白皮书在企业中采用软件定义网络目录总体概述...1 业务挑战...2 英特尔数据中心中不断演变的云应用 : 存储计算和网络...2 支持编程的虚拟化网络和其业务优势...3 解决方案...3 选择 SDN 架构...4 覆盖网络架构...4 更改安全架构...6 职能和责任

Size: px

Start display at page:

Download "白皮书在企业中采用软件定义网络目录总体概述...1 业务挑战...2 英特尔数据中心中不断演变的云应用 : 存储计算和网络...2 支持编程的虚拟化网络和其业务优势...3 解决方案...3 选择 SDN 架构...4 覆盖网络架构...4 更改安全架构...6 职能和责任"

条怪登
7 years ago
Views:

1 白皮书英特尔 IT 数据中心能效软件定义网络 2014 年 4 月在企业中采用软件定义网络总体概述通过可编程的界面来实现网络的虚拟化, 为英特尔应用开发人员提供更出色的支持英特尔 IT 正在采用软件定义网络 (software-defined networking, 简称 SDN) 来支持网络和网络服务的按需配置我们通过可编程的界面来实现网络的虚拟化, 从而为内部用户, 即在快速变化灵活开发环境中工作的英特尔应用开发人员, 提供更出色的支持这些用户需要轻松地访问网络资源, 而无需协商配置网络和供应服务所带来的瓶颈 SDN 可以帮助从数据中心的虚拟机定义哪些用例可以保证 SDN 的实施 (virtual machine, 简称 VM) 中获取更测试和分析不同的 SDN 架构, 以了解多业务价值, 并提供以下的额外收益 : 节点之间的数据流缩短网络配置时间对那些会在自助服务环境中创建网络, 在自助服务环境中简化网络创建流程但不一定有网络工程相关背景的员工来说, 职能和责任的改变改进网络管理效率, 降低服务成本随着采用 SDN 并在虚拟化环境中部署, 最近, 行业对 SDN 组件进行了一些性能和我们将继续评估 SDN 组件和架构如何为扩展方面的改进在过去的两年, 我们一用户消除网络服务障碍, 帮助他们更快速直在评估下列内容, 以帮助确定部署 SDN 地部署应用的优势 : Sridhar Mahankali 英特尔 IT 云网络工程师 Sanjay Rungta 英特尔 IT 高级首席工程师

2 白皮书在企业中采用软件定义网络目录总体概述...1 业务挑战...2 英特尔数据中心中不断演变的云应用 : 存储计算和网络...2 支持编程的虚拟化网络和其业务优势...3 解决方案...3 选择 SDN 架构...4 覆盖网络架构...4 更改安全架构...6 职能和责任的变更...6 初步成果...7 下一步工作...7 结论...7 相关信息...7 缩写词...7 业务挑战英特尔 IT 管理着 64 个数据中心的约 55,000 台服务器, 为 104,000 多名员工提供支持 1 十多年来, 英特尔 IT 一直在我们支持办公企业和服务应用的数据中心环境中对服务器进行虚拟化在 2000 年, 我们需要用 90 多天的时间来配置一台虚拟机, 如今使用的是按需配置的方法, 从而帮助开发应用的业务部门 (business unit, 简称 BU) 加快产品设计和上市在支持英特尔办公企业和服务的数据中心里, 超过 85% 的工作负载都在虚拟机上运行然而, 网络资源仍然是按需配置的瓶颈所在, 尤其是在办公和企业应用方面因此, 我们正在寻找一款能助力加速网络服务配置的解决方案, 以更高的效率运营业务英特尔数据中心中不断演变的云应用 : 存储计算和网络如表 1 的时间表所示, 虚拟化技术在英特尔的使用可以追溯到 2000 年到 2009 年, 只有 12% 的企业计算环境是虚拟化环境那时候, 英特尔需要用 90 多天的 1 为了定义数据中心, 英特尔采用了 IDC 的数据中心规模分类 : 任何面积大于 100 平方英尺, 用于容纳服务器和其它基础设施组件的机房时间配置一台虚拟机, 而且虚拟化环境的可靠程度存在很大的变数我们从 2009 年开始对大部分支持办公和企业应用的数据中心服务器环境进行虚拟化到 2012 年, 也就是短短 3 年之后, 英特尔就将 75% 的企业计算环境虚拟化, 实现了 % 的可用率, 并可以按计算的需要来配置在 2014 年及以后 (85% 的企业计算虚拟化环境 ), 我们打算继续提供虚拟化的计算存储和网络服务, 并为这些服务的按需配置提供支持, 以便快步跟上英特尔应用开发生态系统的快速发展使用之前的模式, 配置一个网络总共需要 4 到 6 小时的时间这一过程中包含启动和停止, 大量的网络配置请求以及其他复杂工作, 整个网络配置流程可能需要 13 天的时间安全设置本地和全球负载平衡和域名系统 (domain name system, 简称 DNS) 配置等其他应用着陆任务中都存在延迟为了应对不断增加的需求, 我们需要转变模式, 在支持办公和企业应用的数据中心服务器环境中部署可编程的网络组件, 以便可以按需要来动态配置网络尽管虚拟局域网 (virtual LAN, 简称 VLAN) 和 IT@INTEL IT@Intel 计划将全球各地及在我们机构中的 IT 专业人员紧密联系在一起, 共同分享经验教训方法和战略我们的目标十分简单 : 分享英特尔 IT 获得业务价值并实现 IT 竞争优势的最佳实践如欲获得更多信息, 请访问或联系您当地的英特尔代表表 1: 我们在 2000 年, 只有少量的虚拟机 (VM); 在 2010 年, 有了私有云环境 ; 而如今, 已经实现了混合云环境年之后传统托管主流虚拟化英特尔私有云 1.0 虚拟化服务器 12% 42% 75% 85% 供应超过 90 天 10 天按需计算混合云 2.0 融合的云按需计算网络和存储服务需求手动手动部分按需完全自助服务可靠程度服务器的可靠程度常有变化 99.7% 的 VM 可靠程度 99.7%-99.9% 稳定 99.9% 稳定 2

