Overlay數(shù)據(jù)中心網(wǎng)絡(luò)的新寵獲獎科研報(bào)告

Overlay，數(shù)據(jù)中心網(wǎng)絡(luò)的新寵獲獎科研報(bào)告計(jì)算虛擬化提高了服務(wù)器資源的利用率，其快速部署、動態(tài)遷移等特性滿足了業(yè)務(wù)快速擴(kuò)展需求，成為當(dāng)前企業(yè)IT建設(shè)的常規(guī)形態(tài)。但是傳統(tǒng)網(wǎng)絡(luò)對計(jì)算虛擬化的適配一直存在問題，網(wǎng)絡(luò)無法快速地適配虛擬機(jī)的擴(kuò)展及業(yè)務(wù)的快速變更。利用Overlay網(wǎng)絡(luò)技術(shù)，可以實(shí)現(xiàn)傳統(tǒng)網(wǎng)絡(luò)向網(wǎng)絡(luò)虛擬化的深度延伸，實(shí)現(xiàn)真正的云網(wǎng)融合，從而構(gòu)建新架構(gòu)下的數(shù)據(jù)中心網(wǎng)絡(luò)。

一、傳統(tǒng)數(shù)據(jù)中心網(wǎng)絡(luò)面臨的問題

1.虛擬機(jī)遷移范圍受限

傳統(tǒng)網(wǎng)絡(luò)架構(gòu)以三層網(wǎng)絡(luò)為主，主要是以控制南北數(shù)據(jù)流量為目標(biāo)。由于數(shù)據(jù)中心虛擬機(jī)的大規(guī)模使用，虛擬機(jī)遷移的特點(diǎn)以東西流量為主。虛擬機(jī)遷移前后需要其IP地址、MAC地址等參數(shù)要求保持不變，因此要求業(yè)務(wù)網(wǎng)絡(luò)是一個(gè)二層網(wǎng)絡(luò)，但現(xiàn)有二層網(wǎng)絡(luò)技術(shù)，無論是生成樹技術(shù)還是近幾年出現(xiàn)的大規(guī)模二層網(wǎng)絡(luò)技術(shù)TRILL/SPB/FabricPath等都存在不同程度的局限。

2.業(yè)務(wù)規(guī)模受網(wǎng)絡(luò)設(shè)備規(guī)格限制

云計(jì)算數(shù)據(jù)中心部署了大量的虛擬機(jī)，每個(gè)虛擬機(jī)都會占用一個(gè)二層地址表項(xiàng)。而二層地址表是有規(guī)格上限的，尤其對接入設(shè)備而言，設(shè)備本身二層地址表現(xiàn)規(guī)格較小，因此極大地限制了云計(jì)算數(shù)據(jù)中心的業(yè)務(wù)規(guī)模。

3.不能適應(yīng)大規(guī)模租戶部署

云計(jì)算數(shù)據(jù)中心內(nèi)承載了大量不同租戶的業(yè)務(wù)，租戶與租戶之間有安全隔離的需求。當(dāng)前主流的租戶隔離技術(shù)就是傳統(tǒng)的VLAN技術(shù)，而在大型的云數(shù)據(jù)中心，大量租戶部署會遇到兩大限制：

限制一：VLAN可用的數(shù)量為4K（4X1024），遠(yuǎn)遠(yuǎn)不能滿足云業(yè)務(wù)部署的需求。

限制二：如果在大規(guī)模數(shù)據(jù)中心部署VLAN，會使得所有VLAN在數(shù)據(jù)中心內(nèi)都被允許通過，導(dǎo)致任何一個(gè)VLAN的廣播風(fēng)暴會在整個(gè)數(shù)據(jù)中心內(nèi)泛濫，大量消耗網(wǎng)絡(luò)帶寬，同時(shí)運(yùn)維管理困難。

二、Overlay——解決問題的新思路

針對前文提出的三大技術(shù)挑戰(zhàn)，業(yè)界提出新的思路，在不改變原先網(wǎng)絡(luò)架構(gòu)的基礎(chǔ)之上，新建一個(gè)面向應(yīng)用的邏輯網(wǎng)絡(luò)——Overlay網(wǎng)絡(luò)，為云業(yè)務(wù)提供支撐。

