—— 面向云計算虛擬化與自動化的網(wǎng)絡(luò)

在云計算時代，數(shù)據(jù)中心將成為我們應(yīng)用和數(shù)據(jù)交付關(guān)鍵中心，用戶從園區(qū)、遠程分支點、無線和互聯(lián)網(wǎng)不同位置訪問數(shù)據(jù)與服務(wù)，連接這些服務(wù)的網(wǎng)絡(luò)比以往來得更重要一些。云計算需要可靠的、橫向擴展和高性能網(wǎng)絡(luò)，從用戶接入、互聯(lián)網(wǎng)到數(shù)據(jù)中心。大規(guī)模部署虛擬化與云計算催生了以工作負載為中心的下一代數(shù)據(jù)中心網(wǎng)絡(luò)，復(fù)雜的網(wǎng)絡(luò)需要為工作負載提供端對端網(wǎng)絡(luò)資源響應(yīng)。如何應(yīng)對業(yè)務(wù)快速響應(yīng)需求是下一代數(shù)據(jù)中心網(wǎng)絡(luò)人員不得不面對的挑戰(zhàn)。以新觀點來解決網(wǎng)絡(luò)在新應(yīng)用下的挑戰(zhàn)，控制平面與轉(zhuǎn)發(fā)平面分離，軟件定義網(wǎng)絡(luò)為人們提供了新思路和新方法。筆者結(jié)合實際工作經(jīng)驗，與大量用戶交流與反饋，閱讀了國內(nèi)外一些書籍、互聯(lián)網(wǎng)資料，在本文就近十網(wǎng)絡(luò)發(fā)展、軟件定義網(wǎng)絡(luò)技術(shù)、發(fā)展趨勢和商業(yè)應(yīng)用等方面給出了業(yè)務(wù)挑戰(zhàn)、技術(shù)、經(jīng)濟分析和解決方案，希望對讀者有所啟發(fā)。

云計算網(wǎng)絡(luò)發(fā)展挑戰(zhàn)

云計算是實現(xiàn)方便、快速、簡單、按需訪問可配置計算資源的管理模型 (部分定義來自nist)，云計算是企業(yè)IT資源管理的高級階段，隨業(yè)務(wù)變化而變化，而不僅僅是IT技術(shù)簡單合并與應(yīng)用。云計算所包含內(nèi)容非常廣泛，分成不同層次，從最接近用戶的上層到最下面的物理層，包含有業(yè)務(wù)接口層、應(yīng)用平臺層、分布式操作系統(tǒng)層、虛擬化層、硬件架構(gòu)層和數(shù)據(jù)中心設(shè)施層、運營商網(wǎng)絡(luò)層，同時有支撐不同層次之間管理和平臺，技術(shù)之外就作為商業(yè)模式出現(xiàn)的云服務(wù)交付體系和互聯(lián)互通標(biāo)準(zhǔn)等。而架構(gòu)即服務(wù)云計算是什么呢，很簡單，就是根據(jù)用戶需求，在虛擬化層、硬件層和數(shù)據(jù)中心設(shè)施基礎(chǔ)等實現(xiàn)動態(tài)資源管理與調(diào)配的云計算服務(wù)，具備了這些特征計算模式就可以稱之為架構(gòu)即服務(wù)云。

云計算高級智能模式將使每個計算節(jié)點進化成獨立反應(yīng)單元，計算節(jié)點無條件反射處理由本身獨立處理完成，而高級條件反射和智能分析則通過云計算高級神經(jīng)中樞完成。與生物進化過程相比較，云計算進化過程類似于生物從低等到高等進化過程。目前計算資源對業(yè)務(wù)反應(yīng)模式還只是處于無脊椎動物十分有限能力階段，非常不靈活，而隨著芯片技術(shù)和軟件能力進階，慢慢地計算資源調(diào)度模式就會進化到有脊椎動物高級復(fù)雜階段。在進化過程中，計算單元單位體積內(nèi)的芯片處理能力和密度每一年半翻倍提升，與此同時，起著傳輸神經(jīng)信息的網(wǎng)絡(luò)變得更加復(fù)雜，神經(jīng)網(wǎng)絡(luò)路徑數(shù)目與計算細胞單元是幾何平方匹配。

