基于SDN技術(shù)的VPC實(shí)現(xiàn)分析

李遜

（杭州華三通信技術(shù)有限公司，杭州 310052）

1 SDN技術(shù)

狹義的SDN是實(shí)現(xiàn)控制平面與數(shù)據(jù)平面的分離，通過(guò)經(jīng)典的Openflow流表，由集中化的控制器對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行可定義的轉(zhuǎn)發(fā)控制。這種經(jīng)典的SDN也有不足，比如Openflow更多關(guān)注于控制層面而對(duì)于管理、OAM等方面是有較大缺失的，并且市場(chǎng)上的非專門Openflow交換機(jī)在對(duì)流表的支持能力上也有較大的限制，從一定層面上限制Openflow這種技術(shù)應(yīng)用場(chǎng)景和規(guī)模。

廣義的SDN是指具備上層應(yīng)用開(kāi)放資源接口，可實(shí)現(xiàn)軟件程序化控制的網(wǎng)絡(luò)架構(gòu)，至于控制集中與否、控制和轉(zhuǎn)發(fā)分離與否則并不作嚴(yán)格限定，與ONF組織定義的軟件定義網(wǎng)絡(luò)有更廣泛的外延。SDN也可認(rèn)為是一種網(wǎng)絡(luò)虛擬化技術(shù)，通過(guò)抽象出網(wǎng)絡(luò)操作系統(tǒng)平臺(tái)，屏蔽底層網(wǎng)絡(luò)設(shè)備物理細(xì)節(jié)差異，并向上層提供統(tǒng)一的管理和編程接口，以網(wǎng)絡(luò)操作系統(tǒng)平臺(tái)為基礎(chǔ)開(kāi)發(fā)出應(yīng)用程序，通過(guò)軟件來(lái)定義網(wǎng)絡(luò)拓?fù)?、資源分配和處理機(jī)制等。

2 泛SDN技術(shù)的融合

目前實(shí)際應(yīng)用中SDN較多的與Overlay技術(shù)（虛擬化疊加網(wǎng)絡(luò)）和NFV（網(wǎng)絡(luò)功能虛擬化）緊密結(jié)合在一起。這也是SDN、Overlay和NFV等技術(shù)所具有的軟件化、虛擬化、可定義化等特點(diǎn)決定的，Overlay和NFV都可以看做“泛SDN”技術(shù)。

常說(shuō)的SDN其實(shí)是這種“泛SDN”理念的實(shí)現(xiàn)，是SDN、Overlay、NFV三者的有機(jī)融合。本文SDN特指這種融合了SDN、Overlay、NFV等技術(shù)的“泛SDN”。

3 SDN的技術(shù)流派和技術(shù)對(duì)比

SDN的美好前景吸引著眾多廠商的熱情參與，其中既有傳統(tǒng)網(wǎng)絡(luò)廠商如華為、華三、思科、阿朗、博科、瞻博等，也有虛擬化軟件廠商如威睿，還有其他新興專門做SDN廠商如Nicira（已被威睿收購(gòu)）等。

對(duì)于SDN Overlay控制平面可以是設(shè)備間通過(guò)協(xié)議分布式交互的方式，也可以采用控制器集中式控制的實(shí)現(xiàn)方案。對(duì)于后者更加易于對(duì)云業(yè)務(wù)進(jìn)行全流程的編排部署，也更利于運(yùn)營(yíng)集中化和可視化。另外更好的方式是同時(shí)支持集中式控制和分布式控制，以集中式為主用，以分布式為備用。

4 SDN方案重要技術(shù)的實(shí)現(xiàn)和考慮

運(yùn)營(yíng)商現(xiàn)網(wǎng)中硬件和軟件廠商、型號(hào)較多，十分強(qiáng)調(diào)兼容性；建設(shè)規(guī)模也較大，特別是近年建設(shè)的大型云項(xiàng)目，物理服務(wù)器從上千臺(tái)至幾萬(wàn)臺(tái)，對(duì)性能和擴(kuò)展能力提出很高要求；運(yùn)營(yíng)商對(duì)系統(tǒng)的安全性、可用性有嚴(yán)格要求，一旦發(fā)生問(wèn)題不僅對(duì)運(yùn)營(yíng)商造成經(jīng)濟(jì)損失，對(duì)企業(yè)聲譽(yù)也會(huì)造成不利影響，因此在SDN的建設(shè)中要特別關(guān)注一些關(guān)鍵技術(shù)。

