技术白皮书 - support.huaweicloud.com · 4.1 SSL卸载场景...

鲲鹏 Web 解决方案

技术白皮书

文档版本 03

发布日期 2020-09-21

华为技术有限公司

版权所有 © 华为技术有限公司 2020。保留一切权利。

非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。商标声明

和其他华为商标均为华为技术有限公司的商标。本文档提及的其他所有商标或注册商标，由各自的所有人拥有。注意

您购买的产品、服务或特性等应受华为公司商业合同和条款的约束，本文档中描述的全部或部分产品、服务或特性可能不在您的购买或使用范围之内。除非合同另有约定，华为公司对本文档内容不做任何明示或默示的声明或保证。

由于产品版本升级或其他原因，本文档内容会不定期进行更新。除非另有约定，本文档仅作为使用指导，本文档中的所有陈述、信息和建议不构成任何明示或暗示的担保。

文档版本 03 (2020-09-21) 版权所有 © 华为技术有限公司 i

目录

1 方案概述......................................................................................................................................11.1 方案背景......................................................................................................................................................................................11.2 方案挑战......................................................................................................................................................................................21.3 方案介绍......................................................................................................................................................................................3

2 方案架构......................................................................................................................................5

3 方案优势......................................................................................................................................7

4 业务场景......................................................................................................................................84.1 SSL 卸载场景.............................................................................................................................................................................. 84.2 Nginx 负载均衡场景................................................................................................................................................................ 94.3 Nginx Web Server 场景....................................................................................................................................................... 104.4 Memcached 场景................................................................................................................................................................... 11

5 方案组网....................................................................................................................................13

6 典型配置....................................................................................................................................14

7 特性清单....................................................................................................................................16

8 软件兼容性................................................................................................................................17

9 使用流程....................................................................................................................................18

A 修订记录................................................................................................................................... 19

鲲鹏 Web 解决方案技术白皮书目录

文档版本 03 (2020-09-21) 版权所有 © 华为技术有限公司 ii

1 方案概述

1.1 方案背景

1.2 方案挑战

1.3 方案介绍

1.1 方案背景随着互联网业务的兴起和网络数据的不断增长，Web承载了越来越多的信息和用户业务数据。无论是传统的软件，还是智能设备移动终端，Web已经成为默认的前端呈现方式，软件Web化越来越普遍，尤其移动终端更是大量使用Web，互联网、软件公司的Web后端需要大量的Web处理能力，以应对越来越多的Web请求。

互联网的快速发展，带来了Web用户数的大规模增长和Web承载数据量的持续激增，随之而来的网络数据的安全接入变得越来越重要。需要将Web数据传输从原来的明文传输转变为加密传输，即从HTTP变更为HTTPS。HTTPS默认采用RSA加密算法，在客户端接入时RSA运算会消耗大量的CPU算力。客户端接入请求越多，需要的CPU算力越大。

图 1-1 HTTPS 是在 HTTP 基础上增加 SSL 层

鲲鹏 Web 解决方案技术白皮书 1 方案概述

文档版本 03 (2020-09-21) 版权所有 © 华为技术有限公司 1

图 1-2 Chrome 中通过 HTTPS 加载的网页所占的百分比（按平台）

来自Chrome的透明度报告显示，Chrome中通过HTTPS加载的网页所占百分比在这几年得到了快速的增长。

截至2020年5月30日，按平台的统计数据如下：

● 在Windows中使用HTTPS的页面已达到88％；

● 在Android上的HTTPS流量为91％；

● 在Mac和Chrome OS上，受到HTTPS保护的网络流量则分别是93％和96％。

根据对各大热门网站的HTTPS实施情况的统计，在默认情况下，最受欢迎的100个网站中，有96个网站已经启用了HTTPS，而其中支持HTTPS的网站则达到100个。