用戶需求不斷變化，導(dǎo)致網(wǎng)絡(luò)越來越復(fù)雜

十年以來，用戶數(shù)量指數(shù)增長，網(wǎng)絡(luò)數(shù)據(jù)、流量和管理發(fā)展使得用戶和網(wǎng)絡(luò)設(shè)備不堪重負。Cisco交換機固件文件大小從原來的300K到現(xiàn)在的幾十兆，路由器IOS軟件從1998的8兆左右到現(xiàn)在幾百兆到幾個G都是常見的的事。網(wǎng)絡(luò)設(shè)備操作系統(tǒng)源代碼行數(shù)也增長到幾百萬條，越來越多的網(wǎng)絡(luò)控制協(xié)議被加入到網(wǎng)絡(luò)操作系統(tǒng)中，廠家的研發(fā)難度不斷加大，用戶的學(xué)習(xí)成本不斷增加。尤其是控制平面的功能特性，從基本的OSPF、BGP、多播和查分服務(wù)質(zhì)量保證到多協(xié)議標(biāo)記交換（MPLS）、流量工程Traffic Engineering（又分為基于路由協(xié)議的流量工程如OSPF-TE和基于4層應(yīng)用的流量工程如RSVP-TE）、大規(guī)模地址轉(zhuǎn)換（NAT）、智能分析處理防火墻、不同形式2/3層虛擬專用網(wǎng)VPN、IPv6與IPv4互相混搭、移動 IP網(wǎng)絡(luò)、用戶管理認證授權(quán)和訪問、記錄功能等等，無數(shù)越來越多的用戶要求被加入到網(wǎng)絡(luò)交換節(jié)點里面來，以致領(lǐng)先網(wǎng)絡(luò)公司都宣稱自己是軟件公司而不是硬件公司了。每個網(wǎng)絡(luò)設(shè)備變成了恐龍一樣的怪物，讓人見而生畏。雖然在第一時間解決用戶痛點和滿足市場要求是我們網(wǎng)絡(luò)供應(yīng)商的責(zé)任和期望，不夠遺憾的是由于網(wǎng)絡(luò)軟件控制特性與硬件集成度高，從初期協(xié)議想法到協(xié)議標(biāo)準(zhǔn)化大一般需要十年，而從標(biāo)準(zhǔn)化到規(guī)模部署又需要三到五年，導(dǎo)致用戶需求總是被嚴重地推遲滿足。另一方面，由于網(wǎng)絡(luò)協(xié)議與廠家硬件系統(tǒng)架構(gòu)高度集成，而傳統(tǒng)網(wǎng)絡(luò)主體架構(gòu)都是封閉（盡管廠家可能使用通用商業(yè)化產(chǎn)品作為收發(fā)芯片），所以與之配套的軟件開發(fā)和驗證只能由網(wǎng)絡(luò)廠家根據(jù)商業(yè)利益最大化決定推動，用戶不得不忍受被鎖定的痛苦。而用戶被鎖定后，基于用戶最大利益創(chuàng)新愿望對廠家來講就沒有那么強烈了，形成了需求與研發(fā)的負反饋效應(yīng)。

云計算虛擬化移動性，需要更加靈活敏捷的網(wǎng)絡(luò)響應(yīng)

根據(jù)IDC統(tǒng)計（圖6），到2013年底虛擬機部署數(shù)量將是物理機的2.5倍，達到8千2百萬臺，虛擬機節(jié)省了大量的物理購買成本，但在管理復(fù)雜度上面造成運營成本增加也非常顯著，比如虛擬資源脫離了物理設(shè)備相對靜態(tài)信息，排錯難度大大增加。虛擬交換機既要與現(xiàn)有虛擬管理平臺兼容，又要應(yīng)對高度動態(tài)變化端設(shè)備，維護虛擬邏輯抽象鏈接，集成與交換硬件設(shè)備功能，從移動性、機動性、維護性和集成性分類如下：

• 跟蹤設(shè)備移動狀態(tài)。網(wǎng)絡(luò)端節(jié)點實體（比如虛擬機）的網(wǎng)絡(luò)狀態(tài)需要簡單確定，不同主機之間可相互遷移節(jié)點狀態(tài)。

• 響應(yīng)網(wǎng)絡(luò)動態(tài)變化。虛擬化環(huán)境最大特點是網(wǎng)絡(luò)高度狀態(tài)變化，跟蹤虛擬機加入和離開，虛擬機往前或往后即時移動，邏輯網(wǎng)絡(luò)環(huán)境快速變化，開放式控制平面控制流量和全局網(wǎng)絡(luò)自動發(fā)現(xiàn)管理。

• 維護虛擬化邏輯標(biāo)記。分布式虛擬交換機通常通過增加或管理虛擬機網(wǎng)絡(luò)數(shù)據(jù)，來維護虛擬網(wǎng)絡(luò)或邏輯區(qū)域上下文，這是容易理解的簡單方式，需要正確和高效管理這些虛擬化標(biāo)記。

• 集成操作系統(tǒng)和硬件。把虛擬數(shù)據(jù)轉(zhuǎn)發(fā)路徑設(shè)計成“卸載”模式，數(shù)據(jù)包處理由硬件芯片完成，以獨立軟件或硬件芯片方式實現(xiàn)靈活控制，增加虛擬化網(wǎng)絡(luò)性能。

云計算網(wǎng)絡(luò)管理方式改變——面向工作負載的網(wǎng)絡(luò)資源調(diào)度

要全面實現(xiàn)新一代數(shù)據(jù)中心數(shù)據(jù)管理移動性，就需要虛擬協(xié)調(diào)角色，統(tǒng)一規(guī)劃和部署IT智能基礎(chǔ)架構(gòu)，于是催生了工作負載為中心的IT管理模式，傳統(tǒng)分離IT管理模式不再合適，傳統(tǒng)IT資源分配的技術(shù)實現(xiàn)方式也不再合適。

