“柔性”網(wǎng)絡為云應用而來
在云計算時代，數(shù)據(jù)中心將成為我們應用和數(shù)據(jù)交付關鍵中心，用戶從園區(qū)、遠程分支點、無線和互聯(lián)網(wǎng)不同位置訪問數(shù)據(jù)與服務，連接這些服務的網(wǎng)絡與以往相比更為重要。云計算需要可靠的、橫向擴展和高性能的網(wǎng)絡服務。大規(guī)模部署虛擬化與云計算催生了以工作負載為中心的下一代數(shù)據(jù)中心網(wǎng)絡，復雜的網(wǎng)絡需要為工作負載提供端到端的網(wǎng)絡資源響應。如何以新觀點來解決網(wǎng)絡在新應用下的挑戰(zhàn)呢?控制平面與轉發(fā)平面分離的軟件定義網(wǎng)絡為人們提供了新思路和新方法。
云計算發(fā)展與網(wǎng)絡管理挑戰(zhàn)
用戶需求不斷變化，導致網(wǎng)絡越來越復雜
十年以來，用戶數(shù)量呈指數(shù)增長，網(wǎng)絡數(shù)據(jù)、流量和管理發(fā)展使得用戶和網(wǎng)絡設備不堪重負。Cisco交換機固件文件大小從原來的300K到現(xiàn)在的幾十兆，路由器IOS軟件從1998年的8兆左右到現(xiàn)在幾百兆甚至幾個G都是常見的的事。網(wǎng)絡設備操作系統(tǒng)源代碼行數(shù)也增加到了數(shù)百萬條，越來越多的網(wǎng)絡控制協(xié)議被加入到網(wǎng)絡操作系統(tǒng)中，廠家的研發(fā)難度不斷加大，用戶的學習成本不斷增加。
尤其是控制平面的功能特性，從基本的OSPF、BGP、多播、多協(xié)議標記交換(MPLS)、流量工程(Traffic Engineering)、大規(guī)模地址轉換(NAT)、智能分析處理防火墻、不同形式2/3層虛擬專用網(wǎng)VPN、IPv6與IPv4互相混搭、移動 IP網(wǎng)絡、用戶管理認證授權和訪問、記錄功能等等，越來越多的用戶要求被加入到網(wǎng)絡交換節(jié)點里面來，以致領先的網(wǎng)絡公司都宣稱自己是軟件公司而不是硬件公司了。現(xiàn)如今每個網(wǎng)絡設備幾乎變成了恐龍一樣的怪物，讓人見而生畏。
雖然在第一時間解決用戶痛點和滿足市場要求是網(wǎng)絡供應商的責任和期望，不過遺憾的是由于網(wǎng)絡軟件控制特性與硬件集成度較高，從初期的協(xié)議想法到協(xié)議標準化一般需要十年，而從標準化到規(guī)模部署又需要三到五年，導致用戶需求總是被嚴重地推遲滿足。另一方面，由于網(wǎng)絡協(xié)議與廠家硬件系統(tǒng)架構高度集成，而傳統(tǒng)網(wǎng)絡主體架構都是封閉的(盡管廠家可能使用通用商業(yè)化產品作為收發(fā)芯片)，所以與之配套的軟件開發(fā)和驗證只能由網(wǎng)絡廠家根據(jù)商業(yè)利益最大化決定推動，用戶不得不忍受被鎖定的痛苦。而用戶被鎖定后，基于用戶最大利益創(chuàng)新愿望對廠家來講就沒有那么強烈了，形成了需求與研發(fā)的負反饋效應。
云計算需要更加靈活敏捷的、面向工作負載網(wǎng)絡資源調度響應
云計算是實現(xiàn)方便、快速、簡單、按需訪問可配置計算資源的管理模型，云計算是企業(yè)IT資源管理的高級階段，隨業(yè)務變化而變化，而不僅僅是IT技術的簡單合并與應用。
根據(jù)IDC統(tǒng)計，到2013年底，為云計算部署的虛擬機數(shù)量將是物理機的2.5倍，達到8200萬臺。虛擬機普及應用一方面節(jié)省了大量的采購成本，但是另一方面在大規(guī)模虛擬機環(huán)境下(一般100臺以上)，管理復雜度所造成的運營成本增加也非常顯著，比如虛擬資源脫離了物理設備相對靜態(tài)的信息，排錯難度大大增加。虛擬交換機既要與現(xiàn)有虛擬管理平臺兼容，又要應對高度動態(tài)變化的端設備、維護虛擬邏輯抽象鏈接、集成與交換硬件設備功能、滿足虛擬設備移動性、網(wǎng)絡響應機動性、虛擬邏輯可維護性和轉發(fā)控制平面軟硬件可集成性等諸多挑戰(zhàn)。