3 在企业中采用软件定义网络白皮书虚拟路由转发 (virtual routing and forwarding, 简称 VRF) 支持对物理网络中的某些网络资源进行虚拟化, 但这些技术本身并不具备自动化和自助服务所必需的编程功能支持编程的虚拟化网络和其业务优势将支持编程的网络服务组件集成至数据中心网络可以帮助提高灵活度, 简化配置流程, 并降低总体拥有成本 (total cost of ownership, 简称 TCO) 灵活度负载均衡器和防火墙等配置网络和供应服务可能会在整个应用着陆流程中产生瓶颈凭借可支持编程的虚拟化网络, 可以将中央管理控制台中的网络资源动态配置, 或使用 API 构建额外的定制自动化预计大部分的英特尔数据中心网络服务都可以按需供应, 无需网络管理员干预简单支持按需供应的虚拟化网络可以降低网络管理员的工作负担, 并可以帮助英特尔的内部用户更轻松地创建和管理自己的应用开发网络总体拥有成本支持自动配置网络设备的虚拟化网络可以减少手动配置各个网络组件的需要预计这种可编程的全局网络视图可以帮助降低我们的网络运营成本解决方案图 1 所示的软件定义网络 (softwaredefined networking,sdn) 支持采取与服务器虚拟化相似的方法将企业数据中心网络虚拟化 SDN 将控制层与数据层分离, 为支持 SDN 的网络部分提供了一个集中的可编程界面由于提供可编程的网络组件,SDN 可支持更新的多租户模式以及分布式安全访问控制, 提高扩展功能, 并支持通过网络应用快速开展服务创新我们设计并在企业数据中心网络中采用的基于 OpenStack* 的私有云环境为集成 SDN 元素提供了一个框架 OpenStack 的 Neutron API 支持使用开源和专有的可编程网络组件来配置修改和删除网络服务 SDN 的功能在业内相对较新, 正在继续发展成熟英特尔 IT 正在对 SDN 进行评估, 以确定 SDN 能否缩短网络配置时间, 简化网络服务配置流程, 并降低服务成本评估集中在测试和分析 SDN 控制器的性能上作为 SDN 的核心,SDN 控制器可以提供针对每个租户网络的逻辑视图, 并管理网络硬件和租户之间的流程控制图 1: 正如服务器虚拟化创建多个与物理服务器相分离的虚拟机 (VM) 一样, 网络虚拟化即软件定义网络 (SDN) 可以创建多个与物理网络组件相分离的虚拟网络网络演变 : 从硬件锁定到开放软件当计算机网络开始流行时, 只有少数供应商既制造硬件 ( 包括驱动硬件的硅芯片 ), 也制造软件这需要企业购买硬件软件和配套服务, 以便对来自不同供应商的网络进行配置随着行业逐步成熟, 一些供应商开始集中精力专门开发硬件组件因此, 软件市场已经开放, 并允许第三方开发和扩展软件功能随着软件定义网络 ( 简称 SDN) 的出现, 企业可以规范软件的开发流程, 并使其更加开放我们相信, SDN 可以帮助企业不再局限于单一供应商, 同时也可将网络配置流程简化和自动执行 3