工作負載是計算機所執(zhí)行工作的邏輯分類，它包括誰在做工作（Who）、做什么工作（What）和如何做工作（How），它以業(yè)務(wù)觀點來看工作分類，非IT技術(shù)特征。工作內(nèi)容包括部分系統(tǒng)運行應(yīng)用、用戶應(yīng)用連接和應(yīng)用交互。工作績效指標(biāo)包括響應(yīng)時間和吞吐量，也就是服務(wù)響應(yīng)水平。響應(yīng)時間是用戶發(fā)出請求與系統(tǒng)響應(yīng)之間的時間差。吞吐量是在一定時間內(nèi)完成了多少工作。工作負載工作內(nèi)容不一樣，IT資源消耗重點就不一樣，可以分為四類，CPU計算型、內(nèi)存緩沖型、存儲IOPS型或存儲帶寬型、網(wǎng)絡(luò)IOPS型或網(wǎng)絡(luò)帶寬型。保證服務(wù)器、存儲和網(wǎng)絡(luò)資源統(tǒng)一視圖，決定了以工作負載為中心的資源調(diào)度模式不但需要統(tǒng)一虛擬角色負責(zé)，還需要技術(shù)上對應(yīng)角色平臺保證。

#p#

軟件定義網(wǎng)絡(luò)介紹

一方面是控制平面與轉(zhuǎn)發(fā)平面集成，越來越復(fù)雜，創(chuàng)新緩慢；另一方面是虛擬化資源移動性要求更加強大靈活、簡單的控制平面，兩者之間的差距越來越大，用戶為使用網(wǎng)絡(luò)所付出的總擁有成本越來越大。難道對于解決這兩個問題用戶就永遙遙無期了嗎？非也，答案其實很簡單，一方面，既然軟、硬件綁定導(dǎo)致網(wǎng)絡(luò)發(fā)展和應(yīng)用緩慢，那么我們就把它們分開來，各自相對靈活獨立發(fā)展，開發(fā)實現(xiàn)基于標(biāo)準(zhǔn)硬件平臺的靈活簡單的控制平面。另一方面，云計算和虛擬化需要極大的網(wǎng)絡(luò)擴展性要求，當(dāng)前網(wǎng)絡(luò)轉(zhuǎn)發(fā)平面與控制平面都需要橫向擴展和極大性能增強，大家平行分離，而擴展模式下控制平面的控制信息本身流量有限并可預(yù)計，所以人們就不需要昂貴的專門高性能轉(zhuǎn)發(fā)芯片處理控制信息，那么經(jīng)濟性解決方案就是控制平面由獨立可擴展軟件實現(xiàn)。同樣一個方法，解決兩個大問題！于是一群先行者就開始軟件控制獨立與網(wǎng)絡(luò)轉(zhuǎn)發(fā)平面之旅，我們稱之為軟件定義網(wǎng)絡(luò)。

什么是軟件定義網(wǎng)絡(luò)？

軟件定義網(wǎng)絡(luò)，又有人稱為可編程網(wǎng)絡(luò)，就是將網(wǎng)絡(luò)設(shè)備配置平面從嵌入式節(jié)點獨立出來到軟件平臺，由軟件驅(qū)動的中央控制節(jié)點自動化控制的網(wǎng)絡(luò)架構(gòu)。軟件定義網(wǎng)絡(luò)以開放軟件模式替代傳統(tǒng)基于嵌入系統(tǒng)的、不夠靈活的控制平面。軟件定義網(wǎng)絡(luò)是新的網(wǎng)絡(luò)控制平面實現(xiàn)方法，它適應(yīng)了降低網(wǎng)絡(luò)復(fù)雜度、虛擬化和云計算的網(wǎng)絡(luò)需求。它的發(fā)展是對傳統(tǒng)網(wǎng)絡(luò)廠家封閉專有控制平面技術(shù)產(chǎn)生了的破壞性創(chuàng)新，將對網(wǎng)絡(luò)廠家變革導(dǎo)致巨大推力和影響。控制平面和轉(zhuǎn)發(fā)平面分離，轉(zhuǎn)發(fā)平面特性減少，專注而簡單，減少了設(shè)備硬件從而減少了資本性支出（Capex），運營性支出 Opex減少原因是集中的、橫向擴展和自動化簡化了網(wǎng)絡(luò)運行管理，減少人工支出。
 

