每天拆一件｜DPU安全卸载给谁

安全任务从主机CPU卸下来，接手的是谁？DPU是数据处理单元；图中以BlueField-2的MBF2H332A-AECOT卡为例，卡上主芯片集成处理器与网络硬件，配有自己的内存和系统存储。它可承接流量过滤、隔离和加密等任务，保护经过它的服务器网络访问；具体能力由卡型、固件和安全软件共同决定。图里的系统闪存是背面的eMMC，用于卡上系统启动和本地存储，不是主机的业务硬盘。图按官方接口布局示意，早期硬件版本的接头可能不同。

在业务网线直连DPU、由它承担主机网络通路的部署中，报文从业务网络口进入，由主芯片里的网络硬件处理，再经PCIe金手指与主机交换数据。DPU模式下，卡上Arm处理器运行的软件管理转发规则；符合卸载条件的流量可由硬件直接转发，并非每包都要交给Arm软件检查；若工作在NIC模式，就不能照搬这套Arm侧管理路径。带外管理口供管理使用，不是业务流量必经口。如果仅把镜像流量送来做旁路分析，收到的是副本，单靠这条旁路无法拦住原始报文。

真正要交出去的是执行任务，策略和管理责任仍要有人接住：哪些连接放行、怎样分区、密钥如何更新，都依赖软件配置。运维要确认工作模式、规则是否实际命中、主机能否修改DPU配置，并检查固件、管理口访问权限、温度和服务器风道。若目标是主机失陷后仍保住隔离，还须核验对主机权限的限制，不能只看卡已装好。安全卸载的落点，是把受保护的流量交给受控的执行端，而不是把责任交给一块卡。