数据来源：https://transparencyreport.google.com/https/overview?hl=zh_CN

这就对数据处理设备产生了新的需求：

● 处理更多的并发业务请求；

● 能够快速处理加密的Web请求。

哪些站点需启用HTTPS：

● 电商平台及其相关支付平台；

● 银行系统、金融机构、电信行业等高私密性网站；

● 政府、高校、医疗行业、科研机构及其相关网站；

● 以搜索引擎为主要流量来源的网站；

● 以内部办公系统为主的企业交流平台；

1.2 方案挑战HTTPS（超文本传输安全协议）是一种网络安全传输协议。在计算机网络上，HTTPS经由HTTP进行通信，但是利用了SSL/TLS来加密数据包。由于非对称加密算法与对称



https://transparencyreport.google.com/https/overview?hl=zh_CN

加密算法相比效率要低得多，因此非对称加密算法只在HTTPS的SSL/TLS握手阶段使用，而没有在HTTPS交互的全程使用。RSA2048算法是SSL/TLS握手阶段最常用的非对称加密算法，其采用通用CPU进行计算效率很低，计算开销如下：x86 CPU 1个物理核处理约650次/秒，一台x86高端服务器处理能力低于20K次/秒。从上面的计算开销可以看出，在运算过程中CPU性能瓶颈明显，因此业界普遍使用硬件加速方式对加密算法进行卸载，将单机性能提升到80K~100K次/秒以上。

图 1-3 HTTPS 中 SSL/TLS 握手过程流程图

1.3 方案介绍TaiShan 200服务器基于华为鲲鹏处理器，提供了强大的计算和并发能力。在高并发的Web业务场合可以充分发挥鲲鹏处理器多核、内存带宽高的优势，提升用户的Web业务性能。

华为鲲鹏Web解决方案基于TaiShan 200服务器，提供基于开源软件的标准软件服务。具有支持高并发、Web组件多、支持RSA算法硬件卸载、安装部署简单的特点，可帮助客户业务快速上线，同时降低运维管理的难度。

用户可以根据Web组件的移植指导书下载对应Web组件源码，并按照说明编译二进制安装包，自行部署Web服务，根据性能调优指导进行配置，以到达Web组件的最优性能。



鲲鹏Web解决方案定位于：

● 企业Web网站

● ISP企业

● Internet应用型企业



2 方案架构

华为鲲鹏Web解决方案遵循开放式架构标准，支持所有开源的Web组件，并根据具体Web组件特点，提供了良好的场景适用性。Web解决方案软件堆栈如图2-1所示，相关组件说明参考表2-1。

图 2-1 鲲鹏 Web 解决方案软件堆栈

表 2-1 鲲鹏 Web 解决方案组件说明

名称说明

Web负载均衡

Nginx、LVS和HAProxy。

Web Server Tomcat、Nginx，Apache、Lighttpd、JBoss和TomEE。

Web缓存 Memcached、Redis、Squid和Varnish。

其他Web中间件

Dubbo、Spring Cloud、Spring Boot、Spring Framework。

商业版Web套件

东方通（TongWeb）、金蝶天燕（Apusic）、中创中间件（InforSuite AS）和宝兰德（BES）。

开发/运行环境

OpenJDK、Huawei JDK、.NET Core和HHVM。

鲲鹏 Web 解决方案技术白皮书 2 方案架构


名称说明

SSL卸载（RSA加速）

通过TaiShan 200服务器提供的鲲鹏RSA加速引擎卸载RSA2048加解密计算，释放CPU算力。

硬件平台 TaiShan 200服务器。

华为鲲鹏Web解决方案可以覆盖如图2-2所示的Web场景。

图 2-2 鲲鹏 Web 解决方案 Web 场景节点架构

客户端通过Internet访问Web网站，首先由反向代理服务器处理HTTP/HTTPS请求，通过一定的策略（可配置），把HTTP/HTTPS请求按需要转发到后端的某一台或某几台Web服务器，使得每台Web服务器的负载都比较接近，这时反向代理服务器也起到了负载均衡的作用。

