FusionCompute網(wǎng)絡虛擬化產品介紹

1、FusionCompute網(wǎng)絡虛擬化產品介紹技術創(chuàng)新，變革未來本章主要介紹華為FusionCompute網(wǎng)絡虛擬化技術原理及相關特性。通過本章學習，您將深刻了解網(wǎng)絡虛擬化實現(xiàn)的原理，了解FusionCompute分布式交換機的網(wǎng)絡解決方案架構及其功能特性。學完本課程后，您將能夠：描述DVS、EVS的實現(xiàn)原理及特點描述端口組與虛擬端口之間的關系描述虛擬機之間的網(wǎng)絡流量走向網(wǎng)絡虛擬化相關概念及技術網(wǎng)絡虛擬化功能特性計算虛擬化驅動網(wǎng)絡虛擬化的發(fā)展VMVMVMVMVMVM計算虛擬化驅動網(wǎng)絡虛擬化的發(fā)展。傳統(tǒng)數(shù)據(jù)中心，一臺服務器運行一個操作系統(tǒng)，通過物理網(wǎng)線與交換機相連，由交換機實現(xiàn)不同的主機的交換、流

2、量控制、安全控制等功能。在計算虛擬化后，一臺服務器虛擬化成多臺的虛擬的主機，每個虛擬主機有自己的CPU、內存和網(wǎng)卡。同一服務器上的不同主機之間既需要維持原有的通信，同時由于共享物理設備，引出了新的安全隔離、以及對流控的更高的需求，對虛擬交換技術的訴求由此產生。為統(tǒng)一和簡化對各臺主機的虛擬交換機的配置管理，業(yè)界引入分布式虛擬交換機。分布式虛擬交換機一方面可以對多臺服務器的虛擬交換機統(tǒng)一配置、管理和監(jiān)控，另一方面也可以保證虛擬機在服務器之間遷移時網(wǎng)絡配置的一致性。Linux Bridge介紹Linux Bridge（網(wǎng)橋）是工作于二層的虛擬網(wǎng)絡設備，功能類似于物理的交換機。Bridge可以綁定其他

3、Linux網(wǎng)絡設備作為從設備，并將這些設備虛擬化為端口，當一個從設備被綁定到Bridge上時，就相當于真實網(wǎng)絡中的交換機端口插入了一個連接有終端的網(wǎng)線。Hardware SwitchLinuxeth0br0tap0tap1VM0VM1OVS概述Open vSwitch（OVS）是一款基于軟件實現(xiàn)的開源虛擬以太網(wǎng)交換機。OVS能夠支持多種標準的管理接口和協(xié)議，還可以支持跨多個物理服務器的分布式環(huán)境。OVS提供了對OpenFlow協(xié)議的支持，并且能夠與眾多開源的虛擬化平臺相整合。主要有兩個作用：傳遞虛擬機VM之間的流量，以及實現(xiàn)VM和外界網(wǎng)絡的通信。Open vSwitchVMVMVMSecuri

4、ty: VLAN,Isolation,traffic,filteringMonitoring: Netflow,sFlow,SPAN,RSPANQoS:traffic queuing and traffic shapingAutomated Control: OpenFlow,OVSDB mgmt.,protocolOpen vSwitchVMVMVMOpen vSwitchVMVMVMControllerOpenFlowOpenFlowHardware SwitchAlicePeterOpenFlowDVS概述分布式交換機的功能類似于普通的物理交換機，每臺主機都連接到分布式交換機中。分布式交

5、換機的一端是與虛擬機相連的虛擬端口，另一端是與虛擬機所在主機上的物理以太網(wǎng)適配器相連的上行鏈路。通過它可以連接主機和虛擬機，實現(xiàn)系統(tǒng)網(wǎng)絡互通。另外，分布式交換機在所有關聯(lián)主機之間作為單個虛擬交換機使用。此功能可使虛擬機在跨主機進行遷移時確保其網(wǎng)絡配置保持一致。Host1Host2 DVS2 DVS1VM1VM2VM3VM4Hardware SwitchEVS概述在Host上運行用戶態(tài)EVS，借助于DPDK的網(wǎng)卡管理API和大頁內存，來提升物理網(wǎng)卡收發(fā)包性能和處理能力。 基于vhost-user技術，vhost在用戶態(tài)直接和EVS交互，通過地址偏移獲取DPDK大頁地址，性能提升30%-40%。利

6、用批處理和輪詢機制提升報文處理能力。后續(xù)會通過ivshm技術以共享內存與VM通信，進一步提升性能。KernelVM2VM1ivshmAPPHost硬件網(wǎng)卡EVSpPort0User spaceKernelIntel 82599User spacevPort2DPDK (網(wǎng)卡管理、內存管理）socketsVirtIO-netAPPIntel i350MellanoxvPort3vxlan porthnic0NeutronvSwitch ControllerSDN controller大頁VringDPDK 網(wǎng)卡驅動/內存管理APIVhost-US 華為分布式交換方案DVSMVirtual Swi

7、tch AgentOVS APIOVS APIOVSSecuritySwitchVLANBondingLACPSHAPINGOVSSecuritySwitchVLANBondingLACPSHAPING方案特點：集中的管理：統(tǒng)一Portal和集中的管理，簡化用戶的管理和配置；開源Open vSwitch：集成開源Open vSwitch，充分利用和集成了開源社區(qū)虛擬交換的能力；提供豐富的虛擬交換的二層特性，包括交換、QoS、安全隔離等。FusionCompute分布式交換機FusionCompute具備支持分布式虛擬交換，可以向虛擬機提供獨立的網(wǎng)絡平面。像物理交換機一樣，不同的網(wǎng)絡平面間通過V

