1. 课程导入与Marvell卸载技术全景

云数据中心网络卸载并不是一个新概念，但它真正成为主流架构选择，是最近十年随着25G/100G/400G高速接口普及、虚拟交换与安全策略下沉、以及可编程数据平面兴起而发生的。理解这门课程，首先要回答一个根本问题：为什么通用CPU不再适合独自承担云数据中心的全部网络处理？

以一台典型的双路服务器为例，若使用纯软件方式处理100Gbps流量的VXLAN封装/解封装、ACL匹配、连接跟踪与IPsec加解密，仅数据包搬运与协议栈处理就可能消耗16～32个物理核心，留给业务租户的计算资源被严重挤压。更关键的是，网络功能对时延抖动极为敏感，通用CPU的缓存层次与调度机制难以保证微秒级确定性。于是，业界形成了两条互补路径：一条是把网络功能从主机CPU卸载到网卡或DPU，另一条是把可编程能力引入数据平面，让卸载逻辑可以随协议演进而更新。Marvell的OCTEON与DPU产品线，正是这两条路径的交汇点。

卸载的驱动力：从“够用”到“必须”

驱动力可以归纳为四类。第一是带宽与接口速率的跃升，400G接口下每微秒需要处理约50个最小尺寸报文，纯软件轮询已无法覆盖。第二是虚拟化开销，vSwitch的流表查找、隧道封装与多队列分发在软件中反复拷贝，卸载后可将数据面完全旁路主机。第三是安全与隔离要求，租户间ACL、DDoS清洗、IPsec/TLS代理若在主机侧执行，既占用资源又扩大攻击面。第四是运维可观测性，DPU可在不干扰业务的前提下采集流级遥测、时延分布与丢包点，为SLA提供数据基础。

Marvell OCTEON与DPU的定位

Marvell的卸载产品线大致可分为三个层次。OCTEON系列是面向网络与安全设备的多核处理器，内置可编程包处理流水线、加解密引擎与流量管理单元，常用于防火墙、负载均衡与5G UPF等场景。OCTEON Fusion与后续DPU形态则进一步集成Arm核心、高速以太网接口与PCIe主机接口，形成“主机+DPU”的协同架构。在云数据中心中，DPU通常以SmartNIC或独立加速卡形式存在，承担vSwitch卸载、存储卸载、安全卸载与裸金属管理面卸载。需要强调的是，OCTEON与DPU并非互相替代，而是同一技术谱系在不同部署形态下的呈现：OCTEON偏重独立网络设备，DPU偏重主机侧协同。

软硬件协同卸载系统的基本组成

一个可落地的卸载系统通常包含四个平面。主机侧保留业务容器/虚拟机、必要的内核协议栈与vSwitch控制面，以及PCIe驱动与管理代理。DPU侧包含Arm控制核心、可编程包处理流水线、加解密与流量管理引擎，以及用于主机协同的队列与中断机制。网络侧则是ToR/Spine交换机、远端存储与管理网络。四个平面之间通过PCIe、以太网与控制通道交互，形成“主机下发策略、DPU执行数据面、网络承载流量、遥测回传状态”的闭环。

以vSwitch卸载为例，典型流程是：主机侧vSwitch将流表与隧道配置通过控制通道下发到DPU；DPU在包处理流水线中完成VXLAN封装/解封装、ACL匹配与连接跟踪；匹配成功的流量直接由DPU转发到物理口，不再经过主机内核；未命中流表的首包仍可上送主机处理，并由主机补充流表。这样既保留了软件灵活性，又获得了硬件转发性能。

学习路线与关键判断

本课程后续将沿着“架构认知→环境搭建→卸载开发→性能调优→排障复盘”的路线展开。在进入具体开发前，建议先建立三个判断习惯：第一，明确哪些功能适合卸载、哪些必须留在主机，判断依据是时延确定性、状态复杂度和更新频率；第二，区分控制面与数据面的职责边界，避免把频繁变更的策略塞进硬件流水线；第三，始终以可观测性为前提，没有遥测的卸载系统在故障时几乎不可调试。

需要提醒的是，卸载不是“把所有事情都交给硬件”。过度卸载会导致策略更新困难、调试链路断裂、跨代兼容性下降。合理的做法是：把高频、稳定、对时延敏感的数据面功能下沉到DPU，把低频、多变、需要复杂状态的控制面逻辑留在主机。这一原则将贯穿整个课程。