要全面實現(xiàn)新一代數(shù)據(jù)中心數(shù)據(jù)管理的移動性，就需要虛擬協(xié)調角色，統(tǒng)一規(guī)劃和部署IT智能基礎架構，于是催生了以工作負載為中心的IT管理模式，傳統(tǒng)的分離IT管理模式不再合適，傳統(tǒng)IT資源分配的技術實現(xiàn)方式也不再合適。工作負載是計算機所執(zhí)行工作的邏輯分類，它包括誰在做工作(Who)、做什么工作(What)和如何做工作(How)，它是以業(yè)務觀點來看工作分類，而不是從IT技術特征去看。工作負載、工作內容不一樣，IT資源消耗重點就不一樣，通過虛擬資源統(tǒng)一協(xié)調角色，可以在IT管理和計算層面上對服務器、存儲和網(wǎng)絡資源建立統(tǒng)一視圖，從而實現(xiàn)了以工作負載為中心的資源調度模式。
軟件定義網(wǎng)絡與OpenFlow
一方面是控制平面與轉發(fā)平面集成，管理越來越復雜，創(chuàng)新緩慢;另一方面是虛擬化資源移動性要求更加強大靈活、簡單的控制平面;再者是面向工作負載的網(wǎng)絡需要控制平面與資源本身解耦，造成控制平面與轉發(fā)平面之間的差距越來越大，用戶為使用網(wǎng)絡所付出的總擁有成本越來越大。
難道為了解決這些問題，用戶就得遙遙無期地等待嗎?非也，答案其實很簡單。一方面，既然軟、硬件綁定導致網(wǎng)絡和應用發(fā)展緩慢，那么我們就把它們分開來，各自相對靈活，獨立發(fā)展，開發(fā)實現(xiàn)基于標準硬件平臺的靈活簡單的控制平面。另一方面，云計算和虛擬化需要極大的網(wǎng)絡擴展性要求，當前網(wǎng)絡轉發(fā)平面與控制平面都需要橫向擴展和性能的極大增強，大家平行分離，自然解耦控制與轉發(fā)。
分離的額外好處是擴展模式下控制平面的控制信息本身流量有限并可預計，所以人們就不需要昂貴的專門的高性能轉發(fā)芯片處理控制信息，控制平面由獨立可擴展的軟件經(jīng)濟實現(xiàn)，轉發(fā)平面退化成簡單的報文處理平臺。用一個方法，便可解決這些關鍵問題!于是一群先行者就開始了軟件控制獨立與網(wǎng)絡轉發(fā)平面之旅。#p#
什么是軟件定義網(wǎng)絡?
軟件定義網(wǎng)絡(Software-Defined Network)，又有人稱為可編程網(wǎng)絡，就是將網(wǎng)絡設備配置平面從嵌入式節(jié)點獨立出來到軟件平臺，由軟件驅動的中央控制平臺自動化控制網(wǎng)絡架構服務。軟件定義網(wǎng)絡是新的網(wǎng)絡控制平面實現(xiàn)方法，它適應了降低網(wǎng)絡復雜度、虛擬化和云計算的網(wǎng)絡需求。它的發(fā)展是對傳統(tǒng)網(wǎng)絡廠家封閉、專有、不夠靈活的控制平面技術所產生的“破壞性創(chuàng)新”，將對網(wǎng)絡廠商的變革產生巨大推力和影響。控制平面和轉發(fā)平面分離，轉發(fā)平面特性減少，專注而簡單，減少了設備硬件從而減少了資本性支出(CapEx)，運營性支出 Opex的減少是因為集中的、橫向擴展和自動化簡化了網(wǎng)絡運行管理，減少人工支出。
圖1 軟件定義網(wǎng)絡示意圖
實際上，軟件定義網(wǎng)絡的核心技術本身并沒有什么創(chuàng)新，傳統(tǒng)交換或路由設備也都有獨立轉發(fā)平面或強大控制平面，只不過傳統(tǒng)模式的轉發(fā)平面是通過在同一個機箱的不同接口模塊去完成，控制平面由機箱的路由交換模塊完成，缺點當然是開放性不夠、及時響應動態(tài)變化的能力有限，如圖1所示。原因是比如設備無法做到第三方編程自動化集成，每個設備需要單獨維護自己的地址表，有限的CPU和內存卻需要全網(wǎng)實時計算和動態(tài)處理。