圖1 軟件定義網(wǎng)絡(luò)示意圖

軟件定義網(wǎng)絡(luò)實際上核心技術(shù)本身并沒有什么創(chuàng)新，傳統(tǒng)交換或路由設(shè)備也都有獨立轉(zhuǎn)發(fā)平面或強大控制平面，只不過傳統(tǒng)模式轉(zhuǎn)發(fā)平面是通過在同一個機箱的不同接口模塊去完成，控制平面由機箱的路由交換控制模塊完成，缺點當(dāng)然是開放性不夠、及時響應(yīng)動態(tài)變化能力有限，原因是比如設(shè)備無法做到第三方編程自動化集成，每個設(shè)備需要單獨維護自己的地址表，有限CPU和內(nèi)存卻需要全網(wǎng)實時計算和動態(tài)處理。傳統(tǒng)網(wǎng)絡(luò)每個設(shè)備有點智能，但是非常有限，它們只能根據(jù)本節(jié)點進出數(shù)據(jù)流做出被動響應(yīng)，無法知道其他節(jié)點動態(tài)狀況。各個網(wǎng)絡(luò)節(jié)點離散式自我控制，只見個別樹木或樹葉，沒有大家統(tǒng)一協(xié)調(diào)的控制平面，不見整個網(wǎng)絡(luò)森林，所以對整個網(wǎng)絡(luò)來講，盡管實現(xiàn)了動態(tài)路由協(xié)議，其架構(gòu)基本是靜態(tài)的。傳統(tǒng)網(wǎng)絡(luò)所謂動態(tài)調(diào)度實現(xiàn)基礎(chǔ)也就是二層和三層的實現(xiàn)鏈路資源動態(tài)分配，而對于四到七層與二三層是否匹配和諧而調(diào)度，則心有余而力不足。即便有折中解決方案，也只是需要處在固定位置的昂貴負載均衡或安全設(shè)備協(xié)助完成。

理想的軟件定義網(wǎng)絡(luò)模式下，獨立的離散式智能從分支節(jié)點上收到中央控制節(jié)點，中央樞紐保持全網(wǎng)流量監(jiān)視和控制，從OSI 2層到7層實時把握網(wǎng)絡(luò)整體狀況，即時控制和調(diào)度，建立強大中央智能，對全網(wǎng)和100%垂直完整做出有效反應(yīng)。在軟件定義網(wǎng)絡(luò)環(huán)境下，中央控制節(jié)點可以根據(jù)相應(yīng)算法、邏輯、分析和規(guī)則，以軟件定義規(guī)范方式將配置信息推到交換和路由節(jié)點，完成路由或交換從中央控制節(jié)點接受特定格式指令規(guī)則過程，交換和路由節(jié)點更新數(shù)據(jù)轉(zhuǎn)發(fā)平面落地規(guī)則，完成數(shù)據(jù)轉(zhuǎn)發(fā)。中央控制節(jié)點針對每個細分的網(wǎng)絡(luò)路徑，按照一條條“信息流”細分，每個“信息流”數(shù)據(jù)落地轉(zhuǎn)發(fā)由每個特定交換或路由節(jié)點完成。當(dāng)計算或存儲資源變化時，中央控制節(jié)點根據(jù)分析結(jié)果重新調(diào)整節(jié)點配置規(guī)則，這樣就實現(xiàn)虛擬化和云計算網(wǎng)絡(luò)所需要的自動化和精細化動態(tài)配置管理。

#p#

常見專有軟件定義網(wǎng)絡(luò)

軟件定義網(wǎng)絡(luò)——vSphere之VNetwork體系架構(gòu)

VMware vShpere可以通過虛擬化交換機控制平面管理VLAN、QoS策略和ACL，vNetwork API提供了標(biāo)準(zhǔn)接口，網(wǎng)絡(luò)廠家根據(jù)接口開發(fā)與專有固件互動功能。網(wǎng)絡(luò)廠家在虛擬化控制臺安裝控制插件，當(dāng)虛擬機移動或變化時，對應(yīng)指令從vSphere API上層發(fā)出，插件被調(diào)用，指揮網(wǎng)絡(luò)節(jié)點調(diào)度物理交換資源，自然而然vShpere成為了虛擬化交換網(wǎng)絡(luò)的控制平面代理。Cisco Nexus 1000v就是一種基于VMware體系架構(gòu)的專用實現(xiàn)，它不但兼容了VSphere標(biāo)準(zhǔn)API，而且提供了標(biāo)準(zhǔn)Cisco IOS命令行方式。
 

圖2 vSphere的軟件定義網(wǎng)絡(luò)架構(gòu)

Dell Force10新一代數(shù)據(jù)中心架構(gòu)支持虛擬化感知軟件定義網(wǎng)絡(luò)。Dell Force10邊緣交換機FTOS可以安裝虛擬管理器插件到虛擬操作系統(tǒng)包括VMware和Citrix，當(dāng)虛擬控制平臺移動虛擬機時，通知插件以Hyperlink方式在目的交換機FTOS上運行配置腳本，自動配置與虛擬機所匹配的網(wǎng)絡(luò)資源，而后移動虛擬機。
 

圖3 Dell Force10 集成自動化及虛擬感知網(wǎng)絡(luò)架構(gòu) 來源：www.force10networks.com

軟件定義網(wǎng)絡(luò)——無線局域網(wǎng)

其實無線網(wǎng)絡(luò)控制器與無線接入點組成的無線網(wǎng)絡(luò)某種程度上也算軟件定義網(wǎng)絡(luò)應(yīng)用。以戴爾公司PowerConnect-W無線解決方案為例，無線接入點AP92/93系列提供無線接入轉(zhuǎn)發(fā)平面，無線控制器W650系列實現(xiàn)同一用戶認證，基于用戶服務(wù)質(zhì)量服務(wù)定義，集中管理加密信息，控制器分發(fā)控制策略到轉(zhuǎn)發(fā)平面接入點，控制器與接入點之間信息加密傳輸，組成完整、安全和可定義的無線網(wǎng)絡(luò)。
 

