要调整服务器要求的电缆系统架构师来说，电缆工作负载性能跨 CPU 内核的可扩展性非常重要。图 9 显示了 DOCSIS 3.1 （6 x OFDM，采用 AES 加密）的双向吞吐量情况，该配置可在传递 IMIX 流量时根据服务组 (SG) 的数量实施线性扩展⁹。之所以能够做到这一点，是因为每个服务组的数据平面工作负载都能彼此独立地在专用内核或超线程上运行，并能合理共享关键 CPU 资源（如 L3 缓存）。                                               

下行流量 (IMIX) 在每个服务组的单个内核上进行处理，而每个内核处理两个上行流量实例。在此基准测试中，所有处理活动都仅发生于双处理器平台的两个处理器之一上。                                              

短期来看，每个服务组的 DOCSIS 流量带宽要求可能会减少。 图 10 显示的是信道配置为 32 条传统信道（单载波正交幅度调制 SC-QAM，DOCSIS v3.0 或更早版本）和两条 OFDM 信道的场景的 吞吐量可扩展性，每个服务组的理论下行带宽限制约为 5.1 Gbps⁹。                                              

在这一案例中，上行和下行服务组处理均在同一软件线程上执行， 其中两个处理任务在单个处理器内核的 sibling 超线程上运行。

实际上，服务组数据平面处理使用了之前为提高服务组性能所用配置的三分之一 CPU 内核资源。                                              
图 11 显示的是第二代和第三代英特尔® N-SKU（网络 SKU） 平台之间的性能比较。对于内核数最多的英特尔® 至强® N-SKU 处理器，代际性能提升了 70%⁹。                                               

性能的大幅提升归功于第三代英特尔® 至强® 处理器 CPU 架构的增强，以及另外能够支持 4 个额外服务组的 8 个 CPU 内核。                                               

还要注意的是，借助 QAT 加速和英特尔® Speed Select 技术， 有望实现更高的平台吞吐量。有关 QAT 的优势已在前文中介绍。 借助英特尔® Speed Select Technology-Base Frequency 功能， 可将选定数量的内核配置为运行速度高于处理器的默认基频， 从而在节能和性能之间取得平衡，更好地适合 vCMTS 部署。                                              
还应注意，在规划系统规模时，还应考虑其他处理操作（这些 处理操作未包含在本文提供的性能数据中）。例如，上行调度程序、控制平面、高可用性 (HA) 备用实例以及平台上托管的其他功能将会额外占用处理器内核。对于本文中提供的性能数据， 已为这些处理预留 CPU 内核。

图 9. 平台吞吐量可扩展性，每个服务组具有最大双向带宽（单 CPU）

图 10. 平台吞吐量可扩展性，每个内核运行 2 个服务组（单 CPU）

图 11. 第二代和第三代英特尔® 至强® 可扩展处理器的平台性能比较

第三代英特尔® 至强® 可扩展处理器实现的出色 vCMTS 性能

越来越多的网络运营商正计划采用在行业标准大容量服务器上运行的软件解决方案，借此提高敏捷性、灵活性和成本竞争力，同时实现媲美定制的专有解决方案的性能。与前代处理器相比，采用第三代英特尔® 至强® 可扩展处理器架构能够提供更出色的性能和可扩展性。

本文展示了如何将英特尔® 至强® 处理器平台的可扩展性应用于以 OFDM 为重点的未来部署，并通过软件实现每个 CPU 内核支持近 5 条 OFDM 信道的性能。此外，文中还展现了支持 OFDM 和 SC-QAM 信道结合使用的短期配置的灵活性。在这种情况下，能够支持更多的服务组，每个服务组分配到的带宽更少。

文中结果表明，使用第三代英特尔® 至强® 可扩展处理器的最大内核数网络 SKU 时，vCMTS 平台性能和服务组密度提高了 70%；如果使用英特尔® QuickAssist 和 Speed Select 技术，那么性能还将进一步提升。

