網路分流器－淺談網路資料中心IDC網路技術

戎騰網路分流器作為網路安全領域網路監控的重要基礎裝備，對整個網路安全至關重要，近年來隨著IDC產業的不斷髮展，越來越多的網路分流器，尤其是大流量高密度的網路分流器部署在IDC機房內，做為IDC防護的重要裝備，今天週末我們來談談一個老調重提的問題。

上面這三種，正交，盒式，ATCA都是大流量高密度低成本的裝置（湖南戎騰網路）技術實力和研發實力在業內算是一流！

一、為什麼需要這麼個大二層

     1. 虛擬化對資料中心提出的挑戰

     傳統的三層資料中心架構結構的設計是為了應付服務客戶端- 伺服器應用程式的縱貫式大流量，同時使網路管理員能夠對流量流進行管理。工程師在這些架構中採用生成樹協議(STP)來最佳化客戶端到伺服器的路徑和支援連線冗餘。

     虛擬化從根本上改變了資料中心網路架構的需求。最重要的一點就是，虛擬化引入了虛擬機器動態遷移技術。從而要求網路支援大範圍的二層域。從根本上改變了傳統三層網路統治資料中心網路的局面。

     2. 虛擬機器遷移與資料中心二層網路的變化

     在傳統的資料中心伺服器區網路設計中，通常將二層網路的範圍限制在網路接入層以下，避免出現大範圍的二層廣播域。

    由於傳統的資料中心伺服器利用率太低，平均只有10% ～15%，浪費了大量的電力能源和機房資源。虛擬化技術能夠有效地提高伺服器的利用率，降低能源消耗，降低客戶的運維成本，所以虛擬化技術得到了極大的發展。但是，虛擬化給資料中心帶來的不僅是伺服器利用率的提高，還有網路架構的變化。具體的來說，虛擬化技術的一項伴生技術—虛擬機器動態遷移（如VMware的VMotion）在資料中心得到了廣泛的應用。簡單來說，虛擬機器遷移技術可以使資料中心的計算資源得到靈活的調配，進一步提高虛擬機器資源的利用率。但是虛擬機器遷移要求虛擬機器遷移前後的IP和MAC地址不變，這就需要虛擬機器遷移前後的網路處於同一個二層域內部。由於客戶要求虛擬機器遷移的範圍越來越大，甚至是跨越不同地域、不同機房之間的遷移，所以使得資料中心二層網路的範圍越來越大，甚至出現了專業的大二層網路這一新領域專題。

     3. 傳統網路的二層為什麼大不起來

     在資料中心網路中，“ 區域”對應VLAN的劃分。相同VLAN內的終端屬於同一廣播域，具有一致的VLAN-ID，二層連通；不同VLAN內的終端需要透過閘道器互相訪問，二層隔離，三層連通。傳統的資料中心設計，區域和VLAN的劃分粒度是比較細的，這主要取決於“需求”和“網路規模”。

     傳統的資料中心主要是依據功能進行區域劃分，例如WEB 、APP、DB，辦公區、業務區、內聯區、外聯區等等。不同區域之間透過閘道器和安全裝置互訪，保證不同區域的可靠性、安全性。同時，不同區域由於具有不同的功能，因此需要相互訪問資料時，只要終端之間能夠 即可，並不一定要求通訊雙方處於同一VLAN或二層網路。

     傳統的資料中心網路技術，STP 是二層網路中非常重要的一種協議。使用者構建網路時，為了保證可靠性，通常會採用冗餘裝置和冗餘鏈路，這樣就不可避免的形成環路。而二層網路處於同一個廣播域下，廣播報文在環路中會反覆持續傳送，形成廣播風暴，瞬間即可導致埠阻塞和裝置癱瘓。因此，為了防止廣播風暴，就必須防止形成環路。這樣，既要防止形成環路，又要保證可靠性，就只能將冗餘裝置和冗餘鏈路變成備份裝置和備份鏈路。即冗餘的裝置埠和鏈路在正常情況下被阻塞掉，不參與資料包文的轉發。只有當前轉發的裝置、埠、鏈路出現故障，導致網路不通的時候，冗餘的裝置埠和鏈路才會被開啟，使得網路能夠恢復正常。實現這些自動控制功能的就是STP（SpanningTreeProtocol，生成樹協議）。

     由於STP 的收斂效能等原因，一般情況下STP的網路規模不會超過100臺 交換 機。同時由於STP需要阻塞掉冗餘裝置和鏈路，也降低了網路資源的頻寬利用率。因此在實際網路規劃時，從轉發性 能、利用率、可靠性等方面考慮，會盡可能控制STP網路範圍。

     4. 大二層也是為了流通的要求

隨著資料大集中的發展和虛擬化技術的應用，資料中心的規模與日俱增，不僅對二層網路的區域範圍要求也越來越大，在需求和管理水平上也提出了新的挑戰。

資料中心區域規模和業務處理需求的增加，對於叢集處理的應用越來越多，叢集內的伺服器需要在一個二層VLAN 下。同時，虛擬化技術的應用，在帶來業務部署的便利性和靈活性基礎上，虛擬機器的遷移問題也成為必須要考慮的問題。為了保證虛擬機器承載業務的連續性，虛擬機器遷移前後的IP地址不變，因此虛擬機器的遷移範圍需要在同一個二層VLAN下。反過來即，二層網路規模有多大，虛擬機器才能遷移有多遠。