8、LAN進行隔離。物理網(wǎng)卡物理網(wǎng)卡服務器服務器分布式虛擬交換機端口組 vlan200端口組vlan200端口組vlan100端口組 vlan100端口組vlan200上行鏈路上行鏈路端口組vlan300管理接口管理接口虛擬交換端口虛擬交換端口虛擬交換模型eth0eth1Mgnteth2eth3ISCSISystem InterfaceSystem InterfaceUplink Port AggrUplink Port Aggreth0eth1eth2eth3Uplink Port AggrUplink Port AggrVirtual SwitchIP-MACPriorityQoSVSPVSP

9、VSPPortGroupPortGroupVMVMVMvNICvNICvNICDVSMFusionCompute中的虛擬機通信CNA01CNA02VM1APPVM2APPVM6APPVM3APPVM7APPVM4APPDVS1上行鏈路上行鏈路Vlan 1Vlan 2VM5APPDVS2知識小考OVS/DVS/EVS三者的區(qū)別是什么？本節(jié)介紹了網(wǎng)絡虛擬化的實現(xiàn)原理，從Bridge到OVS，再發(fā)展到DVS和EVS。同時介紹了華為FusionCompute分布式交換機的實現(xiàn)原理和其中的相關概念以及FusionCompute中虛擬機之間通信的流量走向。網(wǎng)絡虛擬化相關概念及技術網(wǎng)絡虛擬化功能特性華為虛擬

10、交換模式華為虛擬交換機提供三種虛擬交換模式：普通模式，SR-IOV直通模式，用戶態(tài)交換模式。eth/bondbr-eth1/br-bondbr1tap0VMeth0普通交換SR-IOV物理硬件智能網(wǎng)卡VFVFPFVMMPCI管理VMGuest Driver用戶態(tài)交換VM2VM1ivshmAPPHost硬件網(wǎng)卡EVSpPort0User spaceKernelIntel 82599User spacevPort2DPDK (網(wǎng)卡管理、內存管理）socketsVirtIO-netAPPIntel i350MellanoxvPort3vxlan porthnic0大頁內存VringDPDK 網(wǎng)卡驅動

11、/內存管理APIVhost-US 網(wǎng)絡安全策略 - 二層網(wǎng)絡安全策略二層網(wǎng)絡安全策略主要包括：防止用戶虛擬機IP和MAC地址仿冒，防止用戶虛擬機DHCP Server仿冒。vSwitch (EVS)Physical NIC eSwitch (iNIC)VSPVSPVSPVMvNICVMvNICVMvNICPortGroupPortGroup二層網(wǎng)絡安全策略：IP和MAC綁定DHCP服務隔離網(wǎng)絡安全策略 - 廣播報文抑制在服務器整合、桌面云等企業(yè)應用場景，如果發(fā)生網(wǎng)絡攻擊或病毒發(fā)作等引起的廣播報文攻擊，可能造成網(wǎng)絡通信異常，此時可以開啟虛擬交換機的廣播報文抑制功能。虛擬交換機提供虛擬機虛端口發(fā)送

12、方向的廣播報文抑制開關，以及抑制閾值設置功能?？梢酝ㄟ^開啟虛擬機網(wǎng)卡所在端口組的廣播包抑制開關設置閾值，減少過量廣播報文對二層網(wǎng)絡帶寬的消耗。管理員可以通過系統(tǒng)Portal，基于虛擬交換機端口組對象，配置報文抑制開關和報文抑制帶寬閾值。Security Group C網(wǎng)絡安全策略 - 安全組用戶根據(jù)虛擬機安全需求創(chuàng)建安全組，每個安全組可以設定一組訪問規(guī)則。當虛擬機加入安全組后，即受到該訪問規(guī)則組的保護。用戶通過在創(chuàng)建虛擬機時選定要加入的安全組來對自身的虛擬機進行安全隔離和訪問控制。Host 1Host 2VMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMV

13、MVMVMVMVMVMVMVMSecurity Group BSecurity Group A Default SGData CenterTrunk口Trunk口介紹虛擬機網(wǎng)卡通過虛端口接入虛擬交換機進行網(wǎng)絡數(shù)據(jù)包的收發(fā)。虛擬交換機虛端口支持配置為Trunk類型，并允許設置Trunk的VLAN ID范圍，之后虛端口便具備了同時收發(fā)攜帶不同VLAN標簽的網(wǎng)絡數(shù)據(jù)包的功能，從而滿足了虛擬網(wǎng)卡支持Trunk類型端口的需求。接收方向發(fā)送方向VLAN 10VLAN 20不帶VLANPVID 10允許通過VLAN 10、20網(wǎng)絡QoSQoS網(wǎng)絡QoS策略提供帶寬配置控制能力，包含如下方面：基于端口組成員接口發(fā)送方向與接收方向的帶寬控制?；诙丝诮M的每個成員接口提供流量整形、帶寬優(yōu)先級的控制能力。網(wǎng)口綁定聚合網(wǎng)口物理網(wǎng)口2物理網(wǎng)口1主機網(wǎng)口綁定管理員可以通過FusionCompute綁定CNA主機的網(wǎng)口，以提高網(wǎng)絡的可靠性。針對普通網(wǎng)卡和DPDK驅動的物理網(wǎng)卡均可以設置端口綁定。知識小考若兩臺虛擬機之間網(wǎng)絡不通，可能的原因有哪些？普通和中繼類型的端口組有什么區(qū)別？本節(jié)介紹了FusionCompute網(wǎng)絡虛擬化中的相關特性，包括三種分布式交換機模式、二層網(wǎng)絡安全測量、廣播報文抑制技術、安全組技術、網(wǎng)口綁定、網(wǎng)絡QoS等相關特性。在FusionCompute分布式交換機里，虛擬機