雲端運算中心的網路虛擬化

標籤：

雲端運算中心面對多租戶的需求，需將不同租戶的網路進行隔離，租戶之間無法擷取到不屬於自己的網路流量，防止惡意租戶的攻擊、租戶流量泄漏。同時還需滿足虛擬機器移轉的需求，實現網路通訊的不中斷。

VLAN

傳統的網路隔離方法，有VLAN方式。通過在資料幀上添加上VLAN標籤（0-4096），並對網路交換器進行配置，規定交換器的哪些連接埠轉寄哪些VLAN標籤的資料，完成虛擬網路的建設，實現不同租戶資料的隔離。

不足：面臨雲端運算虛擬化環境，物理伺服器上可能運行著多個租戶的虛擬機器，導致會出現一個連接埠映射了多個VLAN，無法實現。此外，租戶的數量會超過VLAN標籤的最大值，導致VLAN方法的失效。因此需採用其他的方式實現網路虛擬化。

UnderLay

使用underlay的方式，對雲端運算中心的網路地址空間進行劃分，租戶可使用任一個地址空間，然後通過網路裝置對不同的地址空間完成資料路由（網路裝置包含物理裝置，也包含物理機hypervisor上的虛擬交換器），從而實現不同租戶的網路隔離。

underlay方式的網路虛擬化，對網路的靈活性要求較高，需要管理員能夠根據地址空間的劃分，自訂網路裝置的轉寄行為。基於Openflow技術的交換器，即可實現。通過中央控制器管理Openflow交換器上的流表，自訂對不同地址空間資料的轉送連接埠。

不足：如果使用IP地址空間，對虛擬機器的遷移有一定的要求。虛擬機器建立之初，MAC地址同IP地址就固定了，為了通訊方便，不會遷移出地址空間的區域網路，否則會造成網路地址的割裂，需要單獨為此IP地址的資料進行流表定義，無法使用萬用字元的形式，這就導致了流表數量迅速增加。使用MAC地址也可以進行地址空間劃分，由於虛擬機器的MAC地址可以自訂，也可是實現IP地址一樣的分層形式，但是虛擬機器建立之初，MAC地址同IP地址就固定了，同IP地址空間劃分一樣，無法遷出通訊區域網路，否則會造成網路地址割裂，導致流表數量增加。

因此underlay的方式，在每個租戶的網路規模不大或者租戶數量不是很多時，可以使用。隨著雲端運算中心的規模增加，租戶以及租戶虛擬機器規模的增加，underlay的方式，對網路交換器的要求也會提高，除非解決交換器流表格儲存體的問題，不然無法使用underlay。

OverLay

最常見的使用者接觸最早的overlay技術，應該是vpn了。通過MAC-in-MAC、IP-in-MAC、MAC-in-IP、IP-in-IP的形式，將虛擬機器的資料封裝起來，然後通過包最外面的MAC或者IP地址，完成資料的路由轉寄功能，在到達目的伺服器時，將資料包拆解，保留內部的資料資訊，並根據真正的地址資訊，轉寄給目的虛擬機器。

這對雲端運算中心內的傳輸網路，沒有任何要求，其可以繼續按照傳統的路由方式，實現資料轉寄。唯一的需要變化的就是網路邊緣的網路裝置，或者物理伺服器內部的hypervisor虛擬交換器，其需要實現資料包的封裝與解鎖功能，同時需要維護一張虛擬機器地址同網路邊緣裝置地址的映射表，這樣挽留過邊緣的裝置才能正確的封裝虛擬機器的資料，並轉寄出去。

目前常用的有NvGRE以及VxLAN技術。

不足：需要網路邊緣的裝置支援相應的overlay技術，並且封裝與解鎖的需要大量的計算能力，在網路流量較大時，無法使用hypervisor內的虛擬交換器。因為會影響物理機的效能，進而影響虛擬機器的效能。

TRILL (FabricPath)

這是一種大二層網路技術，主要解決虛擬機器移轉後的通訊問題。在乙太網路技術，需要考慮到CSMA/CD的需求，大量的廣播以及MAC地址並非為定址而設計的特點，導致使用乙太網路技術的二層網路無法很好地擴充到較大的通訊半徑。同時在使用STP協議防止環路出現時，會造成鏈路的限制，浪費資源。

TRILL代替STP完成二層的鏈路狀態維護工作，相比STP協議，可大幅度提高鏈路的利用率，使得二層通訊擴充到較大的半徑。

RBridge：實現了TRILL協議的裝置叫做Routing Bridge，簡稱RBridge。

TRILL報文：Ingress RBridge nickname (16 bits), Egress RBridge nickname (16 bits), Hop count (6 bits), and a Multidestination flag bit (1 bit)

TRILL裝置中有兩個表：一個是MAC表，用於學習源MAC地址，並且尋找目的MAC地址所對應的RBridge nickname；另一個是TRILL轉寄表，在TRILL域轉寄時用，即從ingreee RBridge如何到達egress RBridge。

通過IS-IS路由方式，實現MAC地址的學習。

雲端運算中心的網路虛擬化