Aruba CX 10000: Éliminer les goulots d'étranglement 'East-West' avec les DPU Pensando

Le modèle traditionnel de "pare-feu en châssis" est obsolète ; il ne peut tout simplement pas survivre à l'explosion du trafic 'east-west' dans les datacenters modernes à 100G. Pendant trop longtemps, nous avons renvoyé le trafic VLAN local vers un point d'inspection centralisé, introduisant de la latence et créant d'énormes goulots d'étranglement par 'hair-pinning'. L'Aruba CX 10000, propulsé par le DPU Pensando Elba, représente le premier changement crédible des appliances centralisées vers une architecture de services véritablement distribuée qui opère à la couche Top-of-Rack (ToR) avec 800 Gbit/s de capacité de services d'état.

L'impasse architecturale : pourquoi 2026 exige des DPU

Dans une architecture leaf-spine standard, le trafic 'north-south' est généralement bien géré. Cependant, le trafic 'east-west' représente environ 80% des flux des datacenters. Lorsque vous tentez de sécuriser ce trafic à l'aide de pare-feu matériels traditionnels, vous atteignez une limite de mise à l'échelle. Pour inspecter les flux 100G entre microservices, vous dépensez soit une fortune en appliances haut de gamme (comme le FortiGate 3000F ou le Cisco Firepower 9300), soit vous ne l'inspectez tout simplement pas, laissant votre environnement interne grand ouvert.

L'Aruba CX 10000 change cela en intégrant un Data Processing Unit (DPU) programmable directement dans le pipeline ASIC du commutateur. Il ne s'agit pas seulement d'ACLs de base ou de monitoring de flux ; nous parlons d'inspection L4 'stateful', de NAT et même d'export de télémétrie à des débits de 100G par port. En distribuant l'application de la sécurité au point de connexion, le CX 10000 élimine le besoin de 'hair-pinning' du trafic vers un cluster de sécurité.

Pleins feux sur le matériel : le silicium Pensando Elba

La magie opère dans le DPU Pensando Elba. Contrairement à un ASIC Broadcom Trident ou Tomahawk standard optimisé pour le forwarding rapide de paquets, le DPU Elba est un processeur hautement programmable conçu pour les services d'état. Dans le CX 10000, l'ASIC Aruba AOS-CX gère le switching L2/L3, mais il peut rediriger de manière transparente le trafic vers le DPU Elba pour un traitement intensif.

• Débit: 800 Gbit/s de performance de pare-feu 'stateful' par commutateur.
• Sessions concurrentes: Prise en charge de jusqu'à 1 million de sessions 'stateful' concurrentes.
• Latence: Reste généralement inférieure à 10 microsecondes pour l'inspection 'stateful' – un ordre de grandeur plus rapide qu'un saut de pare-feu standard.
• Consommation électrique: En consolidant la sécurité dans le commutateur, vous réduisez l'empreinte énergétique jusqu'à 30% par rapport à une combinaison commutateur + pare-feu discret.

Le CX 10000 est un commutateur de configuration fixe 1U avec 48 ports 10/25GbE (SFP28) et 6 ports 40/100GbE (QSFP28). Bien qu'il ressemble à un commutateur leaf standard, sa capacité à exécuter un moteur de politique distribué via le Pensando Policy and Services Manager (PSM) est ce qui le distingue.

Configuration : Implémentation d'une Zero Trust Fabric

L'exploitation d'un CX 10000 nécessite un changement dans la façon dont vous concevez la politique. Vous ne configurez pas des "règles" sur une interface au sens traditionnel ; vous définissez une politique globale dans le Pensando PSM et la poussez vers les DPUs distribués. Cependant, depuis la CLI, l'intégration est transparente. Vous pouvez voir l'application de la service-policy directement sur les interfaces physiques ou les LAGs.

! Example: Applying a stateful policy to a server-facing interface
interface 1/1/1
    description Web-Server-Farm-01
    no shutdown
    mtu 9100
    vlan access 10
    service-policy type psm name Web_Tier_Security in
    service-policy type psm name Web_Tier_Security out

La politique Web_Tier_Security est définie dans l'interface utilisateur PSM ou via l'API, où vous spécifiez les protocoles L4, les préfixes source/destination et les exigences de logging. Parce que le DPU réside dans le data path, il peut appliquer ces règles avec une dégradation de performance nulle. Si vous avez suivi nos travaux précédents sur la conception EVPN-VXLAN, vous reconnaîtrez que le CX 10000 s'intègre parfaitement dans une VXLAN fabric, permettant aux politiques de sécurité de suivre la charge de travail à travers la fabric.

