用于虛擬化數(shù)據(jù)中心的覆蓋網(wǎng)絡(luò)

虛擬可擴(kuò)展局域網(wǎng)(VXLAN)

物理網(wǎng)絡(luò)當(dāng)前的局限性將越來越多的動態(tài)虛擬世界重新綁定到相當(dāng)復(fù)雜的網(wǎng)絡(luò)架構(gòu)上，形成了人為障礙，進(jìn)而也就無法實現(xiàn)企業(yè)組織對私有云的全面的靈活敏捷性。雖然虛擬機(jī)可以在幾分鐘內(nèi)完成配置，但將“圍繞”著虛擬機(jī)相關(guān)的所有必要的網(wǎng)絡(luò)和安全服務(wù)安排妥當(dāng)仍然需要數(shù)天的時間。高度可用的虛擬化技術(shù)(例如VMware容錯)最適合于在第2層網(wǎng)絡(luò)，但創(chuàng)建和管理此體系架構(gòu)在操作層面上可能是非常困難的，特別是在規(guī)模上。對于真正的軟件定義的網(wǎng)絡(luò)(SDN)而言，數(shù)據(jù)中心或云運營商根本不用操心硬件和設(shè)備操作系統(tǒng)方面的問題，真正從諸如OpenFlow和VXLAN這樣的“管道”項目開始。

VXLAN有助于解決數(shù)據(jù)中心的網(wǎng)絡(luò)挑戰(zhàn)難題。其提供了跨數(shù)據(jù)中心架構(gòu)創(chuàng)建隔離的多租戶廣播域(broadcast domain)的能力，并使企業(yè)客戶能夠創(chuàng)建跨越物理網(wǎng)絡(luò)邊界的彈性邏輯網(wǎng)絡(luò)。從而虛擬化網(wǎng)絡(luò)，并創(chuàng)建能夠滿足虛擬化應(yīng)用程序和數(shù)據(jù)的靈活敏捷性，性能和規(guī)模要求的網(wǎng)絡(luò)。

VXLAN的工作原理是創(chuàng)建封裝在標(biāo)準(zhǔn)第3層IP數(shù)據(jù)包中的第2層邏輯網(wǎng)絡(luò)，從而允許跨物理邊界擴(kuò)展第2層虛擬網(wǎng)絡(luò)(請參見下圖4)。每個幀中的“分段ID”區(qū)分VXLAN邏輯網(wǎng)絡(luò)，而不需要VLAN標(biāo)簽。

圖4：VXLAN允許第2層虛擬網(wǎng)絡(luò)跨越物理邊界

該方法不僅允許大量隔離的第2層VXLAN網(wǎng)絡(luò)在共同的第3層基礎(chǔ)設(shè)施上共存，還允許虛擬機(jī)托管在同一個第2層虛擬網(wǎng)絡(luò)中，而且是位于兩個不同的第3層網(wǎng)絡(luò)上。VXLAN運行在標(biāo)準(zhǔn)交換硬件上，不需要軟件升級，實現(xiàn)多租戶，同時跨越云/數(shù)據(jù)中心網(wǎng)絡(luò)的不同物理位置擴(kuò)展虛擬數(shù)據(jù)中心。

但是，這種方法可能存在巨大的缺點：流量隱藏在隧道中，使得網(wǎng)絡(luò)監(jiān)控變得非常困難。因此不能對隧道內(nèi)的個別應(yīng)用程序?qū)嵤┖芎玫谋O(jiān)控。即使通過硬件或軟件修改使監(jiān)控工具與VN-Tag標(biāo)簽和VXLAN封裝隧道兼容，這些工具仍然會花費寶貴的資源周期來剝離封裝，同時可以更有效地使用它們最初設(shè)計的功能，即分析和監(jiān)控流量。

對虛擬化數(shù)據(jù)中心和云的普遍可視化

今天，隨著企業(yè)客戶逐漸采用進(jìn)一步的虛擬化和云服務(wù)解決方案，性能或安全問題已然無法再阻礙這方面的進(jìn)步了。

圖5：VXLAN意識

覆蓋網(wǎng)絡(luò)中的可視化

實現(xiàn)VXLAN封裝流量的可視化

憑借24位segment ID來唯一標(biāo)識廣播域，VXLAN可在云規(guī)模上啟用多租戶環(huán)境，并通過將原始幀封裝在MAC-in-UDP封裝中來跨越物理邊界擴(kuò)展第2層網(wǎng)絡(luò)。監(jiān)控VXLAN SDN和虛擬隧道端點的性能是使網(wǎng)絡(luò)運營團(tuán)隊能夠控制和理解浮動在通用網(wǎng)絡(luò)和虛擬化基礎(chǔ)設(shè)施之上的“虛擬”域的關(guān)鍵。VXLAN封裝的流量可以發(fā)送到可視化光纖架構(gòu)，該架構(gòu)可以利用相關(guān)供應(yīng)商所提供的處理能力過濾segment ID以轉(zhuǎn)發(fā)或解封裝特定流量流，然后轉(zhuǎn)發(fā)到需要訪問的監(jiān)控工具這個信息(見上圖5)。因此，需要對UDP封裝流量進(jìn)行關(guān)鍵可視性的網(wǎng)絡(luò)和安全分析儀現(xiàn)在可以監(jiān)控VXLAN虛擬覆蓋網(wǎng)絡(luò)的安全性和性能，而無需對硬件或軟件進(jìn)行任何修改。

