TurboRetry: Mitigating Large-Scale QUIC Handshake Floods with Off-the-Shelf DPU Offloading
本文提出了 TurboRetry，一种通过在主机与 DPU 之间划分 Retry 机制来缓解大规模 QUIC 握手洪水攻击的 DPU 卸载方案，其吞吐量较传统的基于主机的实现提升了 10–20 倍。
原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。 阅读完整免责声明
想象一下，互联网就像一座巨大且繁忙的城市，数十亿人不断尝试进入不同的建筑进行聊天、购物或观看视频。为了进入其中，你必须敲门并证明你的身份。在计算机网络的世界里，这种“敲门”被称为握手（handshake）。这是一个快速、礼貌的交换过程，你的设备与服务器进行问候，交换用于锁定对话的密钥，并就如何交谈达成一致。现代版本的握手被称为 QUIC，它旨在实现超高速和高安全性，让你几乎可以瞬间开始聊天。
然而，就像现实中的城市一样，这座数字大都市也面临着一个问题：坏人（bad actors）。想象一下，成千上万的人假装成不同的顾客，在同一时间冲向正门。他们并不是来买东西的；他们只是在那里不停地敲、敲、敲。这就是 DDoS 攻击（分布式拒绝服务攻击）。因为服务器必须进行大量的数学运算来验证每一次敲门并检查密钥，这种虚假请求的洪水会耗尽服务器的大脑（其 CPU），使其精疲力竭，无法让真正的顾客进入。服务器内置的安全卫士，被称为 Retry 机制（重试机制），试图通过要求敲门者在进行繁重的数学运算之前先证明自己的真实性来阻止这种情况。但即使面对这个卫士，当暴徒规模巨大时，它也会被压垮。
这就是 TurboRetry 故事开始的地方。这项研究背后的研究人员提出了一个简单的问题：如果我们不让服务器的主大脑承担所有的重活，会怎样？如果我们给安全卫士配备一个超能力的机器人助手，会怎样？他们构建了一个名为 TurboRetry 的系统，将检查这些虚假敲门的任务转移到了一个特殊的硬件——**DPU（数据处理单元）**上。可以将 DPU 想象成一个内置在网络电缆中的微型专用机器人大脑，它可以每秒处理数百万次检查而不会感到疲倦。论文表明，通过让这个机器人处理这些枯燥、重复的身份检查工作，主服务器就能保持精力充沛，即使面对大规模的暴徒袭击，仍能让真正的用户进入。
问题所在：会累坏的门卫
在数字世界中，当你尝试使用 QUIC 连接到网站时，服务器必须执行一些非常昂贵的数学运算，以确保你确实是你所声称的那个人。如果黑客同时发送数百万个虚假连接请求，服务器会尝试为每一个请求进行数学运算。这就像是一个夜店的保镖试图同时检查一百万人的身份证一样；最终，保镖会精疲力竭，导致真正的宾客无法进入。
QUIC 协议已经有一种名为 Retry（重试） 的防御手段。服务器不再立即进行繁重的数学运算，而是说：“稍等，这是给你的一张特殊门票（token）。去拿这张票，然后再回来，到那时我才会让你进来。”这防止了服务器在那些永远不会回来的请求者身上浪费能量。然而，研究人员发现，即使有了这个门票系统，服务器在生成和检查这些门票时仍然需要做大量的工作。当攻击规模巨大时，服务器的主处理器（CPU）仅仅在检查门票方面就会陷入泥潭，导致整个系统运行缓慢。
解决方案：TurboRetry 与机器人助手
TurboRetry 背后的团队意识到，检查这些门票的工作实际上是非常重复性的，并不需要服务器的主大脑来完成。他们决定将这项任务卸载到一个 DPU（数据处理单元） 上。DPU 就像是一个智能网卡，它内部自带一个小型的计算机。它是专门为处理网络流量而设计的，不会干扰主服务器。
TurboRetry 将工作分为两个部分：
- 机器人 (DPU)： DPU 接管了“无状态（stateless）”的任务。这意味着它负责检查门票、生成新门票，并确保门票没有被篡改。它利用 DPU 中内置的特殊硬件来极其快速地完成这些工作。如果门票是假的或者请求属于攻击的一部分，机器人会直接将其丢弃。这些恶意流量甚至根本无法到达主服务器。
- 管理者 (Host CPU)： 只有当机器人说“这个看起来是真的！”时，主服务器才会介入。然后，服务器进行最后的、复杂的计算，以建立实际的连接并管理对话。
为了确保机器人和管理者步调一致，他们发明了一种通用门票格式（universal ticket format）。它就像一张特殊的身份证，即使机器人和管理者处于不同的位置，双方也能阅读并理解它。这确保了连接建立过程依然安全并遵循所有规则，即使沉重的体力活是由机器人完成的。
结果：超高速与零延迟
研究人员在使用了 BlueField-3 DPU 的真实硬件设置上对 TurboRetry 进行了测试。结果令人印象深刻。
- 应对暴徒： 虽然仅靠软件运行的标准服务器在开始变得瘫痪前只能处理约 20.9 万个虚假请求/秒，但 TurboRetry 可以处理高达 300 万个数据包/秒，且不会丢弃任何一个真实的请求。这实现了 10 到 20 倍的吞吐量提升。
- 速度： 最棒的是，这并没有让连接变慢。对于真实用户来说，进入大门所需的时间（连接建立延迟）仅增加了约 0.2 毫秒——这只是一个眨眼间的差距，人类完全无法察觉。
- 安全网： 该系统还设计了“故障开放（fail-open）”机制。如果机器人助手（DPU）崩溃或损坏，系统会自动切换回主服务器的卫士模式。服务不会关闭；它只是会变得稍微慢一点，但仍能继续工作。这确保了即使硬件发生故障，互联网也不会陷入黑暗。
为什么这很重要
这篇论文证明了，通过将枯燥、重复的安全检查交给专门的机器人助手，我们可以保护我们的数字城市免受大规模虚假流量洪流的袭击。它证明了我们不必在安全性和速度之间做出选择。有了 TurboRetry，服务器可以在抵御巨大攻击的同时，依然让真实用户即时进入。这是利用新硬件解决旧问题的巧妙方式，确保即使在坏人试图强行闯入时，互联网依然对每个人开放且快速。
您所在领域的论文太多了？
获取与您研究关键词匹配的最新论文每日摘要——附技术摘要，使用您的语言。