Web服务器、应用服务器联合后端设备完成客户端的Web业务请求，最终的响应经反向代理服务器返回到客户端。

在实际部署中，网站可以根据实际访问流量和性能分析，独立调整每一组成部分。例如扩充应用服务器到集群模式，可以大幅增加Web业务的处理能力；扩充反向代理服务器或者Web服务器到集群，可以大幅缩减前端Web请求的响应时间，提升用户体验。

鲲鹏 Web 解决方案技术白皮书 2 方案架构


3 方案优势

华为鲲鹏Web解决方案支持所有开源的Web应用，具有安装部署简单，系统配置方便的特点，结合华为鲲鹏920处理器提供的多核架构和鲲鹏加速引擎，能够提供更加卓越的高并发处理能力。主要价值如下：

开放生态

鲲鹏Web解决方案对常用的C/C++/C#、Java、Python、Perl、PHP、Go等语言开发的开源Web应用及框架有较好的支持，同时对东方通和金蝶天燕、中创中间件和宝兰德等商业Web应用也做了适配支持，当前主要完成了如下开源Web应用的移植和调优，已在鲲鹏社区开放：

● Web负载均衡：Nginx、LVS和HAProxy。

● Web Server：Tomcat、Nginx、Apache、Lighttpd、JBoss和TomEE。

● Web缓存：Memcached、Redis、Squid和Varnish。

高性能

● 基于华为鲲鹏920处理器提供的鲲鹏加速引擎，可以实现HTTPS协议处理中RSA2048非对称加解密算法的硬件卸载，大幅降低CPU资源占用，HTTPS处理性能相比软件计算提升1倍，可以释放更多CPU用于业务处理。

● 基于华为鲲鹏920处理器的多核架构和多核调度优化算法，使得具有高并发、低时延、计算密集特点的Web应用性能提升明显。

使用简单

安装部署、性能优化简单，运维容易：

● 简化安装：所有Web组件都提供移植安装指导及一键式安装脚本，安装方便。

● 性能优化简单：所有Web组件均提供性能调优指导及一键式调优脚本，通过调优可以充分发挥鲲鹏处理器的性能。

部署灵活

Web解决方案支持业内所有安装部署方式：物理机、虚拟机和容器部署，在满足客户灵活的业务需求的同时，提供卓越的计算能力。

鲲鹏 Web 解决方案技术白皮书 3 方案优势


4 业务场景

4.1 SSL卸载场景

4.2 Nginx负载均衡场景

4.3 Nginx Web Server场景

4.4 Memcached场景

4.1 SSL 卸载场景SSL卸载场景是以Nginx作为统一的网络访问入口，同时采用HTTPS协议进行安全传输的场景。

TaiShan 200服务器的鲲鹏处理器具有的鲲鹏加速引擎可以对HTTPS传输场景中的SSL/TLS加解密算法进行卸载，从而助力HTTPS处理性能的大幅提升。

该加速方案主要对HTTPS请求处理中SSL/TLS握手时的非对称加解密运算进行加速，如图4-1所示，加速主要通过Nginx异步调用OpenSSL的鲲鹏加速引擎Engine来实现，主要针对加密中的RSA2048算法运算进行硬件卸载。在性能规格方面TaiShan 200服务器（型号2280）可以支持100K OPS，如表4-1所示，目前鲲鹏加速引擎对外提供了OpenSSL API和自定义API两种类型的接口，分别可以通过Nginx及客户自研软件进行应用。