Overlay網(wǎng)絡(luò)是指建立在物理網(wǎng)絡(luò)上的邏輯網(wǎng)絡(luò)。該網(wǎng)絡(luò)中的結(jié)點(diǎn)可以看做通過虛擬或邏輯鏈路而連接起來的。

Overlay網(wǎng)絡(luò)具有獨(dú)立的控制和轉(zhuǎn)發(fā)平面，對于連接在Overlay邊緣設(shè)備之外的終端系統(tǒng)來說，物理網(wǎng)絡(luò)是透明的。

Overlay網(wǎng)絡(luò)是物理網(wǎng)絡(luò)向云和虛擬化的深度延伸，使云資源池化能力可以擺脫物理網(wǎng)絡(luò)的限制，是實(shí)現(xiàn)云網(wǎng)融合的關(guān)鍵。

1.Overlay技術(shù)如何應(yīng)對挑戰(zhàn)

（1）虛擬機(jī)遷移范圍受限的解決方式

Overlay技術(shù)是把二層報(bào)文封裝在IP報(bào)文之上的隧道技術(shù)。因此，只要網(wǎng)絡(luò)支持IP可達(dá)就可以部署Overlay網(wǎng)絡(luò)，且在網(wǎng)絡(luò)結(jié)構(gòu)上沒有特殊要求。路由網(wǎng)絡(luò)本身具備良好的擴(kuò)展能力、很強(qiáng)的故障自愈能力和負(fù)載均衡能力。采用Overlay技術(shù)后，企業(yè)不用改變現(xiàn)有網(wǎng)絡(luò)架構(gòu)就可用于支撐云計(jì)算業(yè)務(wù)，部署極其方便。

（2）業(yè)務(wù)規(guī)模受網(wǎng)絡(luò)規(guī)格限制的解決方式

部署Overlay網(wǎng)絡(luò)后，虛擬機(jī)數(shù)據(jù)封裝在IP數(shù)據(jù)包中，對于承載網(wǎng)絡(luò)（特別是接入交換機(jī)）只需要學(xué)習(xí)隧道端點(diǎn)的MAC，MAC地址規(guī)格需求極大降低。而對于核心網(wǎng)關(guān)處的設(shè)備表項(xiàng)（MAC/ARP）要求依然極高，采用分布式網(wǎng)關(guān)解決方案，通過多個(gè)核心網(wǎng)關(guān)設(shè)備提高表項(xiàng)的總體規(guī)格，有效解決核心設(shè)備規(guī)格表項(xiàng)受限問題。

（3）租戶數(shù)量限制的解決方式

Overlay技術(shù)擴(kuò)展了隔離標(biāo)識的位數(shù)，可以支持?jǐn)?shù)量高達(dá)16M（16X1024X1024）的用戶，極大地?cái)U(kuò)展了隔離數(shù)量，足以滿足超大規(guī)模公有云數(shù)據(jù)中心需求。針對廣播風(fēng)暴問題，Overlay對廣播流量轉(zhuǎn)化為組播流量，可以避免網(wǎng)絡(luò)本身的無效流量的帶寬浪費(fèi)。

2.Overlay網(wǎng)絡(luò)模型

根據(jù)客戶不同組網(wǎng)需求，Overlay分為三種組網(wǎng)模型（如圖1所示）。

（1）網(wǎng)絡(luò)Overlay。隧道封裝在物理交換機(jī)完成。這種Overlay的優(yōu)勢在于物理網(wǎng)絡(luò)設(shè)備性能轉(zhuǎn)發(fā)性能比較高，可以支持非虛擬化的物理服務(wù)器之間的組網(wǎng)互通。

（2）主機(jī)Overlay。隧道封裝在vSwitch完成，不用增加新的網(wǎng)絡(luò)設(shè)備即可完成Overlay部署，支持虛擬化的服務(wù)器之間的組網(wǎng)互通。

（3）混合Overlay。是網(wǎng)絡(luò)Overlay和主機(jī)Overlay的混合組網(wǎng)，可以支持物理服務(wù)器和虛擬服務(wù)器之間的組網(wǎng)互通。

當(dāng)前業(yè)界主流廠商對Overlay都是積極支持，但每個(gè)廠商的支持程度有所不同。目前思科主要支持網(wǎng)絡(luò)Overlay，Vmware僅支持主機(jī)Overlay，H3C支持以上三種類型的Overlay網(wǎng)絡(luò)架構(gòu)，并提供支持Overlay技術(shù)的全套軟硬件產(chǎn)品，以滿足不同客戶的各種組網(wǎng)需求。