4 白皮书在企业中采用软件定义网络选择 SDN 架构我们的评估结果表明,SDN 有两种部署方式第一种方法使用 OpenFlow*, 一种开放标准的通信接口, 支持直接访问和操作交换机转发表第二种方法使用的是覆盖网络 (overlay network), 这种网络由构建于现有网络基础上的节点和逻辑链接组成覆盖网络会创建一种在现有物理网络中不可用的网络服务, 其中每个逻辑链接可能包括基础网络中的多个物理链接 OpenFlow 需要使用新的硬件来支持 OpenFlow 转发表覆盖网络不需要任何额外硬件, 因此无需投资新设备此外, OpenFlow 还有不同的版本, 并未所有 SDN 控制器和网络硬件供应商支持相同的版本 OpenFlow 适合在数据流不稳定网络需要根据数据流的变化进行重新编程的情况下使用但是, 由于我们的计算环境使用的硬件包括各个品牌种类和型号, 而且源节点和目标节点之间建立的数据流通常是可预测的, 因此对我们来说, 覆盖网络能够带来比 OpenFlow 更多的价值从 2012 年到 2013 年中期, 我们测试了 4 个包含多个架构的 SDN 控制器, 包括基于覆盖网络的架构和基于 OpenFlow 的架构测试标准包括网络带宽和性能基准图 2 展示了我们的测试系统测试分三个阶段进行 : 第 1 阶段 :SDN 控制器的性能问题这一阶段的测试在 2012 年初期, 为验证 SDN 概念提供了支持, 并为所有被测试的 SDN 控制器性能方面确定了一些共同的问题这些问题都需要业界在采用技术之前加以解决例如, 一个没有覆盖网络, 使用万兆位以太网 (10 gigabit Ethernet,10 GbE) 的测试场景显示, 两个管理程序中的两个虚拟机的吞吐量为 9.39 Gbps 使用覆盖网络的相同设置则只有 3.3 Gbps 的吞吐量向管理程序中添加更多 VM 时, 性能并没有获得改善, 这表明, 覆盖驱动程序没有得到优化第 2 阶段 : 在扩展方面的挑战这一阶段的测试在 2012 年末和 2013 年初, 提高吞吐率了, 但遇到了在扩展方面的挑战 : 架构无法针对大量的虚拟机和数据流而扩展每个通信都会启动新的数据流且不会终止, 因此即使在大量虚拟机中, 隧道数量也会增加第 3 阶段 : 优化的数据流最后一个阶段的测试于 2013 年中期进行, 测试结果显示, 产品供应商已经解决了数据流量激增的问题, 并且软件已经趋于成熟和稳定虽然各家供应商解决问题的方式不同, 但结果是, 每个虚拟机都能够保持通信, 无需广播至其它虚拟机 ; 数据流的建立根据源地址和目标地址也得到优化覆盖网络架构 SDN 覆盖网络配置在优化数据中心的数据流方面提供最大价值在 2013 年下半年, 我们在实际使用环境中部署了一个覆盖网络图 3 展示了较高层面的 SDN 架构架构的三个主要组件是 SDN 控制器网关节点和管理程序节点, 都是通过虚拟交换机与虚拟机相连 1 2 n 图 2: 英特尔的测试配置在评估软件定义网络 (SDN) 的过程中, 我们使用一种基于覆盖网络的架构来测试和监控 SDN 控制器的性能扩展和数据流优化的情况 4