傳統(tǒng)網(wǎng)絡每個設備多少有點兒智能，但是非常有限，它們只能根據(jù)本節(jié)點的進出數(shù)據(jù)流做出被動響應，無法知道其他節(jié)點的動態(tài)狀況。各個網(wǎng)絡節(jié)點離散式自我控制，只見個別樹木或樹葉，沒有大家統(tǒng)一協(xié)調的控制平面，不見整個網(wǎng)絡森林，所以對整個網(wǎng)絡來講，盡管實現(xiàn)了動態(tài)路由協(xié)議，其架構基本是固定和靜態(tài)的。傳統(tǒng)網(wǎng)絡所謂動態(tài)調度實現(xiàn)基礎也就是二層和三層實現(xiàn)鏈路資源動態(tài)分配，而對于四到七層與二三層是否相匹配而進行調度，則心有余而力不足。即便有折中解決方案，也需要在固定位置安裝昂貴的負載均衡或安全設備。
理想的軟件定義網(wǎng)絡模式下，獨立的離散式智能從分支節(jié)點上回收到中央控制節(jié)點，中央樞紐保持全網(wǎng)流量監(jiān)視和控制，從OSI 2層到7層實時把握網(wǎng)絡整體狀況，即時控制和調度，建立強大的中央智能，對全網(wǎng)和100%垂直完整做出有效反應。在軟件定義網(wǎng)絡環(huán)境下，中央控制節(jié)點可以根據(jù)相應算法、邏輯、分析和規(guī)則，以軟件定義規(guī)范方式將配置信息推到交換和路由節(jié)點，完成路由或交換從中央控制節(jié)點接受特定格式指令規(guī)則過程，交換和路由節(jié)點更新數(shù)據(jù)轉發(fā)平面落地規(guī)則，完成數(shù)據(jù)轉發(fā)。中央控制節(jié)點針對每個細分的網(wǎng)絡路徑，按照一條條“信息流”細分，每個“信息流”數(shù)據(jù)落地轉發(fā)由每個特定交換或路由節(jié)點完成。當計算或存儲資源變化時，中央控制節(jié)點根據(jù)分析結果重新調整節(jié)點配置規(guī)則，這樣就實現(xiàn)了虛擬化和云計算網(wǎng)絡所需要的自動化和精細化動態(tài)配置管理。
常見的專有軟件定義網(wǎng)絡有VMware vSphere體系架構。vShpere可以通過虛擬化交換機控制平面管理VLAN、QoS和ACL策略，網(wǎng)絡廠家根據(jù)API開發(fā)與專有固件互動功能，當虛擬機移動或變化時，vSphere指揮網(wǎng)絡節(jié)點調度網(wǎng)絡資源。Dell Force10邊緣交換機FTOS也支持VMware和Citrix平臺，可以安裝相關插件到虛擬操作系統(tǒng)，實現(xiàn)應用和工作負載感知，當虛擬控制平臺移動虛擬機時，通知插件以Hyperlink方式在目的交換機FTOS上運行配置腳本，自動配置與虛擬機所匹配的網(wǎng)絡資源。另外Cisco Nexus 系列、Juniper QFabric也可實現(xiàn)類似的專有架構。
OpenFlow開源軟件定義網(wǎng)絡
自從開放式網(wǎng)絡基金會Open Networking Foundation(ONF)今年成立以來，OpenFlow得到主流網(wǎng)絡廠家追捧，尤其是今年六月在Las Vegas召開的Interop 2011大會上，OpenFlow可謂是大出風頭。究其原因，其背后的基本理念是軟件定義網(wǎng)絡。OpenFlow規(guī)范實際上是一整套軟件應用程序接口，OpenFlow網(wǎng)絡控制節(jié)點可以通過規(guī)范與支持OpenFlow交換節(jié)點溝通配置信息，決定數(shù)據(jù)轉發(fā)平面的轉發(fā)表，控制器與轉發(fā)節(jié)點間通過SSL加密傳輸，如圖2所示。OpenFlow支持定義的“信息流”包括從1層到4層的信息，和與之對應的動作配置，如圖3所示。
圖3 OpenFlow“信息流”定義