3.實(shí)現(xiàn)Overlay網(wǎng)絡(luò)的三大技術(shù)方案

IETF在Overlay技術(shù)領(lǐng)域提出三大技術(shù)方案。分別是VXLAN、NVGRE和STT（有關(guān)三者的具體介紹詳見《IP領(lǐng)航》第29期“基于多租戶的云計(jì)算網(wǎng)絡(luò)”一文）。三者的簡單對比如表1所示。

總體比較，VXLAN利用了現(xiàn)有通用的UDP傳輸，成熟度極高，VXLAN技術(shù)具有更明顯的優(yōu)勢。

（1）L2-L4層鏈路HASH能力強(qiáng)，不需要對現(xiàn)有網(wǎng)絡(luò)改造（GRE有不足，需要網(wǎng)絡(luò)設(shè)備支持）。

（2）對傳輸層無修改，使用標(biāo)準(zhǔn)的UDP傳輸流量（STT需要修改TCP）。

（3）業(yè)界支持度最好，商用網(wǎng)絡(luò)芯片大部分支持。

三、數(shù)據(jù)中心間Overlay網(wǎng)絡(luò)

為了滿足災(zāi)備和擴(kuò)容的需求，越來越多的云計(jì)算數(shù)據(jù)中心跨越了多個(gè)位于不同地理位置的物理站點(diǎn)，在多個(gè)站點(diǎn)部署相同業(yè)務(wù)，并以主備或雙活模式對外提供服務(wù)。站點(diǎn)間資源動態(tài)調(diào)配管理的首要需求是虛擬機(jī)能夠跨站點(diǎn)透明遷移，遷移前后IP地址不變，所以必須在各站點(diǎn)間實(shí)現(xiàn)二層網(wǎng)絡(luò)互聯(lián)。數(shù)據(jù)中心之間二層互聯(lián)需要具備以下基本要求：1.站點(diǎn)相互獨(dú)立

數(shù)據(jù)中心間二層互聯(lián)后，某個(gè)站點(diǎn)的故障不會傳遞到其他站點(diǎn)，如廣播風(fēng)暴。另外，站點(diǎn)內(nèi)的拓?fù)浠ゲ挥绊懞鸵蕾嚒?/p>

2.傳輸無關(guān)性

對站點(diǎn)之間傳輸數(shù)據(jù)時(shí)使用的技術(shù)與站點(diǎn)位置、提供商的網(wǎng)絡(luò)無特殊要求，盡量使用最通用的技術(shù)，例如只要求核心網(wǎng)絡(luò)支持IP即可。

3.高可靠性

使用多歸屬來提供冗余接入，并具有在站點(diǎn)間避免流量環(huán)路的機(jī)制。

4.鏈路使用效率

站點(diǎn)之間的流量包括組播和廣播必須得到充分的優(yōu)化從而盡量節(jié)省帶寬，在具有冗余鏈路時(shí)實(shí)現(xiàn)負(fù)載分擔(dān)。

5.靈活性

數(shù)據(jù)中心互聯(lián)不要依賴于站點(diǎn)的拓?fù)浣Y(jié)構(gòu)，不對站點(diǎn)拓?fù)浣Y(jié)構(gòu)有特定要求。

6.運(yùn)營維護(hù)簡單

站點(diǎn)互聯(lián)使用的技術(shù)盡量簡單，可以快速新增和減少站點(diǎn)。邊緣設(shè)備上的配置要盡量簡單，并且對站點(diǎn)現(xiàn)有的網(wǎng)絡(luò)變動最小化，部署過程對流量轉(zhuǎn)發(fā)不產(chǎn)生影響。

傳統(tǒng)的二層互聯(lián)技術(shù)可以達(dá)到二層打通的目的（如表2所示），但是無法同時(shí)滿足數(shù)據(jù)中心二層互聯(lián)的基本要求，比如與鏈路形態(tài)無關(guān)、站點(diǎn)之間完全獨(dú)立等。傳統(tǒng)的二層互聯(lián)技術(shù)只是簡單地把二層范圍從一個(gè)數(shù)據(jù)中心擴(kuò)展到兩個(gè)數(shù)據(jù)中心，所以二層廣播域隨之?dāng)U展到兩個(gè)數(shù)據(jù)中心，無法實(shí)現(xiàn)故障的隔離。

