從傳統(tǒng)網(wǎng)絡(luò)架構(gòu)到SDN化演進(jìn)方案

1、 從傳統(tǒng)網(wǎng)絡(luò)架構(gòu)到SDN化演進(jìn)方案甜橙金融數(shù)據(jù)中心演進(jìn)之路前言：網(wǎng)絡(luò)世界每一次技術(shù)變革都需要大量時(shí)間來(lái)驗(yàn)證，雖然更多的技術(shù)達(dá)人對(duì)于新技術(shù)的接受能力在不斷提高，但新技術(shù)的普及和應(yīng)用依然需要花費(fèi)大量時(shí)間。企業(yè)在發(fā)展過(guò)程中縮減預(yù)算的需求不斷擴(kuò)大，企業(yè)員工則通過(guò)自動(dòng)化的維護(hù)平臺(tái)設(shè)施來(lái)簡(jiǎn)化操作步驟，而網(wǎng)絡(luò)世界的爭(zhēng)論點(diǎn)主要集中在如何從使軟件定義網(wǎng)絡(luò)與網(wǎng)絡(luò)虛擬化的新架構(gòu)代替?zhèn)鹘y(tǒng)以太網(wǎng)架構(gòu)。STP架構(gòu)網(wǎng)絡(luò)的替代品Fabrics具有可擴(kuò)展、高帶寬的架構(gòu)。對(duì)于SDN來(lái)說(shuō)，SDN可能不像一個(gè)產(chǎn)品，更像一種架構(gòu)。首先我們來(lái)看一下SDN與傳統(tǒng)網(wǎng)絡(luò)架構(gòu)的區(qū)別：一、傳統(tǒng)數(shù)據(jù)中心網(wǎng)絡(luò)架構(gòu)逐漸落伍在傳統(tǒng)的大型數(shù)據(jù)中心，網(wǎng)絡(luò)通常

2、是三層結(jié)構(gòu)。架構(gòu)模型包含了以下三層：Access Layer（接入層）：接入層位與網(wǎng)絡(luò)的最底層，負(fù)責(zé)所有終端設(shè)備的接入工作，并確保各終端設(shè)備可以通過(guò)網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)包的傳遞。Aggregation Layer（匯聚層）：匯聚層位于接入層和核心層之間。該層可以通過(guò)實(shí)現(xiàn)ACL等其他過(guò)濾器來(lái)提供區(qū)域的定義。Core Layer（核心層）：又被稱為網(wǎng)絡(luò)的骨干。該層的網(wǎng)絡(luò)設(shè)備為所有的數(shù)據(jù)包包提供高速轉(zhuǎn)發(fā)，通過(guò)L3路由網(wǎng)絡(luò)將各個(gè)區(qū)域進(jìn)行連接，保證各區(qū)域內(nèi)部終端設(shè)備的路由可達(dá)。一般情況下，傳統(tǒng)網(wǎng)絡(luò)還存在著一些優(yōu)點(diǎn)：精確的過(guò)濾器/策略創(chuàng)建和應(yīng)用：由于區(qū)域、終端地址網(wǎng)段明確，可以精細(xì)控制網(wǎng)絡(luò)策略，保證流量的安全。穩(wěn)

3、定的網(wǎng)絡(luò)：區(qū)域的明確劃分，網(wǎng)絡(luò)設(shè)備的穩(wěn)定架構(gòu)，使網(wǎng)絡(luò)更具有穩(wěn)定性。廣播域的有效控制：由于三層架構(gòu)中間采用L3模式設(shè)計(jì)，有效控制廣播域的大小。傳統(tǒng)網(wǎng)絡(luò)架構(gòu)雖然穩(wěn)定，但隨著技術(shù)的不斷發(fā)展，應(yīng)用不斷的多元化以及對(duì)業(yè)務(wù)的高冗余化的需求，暴露出了一些傳統(tǒng)網(wǎng)絡(luò)的弊端。隨著公司的發(fā)展，傳統(tǒng)網(wǎng)絡(luò)架構(gòu)漸漸開(kāi)始無(wú)法跟上步伐，逐漸出現(xiàn)了以下問(wèn)題：1業(yè)務(wù)流量模型不清晰隨著網(wǎng)絡(luò)的發(fā)展、各種新技術(shù)的產(chǎn)生，數(shù)據(jù)中心內(nèi)部、服務(wù)器之間協(xié)同處理、計(jì)算，導(dǎo)致由東向西的流量逐漸增大，超過(guò)了由南向北的流量。而傳統(tǒng)三層架構(gòu)服務(wù)器間交換，都要過(guò)三層核心，多層轉(zhuǎn)發(fā)，增大了網(wǎng)絡(luò)的延遲，還浪費(fèi)了核心寶貴的資源。與此同時(shí)，我們將業(yè)務(wù)拆分成多個(gè)模塊