圖4 無線網(wǎng)絡(luò)軟件定義架構(gòu)

軟件定義網(wǎng)絡(luò)——Juniper QFabric

Juniper定義了專有的下一代網(wǎng)絡(luò)基礎(chǔ)架構(gòu)QFabric。QFabric是全新數(shù)據(jù)轉(zhuǎn)發(fā)平面和控制平面交換體系架構(gòu)，從邊緣交換到核心交換都采用了新型交換架構(gòu)，支持大規(guī)模節(jié)點接入。數(shù)據(jù)轉(zhuǎn)發(fā)平面有QF/Interconnect核心節(jié)點、QF/Node作為邊緣節(jié)點，控制平面由QF/Director組成。控制平面QF/Director由冗余x86物理服務(wù)器集群組成，通過雙千兆鏈接控制每個網(wǎng)絡(luò)節(jié)點，控制鏈路獨立于數(shù)據(jù)轉(zhuǎn)發(fā)平面鏈路，控制平面節(jié)點就是我們說軟件定義網(wǎng)絡(luò)的中央控制節(jié)點。 

圖5 瞻博QFabric系統(tǒng)架構(gòu)圖 來源：www.juniper.com

#p#

OpenFlow軟件定義網(wǎng)絡(luò)與應(yīng)用

開源軟件定義網(wǎng)絡(luò)OpenFlow架構(gòu)

Open Networking Foundation （ONF）開放式網(wǎng)絡(luò)基金會今年成立以來，OpenFlow規(guī)范得到主流網(wǎng)絡(luò)廠家追捧，尤其是最近在Las Vegas Interop 2011舉行網(wǎng)絡(luò)大會，OpenFlow大出風(fēng)頭。究其原因，其背后基本理念是軟件定義網(wǎng)絡(luò)（Software-Defined Network）。OpenFlow規(guī)范實際上是一整套軟件應(yīng)用程序接口，控制網(wǎng)絡(luò)數(shù)據(jù)如何轉(zhuǎn)發(fā)，可基于硬件實現(xiàn)，OpenFlow增加了定制轉(zhuǎn)發(fā)數(shù)據(jù)的控制程度，減少了支撐復(fù)雜控制所需的硬件成本。OpenFlow網(wǎng)絡(luò)控制節(jié)點可以通過規(guī)范與支持OpenFlow的交換節(jié)點溝通配置信息，決定數(shù)據(jù)轉(zhuǎn)發(fā)平面的轉(zhuǎn)發(fā)表，控制器與轉(zhuǎn)發(fā)節(jié)點間通過SSL加密傳輸。OpenFlow支持定義的“信息流”主要是從1層到4層的關(guān)鍵信息包括端口號、VLAN、MAC、以太網(wǎng)包頭、IP地址、 IP協(xié)議號、TCP端口號等。配置信息通常包括“信息流”和與之對于的動作。每個“信息流”有符合某種特征的數(shù)據(jù)包及動作組成，比如源IP/源Port，目的IP/目的Port，5種不同轉(zhuǎn)發(fā)動作。 

圖6 OpenFLow的架構(gòu)圖

圖7 OpenFlow“信息流”定義

用戶可以通過OpenFlow預(yù)設(shè)通用規(guī)則，每種不同網(wǎng)絡(luò)節(jié)點可以根據(jù)設(shè)備特點更新轉(zhuǎn)發(fā)平面規(guī)則，比如轉(zhuǎn)發(fā)交換機更新MAC地址轉(zhuǎn)發(fā)表、VLAN端口轉(zhuǎn)發(fā)表、1到4層轉(zhuǎn)發(fā)表，路由器修改訪問控制IP列表，防火墻修改進出端口規(guī)則等。

圖8 不同網(wǎng)絡(luò)節(jié)點應(yīng)用不同網(wǎng)絡(luò)“信息流”規(guī)則

OpenFlow它增加了網(wǎng)絡(luò)靈活控制能力，分布式節(jié)點智能通過OpenFlow指令得以實現(xiàn)，外部OpenFlow控制管理節(jié)點的實時控制，集中統(tǒng)一中央智能。OpenFlow根據(jù)運行實況實時控制分布式節(jié)點，分布式節(jié)點生成快速轉(zhuǎn)發(fā)表，無須進行復(fù)雜智能分析計算，只要執(zhí)行網(wǎng)絡(luò)轉(zhuǎn)發(fā)平面功能。當(dāng)新轉(zhuǎn)發(fā)節(jié)點加入到OpenFlow網(wǎng)絡(luò)時，自動從中央控制節(jié)點得的最新網(wǎng)絡(luò)配置信息，完成網(wǎng)絡(luò)自動化感知。而中央控制節(jié)點基于x86標(biāo)準(zhǔn)服務(wù)器架構(gòu)，強大計算能力和橫向擴展特性保證了控制平面擴展性和經(jīng)濟性。

