intel/intel-async-mode-nginx

Intel异步模式NGINX Docker镜像文档

镜像概述和主要用途

NGINX（发音为"engine x"）是全球最流行的Web服务器，同时也是高性能负载均衡器、反向代理、API网关和内容缓存。本Docker镜像在开源NGINX基础上，通过OpenSSL* ASYNC基础设施扩展异步能力，并结合Intel® QuickAssist Technology (QAT)加速，可显著提升性能。该镜像适用于需要高性能Web服务、加密加速和异步处理的场景。

核心功能和特性

• 基于NGINX构建，支持Web服务器、负载均衡、反向代理等核心功能
• 集成OpenSSL ASYNC基础设施，实现异步处理能力
• 利用Intel® QAT加速技术，提升加密/解密性能
• 支持SR-IOV和VF设备直通，优化硬件资源利用
• 容器化部署，简化环境配置和版本管理

使用场景和适用范围

• 高并发Web服务部署
• 需要加密加速的HTTPS服务
• 负载均衡和反向代理应用
• 对性能要求较高的API网关
• 基于Intel® QAT硬件加速的服务器环境

镜像信息

• 镜像名称：intel/intel-async-mode-nginx:1.0.0-1

使用方法和配置说明

BIOS设置

• 必须在平台BIOS中启用Intel VT-d和SR-IOV。
• 详细步骤参考：https://intel.github.io/quickassist/AppNotes/Containers/setup.html#updating-the-bios-settings

Grub设置

需启用Intel IOMMU并将QAT VF绑定到内核，步骤如下：

Ubuntu系统：

1. 编辑grub文件：sudo vim /etc/default/grub
2. 修改GRUB_CMDLINE_LINUX，添加intel_iommu=on vfio-pci.ids=8086:4941（SPR平台）
3. 更新grub：sudo update-grub
4. 重启系统

CentOS/Fedora系统：

1. 更新内核参数：grubby --update-kernel=/boot/vmlinuz-$(uname -r) --remove-args="intel_iommu=on" --args="intel_iommu=off vfio-pci.ids=8086:4941"
2. 重启系统

• 确保主机已启用VT-d和SRIOV，详细步骤参考：https://intel.github.io/quickassist/AppNotes/Containers/setup.html#configuring-the-host-operating-system-with-sr-iov-iommu

Docker环境设置

• 需配置环境以构建和运行容器，可能需要加载特定软件包并创建/更新配置文件（因系统而异）
• 按照https://intel.github.io/quickassist/AppNotes/Containers/setup.html#docker步骤安装Docker
• 按照https://intel.github.io/quickassist/AppNotes/Containers/setup.html#proxy-settings配置代理

启用Intel® QAT虚拟功能(VF)设备

使用以下脚本启用VF设备：

sh
for i in `(lspci -D -d :4940 || lspci -D -d :4942) | awk '{print $1}'`; do echo 16 | sudo tee /sys/bus/pci/devices/$i/sriov_numvfs; done

配置主机服务

1. 停止主机上运行的任何内置或OOT服务：

   sh
   systemctl stop qat
   

   sh
   systemctl stop qat_service
   

   sh
   systemctl disable qat_service
   

2. 关闭QAT设备：

   sh
   for i in `lspci -D -d :4940 | awk '{print $1}'`; do echo down > /sys/bus/pci/devices/$i/qat/state; done
   

3. 为QAT设备设置正确的服务：

   sh
   for i in `lspci -D -d :4940 | awk '{print $1}'`; do echo "asym;dc" > /sys/bus/pci/devices/$i/qat/cfg_services; done
   

4. 启动QAT设备：

   sh
   for i in `lspci -D -d :4940 | awk '{print $1}'`; do echo up > /sys/bus/pci/devices/$i/qat/state; done
   

5. 检查状态：

   sh
   for i in `lspci -D -d :4940 | awk '{print $1}'`; do cat /sys/bus/pci/devices/$i/qat/state; done
   

6. 确保主机上QAT组的GID与Docker镜像的GID相同（应为1001）：

   sh
   getent group qat | cut -d ':' -f 3
   

7. 启用VF设备并设置正确权限：

   sh
   chown root:qat /dev/vfio/*
   

   sh
   chmod 660 /dev/vfio/*
   

生成证书

创建用于启用加密的TLS密钥和证书：

sh
openssl genrsa -out rsa1k.key.pem 1024
openssl req -new -x509 -key rsa1k.key.pem -out rsa1k.cert.pem -days 360 -subj "/C=US/ST=State/L=Locality/O=Company/OU=Section/CN=(1024 bit RSA)/emailAddress=xxx@company.com"

运行镜像

运行Docker镜像的命令如下：

服务器命令：

sh
docker run --rm -it --cpuset-cpus <2-n+1> --cap-add=IPC_LOCK --security-opt seccomp=unconfined --security-opt apparmor=unconfined $(for i in `ls /dev/vfio/*`; do echo --device $i; done) --env QAT_POLICY=1 --ulimit memlock=524288000:524288000 -v /usr/share/nginx/:/usr/share/nginx/ -v /etc/ssl/certs/:/etc/ssl/certs/ -v /var/www/html/:/var/www/html/ -v /var/www/logs/:/var/www/logs/ -d -p 8080:8080 intel/intel-async-mode-nginx:1.0.0-1

客户端命令：

sh
openssl s_time -connect <server_ip>:8080 -new -cipher AES128-GCM-SHA256 -www /10mb_file.html -time 5

示例测试输出

服务器命令示例：

sh
docker run --rm -it -p 8080:8080 --cpuset-cpus 2 $(for i in `ls /dev/vfio/*`; do echo --device $i; done)  --env QAT_POLICY=1 --ulimit memlock=524288000:524288000 --cap-add=IPC_LOCK --security-opt seccomp=unconfined --security-opt apparmor=unconfined  -v /etc/ssl/certs/TestServer.cert.pem:/etc/ssl/certs/TestServer.cert.pem -v /etc/ssl/certs/TestServer.key.pem:/etc/ssl/certs/TestServer.key.pem -v /var/www/logs/:/var/www/logs -v /var/www/html/:/var/www/html/ -d --env OPENSSL_CONF=/etc/ssl/openssl.cnf -v /etc/ssl/openssl.cnf:/etc/ssl/openssl.cnf  -v /usr/share/nginx/conf:/usr/share/nginx/conf -d amr-fm-registry.caas.intel.com/esh-user/intel-async-mode-nginx:1.0.0-1

客户端命令示例：

sh
openssl s_time -connect localhost:8080 -new -cipher AES128-GCM-SHA256 -www /10mb_file.html -time 5

成功执行后，客户端命令会在5秒后在终端显示连接统计信息。

***信息

Intel、Intel Atom和Xeon是Intel Corporation在美国和/或其他国家的商标。

*其他名称和品牌可能是其各自所有者的财产。

Copyright © 2014-2025, Intel Corporation. 保留所有权利。