4、，并部署在不同的區(qū)域中，由于應(yīng)用的不斷發(fā)展，模塊的數(shù)量越來(lái)越多，模塊之間的調(diào)用越來(lái)越頻繁，可能一次完整的應(yīng)用流程需要經(jīng)歷數(shù)十個(gè)模塊，模塊之間的頻繁調(diào)用大大消耗了網(wǎng)絡(luò)設(shè)備的資源。2橫向擴(kuò)展能力不足傳統(tǒng)數(shù)據(jù)中心使用STP技術(shù)，雖然上聯(lián)多根鏈路，但都是主備關(guān)系，僅有一根鏈路能跑流量，無(wú)法承載數(shù)據(jù)中心日益增長(zhǎng)的業(yè)務(wù)。盡管后續(xù)使用了有相關(guān)的EthernetChannel、堆疊、VSS等技術(shù)，來(lái)達(dá)到鏈路冗余的需求，但是堆疊、EthernetChannel不可能無(wú)限地進(jìn)行擴(kuò)展。3廣播域過(guò)于龐大隨著業(yè)務(wù)的發(fā)展，計(jì)算資源被池化。為了使得計(jì)算資源可以任意分配，需要一個(gè)巨大的二層網(wǎng)絡(luò)架構(gòu)。整個(gè)數(shù)據(jù)中心網(wǎng)絡(luò)都是多個(gè)L

5、2廣播域，這樣，服務(wù)器可以在規(guī)定的區(qū)域地點(diǎn)創(chuàng)建、遷移，而不需要對(duì)IP地址或者默認(rèn)網(wǎng)關(guān)做修改。不斷地業(yè)務(wù)擴(kuò)展，造就了一個(gè)巨大的二層廣播域，一旦出現(xiàn)一點(diǎn)問(wèn)題就造成巨大的網(wǎng)絡(luò)問(wèn)題，導(dǎo)致業(yè)務(wù)中斷，業(yè)務(wù)的高可用性就無(wú)法保證。4計(jì)算資源無(wú)法快速上線隨著業(yè)務(wù)的不斷發(fā)展，計(jì)算資源的虛擬化。當(dāng)需要進(jìn)行虛擬資源部署時(shí)，嚴(yán)格安全防護(hù)的要求下，需要進(jìn)行安全設(shè)備的策略開(kāi)通。從部署到正式上線使用之間的耗時(shí)會(huì)長(zhǎng)達(dá)1小時(shí)之久。無(wú)法滿足在突發(fā)情況下，快速增加計(jì)算資源。由于安全設(shè)備以及設(shè)備上聯(lián)位置的限制，無(wú)法在任意的計(jì)算資源池中隨意的創(chuàng)建、遷移；無(wú)法合理分配資源池的各種硬件資源，造成資源的分配不均衡。一旦某資源池已達(dá)閾值，就無(wú)法

6、繼續(xù)計(jì)算資源的橫向擴(kuò)展。5網(wǎng)絡(luò)延時(shí)過(guò)大在使用傳統(tǒng)網(wǎng)絡(luò)架構(gòu)時(shí)，每個(gè)業(yè)務(wù)模塊都是一個(gè)煙囪結(jié)構(gòu)，業(yè)務(wù)模塊互相調(diào)用需要經(jīng)過(guò)多個(gè)三層設(shè)備（平均需要經(jīng)過(guò)6次物理設(shè)備）其中還可能包括防火墻等安全設(shè)備。受限于設(shè)備的性能，網(wǎng)絡(luò)架構(gòu)的主備方案。數(shù)據(jù)流量每經(jīng)過(guò)一次設(shè)備都會(huì)增加一點(diǎn)延遲。雖然每一次延時(shí)都是微乎其微，但是累計(jì)次數(shù)多了，對(duì)于業(yè)務(wù)來(lái)說(shuō)這個(gè)延時(shí)可能就導(dǎo)致用戶體檢較差。二、SDN網(wǎng)絡(luò)帶來(lái)的好處通過(guò)了解，我們深知自己的傳統(tǒng)網(wǎng)絡(luò)存在著一些問(wèn)題，于是進(jìn)行了各種技術(shù)可行性測(cè)試。為了不斷提升網(wǎng)絡(luò)的承載能力，制定過(guò)多種方案，例如：傳統(tǒng)網(wǎng)絡(luò)的優(yōu)化、當(dāng)前網(wǎng)絡(luò)的SDN化等。最終在機(jī)房網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)中，我們開(kāi)始和思科進(jìn)行了比較深度的