OpenFlow獨立控制平面出現(xiàn)，TRILL或Shortest Path Bridging協(xié)議變得不是那么重要，因為OpenFlow控制器可以擁有有全網(wǎng)視圖，所以動態(tài)防止環(huán)路發(fā)生。OpenFlow不但增加了傳統(tǒng)轉(zhuǎn)發(fā)平面的效率，在提供高級網(wǎng)絡(luò)服務(wù)方面還可以展現(xiàn)獨特價值，比如多對一的網(wǎng)絡(luò)虛擬化，分布式負載均衡和分布式防火墻或入侵檢測，非常不同于傳統(tǒng)模式的一對多網(wǎng)絡(luò)虛擬化模式。每一類分布式網(wǎng)絡(luò)資源服務(wù)與單獨云租戶對應(yīng)，每個云租戶都有獨立的跨物理節(jié)點的虛擬化網(wǎng)絡(luò)，比如不同虛擬端口交換機，對租戶管理員來物理網(wǎng)絡(luò)端口透明，邏輯化網(wǎng)絡(luò)派生于在物理網(wǎng)絡(luò)資源上抽象出的網(wǎng)絡(luò)虛擬資源池。虛擬機移動后，當(dāng)虛擬機相應(yīng)“信息流”的第一個數(shù)據(jù)包到達移動后的本地交換機節(jié)點，如果本地交換機節(jié)點沒有發(fā)現(xiàn)匹配的轉(zhuǎn)發(fā)規(guī)則，整個數(shù)據(jù)報文會被送到中央管理節(jié)點，中央管理節(jié)點根據(jù)定義規(guī)則邏輯設(shè)定本地規(guī)則，并應(yīng)用到本地交換機的轉(zhuǎn)發(fā)表建立新的匹配項，之后的“信息流”不再通過管理節(jié)點，由轉(zhuǎn)發(fā)節(jié)點直接完成。

OpenFlow在虛擬化軟件交換機Open vSwitch應(yīng)用

Open vSwitch是多層虛擬化軟件交換機，它遵循Apache 2.0開源代碼版權(quán)協(xié)議，可用于生產(chǎn)環(huán)境，支持跨物理服務(wù)器分布式管理、擴展編程、大規(guī)模網(wǎng)絡(luò)自動化和標(biāo)準(zhǔn)化接口，實現(xiàn)了和大多數(shù)商業(yè)閉源交換機功能類似的軟件交換機。 OpenSwitch分離快速數(shù)據(jù)轉(zhuǎn)發(fā)平面，OpenFlow作為新型控制平面，不同物理主機的虛擬化交換機通過OpenFlow控制，集群組成分布式虛擬化交換機，還可以實現(xiàn)不同租戶虛擬機和虛擬網(wǎng)絡(luò)隔離。正是由于Open vSwitch對OpenFlow支持，推動了OpenFlow在開源虛擬化領(lǐng)域的應(yīng)用和發(fā)展。

#p#

軟件定義網(wǎng)絡(luò)商業(yè)價值應(yīng)用展望

軟件定義網(wǎng)絡(luò)OpenFlow在超大規(guī)模Web 2.0 網(wǎng)絡(luò)應(yīng)用

Web 2.0用戶如Google、Facebook的服務(wù)器臺數(shù)近百萬臺，單數(shù)據(jù)中心服務(wù)器數(shù)目也超過十萬臺，國內(nèi)公司如Tencent、Aliababa和Baidu安裝服務(wù)器數(shù)估計也超過數(shù)十萬臺。在這些超大規(guī)模服務(wù)器群的網(wǎng)絡(luò)設(shè)計與實現(xiàn)尤為重要，穩(wěn)定、可靠和高性能的網(wǎng)絡(luò)是Web 2.0業(yè)務(wù)的生命線。一方面在核心層實現(xiàn)高可靠性和高性能，另一方面是大量的服務(wù)器接入需要內(nèi)網(wǎng)、外網(wǎng)和管理網(wǎng)接口，3倍以上端口數(shù)目，大量接入層設(shè)備成本成為是基礎(chǔ)架構(gòu)成本的重要組成。為了進一步降低服務(wù)器成本，集中、整合與開源虛擬化是下一代Web 2.0架構(gòu)的發(fā)展趨勢，單一數(shù)據(jù)中心虛擬機數(shù)目將部署到上十萬臺，這種環(huán)境下的公共云虛擬化移動性比我們之前說私有云移動性來得技術(shù)更加復(fù)雜、管理更加困難，傳統(tǒng)網(wǎng)絡(luò)廠家設(shè)備非常難以滿足超大規(guī)模的“信息流”要求。

