【鲲鹏BoostKit技术速递】鲲鹏KAE特性优化合入Envoy社区，硬件加速支持云原生网关高性能

近日，Envoy社区新增KAE Private Key Provider支持，鲲鹏KAE硬件加速能力进入Envoy contrib扩展体系。

面向HTTPS、mTLS等云原生加密流量场景，Envoy可将TLS握手中的RSA私钥签名、解密等重计算操作卸载到鲲鹏硬件加速器执行，帮助网关降低CPU压力，释放更强吞吐能力。

在实验室环境中，使用k6压测工具进行验证，启用KAE后Envoy QPS/吞吐能力相比未启用时可提升约100%。这意味着在同等CPU配置下，网关可以把更多算力留给请求转发、路由治理、限流观测等数据面能力，也可以在不改造业务应用的前提下承载更多加密连接。

Envoy使用KAE加速TLS私钥计算
提升加密流量处理效率

作为云原生网络数据面的重要开源项目，Envoy广泛应用于API Gateway、Ingress Gateway、Service Mesh Gateway等场景。随着HTTPS、mTLS、零信任架构成为基础设施标配，TLS握手中的非对称加密计算开销也越来越明显。

在高并发、短连接、多服务调用场景下，TLS握手会持续消耗CPU资源。对网关而言，CPU如果被大量加密计算占用，就会影响请求转发、路由治理、限流观测等核心能力。

鲲鹏KAE通过硬件加速方式，将原本由CPU承担的RSA私钥操作卸载到专用加速器执行。Envoy本次新增的KAE Private Key Provider，正是将这一能力接入Envoy TLS处理链路，让用户在鲲鹏平台上获得更高效的加密流量处理体验。

测试表明，在实验室k6压测中，启用KAE后，Envoy在不同线程数量的配置下的QPS/吞吐能力均可实现约100%的提升。

当前，KAE Private Key Provider已经进入Envoy contrib扩展体系。对业务应用来说，加速发生在Envoy数据面内部，应用无需改造；对基础设施平台来说，同等CPU资源可以承载更多加密流量，帮助提升资源利用效率和平台整体性能。

鲲鹏KAE加速：
多场景助力云原生网关升级

API网关：高并发HTTPS入口更从容

互联网应用、移动应用和开放平台通常需要通过API网关承载大量外部HTTPS请求。启用KAE后，TLS握手中的重计算操作可由硬件加速器承担，帮助网关在高并发访问下保持更高吞吐和更稳定的资源占用。

服务网格：mTLS通信更高效

在服务网格场景中，mTLS已经成为服务间安全通信的重要能力。随着服务数量和调用链路增加，加密通信带来的计算成本也会持续上升。KAE Private Key Provider可帮助Envoy降低mTLS场景下的CPU开销，让服务网格在安全与性能之间获得更好平衡。

边缘网关：安全接入与资源效率两不误

边缘节点通常资源有限，却需要承载大量安全连接、设备接入和就近访问流量。通过鲲鹏KAE硬件加速，Envoy可以在边缘网关场景中更高效地处理TLS加密连接，在保障安全接入的同时提升资源利用率。

快速上手：
在鲲鹏平台体验Envoy KAE加速

即刻体验鲲鹏KAE带来的网关性能提升，可按以下步骤进行验证：

准备支持KAE能力的鲲鹏服务器环境。

使用包含KAE contrib扩展的Envoy版本（1.38.0之后）。

在Envoy配置中启用KAE Private Key Provider。

使用k6等压测工具对HTTPS或mTLS流量进行对比验证。

环境配置与压测实践仅供参考，实际部署请结合业务模型和生产要求进行验证。

参考链接

KAE Private Key Provider现已进入Envoy社区contrib扩展体系，详见：

Envoy PR: https://github.com/envoyproxy/envoy/pull/41889

Envoy KAE Private Key Provider文档：

https://www.envoyproxy.io/docs/envoy/latest/api-v3/extensions/private_key_providers/kae/v3alpha/kae.proto

鲲鹏KAE硬件加速能力与Envoy云原生数据面的结合，为高并发HTTPS、mTLS、API网关、服务网格和边缘网关等场景提供了新的性能增强路径。

启用Envoy KAE加速，让云原生网关快人一步！

◆往期推荐◆

【鲲鹏BoostKit技术速递】KDNN释放鲲鹏极致算力，助力模型推理性能跃升