4.1 SDN控制器集群技術(shù)

SDN網(wǎng)絡(luò)中所有網(wǎng)元控制平面由控制器統(tǒng)一控制，傳統(tǒng)網(wǎng)絡(luò)單一設(shè)備故障影響面可能較小，但SDN網(wǎng)絡(luò)中控制器故障可能引發(fā)更大面積甚至全網(wǎng)癱瘓。因此控制器務(wù)必采用高可靠集群。控制器集群提供統(tǒng)一的北向IP與上層平臺(tái)交互，并在不同的控制器間進(jìn)行負(fù)載分擔(dān)。保障集群內(nèi)對(duì)任何網(wǎng)元的控制節(jié)點(diǎn)在兩個(gè)以上，控制器采用1+1熱備的方式，保證故障倒換的無(wú)損性，并且具有自動(dòng)選擇新的控制器節(jié)點(diǎn)。將眾多設(shè)備的控制平面集中在控制器上，對(duì)控制器的性能要求也很高，另外在網(wǎng)元節(jié)點(diǎn)較多時(shí)，控制器集群分配不同的控制器管理不超過(guò)一定數(shù)量的網(wǎng)元可以保證管理的效率和實(shí)時(shí)性?？刂破骷嚎删€性擴(kuò)展，保證大規(guī)模計(jì)算節(jié)點(diǎn)接入SDN網(wǎng)絡(luò)中。

4.2 軟硬混合式SDN Overlay兼容組網(wǎng)技術(shù)

在云數(shù)據(jù)中心中，除了虛機(jī)計(jì)算節(jié)點(diǎn)，還可能有一定數(shù)量的物理服務(wù)器（如一些重載業(yè)務(wù)服務(wù)器或無(wú)法虛擬化的業(yè)務(wù)平臺(tái)）。如何使兩種不同形態(tài)的計(jì)算資源同時(shí)納入到SDN網(wǎng)絡(luò)中？對(duì)于虛機(jī)，可以將其Hypervisor中的vSwitch更換為支持vxlan特性的VTEP；對(duì)于物理服務(wù)器沒(méi)有vSwitch這個(gè)概念，因此需要通過(guò)vxlan網(wǎng)關(guān)代理加入到Overlay網(wǎng)絡(luò)中去，同樣可以選用支持vxlan特性的TOR交換機(jī)既做Underlay網(wǎng)絡(luò)的接入交換機(jī)也作為Overlay網(wǎng)絡(luò)的VTEP。另外在需要高性能的場(chǎng)景，用硬件VTEP的性能超過(guò)軟VTEP的1～3數(shù)量級(jí)，并且vSwitch在重載情況下需要消耗更多的CPU性能，甚至是得不償失的。這種硬件VTEP代理對(duì)于兼容各種第三方設(shè)備也是不可或缺的。

在SDN組網(wǎng)的兼容性方面，還需考慮Underlay物理網(wǎng)絡(luò)和Overlay虛擬網(wǎng)絡(luò)的統(tǒng)一管理問(wèn)題。在云計(jì)算中心中要考慮多種Hypervisor共存時(shí)的兼容性。

4.3 服務(wù)鏈技術(shù)

我們把網(wǎng)絡(luò)中存在著的防火墻、負(fù)載均衡、入侵檢測(cè)等設(shè)備功能稱為服務(wù)節(jié)點(diǎn)。傳統(tǒng)組網(wǎng)中各個(gè)設(shè)備間邊界清晰，源與目的間數(shù)據(jù)報(bào)文轉(zhuǎn)發(fā)經(jīng)過(guò)服務(wù)節(jié)點(diǎn)的路徑和物理設(shè)備是緊耦合容易確定的。虛擬網(wǎng)絡(luò)中應(yīng)用與物理設(shè)備解耦邊界似乎不夠清晰。這時(shí)源與目的間的報(bào)文按照業(yè)務(wù)邏輯所要求的既定的路徑次序經(jīng)過(guò)這些業(yè)務(wù)點(diǎn)，這就是服務(wù)鏈（Service Chain）。實(shí)際是控制器對(duì)有安全類服務(wù)需求的報(bào)文進(jìn)行引流的邏輯路徑。

由SDN控制器解析用戶配置的策略，下發(fā)配置的策略給服務(wù)節(jié)點(diǎn)網(wǎng)關(guān)，引導(dǎo)服務(wù)鏈流量至相關(guān)業(yè)務(wù)節(jié)點(diǎn)處理。vSwitch作為Overlay Access部件，基于租戶識(shí)別虛機(jī)流量所屬服務(wù)鏈，并將其通過(guò)vxlan網(wǎng)絡(luò)轉(zhuǎn)發(fā)至租戶正確的服務(wù)鏈上。服務(wù)鏈業(yè)務(wù)節(jié)點(diǎn)放在一個(gè)資源池內(nèi)統(tǒng)一部署，實(shí)現(xiàn)資源池內(nèi)安全業(yè)務(wù)的負(fù)載分擔(dān)。服務(wù)鏈支持防火墻、負(fù)載均衡等功能在單一服務(wù)節(jié)點(diǎn)一次完成，或各個(gè)安全業(yè)務(wù)在各自獨(dú)立的服務(wù)節(jié)點(diǎn)實(shí)現(xiàn)。SDN控制器將其串起來(lái)完成整個(gè)服務(wù)鏈功能，并可以基于租戶提供獨(dú)立完全隔離的東西向服務(wù)鏈功能。服務(wù)節(jié)點(diǎn)可以通過(guò)vxlan網(wǎng)關(guān)代理進(jìn)入服務(wù)鏈中，如圖1所示。