5 在企业中采用软件定义网络白皮书 SDN 控制器 SDN 控制器通过从硬件中提取网络来实现 SDN 网络 SDN 控制器实际上是一个软件应用, 而不是硬件它负责管理应用和网络设备之间的通信在大型部署项目中, 可能有多个 SDN 控制器, 这些控制器会创建一个 SDN 控制器集群中央控制台方法会产生以优化通信流和自动化配置为特征的智能网络, 并会在单一控制台中提供网络的整体视图优化的数据流传统网络拥有一条从通信流来源到其目的地的单一路径 SDN 控制器可以确定一条通信流的多个路径, 并可以跨多个节点划分通信流的流量 SDN 控制器可以根据源节点和目标节点来优化特定数据流的网络路径这些功能可帮助提高网络性能和扩展自动化配置与使用传统的手动方式逐一把网络设备配置相比,SDN 控制器支持自动配置网络设备, 可节省时间, 配置更为准确和一致, 并在网络条件发生变化时可以轻松调整从本质上讲, SDN 控制器可将整个网络架构作为一台设备来管理网络的整体视图 SDN 控制器的控制台为网络管理员提供了整个网络的全局视图, 可帮助提高决策和管理效率与传统的网络相比,SDN 控制器的可编程接口可帮助网络管理员更容易控制网络流量例如, 我们的安全策略可能会要求某个特定的服务器的入站数据必须经过防火墙但出站的数据流量由于不会构成安全威胁, 就不一定要经过防火墙传统的网络难以实现这种精细的控制水平凭借 SDN, 就算不是网络工程师的员工也可以轻松为控制器编程, 围绕防火墙重新定向出站流量这些策略可以通过 SDN 控制器应用在通信时段用户设备和应用的层次网关 / 服务节点网关节点提供了一种将 VLAN 的物理网络结构与支持 SDN 的云结构相集成的方法, 由 SDN 控制器来作配置和管理网关功能支持将两个环境相集成, 允许支持 SDN 的管理程序与不支持 SDN 的网络互相通信服务节点可处理虚拟机之间的广播多播和通信流建立管理程序节点管理程序节点负责托管虚拟机如图 3 所示, 每个管理程序节点都可以运行虚拟交换模块, 这个模块就是 SDN 控制器为租户构建虚拟网络的地方管理程序可以托管来自多个虚拟网络的虚拟机至于策略控制, 则由管理程序和虚拟机之间的虚拟交换机来管理 VM VM VM 图 3: 我们的覆盖软件定义网络 (SDN) 架构包含三个主要组件 :SDN 控制器集群网关 / 服务节点和管理程序节点从本质上讲,SDN 控制器支持将整个网络架构作为一台设备来管理 5

6 白皮书在企业中采用软件定义网络图 4: 这一安全组模式描述了我们基于 OpenStack* 的私有云环境在网络访问控制方面的灵活度和软件定义网络 (SDN) 的功能更改安全架构以用户为主和其他行业的趋势推动了虚拟化环境中的互联网应用大量面世我们过去将基于网络的分段和网络访问控制作为保护虚拟机的主要机制在传统的网络配置模式中, 需要依靠单一的外部防火墙设备对这些虚拟机和应用来控制网络的访问这类安全模式在扩展支持和风险方面带来了挑战例如, 一些外部防火墙不得不执行数千条安全规则, 这会带来安全管理上的问题, 增加发生安全隐患的可能凭借基于 OpenStack 的私有云环境与 SDN 功能, 我们可以转变为一种更加分散且以租户为中心的安全框架每个应用租户在英特尔的私有云中都各自获得虚拟网络环境的配置网络访问控制在租户的虚拟网络环境中, 由安全组来管理安全组在本上质是一批可在每个租户内开启的访问控制规则如图 4 所示, 可将多个安全组应用到虚拟机中, 从而定义该虚拟机的网络安全通过使用在主机上执行的应用租户级安全组, 可以为每个租户实施一套更易于管理的访问控制规则, 并启用自助服务来管理物理防火墙设备可用于保护数据中心的周边, 需要一套更小更易于管理的安全规则职能和责任的变更以后在创建网络实例时, 步骤和流程不需要交由网络团队服务器团队和计算团队各自分别负责一部分借助 SDN, 过去部署在物理网络设备中的网络功能现在可以部署在虚拟网络中因此, 系统管理员和网络管理员之间的技能各有不同, 而采用 SDN 则需要将其组合起来自助服务网络的实际应用软件定义网络 (software-defined networking, 简称 SDN) 使网络服务配置成为非网络管理员的员工可以自助使用的服务例如, 英特尔的 IT 创新项目经理 Thomas Birch 就使用 SDN 来创建网络, 支持英特尔业务部门 (business unites, 简称 BU) 推出 web 服务这一截图来自于 Birch 用于管理所创建网络的 web 界面针对其用例,Birch 通过建立网络规则, 在虚拟机 (VM) 中设置了入站连接他可以看着自己的虚拟机资料, 确定哪些其它虚拟机需要与其通信以及原因, 并部署和测试网络实例所有操作均在 web 界面中进行在采用 SDN 之前,Birch 不得不向网络管理员申请所有网络服务的配置但现在他可以实时创建网络 Birch 表示 : 采用 SDN 之前, 自动化水平很有限, 设置需要大量的手动修改我需要 IT 工程师的帮助来打开特定端口, 这使我成了一个传话的中间人而 SDN 让我可以全面掌控一切为了创建自助服务网络, 员工使用 web GUI 来提供虚拟网络实例 6