     傳統的基於STP 備份裝置和鏈路方案已經不能滿足資料中心規模、頻寬的需求，並且STP協議幾秒至幾分鐘的故障收斂時間，也不能滿足資料中心的可靠性要求。因此，需要能夠有新的技術，在滿足二層網路規模的同時，也能夠充分利用冗餘裝置和鏈路，提升鏈路利用率，而且資料中心的故障收斂時間能夠降低到亞秒甚至毫秒級。

    二、 需要有多大

     既然二層網路規模需要擴大，那麼大到什麼程度合適？這取決於應用場景和技術選擇。

   1. 資料中心內

     大二層首先需要解決的是資料中心內部的網路擴充套件問題，透過大規模二層網路和VLAN 延伸，實現虛擬機器在資料中心內部的大範圍遷移。由於資料中心內的大二層網路都要覆蓋多個接入交換機和核心交換機，主要有以下兩類技術。

    ž 虛擬交換機技術

     虛擬交換機技術的出發點很簡單，屬於工程派。既然二層網路的核心是環路問題，而環路問題是隨著冗餘裝置和鏈路產生的，那麼如果將相互冗餘的兩臺或多臺裝置、兩條或多條鏈路合併成一臺裝置和一條鏈路，就可以回到之前的單裝置、單鏈路情況，環路自然也就不存在了。尤其是交換機技術的發展，虛擬交換機從低端盒式裝置到高階框式裝置都已經廣泛應用，具備了相當的成熟度和穩定度。因此，虛擬交換機技術成為目前應用最廣的大二層 。

     虛擬交換機技術的代表是某 公司的IRF、某公司的VSS，其特點是隻需要交換機軟體升級即可支援，應用成本低，部署簡單。目前這些技術都是各廠商獨立實現和完成的，只能同一廠商的相同系列產品之間才能實施虛擬化。同時，由於高階框式交換機的效能、密度越來越高，對虛擬交換機的技術要求也越來越高，目前框式交換機的虛擬化密度最高為4:1。虛擬交換機的密度限制了二層網路的規模大約在1萬～2萬臺伺服器左右。

      ž 隧道技術(網路分流器）

     隧道技術屬於技術派，出發點是借船出海。二層網路不能有環路，冗餘鏈路必須要阻塞掉，但三層網路顯然不存在這個問題，而且還可以做ECMP （等價鏈路），能否借用過來呢？透過在二層報文前插入額外的幀頭，並且採用路由計算的方式控制整網資料的轉發，不僅可以在冗餘鏈路下防止廣播風暴，而且可以做ECMP。這樣可以將二層網路的規模擴充套件到整張網路，而不會受核心交換機數量的限制。

     隧道技術的代表是TRILL 、SPB，都是透過借用IS-IS路由協議的計算和轉發模式，實現二層網路的大規模擴充套件。這些技術的特點是可以構建比虛擬交換機技術更大的超大規模二層網路（應用於大規模叢集計算），但尚未完全成熟，目前正在標準化過程中。同時傳統交換機不僅需要軟體升級，還需要硬體支援。

戎騰基於NPU和FPGA等方案的高效能網路分流器和移動信令採集裝置

     2. 跨資料中心

     隨著資料中心多中心的部署，虛擬機器的跨資料中心遷移、災備，跨資料中心業務負載分擔等需求，使得二層網路的擴充套件不僅是在資料中心的邊界為止，還需要考慮跨越資料中心機房的區域，延伸到同城備份中心、遠端災備中心。

     一般情況下，多資料中心之間的連線是透過路由連通的，天然是一個三層網路。而要實現透過三層網路連線的兩個二層網路互通，就必須實現“L2overL3” 。

    L2oL3 技術也有許多種，例如傳統的VPLS （MPLSL2VPN）技術，以及新興的CiscoOTV、H3CEVI技術，都是藉助隧道的方式，將二層資料包文封裝在三層報文中，跨越中間的三層網路，實現兩地二層資料的互通。這種隧道就像一個虛擬的橋，將多個資料中心的二層網路貫穿在一起。

另外，也有部分虛擬化和軟體廠商提出了軟體的L2overL3 技術解決方案。例如VMware的VXLAN、微軟的NVGRE，在虛擬化層的vSwitch中將二層資料封裝在UDP、GRE報文中，在物理網路拓撲上構建一層虛擬化網路層，從而擺脫對網路裝置層的二層、三層限制。這些技術由於效能、擴充套件性等問題，也沒有得到廣泛的使用。

戎騰多核NPU的高效能資料處理板卡

     三、結束語（網路分流器）

     大規模二層網路的需求目前已經非常的清晰，各廠商都提出了有針對性的技術和方案，滿足大二層的當前要求和未來擴充套件需求。但從實際應用情況來看，除了虛擬交換機技術在成熟度和應用性方面得到驗證，其他的相關技術仍然在完善過程中。同時，業界也希望加快相關技術的標準化程式，從而加強各廠商裝置的相容性和互通性，降低使用者的部署和維護成本。