7、合作。目前，我們是全球第三個(gè)大規(guī)模采用了思科ACI網(wǎng)絡(luò)技術(shù)的公司。思科APIC（Application Policy Infrastructure Controller）是以應(yīng)用為中心的基礎(chǔ)架構(gòu)（ACI）結(jié)構(gòu)的自動(dòng)化和管理的統(tǒng)一集中點(diǎn)，提供對(duì)所有節(jié)點(diǎn)信息的集中訪問(wèn)控制，優(yōu)化應(yīng)用的規(guī)模和性能，并支持在物理和虛擬資源之間進(jìn)行靈活的應(yīng)用配置。管理員可通過(guò)APIC提供各種豐富的API接口對(duì)設(shè)備進(jìn)行配置、管理、策略下發(fā)等操作行為；控制器則通過(guò)OpFlex協(xié)議將策略推送給ACI環(huán)境中的各個(gè)節(jié)點(diǎn)Leaf。雖然APIC會(huì)將策略推送到各節(jié)點(diǎn)Leaf上，但控制器并不參與任何流量的轉(zhuǎn)發(fā)，所以即使發(fā)生有5臺(tái)控制存在問(wèn)

8、題的極端情況下，網(wǎng)絡(luò)層面的流量轉(zhuǎn)發(fā)功能還是可以正常穩(wěn)定地運(yùn)行。最終我們?cè)谀暇┕?jié)點(diǎn)完成了SDN網(wǎng)絡(luò)的架設(shè)，并且通過(guò) HYPERLINK /s?_biz=MzI4NTA1MDEwNg=&mid=2650766173&idx=1&sn=2995a45f444cdbf0f5bf98407d9bc326&chksm=f3f9cec8c48e47de13b22494a2c17c1bb900174ba9f7552f3b914683711aa4964af39b69d5c5&scene=21 l wechat_redirect t _blank 上云的最終決戰(zhàn)8小時(shí)，完成了業(yè)務(wù)的整體遷移。雖然看起來(lái)這場(chǎng)戰(zhàn)役驚心

9、動(dòng)魄，但我們的內(nèi)心深處并沒(méi)有太大波動(dòng)，畢竟從開(kāi)始POC到現(xiàn)在完成網(wǎng)絡(luò)搭建，我們歷經(jīng)了1年時(shí)間的充足準(zhǔn)備。特別是在前期的POC期間，我們對(duì)于一個(gè)新技術(shù)的不斷研究，夜以繼日地不斷測(cè)試各個(gè)應(yīng)用場(chǎng)景，換來(lái)了一次成功的戰(zhàn)役。網(wǎng)絡(luò)SDN化之后，我們解決了以前的一些問(wèn)題，同時(shí)也提供了更人性化的管理方式。下圖是我們網(wǎng)絡(luò)架構(gòu)內(nèi)部示意圖：1業(yè)務(wù)流量的明確劃分將原有業(yè)務(wù)劃分從一個(gè)應(yīng)用一個(gè)區(qū)域的劃分方式，在使用SDN后，變更為一個(gè)服務(wù)體系作為一個(gè)區(qū)域進(jìn)行劃分（例如：APP區(qū)域、數(shù)據(jù)庫(kù)區(qū)域、中間件區(qū)域等）。在每個(gè)區(qū)域中劃分多個(gè)EndpointGroup（以下簡(jiǎn)稱EPG）來(lái)準(zhǔn)確區(qū)分業(yè)務(wù)模塊，更清晰地了解業(yè)務(wù)之間的訪問(wèn)關(guān)系

10、。2無(wú)限定的橫向擴(kuò)展在現(xiàn)有的SDN網(wǎng)絡(luò)中，通過(guò)使用AnycastGateway的方式將網(wǎng)關(guān)部署在各個(gè)Leaf節(jié)點(diǎn)上。即使有新設(shè)備加入網(wǎng)絡(luò)，無(wú)論處于任何區(qū)域，都可以準(zhǔn)確的進(jìn)入相對(duì)應(yīng)邏輯位置。3虛擬資源無(wú)限制的變更ACI，通過(guò)VM Networking與VCenter互相聯(lián)動(dòng)，并下發(fā)vNIC供虛擬機(jī)使用，虛擬機(jī)只需要選擇對(duì)應(yīng)虛擬網(wǎng)卡就可以進(jìn)行業(yè)務(wù)上線。同時(shí)各個(gè)虛擬機(jī)對(duì)應(yīng)的EPG通過(guò)合約的形式開(kāi)通策略。在SDN中所有相同業(yè)務(wù)都部署在同一個(gè)EPG中，所有策略的開(kāi)通并不是基于IP地址來(lái)開(kāi)通，只需要在不通的EPG之間開(kāi)通策略即可，所以無(wú)需像傳統(tǒng)網(wǎng)絡(luò)進(jìn)行IP對(duì)應(yīng)的策略開(kāi)放方式進(jìn)行SDN網(wǎng)絡(luò)策略開(kāi)通。虛擬化資

