如何在 AI、HPC 和数据中心网络中集成网络安全

文章指出，现代 AI 与 HPC 数据中心通常由前端网络（连接用户、存储与管理系统）和后端网络（互联 GPU 与计算节点）组成，大规模 AI 集群还通过 scale-across 网络跨多个站点形成统一基础设施。多数数据中心采用 leaf-spine 架构，但具体实现受既有供应商关系、产品可得性、供应链和总拥有成本影响，因此目标相似的组织往往按自身业务优先级和升级策略落地网络。 安全方面，AI 与 HPC 基础设施承载高价值数据且投资巨大，需要访问控制与认证、加密保障数据机密性、用户与租户及工作负载之间的隔离，以及篡改和重放等威胁的检测。同时安全机制不能牺牲 AI 基础设施的核心目标：全线速吞吐与最小延迟影响、大量端口与节点的可扩展性，以及可接受的功耗、硅面积和部署成本。行业在高速网络中使用 MACsec 和 IPsec 已有十余年运营经验，当前主要挑战在于确定这些能力应部署在何处、如何实现。 文章将安全架构分为数据面与控制面：数据面在交换 ASIC、SmartNIC、DPU、光 DSP 或接口器件中完成实时报文处理与保护；控制面负责安全策略管理、会话建立以及周期性加密密钥刷新等运行时操作。关键架构决策之一是 MACsec、IPsec 或新兴 Ultra Ethernet 安全机制的位置。集成进交换 ASIC 可与报文分类转发原生结合、光模块选择灵活，但会占用本可用于提升端口密度、报文缓存和交换容量的硅面积，且安全能力绑定 ASIC 生命周期；放在外部 PHY（如线卡 retimer/gearbox）或支持安全的可插拔模块中，则更易引入新安全能力、保留 ASIC 资源并把额外功耗移出主芯片，但会依赖外部供应商与模块供应，安全边界也从芯片级移到面板级。 传输层安全方面，AI 与计算系统依赖 InfiniBand、RoCEv2、Ultra Ethernet Transport（UET）等专用协议，传输安全通常与特定用户、作业或工作负载绑定，作为端到端服务运行，并需对底层 fabric 透明，因此集成在（Smart）NIC 中并与硬件加速传输处理紧耦合，常同时支持多种传输与安全协议。实际部署中，MACsec 用于二层保护、IPsec 用于三层安全、UET-TSS 用于 Ultra Ethernet 传输安全，另有面向特定 fabric 的专有协议，这些机制多为互补关系。 光学进展正在扩展部署选项：MACsec 已被直接集成进 800G 和 1.6T 光模块，依托面向低功耗报文处理的硅工艺。展望未来，基于 chiplet 的交换与 NIC 架构以及近封装和共封装光学，可能为安全集成带来新机会，专用 I/O chiplet 有望成为加密与认证功能的自然落点，同时保留宝贵的计算与交换资源。Rambus 称其经过业界验证的网络安全硅 IP 组合支持最高 1.6T 速率，未来将支持 3.2T，客户可在安全特性、吞吐、功耗与集成工作量之间权衡。