借助这些数据，网络架构师能够更好地评估在基于第三代英特尔® 至强® 可扩展处理器的行业标准大容量服务器上实施 vCMTS 的收益和成本。

有关使用英特尔® 技术的网络解决方案的更多信息，请访问 networkbuilders.intel.com 。

附录 A：英特尔® vCMTS 参考数据平面数据包处理管道阶段                                   

以下介绍图 3 所示的英特尔® vCMTS 参考数据平面上行和下行管道的数据包处理阶段。                                    

下行数据平面管道阶段

1. 接收 IP 帧

使用 DPDK Ethdev API，通过 DPDK 轮询模式驱动程序 (PMD) 从 NIC VF（虚拟功能）端口的接收队列接收 IP 数据包突发数据。数据平面软件线程读取这些数据包，并开始 vCMTS 下行数据包处理。根据目标 MAC 地址，将数据包定向到特定于服务组的虚拟功能。

2. 电缆调制解调器查找和用户管理

DPDK 哈希 API 用于根据接收到的帧的目标 IP 地址进行批量查找（即查找多个数据包），以检索包含 MAC 地址、DOCSIS 过滤器、DOCSIS 分类器，服务流队列和安全性信息的电缆调制解调器记录。在此阶段，以太网帧的目标 MAC 地址也将更新为特定于电缆调制解调器的地址。根据 DOCSIS 限制（通过每个电缆调制解调器的目标 IP 地址列表进行跟踪），检查活跃用户 IP 地址的数量。

3. DOCSIS 过滤

DPDK 访问控制列表 (ACL) API 用于将 DOCSIS 过滤器规则的有序列表应用于以太网帧。附录 C 说明了 DOCSIS 过滤器规则配置。

4. DOCSIS 分类

DPDK 访问控制列表 (ACL) 库用于应用规则的有序列表，通过对以太网帧进行分类，将其加入电缆调制解调器服务流调度程序的队列。附录 C 说明了 DOCSIS 服务流调度程序规则配置。

5. DOCSIS QoS - 服务流和信道接入调度

DPDK HQoS 调度程序 API 用于将速率整形、拥塞控制和加权轮询 (WRR) 调度应用于电缆调制解调器服务流队列。                                              

DPDK 调度程序 API 也已调整为在服务流调度后，对数据包执行信道接入调度。相较于其他实施方案中的典型做法，这里的信道接入调度在更早的管道阶段执行，因此得到了优化。此调度阶段考虑了管道后面阶段增加的 DEPI 和 DOCSIS 封装开销。

6. 下 MAC 层接口

DPDK 环用于在上 MAC 层和下 MAC 层处理之间传输数据包，从而允许在单独的线程上执行上 MAC 层和下 MAC 层处理。

7. DOCSIS 分帧

生成 DOCSIS MAC 包头 [包括 DOCSIS 包头校验序列 (HCS)]，附于数据包头部。DPDK CRC API 用于生成 DOCSIS HCS。AVX-512 指令则用于在第三代英特尔® 至强® 可扩展处理器平台上实现出色性能。

8. IP 帧 CRC 生成和 DOCSIS BPI+ 加密

生成数据包的 32 位以太网循环冗余校验码 (CRC)，然后应用 DOCSIS BPI+ 加密。执行这两个阶段会使用 DPDK 加密与 CRC 并行处理方法。使用英特尔® 矢量 AES-NI、矢量 PCLMULQDQ 和 AVX-512 指令，在第三代英特尔® 至强® 可扩展处理器平台上实现出色性能。

9. DEPI 封装

DEPI 封装根据 DOCSIS 3.1 规范来执行。帧被转换为数据包流式传输协议 (PSP) 段，使用 DPDK Mbuf 链接进行串联，然后封装为最大传输单元的 L2TP 帧。PSP 段横跨 DEPI 帧进行分段，因此传输的所有帧都具有最大传输单元 (MTU)，以确保充分利用 R-PHY 链路。

10. 传输 DEPI/L2TP 帧

使用 DPDK Ethdev API，DEPI/L2TP 帧突发数据将通过 DPDK 轮询模式驱动程序 (PMD) 传输到相关服务组的 NIC VF（虚拟功能）发送队列。                                     