11、源可以在任意宿主機(jī)上進(jìn)行創(chuàng)建、遷移，沒(méi)有任何的物理位置的限制。4控制平面和轉(zhuǎn)發(fā)平面解耦合在傳統(tǒng)的網(wǎng)絡(luò)交換設(shè)備中，控制平面和轉(zhuǎn)發(fā)平面是緊密耦合的，被集成到單獨(dú)的設(shè)備盒子中。各個(gè)設(shè)備的的控制平面被分布到網(wǎng)絡(luò)的各個(gè)節(jié)點(diǎn)上，很難對(duì)全網(wǎng)的網(wǎng)絡(luò)情況有全局把控。因此SDN網(wǎng)絡(luò)一個(gè)重要的理念就是把每臺(tái)單獨(dú)網(wǎng)絡(luò)設(shè)備中的控制平面從物理硬件中抽離出來(lái)，交給虛擬化的網(wǎng)絡(luò)層處理，整個(gè)虛擬化的網(wǎng)絡(luò)層加載在物理網(wǎng)絡(luò)上，屏蔽底層物理轉(zhuǎn)發(fā)設(shè)備的差異，在虛擬空間內(nèi)重建整個(gè)網(wǎng)絡(luò)。這樣一來(lái)，物理網(wǎng)絡(luò)資源被整合成了網(wǎng)絡(luò)資源池，如同服務(wù)器虛擬化技術(shù)把服務(wù)器資源轉(zhuǎn)化為計(jì)算能力池一樣，它使得網(wǎng)絡(luò)資源的調(diào)用更加靈活、滿足業(yè)務(wù)對(duì)網(wǎng)絡(luò)資源的按需交

12、付需求。5集中化的網(wǎng)絡(luò)控制將控制平面進(jìn)行集中控制，中央控制器可以獲取網(wǎng)絡(luò)資源的全局信息并根據(jù)業(yè)務(wù)需要進(jìn)行資源的全局調(diào)配和優(yōu)化，如QOS、負(fù)載均衡功能等。同時(shí)集中控制后，全網(wǎng)的網(wǎng)絡(luò)設(shè)備都由中央控制器去管理，使得網(wǎng)絡(luò)節(jié)點(diǎn)的部署以及維護(hù)更加敏捷。由于集中化控制，ACI提供一個(gè)可視化的管理界面，通過(guò)界面中的評(píng)分以及錯(cuò)誤，可以更有效的提供給運(yùn)維工程師查找到問(wèn)題的所在之處，提供一個(gè)快速定位的有效依據(jù)。三、SDN架構(gòu)的后期展望1跨廠商自動(dòng)化聯(lián)動(dòng)思科提供了其他廠商的管理工具包供ACI使用，通過(guò)服務(wù)鏈（ServiceChain）功能進(jìn)行其他設(shè)備的配置推送。未來(lái)整個(gè)網(wǎng)絡(luò)的配置都可以通過(guò)ACI進(jìn)行遠(yuǎn)程控制，無(wú)需通過(guò)

13、繁瑣的命令行進(jìn)行配置。即使對(duì)設(shè)備命令不熟悉的工程師也可以進(jìn)行配置。2自動(dòng)化配置平臺(tái)ACI提供豐富的API接口供第三方軟件調(diào)用，建立一個(gè)自動(dòng)化運(yùn)維平臺(tái)通過(guò)API接口進(jìn)行ACI配置的推送、查看設(shè)備的運(yùn)行狀態(tài)實(shí)時(shí)體現(xiàn)。可以完全掌握整個(gè)SDN的運(yùn)行狀況，準(zhǔn)確及時(shí)地判斷。在問(wèn)題將要發(fā)生時(shí)，得到及時(shí)的處理和解決，避免了最終解決問(wèn)題已出，維護(hù)人員還未得到告警的窘相。3各全面的網(wǎng)絡(luò)監(jiān)控在網(wǎng)路設(shè)備中進(jìn)行流量抓取取樣，通過(guò)報(bào)頭分析網(wǎng)絡(luò)中數(shù)據(jù)包的走向。通過(guò)流量排序可以清晰的知道各個(gè)模塊調(diào)用的次數(shù)，結(jié)合研發(fā)部門進(jìn)行探討，為優(yōu)化網(wǎng)絡(luò)、優(yōu)化應(yīng)用做一個(gè)準(zhǔn)確的依據(jù)。四、一些思考前面說(shuō)了那么多思科ACI在架構(gòu)以及后期使用過(guò)程中的體驗(yàn)，再聯(lián)想起近期思科爆出的漏洞事件，最后想就自己的一些想法來(lái)談?wù)勊伎芐mart Install的遠(yuǎn)程代碼執(zhí)行漏洞：Smart Install功能是交換機(jī)在部署時(shí)配置和鏡像管理功能，它可以自動(dòng)換成初