表 4-1 鲲鹏加速引擎对外接口

接口描述典型应用

OpenSSLAPI

鲲鹏加速引擎以Engine方式集成到OpenSSL中。

Nginx、客户自研软件

自定义API 用户态Library，提供自定义API供客户软件调用。

客户自研软件

鲲鹏 Web 解决方案技术白皮书 4 业务场景


图 4-1 鲲鹏加速引擎助力 RSA 加解密性能

该方案主要依赖集成在华为鲲鹏处理器内部的鲲鹏加速引擎来实现，具有性能高、功耗低的特点。

4.2 Nginx 负载均衡场景Nginx负载均衡场景是以Nginx作为Web反向代理或负载均衡服务器的场景。

TaiShan 200服务器可以作为Web反向代理、负载均衡服务器，利用鲲鹏处理器提供的多核能力，提供更高的Web请求及转发能力。

一般较大的网站都会部署反向代理及负载均衡服务器，而最常见及性能最好的就是Nginx。

其中作为反向代理服务器时接收客户端请求，然后选择一个实际的被代理服务器，转发这个请求，获取到响应后再返回给这个客户端。在这一过程中需要维持两个连接信

息，即客户端反向代理器以及反向代理服务器实际服务器，以保证响应消息可以原路返回。从而对用户只呈现代理服务器地址，不用将所有服务器地址都对外暴露。

在作为反向代理服务器的同时，通过upstream配置就可以达到负载均衡的功能，在收到一个请求后，可以从upstream配置的服务器集群中按照一定的策略选择一个实际服务器来处理请求，这一过程就是负载均衡，实现过程如图4-2所示，采用负载均衡可以使整个系统的业务处理能力横向扩展。



图 4-2 Nginx 作为 Web 反向代理或负载均衡服务器

Nginx负载均衡场景下采用华为鲲鹏Web解决方案的特点如下：

● 线性扩展和弹性

TaiShan 200服务器可以部署成反向代理集群或者负载均衡集群，并支持对集群进行线性扩展。

● 高性能

通过优化配置，调优系统参数，发挥华为鲲鹏处理器多核的优势，从而提供更好的性能。

4.3 Nginx Web Server 场景Nginx Web Server场景是以Nginx作为Web Server的场景。

Nginx作为Web Server，可以被配置部署为静态资源Web Server，在该配置下可以高效的进行静态资源的请求处理，从而实现动静的分离，其中非服务器动态运行生成的文件都属于静态资源，包括并不限于以下种类：

类型种类

浏览器端渲染 HTML、CSS、JS

图片 JPEG、GIF、PNG

音视频 FLV、MP4、MP3

文件 TXT、任意下载文件



配置时，可以通过server块定义虚拟服务器，通过root伪指令指定将用于搜索文件的根目录，通过location定义匹配块。通过index指令定义索引文件名称（默认值为index.html），如下面示例所示：

server{ listen 80; server_name localhost;

location/{ root /home/www/html; index index.html index.htm; }

location ~ .*\.(gif|jpg|jpeg|png)${ root /home/www/images/; }

location ~\.(mp3/mp4){ root /home/www/media; } }

示例中参数说明如表 Nginx作为Web Server的配置参数说明所示。

表 4-2 Nginx 作为 Web Server 的配置参数说明

参数说明

listen 80; 端口号

server_name localhost; 本机

root /home/www/html; html访问路径

index index.htmlindex.htm;

html文件名称

Nginx作为Web Server，其由于在高并发场景下Web请求处理性能优异而被广泛使用。TaiShan 200服务器支持Nginx Web Server的物理机和虚拟机方式部署，利用华为鲲鹏处理器的多核优势，可以进一步提升高并发场景下的处理性能，在HTTP/HTTPS的短连接和长连接场景下均有较大的性能优势。

4.4 Memcached 场景使用Memcached作为Web内存缓存服务器的场景。

Memcached是一款自由开源的，高性能的分布式内存对象缓存系统，基于内存的key-value存储，一般用来存储小块的任意数据（字符串、对象），这些数据可以是数据库查询、API调用或者是页面渲染结果，通常使用Memcached的目的是，通过缓存数据库查询结果，减少数据库访问次数，以提高动态Web应用的速度、提高可扩展性。