上行数据平面管道阶段

1. 接收 UEPI/L2TP 帧

使用 DPDK Ethdev API，通过 DPDK 轮询模式驱动程序 (PMD)，从 NIC VF（虚拟功能）端口的接收队列，接收包含 UEPI 封装 DOCSIS 流的 L2TP/IP 帧突发数据。数据平面软件线程读取这些帧，并开始 vCMTS 上行数据包处理。根据目标 MAC 地址，将帧定向到特定于服务组的虚拟功能。                                               

2. 验证帧和剥离 IP 包头

验证 L2TP/IP 帧，并剥离 IP 包头。                                              

3. UEPI 解封装

UEPI 解封装根据 DOCSIS 3.1 规范来执行。验证 UEPI/PSP 的序列号顺序是否正确。                                               

4. DOCSIS 段重组和服务 ID 查找

遍历 UEPI PSP 包头、数据和包尾各段，并将数据段重新组合为 DOCSIS 串流段。DPDK 哈希 API 用于根据服务 ID 值执行查找，以检索电缆调制解调器的安全信息。                                               

5. DOCSIS 帧提取

从各段 DOCSIS 流中提取 DOCSIS 帧，包括使用 DPDK Mbuf API 重组碎片帧。                                               

6. DOCSIS 帧 HCS 验证

使用 DPDK CRC API，对提取的 DOCSIS 帧执行包头校验序列 (HCS) 验证。                                            

7. DOCSIS BPI+ 解密和 IP 帧 CRC 验证

将 DOCSIS BPI+ 解密应用于 AES 或 DES 加密帧的 DOCSIS 帧，并验证产生的以太网数据包的 32 位以太网循环冗余校验码 (CRC)。执行这两个阶段会使用 DPDK 加密与 CRC 并行处理方法。使用英特尔® 矢量 AES-NI、矢量 PCLMULQDQ 和 AVX-512 指令，在第三代英特尔® 至强® 可扩展处理器平台上实现出色性能。                                             
请注意，上行封装数据包通常不需要 CRC 验证，因此默认情况下将禁用。                                          

8. 传输 IP 帧

使用 DPDK Ethdev API，IP 帧突发数据将通过 DPDK 轮询模式驱动程序 (PMD) 传输到相关服务组的 NIC VF（虚拟功能）发送队列。

附录 B：性能测试环境

英特尔® vCMTS 参考数据平面的性能测试环境包括一个 vCMTS 平台和一个基于软件的流量生成器平台，如图 12 所示。

vCMTS 平台基于配备两个第三代英特尔® 至强® 可扩展处理器、100 G 英特尔® 以太网 800 系列 NIC，以及选配英特尔® QAT 卡的刀片服务器。

也可使用基于其他有着不同内核数量的英特尔® 至强® 可扩展处理器或英特尔® 至强® D 处理器的服务器。同时支持使用其他类型的英特尔® 以太网 NIC，而且系统可以配置成使用和不使用英特尔® QAT 卡两种情况。

整个系统部署在由 Kubernetes 编排的环境下。在该环境中，多个Docker 容器针对 vCMTS 数据平面节点上的各个电缆服务组托管基于 DPDK 的 DOCSIS MAC 上行和下行数据平面数据包处理。英特尔开发的 Kubernetes 插件执行资源管理功能，例如处理器内核管理，以及为 NIC 和英特尔® QAT 设备分配单根 I/O 虚拟化 (SR-IOV) 接口。

在 vCMTS 流量生成节点上运行的 Docker 容器托管基于 DPDK Pktgen 的流量测试器实例，这些实例会模拟流量传输到相应的 vCMTS 数据平面实例的过程。

可以使用适当数量的 NIC 和 CPU 内核来达到 vCMTS 在服务组数量上的要求。

图 12. 用于衡量 vCMTS 性能的性能测试环境

附录 C：测试环境配置信息和相关变量

附录 D：系统配置

性能比较使用的是以下 vCMTS 服务器配置。

附录 E：缩略语和定义

参考资料

1. 英特尔® vCMTS 参考数据平面：https://01.org/access-network-dataplanes

2. 英特尔® 多缓冲区加密库：https://github.com/intel/intel-ipsec-mb

3. 数据平面开发套件 (DPDK)：https://www.dpdk.org