7 在企业中采用软件定义网络白皮书为了弥补这一差距, 我们创建了云系统管理功能来自网络服务器和计算团队的代表负责开发和运营云环境这些代表会开展协作, 分享其技能负责配置网络但不一定具备网络相关背景知识的员工需要有一个学习的过程网络工程团队会帮助这些员工了解一些基本概念和网络安全实践, 其余工作由配置 GUI 提供指导我们还正在构建直观的应用环境模板, 以帮助客户更轻松地按需配置网络组件, 无需掌握广泛的网络知识初步成果服务供应时间正在改进 SDN 控制器的全局网络视图和 SDN 带来的自助服务优势正在帮助网络管理员减轻工作压力, 更能满足网络服务请求的服务水平协议 SDN 正在简化网络配置流程创建网络需要一些培训, 尤其是那些网络经验很少或不具备网络经验的员工然而, 在获得网络工程师的帮助并在 SDN 管理应用中工作后, 员工可以实现自助服务方法的优势他们将可以消除限制, 支持业务部门灵敏便捷地开发应用, 提高对网络部署的控制能力, 并实时部署和测试初步测试结果显示,SDN 可以改进网络管理效率, 降低服务成本我们还可以保留现有的基础架构投资, 减少对专有硬件和专用设备的依赖下一步工作在 2014 年, 我们将从 2013 年的初步部署来扩展覆盖网络的部署, 并继续探索 OpenFlow 的使用方法, 以提升覆盖网络的价值我们计划在云环境中使用 API 来实现负载均衡器和 web 应用防火墙等网络服务的虚拟化亦准备监控这些功能会在主机上的 CPU 有多少附加的容量使用, 并在适当时, 将处理负载卸载到较低级别的硬件或网络接口控制器 (network interface controller, 简称 NIC) 上尽管从管理程序环境迁移到 SDN 环境会带来许多挑战, 我们仍在寻找简化迁移过程的方法在从整体式安全模式演变为分布式安全模式的过程中, 还需将监控扩展, 特别是主机限制方面我们计划尽可能地卸载处理负载结论 SDN 支持对云环境的网络进行虚拟化, 并可以帮助除网络工程师以外的员工为覆盖网络组件编程, 以便动态地按需配置网络过去需要好几天来配置的网络服务, 现在可以通过自助服务方法实时执行我们正在实现以下 SDN 优势 : 提高服务供应速度简化自助式网络创建降低服务成本此外, 还可以更有效地控制现有的基础架构, 减少对专有硬件和专用设备的依赖相关信息请访问查看与主题相关的内容 : 英特尔 IT 为业务转型而实现的数据中心战略将数据中心网络架构升级至万兆位以太网如欲获得更多有关英特尔 IT 的最佳实践, 请访问 : 缩写词 BU 业务部门 DNS 域名系统 GbE 千兆位以太网 NIC 网络接口控制器 SDN 软件定义网络 SLA 服务水平协议 TCO 总体拥有成本 VLAN 虚拟局域网 VM 虚拟机 VRF 虚拟路由和转发 7