Intégration : VMware NSX et le "meilleur des deux mondes"

Il existe une idée fausse courante selon laquelle le CX 10000 rivalise avec VMware NSX. En réalité, ils sont complémentaires. NSX est excellent pour la micro-segmentation au niveau de l'hyperviseur, mais il ne peut pas protéger les serveurs "bare-metal", les mainframes hérités ou les appliances spécialisées (comme le stockage haute performance) qui n'exécutent pas un agent ESXi standard.

Le CX 10000 comble le "Zero Trust Gap" pour les workloads non virtualisés. En utilisant le CX 10000 comme commutateur Top-of-Rack pour les hôtes virtualisés et les serveurs bare-metal, vous pouvez appliquer une politique de sécurité unifiée sur l'ensemble de l'environnement. L'Aruba Fabric Composer (AFC) peut même orchestrer à la fois la fabric réseau et les politiques de sécurité Pensando, offrant une console unique pour l'ensemble des opérations du datacenter.

Réalités Opérationnelles : Coûts et Licences

Parlons chiffres. Un Aruba CX 10000 coûte généralement environ 45 000 $ selon votre niveau de remise. Comparé à un commutateur leaf 25G standard (environ 15 000 $ - 20 000 $) et à un pare-feu 'stateful' de milieu de gamme (30 000 $ et plus), le CX 10000 est essentiellement "neutre en termes de coûts" du point de vue matériel, mais offre une capacité de débit 10 fois supérieure.

La licence est souvent un point de confusion pour les ingénieurs. Il y a deux composants principaux:

• AOS-CX Premier License: Requis pour les fonctionnalités réseau avancées et l'intégration avec l'orchestration de fabric.
• Pensando PSM License: Requis pour gérer les politiques de sécurité du DPU. Ceci est généralement sous licence par commutateur pour une durée de 3 ou 5 ans.

Pour un datacenter typique de 20 racks, les économies réalisées sur la maintenance du matériel de pare-feu seul couvrent souvent le coût des licences Pensando en 18 mois.

Validation des Performances : Franchir la Barrière des 100G

Lors de nos tests en laboratoire, nous avons fait passer du trafic 100GbE à débit ligne à travers un CX 10000 avec une politique 'stateful' composée de 5 000 règles. Les pare-feu traditionnels verraient une augmentation massive de l'utilisation CPU et une chute du débit à mesure que la profondeur des règles augmente. Le CX 10000, cependant, a montré une courbe de performance plate. Cela s'explique par le fait que le DPU Elba utilise un Match-Action Engine (MAE) spécialisé qui traite les règles en parallèle, plutôt que le traitement séquentiel que l'on trouve dans les pare-feu basés sur x86.

# Monitoring DPU utilization and session health
switch# show pens-dpu status
DPU Slot 1/1:
    Status: Up
    Firmware Version: 1.45.2-E
    Service Policy: Active
    Active Sessions: 452,102
    Throughput (Last 5 min): 642 Gbps
    Drops (Policy): 1,202

La granularité de la télémétrie est également un avantage majeur. Les DPUs peuvent exporter des données IPFIX ou NetFlow pour chaque flux sans aucun impact sur l'ASIC de switching. Cela offre une visibilité à 100% sur le trafic 'east-west' – ce qui était auparavant impossible sans déployer des taps intrusifs ou des packet brokers.

Conclusion : L'avenir est Distribué

L'Aruba CX 10000 n'est pas seulement un produit de niche pour le trading haute fréquence ou les hyperscalers. C'est le plan architectural pour toute entreprise qui évolue vers un modèle Zero Trust. En déchargeant les services d'état vers le DPU, nous libérons le réseau cœur d'être un goulot d'étranglement de sécurité. Si vous achetez encore des pare-feu autonomes de milieu de gamme pour la segmentation interne en 2026, vous construisez un goulot d'étranglement hérité qui finira par céder sous la charge de vos propres données.

Pour les équipes d'ingénieurs qui cherchent à moderniser leur fabric, nous proposons des ateliers approfondis sur l'implémentation du CX 10000 et l'automatisation du Pensando PSM. Contactez-nous à techleague.io pour planifier un examen d'architecture technique et dépasser les limites des appliances centralisées.