從傳統(tǒng)網(wǎng)絡(luò)架構(gòu)遷移到軟件定義網(wǎng)絡(luò)將是一個艱難的旅程。網(wǎng)絡(luò)技術(shù)應(yīng)用演變過程有兩種方式，一種是先邊緣后核心，另外一種是先中心后邊緣，不過從客戶心理學(xué)來看，先邊緣后核心是更容易接受的應(yīng)用方式，所以我們可以預(yù)計OpenFlow應(yīng)用過程也將是從邊緣到核心的應(yīng)用過程。具體方式是用戶在接入層采用支持OpenFlow交換機，建立獨立管理網(wǎng)，安裝獨立開發(fā)的或商用控制平臺軟件，測試和完善控制平臺軟件，從類OpenFlow交換機采集數(shù)據(jù)流量模式和優(yōu)化定義規(guī)則，并同時至頂向下從應(yīng)用角度分析，兩種分析方式結(jié)合抽象出網(wǎng)絡(luò)數(shù)據(jù)模型，這就是軟件定義網(wǎng)絡(luò)的規(guī)則基礎(chǔ)，從是什么推進到應(yīng)該是什么，再到如何是什么。

目前主流交換機廠家都還沒有推出OpenFlow交換機，NEC公司是第一個推出支持OpenFlow交換機的公司，產(chǎn)品型號是PF5240，帶有48個千兆和4個萬兆上聯(lián)端口，NEC還開發(fā)了OpenFlow控制器軟件支持PF5240或其它第三方OpenFlow兼容交換機。

圖9 OpenFlow基于3層網(wǎng)絡(luò)建立2層虛擬化轉(zhuǎn)發(fā)路徑

如上圖所示，OpenFlow在數(shù)據(jù)中心網(wǎng)絡(luò)里建立從一臺虛擬機到另外一臺虛擬機的轉(zhuǎn)發(fā)路徑，虛擬機與虛擬機之間的三層網(wǎng)絡(luò)基礎(chǔ)上建立了二層廣播域——虛擬以太網(wǎng)交換機，OpenFlow擴展了三層相對靜態(tài)功能，根據(jù)數(shù)據(jù)流動態(tài)建立負載均衡決策路徑，并依據(jù)虛擬化交換網(wǎng)絡(luò)配置改變最優(yōu)化的轉(zhuǎn)發(fā)路徑，從而簡化了大型數(shù)據(jù)中心3層網(wǎng)絡(luò)適應(yīng)2層虛擬機移動性要求。

軟件定義網(wǎng)絡(luò)OpenFlow在電信運營商網(wǎng)絡(luò)應(yīng)用

在傳統(tǒng)電信運營商網(wǎng)絡(luò)里，IP層網(wǎng)絡(luò)和傳輸網(wǎng)絡(luò)獨立分離的，它們分別單獨管理，IP網(wǎng)和傳輸網(wǎng)之間沒有交互，IP鏈路靜態(tài)配置，傳輸層電路或放大器也是靜態(tài)的，導(dǎo)致不同層次功能和資源重復(fù)，增加用戶采購成本和運營成本負擔(dān)。傳統(tǒng)網(wǎng)絡(luò)電路交換更無法自動感知報文交換要求，自動化控制平面操作，只是被動地依賴網(wǎng)管平臺手工操作，服務(wù)交付時間長達幾天，運營商只能是成為網(wǎng)絡(luò)帶寬銷售者。尤其在云計算環(huán)境下，需要跨越數(shù)據(jù)中心的資源管理，需要上層資源與物理鏈路層調(diào)度的匹配與自動化，每個租戶在數(shù)據(jù)中心之外需要建立虛擬網(wǎng)絡(luò)服務(wù)和實現(xiàn)自助管理。這樣用戶趨勢就是報文交換網(wǎng)絡(luò)與電路交換網(wǎng)絡(luò)融合，在同一平臺下管理和運維，報文交換和電路交換之間互動，實現(xiàn)不同層次間動態(tài)調(diào)度。但是問題是報文和電路融合非常困難，因為IP網(wǎng)絡(luò)和傳輸網(wǎng)絡(luò)架構(gòu)非常不一樣，整合運維非常困難，傳輸網(wǎng)絡(luò)保持不變，結(jié)果會造成融合更加膨脹，最后導(dǎo)致網(wǎng)絡(luò)不可用，所以有專家說了架構(gòu)融合才是真正融合。哪什么才是最佳控制和管理方式呢？可不可以基于1層到4層建立 “信息流”的控制方式呢？可以，解決思路是按光纖、放大器、時隙和報文內(nèi)容細分，從電路交換和報文交換抽象映射到2到4層信息流交換層，實現(xiàn)基于廣域網(wǎng)的網(wǎng)絡(luò)虛擬化。斯坦福大學(xué)的有關(guān)專家正在積極研究將報文交換和電路交換集成,，合并起來統(tǒng)一抽象并管理和控制，實現(xiàn)基于“信息流”網(wǎng)絡(luò)服務(wù)架構(gòu)，基于不同流量和應(yīng)用模型建立端對端網(wǎng)絡(luò)虛擬化，這些研究為OpenFlow在運營商網(wǎng)絡(luò)應(yīng)用提供無限的可能性。

圖10 運營商基于”流”統(tǒng)一控制管理網(wǎng)絡(luò)

#p#

軟件定義網(wǎng)絡(luò)發(fā)展挑戰(zhàn)