體系架構(gòu)統(tǒng)一的可視化

統(tǒng)一可視化結(jié)構(gòu)體系架構(gòu)是一種創(chuàng)新的解決方案，可提供穿越通信網(wǎng)絡(luò)的網(wǎng)絡(luò)流量的普遍且動態(tài)的可視化。需要有集中訪問的統(tǒng)一監(jiān)控架構(gòu)，以確保向多個部門和工具傳送監(jiān)控數(shù)據(jù)的獨立性和隔離性。這可以在不同網(wǎng)絡(luò)體系架構(gòu)(包括物理和虛擬網(wǎng)絡(luò))之間統(tǒng)一數(shù)據(jù)的可視化，從而實現(xiàn)多租戶設(shè)置內(nèi)的安全部署。

服務(wù)層

聚合、過濾、復(fù)制和智能數(shù)據(jù)包修改

服務(wù)層由分布式網(wǎng)絡(luò)設(shè)備組成，提供了高級過濾智能，包括流量轉(zhuǎn)發(fā)、操作和修改。作為服務(wù)層的一部分，相關(guān)供應(yīng)商的產(chǎn)品通過利用基于標(biāo)準(zhǔn)的API進(jìn)行流量過濾，并轉(zhuǎn)發(fā)到功能更強(qiáng)大的服務(wù)節(jié)點，進(jìn)一步擴(kuò)展了虛擬化服務(wù)器基礎(chǔ)架構(gòu)的可見性。虛擬和物理網(wǎng)絡(luò)中的普遍的可見性為整個基礎(chǔ)架構(gòu)提供了獨特的視角，從而有助于確保生產(chǎn)力，性能和滿足服務(wù)級別協(xié)議。除了提供關(guān)鍵信息的訪問權(quán)外，服務(wù)層還可以用于修改正在運行的數(shù)據(jù)包，以便隱藏機(jī)密信息，添加時間信息，刪除重復(fù)數(shù)據(jù)以及去除無關(guān)標(biāo)頭，從而提高監(jiān)控和安全工具的效率。今天越來越多的企業(yè)組織正在積極的采用虛擬化，云服務(wù)和可編程網(wǎng)絡(luò)。諸如VXLAN，VN-Tag等新技術(shù)是用于監(jiān)控、分析和保護(hù)IT基礎(chǔ)設(shè)施的渲染工具，這些工具對進(jìn)出數(shù)據(jù)中心的流量基本上是盲目的。由服務(wù)層提供的增強(qiáng)的標(biāo)頭剝離功能使企業(yè)能夠克服對性能和安全性的擔(dān)憂，因為他們希望采用虛擬化和云解決方案，并利用其提供的巨大價值主張。

管理層

統(tǒng)一的終端到終端的配置

由相關(guān)供應(yīng)商所提供的統(tǒng)一配置界面將為物理、虛擬和SDN網(wǎng)絡(luò)的監(jiān)控流量提供端到端的管理策略，同時為這些工具提供整個使用壽命周期的生態(tài)系統(tǒng)接口?？梢暬饫w架構(gòu)的核心技術(shù)可根據(jù)從集中式管理控制臺實施的用戶規(guī)則，將傳入流量進(jìn)行識別，并指向單個或多個工具。

通過提供基于角色的高級管理和簡化的GUI工作流程，該技術(shù)的新的增強(qiáng)功能可幫助解決多租戶訪問和監(jiān)控流量和策略的隔離問題。這使得監(jiān)控流量的動態(tài)管理更加動態(tài)，從而消除了運營孤島——同時降低了CAPEX和OPEX。

業(yè)務(wù)流程安排管理層

通過開放式框架實現(xiàn)可編程性、自動化和工具集成

業(yè)務(wù)流程安排管理層對網(wǎng)絡(luò)中所發(fā)生的實時事件提供了“即時”響應(yīng)的能力。無需人工干預(yù)即可動態(tài)調(diào)整監(jiān)視服務(wù)，這有助于將基礎(chǔ)架構(gòu)的反應(yīng)管理調(diào)整至最主動的方式。并使得獨立軟件開發(fā)人員社區(qū)能夠提供可視化即服務(wù)的應(yīng)用程序。基于標(biāo)準(zhǔn)的API集將被設(shè)計為與廣泛的工具具有完全的互操作性，從而使IT企業(yè)組織在設(shè)計和增強(qiáng)其基礎(chǔ)架構(gòu)方面具有***的架構(gòu)靈活性。

應(yīng)用程序?qū)?/strong>