OpenFlow獨立控制平面的出現(xiàn)，使得TRILL或最短路徑橋接(Shortest Path Bridging)協(xié)議變得不是那么重要，因為OpenFlow控制器可以擁有有全網(wǎng)視圖，可以動態(tài)防止環(huán)路發(fā)生。OpenFlow不但增加了傳統(tǒng)轉發(fā)平面的效率，在提供高級網(wǎng)絡服務方面還可以展現(xiàn)獨特價值，比如多對一網(wǎng)絡虛擬化、分布式負載均衡和分布式防火墻或入侵檢測。每一類分布式網(wǎng)絡資源服務與每個云租戶對應，每個云租戶都有獨立的虛擬網(wǎng)絡架構，把硬件細節(jié)隱藏起來了，比如不同數(shù)目地理位置無關的虛擬端口交換機。在產品化方面，NEC公司第一個推出了OpenFlow交換機PF5240，帶有48個千兆和4個萬兆上聯(lián)端口，還開發(fā)了OpenFlow控制軟件支持OpenFlow兼容交換機。#p#
軟件定義網(wǎng)絡商業(yè)應用展望
軟件定義網(wǎng)絡OpenFlow在超大規(guī)模Web 2.0數(shù)據(jù)中心網(wǎng)絡應用展望
Web 2.0用戶如Google、Facebook的服務器臺數(shù)近百萬臺，單個數(shù)據(jù)中心服務器的數(shù)目也超過十萬臺，國內公司如騰訊、阿里巴巴和百度安裝的總服務器數(shù)估計也超過數(shù)十萬臺。為了進一步降低IT總成本，整合與開源虛擬化是下一代Web 2.0架構的發(fā)展趨勢，單一數(shù)據(jù)中心虛擬機數(shù)目將部署到上十萬臺，這種環(huán)境下的公有云的虛擬化、移動性比我們之前說的私有云移動性來得技術更加復雜、管理更加困難，傳統(tǒng)網(wǎng)絡廠家的設備很難滿足超大規(guī)模的“信息流”要求。
同時我們看到，從傳統(tǒng)網(wǎng)絡架構遷移到軟件定義網(wǎng)絡將是一個艱難的旅程。網(wǎng)絡技術應用演變過程不外乎有兩種方式，一種是先邊緣后核心，另外一種是先中心后邊緣。不過從客戶體驗來看，先邊緣后核心是更容易接受的應用方式，所以我們可以預計OpenFlow應用也將是從邊緣到核心的過程。
具體方式比如是用戶在接入層采用OpenFlow交換機，建立獨立控制網(wǎng)，安裝獨立開發(fā)的或商用的OpenFlow控制軟件，從系統(tǒng)和網(wǎng)絡管理采集數(shù)據(jù)流量模式和優(yōu)化定義規(guī)則。
圖4 OpenFlow基于3層網(wǎng)絡建立2層虛擬化轉發(fā)路徑
如上圖所示，OpenFlow在大規(guī)模虛擬化數(shù)據(jù)中心的應用。OpenFlow在數(shù)據(jù)中心網(wǎng)絡里建立從一臺虛擬機到另外一臺虛擬機的轉發(fā)路徑，基于三層網(wǎng)絡基礎上建立了二層以太網(wǎng)交換網(wǎng)絡。OpenFlow擴展了三層相對靜態(tài)功能，根據(jù)數(shù)據(jù)流動態(tài)建立負載均衡決策路徑，并依據(jù)虛擬化交換網(wǎng)絡配置改變最優(yōu)化的轉發(fā)路徑，從而簡化了大型數(shù)據(jù)中心3層網(wǎng)絡適應2層虛擬機移動性要求。戴爾公司已聯(lián)合微軟公司向IETF提交了NVGRE RFC，實現(xiàn)基于3層2層虛擬化通道協(xié)議，將有助于更快推動OpenFlow在大規(guī)模云計算網(wǎng)絡中普及應用。
軟件定義網(wǎng)絡OpenFlow在電信運營商網(wǎng)絡應用展望
在傳統(tǒng)電信運營商網(wǎng)絡里，IP網(wǎng)絡和傳輸網(wǎng)絡是獨立分離的，它們分別單獨管理，IP網(wǎng)和傳輸網(wǎng)之間沒有交互，IP鏈路靜態(tài)配置，傳輸層電路或放大器也是靜態(tài)的，導致不同層次功能和資源重復，增加了用戶采購成本和運營成本負擔。