盡管軟件定義網(wǎng)絡(luò)發(fā)展可以幫助我們解決云計算網(wǎng)絡(luò)的管理和經(jīng)濟問題，前途是非常光明的，但從目前發(fā)展階段來看還是需要較長時間的發(fā)展和普及過程，從技術(shù)本身到管理和市場方面都有不少的挑戰(zhàn)。

第一點，每個控制節(jié)點和轉(zhuǎn)發(fā)節(jié)點需要維護大量“信息流”表，控制節(jié)點或轉(zhuǎn)發(fā)節(jié)點的內(nèi)存及其他資源需要相應(yīng)提高，大量突發(fā)的第一次“信息流”建立可能會導(dǎo)致新的“信息流”瓶頸問題。而且如果控制點故障，大量“信息流”需要在轉(zhuǎn)發(fā)節(jié)點重建，突發(fā)“信息流”配置對網(wǎng)絡(luò)性能和魯棒性都會有潛在的巨大影響。

第二點，OpenFlow成熟度問題，目前OpenFlow還只應(yīng)用于科學(xué)實驗和校園內(nèi)部網(wǎng)。沒有大規(guī)模產(chǎn)品化，量產(chǎn)之前的成本優(yōu)勢還是很大疑問。網(wǎng)絡(luò)供應(yīng)商選擇不多，沒有供應(yīng)商與供應(yīng)商橫向比較，企業(yè)難以通過市場競爭方式獲取新技術(shù)并最優(yōu)成本的產(chǎn)品。除了轉(zhuǎn)發(fā)節(jié)點成熟度問題外，因為目前并沒有商業(yè)化的控制平臺，如何實現(xiàn)控制節(jié)點軟件開發(fā)、如何維護升級也是大問題。OpenFlow產(chǎn)業(yè)的先行者還需要對企業(yè)用戶進行更多初期普及、培育、培訓(xùn)工作，幫助他們了解、測試和小規(guī)模測試軟件定義網(wǎng)絡(luò)新技術(shù)產(chǎn)品。

第三點，和大多數(shù)開源項目一樣，目前OpenFlow等項目無法像商業(yè)解決方案一樣有獨立的商業(yè)機構(gòu)為客戶提供專業(yè)從咨詢、、分析、設(shè)計、部署和運維管理服務(wù)，保證客戶網(wǎng)絡(luò)與IT系統(tǒng)運行。用戶需要更多更高水平的有經(jīng)驗的網(wǎng)絡(luò)維護人員，非一站式解決方案將導(dǎo)致學(xué)習(xí)成本比較高昂。盡管很多大公司參與OpenFlow項目，但是開發(fā)驅(qū)動力和技術(shù)支持主要來自社區(qū)自由軟件編程人員。所以成熟的閉源軟件定義網(wǎng)絡(luò)將繼續(xù)在普通企業(yè)應(yīng)用尤其是私有云起主導(dǎo)作用。

第四點，軟件定義網(wǎng)絡(luò)天生的安全風(fēng)險問題。集中智能雖然可以給運營管理帶來全網(wǎng)視圖和優(yōu)化，以簡化管理提高效率的好處，但是也帶來而外的管理風(fēng)險，中央中樞如果損壞或被黑客侵入怎么辦？（基于x86軟件系統(tǒng)顯然比私有嵌入架構(gòu)容易受到黑客攻擊，尤其是開源社區(qū)提供豐富源代碼），結(jié)果會導(dǎo)致全網(wǎng)癱瘓或變成僵尸網(wǎng)絡(luò)，變成又聾又啞或失去控制的龐大網(wǎng)絡(luò)怪物？網(wǎng)絡(luò)攻擊將從單點網(wǎng)絡(luò)節(jié)點直接上升為集中網(wǎng)絡(luò)控制器，后果將更加嚴重。

作者簡介

李海平，郵件：haipingli@139.co，新浪微博”行云流水萬泉河”，近20年IT行業(yè)市場和管理經(jīng)驗，清華大學(xué)畢業(yè)，香港科技大學(xué)MBA，CCIE#4435 (R&S、SNA/IP)，熱衷研究應(yīng)用經(jīng)濟學(xué)、商業(yè)管理和IT產(chǎn)業(yè)發(fā)展，在IT商業(yè)分析、IT與業(yè)務(wù)整合、云計算、應(yīng)用架構(gòu)、虛擬化、服務(wù)器、網(wǎng)絡(luò)和存儲業(yè)務(wù)拓展及管理等方面有多年經(jīng)驗。擔(dān)任國際分布式管理任務(wù)工程組會員(DMTF)、國際存儲工業(yè)協(xié)會會員(SNIA)、外設(shè)組件互聯(lián)組織會員(PCI-SIG)和串行ATA國際組織會員(SATA)。目前負責(zé)Dell大中華區(qū)下一代數(shù)據(jù)中心刀片服務(wù)器與網(wǎng)絡(luò)業(yè)務(wù)，積極推動中國客戶發(fā)展新興技術(shù)，應(yīng)用戴爾全球客戶最佳實踐。