為了彌補(bǔ)上述的不足，數(shù)據(jù)中心互聯(lián)解決方案EVI（以太網(wǎng)虛擬互聯(lián)）應(yīng)運(yùn)而生。EVI是一種先進(jìn)的“MACinIP”技術(shù)，基于IP核心網(wǎng)實(shí)現(xiàn)二層互聯(lián)。通過EVI連接到IP核心網(wǎng)的數(shù)據(jù)中心站點(diǎn)，就像是直接連接到二層交換機(jī)上，同時(shí)實(shí)現(xiàn)數(shù)據(jù)中心之間的安全隔離。EVI是H3C的一項(xiàng)專有技術(shù)，與此類似的技術(shù)還有Cisco的OTV。

EVI技術(shù)在實(shí)現(xiàn)數(shù)據(jù)中心之間二層互聯(lián)的基礎(chǔ)上，也滿足二層互聯(lián)的基本要求。通過ARP代答功能、未知目的報(bào)文抑制功能、協(xié)議報(bào)文抑制功能及多歸屬機(jī)制實(shí)現(xiàn)數(shù)據(jù)中心之間的安全隔離、高可靠、靈活部署的目標(biāo)。

EVI既支持以VLAN為單位，又支持以VXLAN為單位，在數(shù)據(jù)中心之間實(shí)現(xiàn)二層互聯(lián)，是目前最靈活最可靠的云間二層互聯(lián)解決方案。

四、Overlay網(wǎng)絡(luò)服務(wù)鏈（ServiceChain）

傳統(tǒng)數(shù)據(jù)中心的L4-L7層設(shè)備不僅部署復(fù)雜，而且有極強(qiáng)的拓?fù)湟蕾?，無法實(shí)現(xiàn)快速的橫向擴(kuò)展及自動化部署。解決這個(gè)問題，可以借助Overlay網(wǎng)絡(luò)服務(wù)鏈技術(shù)，輕松實(shí)現(xiàn)服務(wù)能力橫向擴(kuò)展，使業(yè)務(wù)上線快速安全。

數(shù)據(jù)報(bào)文在數(shù)據(jù)中心網(wǎng)絡(luò)中傳遞時(shí)，需要經(jīng)過各種各樣的服務(wù)節(jié)點(diǎn)，才能保證網(wǎng)絡(luò)能夠按照設(shè)計(jì)要求，提供給用戶安全、快速、穩(wěn)定的網(wǎng)絡(luò)服務(wù)。這些服務(wù)節(jié)點(diǎn)（ServiceNode），包括熟知的防火墻、入侵檢測、負(fù)載均衡等。通常網(wǎng)絡(luò)流量需要按照業(yè)務(wù)邏輯所要求的既定順序，穿過這些業(yè)務(wù)點(diǎn)，這就是服務(wù)鏈（ServiceChain）?？梢姺?wù)鏈并不是一個(gè)新的概念。而隨著軟件定義網(wǎng)絡(luò)（SDN）及網(wǎng)絡(luò)功能虛擬化（NFV）的不斷推進(jìn)，服務(wù)鏈逐漸變得更重要。

以H3C的Overlay網(wǎng)絡(luò)服務(wù)鏈解決方案為例，它是部署與實(shí)際物理位置無關(guān)的服務(wù)鏈方案，支持服務(wù)鏈的靈活編排、設(shè)備內(nèi)和設(shè)備間的混合業(yè)務(wù)編排、支持單向和雙向服務(wù)鏈，同時(shí)支持服務(wù)鏈的負(fù)載分擔(dān)及備份（如圖2所示）。

H3C的Overlay網(wǎng)絡(luò)服務(wù)鏈?zhǔn)腔诳刂破鞯慕鉀Q方案。通過VCFController內(nèi)置服務(wù)鏈功能模塊，可以管理所有的服務(wù)節(jié)點(diǎn)，在各個(gè)節(jié)點(diǎn)上配置多個(gè)服務(wù)鏈。服務(wù)鏈功能模塊提供北向API，供各種云管理系統(tǒng)使用；同時(shí)通過南向接口，管理服務(wù)節(jié)點(diǎn)，部署