TaiShan 200服务器支持Memcached的物理机和虚拟机方式部署，利用华为鲲鹏处理器多核和内存多通道优势，能进一步提升Memcached的性能。



支持物理机和虚拟机方式部署，由于Memcached存储全在内存，几乎没有磁盘I/O访问，因此访存能力对性能影响较大，而华为鲲鹏处理器支持DDR4的8通道访问，因此具有较大的性能优势，同时在大规格虚拟机和物理机场景下华为鲲鹏处理器的多核优势有较好的体现，能够大幅提升Memcached的性能。



5 方案组网

华为鲲鹏Web解决方案对系统组网没有特别要求，客户可根据实际使用的Web组件及使用场景对组网进行灵活配置。

鲲鹏 Web 解决方案技术白皮书 5 方案组网


6 典型配置

华为鲲鹏Web解决方案推荐采用TaiShan 200服务器，建议的高端配置如下：

配置项典型配置说明

服务器 TaiShan 200服务器（型号2280）

-

CPU 2 * 华为鲲鹏920 5250处理器 CPU配置可以根据客户的业务规格和实际需求进行调整。

内存 12 * 32GB（DDR4,2933MHz）

内存配置可以根据客户的业务规格和实际需求进行调整。

系统盘 2 * 480GB SATA SSD硬盘数据硬盘可根据客户的业务规格和实际需求添加。

RAID卡 Avago 3508 RAID卡可以根据客户实际需要选择配置。

网卡 1*双网卡GbE网卡，2*双口10GbE网卡

网卡配置可以根据客户的业务规格和实际需求进行调整，或另外选购40GE网卡。

建议的中端配置如下：


服务器 TaiShan 200服务器（型号2280）

-

CPU 2 * 华为鲲鹏920 5220处理器 CPU配置可以根据客户的业务规格和实际需求进行调整。

内存 12 * 16GB（DDR4, 2933MHz）内存配置可以根据客户的业务规格和实际需求进行调整。

系统盘 2 * 480GB SATA SSD硬盘数据硬盘可根据客户的业务规格和实际需求添加。

鲲鹏 Web 解决方案技术白皮书 6 典型配置



RAID卡 Avago 3508 RAID卡可以根据客户实际需要选择配置。

网卡 1*双网卡GbE网卡，2*双口10GbE网卡

网卡配置可以根据客户的业务规格和实际需求进行调整，或另外选购40GE网卡。

鲲鹏 Web 解决方案技术白皮书 6 典型配置


7 特性清单

特性

子特性特性描述约束

SSL卸载

RSA加速在使用Nginx处理HTTPS请求时，可通过配置开启SSL模块，使能鲲鹏RSA加速引擎对HTTPS请求处理中SSL/TLS握手时的RSA非对称加解密运算进行加速，简称RSA加解密加速或RSA加速。

非对称加密算法RSA，支持同步异步模式，支持 Key Sizes1024/2048/3072/4096。

SSL卸载特性在应用中的使能及使用方法请参考：HTTPS RSA加速特性指南。

鲲鹏 Web 解决方案技术白皮书 7 特性清单


https://support.huaweicloud.com/fg-kunpengwebs/kunpengwebs_20_0001.html

8 软件兼容性

鲲鹏Web解决方案已兼容的软件清单请通过兼容性查询工具进行查询。

鲲鹏 Web 解决方案技术白皮书 8 软件兼容性


http://ic-openlabs.huawei.com/openlab/#/unioncompaty

9 使用流程

图 9-1 鲲鹏 Web 解决方案使用流程

鲲鹏 Web 解决方案技术白皮书 9 使用流程


A 修订记录

发布日期修改说明

2020-09-21 第三次正式发布。

“Web应用解决方案”修改为“Web解决方案”。

2020-07-02 第二次正式发布。

2020-06-10 第一次正式发布。

鲲鹏 Web 解决方案技术白皮书 A 修订记录


技术白皮书 - support.huaweicloud.com · 4.1 SSL卸载场景...

Documents

Transcript of 技术白皮书 - support.huaweicloud.com · 4.1 SSL卸载场景...