8 性能测试中使用的软件和工作负载可能仅在英特尔微处理器上进行了性能优化诸如 SYSmark* 和 MobileMark* 等性能测试均系基于特定计算机系统组件软件操作及功能上述任何要素的变动都有可能导致测试结果的变化请参考其他信息及性能测试 ( 包括结合其他产品使用时的运行性能 ) 以对目标产品进行全面评估配置 : 服务器 ( 被测系统 ) 客户端配置网络配置存储配置型号 : 英特尔 S5520UR(Urbanna) 处理器 : 英特尔至强处理器 X5680,3.33 GHz(2 个插槽, 每个插槽 6 个内核 ),96 GB 内存, 禁用超线程 BIOS:S B 网络适配器 :2 个英特尔以太网服务器适配器 X520-2,10GbE 连接至 10GbE 交换机网络驱动程序 :ixgbe vmw-NAPI 管理程序 :VMware ESX* 5.1 RC(build ) 来宾虚拟机配置 :1 vcpu,4 GB 内存,RHEL 6.2( el6.x86_64),vmxnet3 和 ixgbevf,24 个虚拟机 Big Switch Controller(Corona)- beta 版本型号 : 英特尔 S5520UR(Urbanna) 处理器 : 英特尔至强处理器 X5670,2.93 GHz(2 个插槽, 每个插槽 6 个内核 ),96 GB 内存, 禁用超线程 BIOS:S B 网络适配器 :2 个英特尔以太网服务器适配器 X520-2,10GbE 连接至 10GbE 交换机网络驱动程序 :ixgbe vmw-N 管理程序 :VMware ESX* 5.1 RC(build ) 来宾虚拟机配置 :1 vcpu,4 GB 内存,RHEL 6.2( el6.x86_64),vmxnet3,24 个虚拟机型号 :Extreme Networks Summit* X650 10GbE 交换机网络连接 : 2 个英特尔以太网服务器适配器 X520-2,10GbE 连接 ( 从服务器 ) 2 个英特尔以太网服务器适配器 X520-2,10GbE 连接 ( 从客户端 ) 1 个万兆位以太网控制器 IX1-SFP+,10GbE 连接 ( 从 NetApp FAS6240) NetApp FAS P1 版英特尔至强处理器 E5540,2.53 GHz(8 proc),48 GB 内存 512 GB 的 PAM-II NFS 存储 (10GbE) 应用 Netperf* 2.5 所用的数据收集工具从 Netperf 捕捉吞吐量使用 esxtop 实用程序, 捕捉 VMware ESX* 主机上的系统利用率本文旨在提供一般的信息, 并非特定指南推荐 ( 包括潜在成本节省 ) 全部基于英特尔的体验, 仅为预估英特尔不确认或担保他人会得出类似结果本文件中包含关于英特尔产品的信息本文件不构成对任何知识产权的授权, 包括明示的暗示的, 也无论是基于禁止反言的原则或其他除英特尔产品销售的条款和条件规定的责任外, 英特尔不承担任何其他责任英特尔在此作出免责声明 : 本文件不构成英特尔关于其产品的使用和 / 或销售的任何明示或暗示的保证, 包括不就其产品的 (i) 对某一特定用途是否适用 (ii) 适销以及 (iii) 对任何专利版权或其他知识产权的侵害的承担任何责任或作出任何担保英特尔 Intel 标识 Intel Xeon 英特尔至强 Look Inside. 和 Look Inside. 标识是英特尔在美国和 / 或其他国家的商标 * 其他的名称和品牌可能是其他所有者的资产英特尔公司 2014 年版权所有所有权保留 C 请注意环保 0414/WWES/KC/PDF

册子0906

册子0906 IBM SelectStack ( PMC v2.0 ) 模块化私有云管理平台是跨主流虚拟化技术的统一资源云管理平台 01 亮点 : 快速可靠地实现集成化私有云管理平台 02/03 丰富的功能支持企业数据中心云计算扩展性强 : 简单易用 : 04/05 功能丰富 : 06/07 为什么选择 IBM SelectStack (PMC v2.0)? 快速实现价值提高创新能力降低 IT 成本降低复杂度和风险