intel/intel-qat-haproxy

Intel QAT HAProxy Docker镜像文档

镜像概述和主要用途

intel/intel-qat-haproxy:2.0.0-1是基于Intel QuickAssist Technology (QAT) OpenSSL Engine的Docker镜像。该镜像集成了haproxy与QAT加速功能，可在支持Intel QAT技术的平台上提供硬件和优化软件的加密加速，提升haproxy的SSL/TLS处理性能，适用于需要高性能加密处理的负载均衡场景。

核心功能和特性

• 集成Intel QAT OpenSSL引擎，提供硬件级加密加速
• 支持SR-IOV (Single Root I/O Virtualization)技术，实现设备虚拟化
• 兼容haproxy，可加速SSL/TLS终止等加密相关操作
• 支持硬件和优化软件两种加密加速模式

使用场景和适用范围

• 高并发SSL/TLS流量的负载均衡场景
• 需要提升加密处理性能的haproxy部署
• 基于Intel QAT技术的服务器平台（如Intel Xeon系列处理器）

使用方法和配置说明

前置要求

• 支持Intel QAT技术的Intel平台
• 已启用VT-d和SR-IOV的BIOS设置
• 已配置IOMMU的操作系统（Ubuntu/CentOS/Fedora）
• Docker环境

BIOS设置

需在平台BIOS中启用Intel VT-d和SR-IOV。详细步骤参考https://intel.github.io/quickassist/AppNotes/Containers/setup.html#updating-the-bios-settings。

Grub设置

需启用Intel IOMMU并将QAT VF绑定到内核。

Ubuntu系统：

1. 编辑grub文件：sudo vim /etc/default/grub
2. 修改GRUB_CMDLINE_LINUX，添加参数：intel_iommu=on vfio-pci.ids=8086:4941（SPR平台）
3. 更新grub：sudo update-grub
4. 重启系统

CentOS/Fedora系统：

1. 更新内核参数：grubby --update-kernel=/boot/vmlinuz-$(uname -r) --remove-args="intel_iommu=on" --args="intel_iommu=off vfio-pci.ids=8086:4941"
2. 重启系统

更多主机操作系统SR-IOV IOMMU配置步骤参考https://intel.github.io/quickassist/AppNotes/Containers/setup.html#configuring-the-host-operating-system-with-sr-iov-iommu。

Docker环境设置

1. 安装Docker，步骤参考https://intel.github.io/quickassist/AppNotes/Containers/setup.html#docker
2. 配置代理设置，参考https://intel.github.io/quickassist/AppNotes/Containers/setup.html#proxy-settings

启用Intel® QAT虚拟功能(VF)设备

执行以下脚本启用VF设备：

sh
for i in `(lspci -D -d :4940 || lspci -D -d :4942) | awk '{print $1}'`; do echo 16 | sudo tee /sys/bus/pci/devices/$i/sriov_numvfs; done

配置主机服务

1. 停止主机上运行的QAT服务：

   sh
   systemctl stop qat
   

   sh
   systemctl stop qat_service
   

   sh
   systemctl disable qat_service
   

2. 关闭QAT设备：

   sh
   for i in `lspci -D -d :4940 | awk '{print $1}'`; do echo down > /sys/bus/pci/devices/$i/qat/state; done
   

3. 配置QAT设备服务：

   sh
   for i in `lspci -D -d :4940 | awk '{print $1}'`; do echo "sym;asym" > /sys/bus/pci/devices/$i/qat/cfg_services; done
   

4. 启动QAT设备：

   sh
   for i in `lspci -D -d :4940 | awk '{print $1}'`; do echo up > /sys/bus/pci/devices/$i/qat/state; done
   

5. 检查QAT设备状态：

   sh
   for i in `lspci -D -d :4940 | awk '{print $1}'`; do cat /sys/bus/pci/devices/$i/qat/state; done
   

6. 验证QAT组GID（需确保主机QAT组GID为1001）：

   sh
   getent group qat | cut -d ':' -f 3
   

7. 设置VF设备权限：

   sh
   chown root:qat /dev/vfio/*
   

   sh
   chmod 660 /dev/vfio/*
   

运行镜像

使用以下命令运行Docker镜像：

sh
# 服务器命令
docker run --rm -it  --cpuset-cpus <n cores> --cap-add=IPC_LOCK --security-opt seccomp=unconfined --security-opt apparmor=unconfined $(for i in `ls /dev/vfio/*`; do echo --device $i; done) --env QAT_POLICY=1 --ulimit memlock=50000000:50000000 -v /usr/local/etc/haproxy/:/usr/local/etc/haproxy/ -d -p 8080:8080 intel/intel-qat-haproxy:1.8.1-1 haproxy -f /usr/local/etc/haproxy/haproxy.cfg

# 客户端测试命令
openssl s_time -connect <server_ip>:8080 -cipher AES128-SHA256 -www /20b-file.html -time 5

参数说明：

• <n cores>：指定使用的CPU核心数
• --cap-add=IPC_LOCK：允许进程锁定内存
• --device：挂载VFIO设备
• QAT_POLICY=1：设置QAT策略
• -v：挂载主机haproxy配置目录到容器
• -p 8080:8080：映射haproxy服务端口

配置示例

QAT启用的haproxy配置文件示例参考https://github.com/intel/QAT_Engine/blob/master/dockerfiles/haproxy/haproxy.cfg。

***信息

Intel、Intel Atom和Xeon是Intel Corporation在美国和/或其他国家的商标。

*其他名称和品牌可能是其各自所有者的财产。

Copyright © 2025, Intel Corporation. 保留所有权利。