4.4 分布式vSwitch虛擬交換機(jī)技術(shù)

SDN的控制平面和轉(zhuǎn)發(fā)平面雖然是分離，也是統(tǒng)一協(xié)調(diào)工作的。vSwitch間通信需要發(fā)ARP請(qǐng)求目的端的MAC地址，vxlan規(guī)模較大，大量的ARP廣播會(huì)消耗網(wǎng)絡(luò)帶寬。為了使vSwitch專注于轉(zhuǎn)發(fā)，對(duì)于轉(zhuǎn)發(fā)表的學(xué)習(xí)和計(jì)算都交由SDN控制器。SDN控制器存有全局轉(zhuǎn)發(fā)信息，vSwitch的ARP請(qǐng)求以單播形式發(fā)給控制器，由控制做ARP代答回送給vSwitch。

多個(gè)vSwitch通過(guò)控制器的集中控制可邏輯成一個(gè)分布式三層網(wǎng)關(guān)，可實(shí)現(xiàn)東西向流量的跨vxlan轉(zhuǎn)發(fā)，實(shí)現(xiàn)跨網(wǎng)段最短路徑轉(zhuǎn)發(fā)。

圖1 東西向服務(wù)鏈

以上所述的幾項(xiàng)重要技術(shù)是對(duì)于保證SDN網(wǎng)絡(luò)在多種復(fù)雜場(chǎng)景下的穩(wěn)定、高效運(yùn)營(yíng)的保證。

5 運(yùn)營(yíng)商市場(chǎng)SDN進(jìn)展和意義

據(jù)國(guó)際權(quán)威咨詢機(jī)構(gòu)Infonetics Research調(diào)查和預(yù)測(cè)：從2013～2014年已經(jīng)有大量的SDN POC試驗(yàn)，并且運(yùn)營(yíng)商已經(jīng)開(kāi)始在某些領(lǐng)域試商用；2015年SDN部署步伐會(huì)大大加快，在眾多的領(lǐng)域開(kāi)始商用和試商用；2016年可能在全球范圍內(nèi)得到廣泛部署；2017年后SDN將成為網(wǎng)絡(luò)基礎(chǔ)架構(gòu)，并經(jīng)歷一個(gè)長(zhǎng)期的演進(jìn)和轉(zhuǎn)型過(guò)程。

在國(guó)內(nèi)市場(chǎng)也可看到SDN發(fā)展的加速，特別是中國(guó)電信、中國(guó)移動(dòng)、中國(guó)聯(lián)通等運(yùn)營(yíng)商已經(jīng)在2014年進(jìn)行了集團(tuán)級(jí)的SDN VPC（SDN虛擬專享云）測(cè)試，2015年上半年陸續(xù)會(huì)有新建的大型SDN云數(shù)據(jù)中心項(xiàng)目，預(yù)計(jì)還會(huì)在下半年出臺(tái)相關(guān)建設(shè)指導(dǎo)意見(jiàn)和規(guī)劃。很多省市公司在云數(shù)據(jù)中心中開(kāi)始廣泛的研究和試點(diǎn)。也有將SDN在城域網(wǎng)、WLAN等領(lǐng)域的應(yīng)用結(jié)合。

SDN在運(yùn)營(yíng)商云數(shù)據(jù)中心領(lǐng)域的應(yīng)用對(duì)其有著重要的意義。能大大加快業(yè)務(wù)部署的速度，實(shí)現(xiàn)業(yè)務(wù)與資源更靈活的適配。通過(guò)SDN VPC引進(jìn)將企業(yè)的計(jì)算、網(wǎng)絡(luò)、存儲(chǔ)等基礎(chǔ)設(shè)施資源拉通建設(shè)、管理、運(yùn)維，在保持CT能力優(yōu)勢(shì)的同時(shí)，加快IT能力的提升。變對(duì)IT基礎(chǔ)設(shè)施的需求為對(duì)IT服務(wù)的需求，這是建設(shè)和運(yùn)營(yíng)理念上的一種革新。同時(shí)，對(duì)原有組織、規(guī)范、流程，對(duì)新IT的使用者和運(yùn)營(yíng)者也帶來(lái)新的挑戰(zhàn)。

6 應(yīng)用實(shí)踐

早在2013年，華三的Openflow SDN就已成功應(yīng)用于中國(guó)聯(lián)通沃云網(wǎng)絡(luò)的建設(shè)上，通過(guò)集中的SDN控制器實(shí)現(xiàn)虛機(jī)遷移的網(wǎng)絡(luò)策略自動(dòng)跟隨。并在2014年底參加國(guó)內(nèi)三大運(yùn)營(yíng)商SDN VPC測(cè)試。2015年3月在巴塞羅那舉辦的世界移動(dòng)通信大會(huì)（MWC）上，中國(guó)移動(dòng)展示了SDN VPC方案，該方案正是Openflow SDN在江西移動(dòng)業(yè)支中心商用方案展示。