在云計算環(huán)境下，運營商需要跨越數(shù)據(jù)中心進行資源管理，實現(xiàn)上層資源與物理鏈路層調度的匹配與自動化以更好復用資源，滿足每個云租戶在數(shù)據(jù)中心之外需要建立端到端虛擬網(wǎng)絡自動服務。那什么才是運營商網(wǎng)絡的最佳控制和管理方式呢?可不可以基于“信息流”的報文交換與電路交換融合的聯(lián)合控制方式呢?答案是完全可能的。如圖5所示，解決思路是按光纖、放大器、時隙和報文內容等細分，從不同網(wǎng)絡需求抽象映射到OSI 1到4層“信息流“，每個網(wǎng)絡節(jié)點通過OpenFlow實現(xiàn)提供網(wǎng)絡虛擬化服務。斯坦福大學的有關專家正在積極研究這樣的融合項目，基于不同流量和應用模型建立端對端網(wǎng)絡虛擬化，這些研究為OpenFlow在運營商網(wǎng)絡的應用提供了無限的可能性。
圖5 運營商基于”流”統(tǒng)一控制管理網(wǎng)絡服務
軟件定義網(wǎng)絡的發(fā)展挑戰(zhàn)
盡管軟件定義網(wǎng)絡發(fā)展可以幫助我們解決云計算網(wǎng)絡的管理和經(jīng)濟問題，前途是非常光明的，但從目前發(fā)展階段來看還是需要較長時間的發(fā)展和普及過程，從技術本身到管理和市場方面都有不少的挑戰(zhàn)。
第一點，從純技術觀點看，OpenFlow控制性能問題。OpenFlow按“信息流”控制網(wǎng)絡，以致每個控制節(jié)點和轉發(fā)節(jié)點需要維護大量端對端“信息流”表，控制節(jié)點或轉發(fā)節(jié)點的內存及其他資源需要相應提高。大規(guī)模突發(fā)首次“信息流”建立可能會導致新的“信息流”瓶頸問題。而且如果控制點出現(xiàn)故障，大量“信息流”需要在轉發(fā)節(jié)點重建，突發(fā)“信息流”配置對網(wǎng)絡性能和魯棒性都會有潛在的巨大影響。
第二點，從廠商觀點看，是OpenFlow的應用成熟度問題。目前OpenFlow還只應用于科學實驗和校園內部網(wǎng)，沒有大規(guī)模產品化轉發(fā)節(jié)點，一方面是沒有在大規(guī)模客戶安裝基礎之上的產品質量保證，另一方面是量產之前的成本優(yōu)勢還有很大疑問。除了轉發(fā)節(jié)點成熟度問題外，因為目前并沒有商業(yè)化的控制平臺，如何實現(xiàn)控制節(jié)點軟件開發(fā)、如何維護升級也是大挑戰(zhàn)。
第三點，從用戶觀點看，OpenFlow的持續(xù)發(fā)展和服務支持問題。目前OpenFlow等項目沒有獨立的商業(yè)機構為客戶提供專業(yè)從咨詢、評估、分析、設計、部署和運維管理服務，保證客戶網(wǎng)絡與IT系統(tǒng)運行。盡管很多大公司參與了OpenFlow項目，但是開發(fā)驅動力和技術支持主要來自社區(qū)自由軟件編程人員，所以OpenFlow開源軟件定義網(wǎng)絡近期還僅在技術和創(chuàng)新能力比較強的互聯(lián)網(wǎng)企業(yè)和科研院校得到應用，而成熟的專有軟件定義網(wǎng)絡將繼續(xù)在一般企業(yè)云應用尤其是私有云起主導作用。
第四點，從管理風險看，軟件定義網(wǎng)絡天生的安全風險問題。集中智能雖然可以給運營管理帶來全網(wǎng)視圖和優(yōu)化，以獲得簡化管理，提高效率的好處，但是也會帶來額外的管理風險。中央中樞如果損壞或被黑客侵入怎么辦?結果將會導致全網(wǎng)癱瘓或變成僵尸網(wǎng)絡，變成又聾又啞或失去控制的龐大網(wǎng)絡怪物?網(wǎng)絡攻擊的目標將從單點網(wǎng)絡節(jié)點直接上升為集中網(wǎng)絡控制器，后果將更加嚴重。
總的來說，軟件定義網(wǎng)絡作為解決網(wǎng)絡與云計算發(fā)展問題的思路和解決方案已經(jīng)呈現(xiàn)在我們面前。需要我們張開熱情的雙手去擁抱它，關注它，以客戶利益至上去發(fā)展它，同時又要一分為二，立足現(xiàn)實解決問題，才能實現(xiàn)為云應用服務的真正的“柔性”網(wǎng)絡，在未來的網(wǎng)絡市場中贏得一席之地。
【編輯推薦】
