1.1 BlueField DPU基础环境搭建

BlueField DPU作为NVIDIA推出的数据中心处理器，其独特之处在于将网络、存储和安全功能从主机CPU卸载到专用硬件。我们的加密网关将充分利用其内置的加密加速引擎：

验证DPU硬件识别

lspci | grep -i nvidia
# 预期输出应包含:
Ethernet controller: NVIDIA Corporation BlueField-2

安装基础DOCA工具链

sudo apt-get install doca-runtime doca-tools

硬件配置检查清单：

• ConnectX-7网卡固件版本：需≥22.32.1002（支持PSP硬件卸载）
• DOCA SDK版本：推荐2.7.x系列（已验证PSP兼容性）
• 内存分配：至少为PSP预留4GB专用内存区域

注意：不同代际的BlueField DPU在PSP支持上存在差异，BF2系列需确认已启用Crypto Engine选项。

PSP协议栈在DPU上的实现分为控制面与数据面：

安装PSP网关组件

sudo dpkg -i psp-gateway_1.4.3_amd64.deb

验证内核模块加载

lsmod | grep psp
# 预期输出:
psp_dpu 32768 0

关键配置文件/etc/psp/psp.conf示例：

[global]
mode = tunnel
master_key = /etc/psp/keys/master.bin
spi_range = 1000000-2000000

[hardware]
offload = true
crypto_engines = 4

2.1 加密策略定义

PSP隧道模式通过安全策略索引(SPI)实现灵活的加密规则管理。以下是通过DOCA CLI 创建策略的实操：

创建加密策略

doca psp policy create \
--name vm-to-vm \
--src-ip 192.168.1.0/24 \
--dst-ip 192.168.2.0/24 \
--proto any \
--spi-start 1000000 \
--spi-count 1000 \
--crypto aes-gcm-256 \
--integrity sha256

策略参数对比表：