摘要：你知道嗎？傳統云網絡存在了這么久，但是你了解它的基本架構嗎？你知道嗎？傳統云網絡下兩種隔離方式Vlan和Vxlan，卻各有利弊；你知道嗎？云網絡把網絡的邊界變模糊了，那么網絡安全是否有保障呢？本文就帶你了解這一切。
1傳統云網絡的架構分析
傳統云網絡結構
上圖中這些藍色大框是服務器，其中上面兩個服務器：NC(計算節點)和CC(網絡節點)，它類似于整個云網絡的一個核心路由器。實例一出來會經過一個網橋，網橋上有防火墻功能。當數據出了計算節點以后會引流到網絡節點進行下一步的處理。網絡節點負責數據的路由、NAT地址轉換、流量控制器還包括一些DHCP Server、網關等功能。傳統云網絡大量引用了Linux網絡協議棧中提供的網絡組件。這么做有什么好處呢？好處是減少開發周期，單獨功能穩定。但是Linux的網絡組件存在大量的捆綁，當用一個功能時就必須強迫使用其他捆綁捆綁功能。然而這些捆綁功能是不需要的。這樣云網絡的復雜度會越來越高，并且性能優化難度很大。
在這個網絡里面，網絡節點它的壓力是非常巨大的，兩個不同子網的虛擬機之間的訪問需要經過網絡節點，外部網絡訪問虛擬機需要經過網絡節點，虛擬機訪問外部網絡需要經過網絡節點，這樣東西南北各方向的流量都要經過這個網絡節點。整個云網絡性能瓶頸就是網絡節點的處理性能。萬一它出現單點故障的話，后果會很嚴重。
2租戶隔離
傳統的云網絡隔離有兩種方法，一種是vlan，另一種叫做Vxlan。vlan隔離簡單快速，但是它數量只有4000多個，網絡規模難以擴展。Vxlan可以解決vlan數量不足的問題，Vxlan的數目能達到16M。16M絕對可以滿足大規模云網絡組網需求。但是Vxlan有幾個問題，第一個，它需要在這個數據包的前面疊加一個三層的包頭，這樣帶寬質量會受影響。另外vxlan的部署比較困難，因為vxlan的設計初衷處理解決vlan不足的問題之外，它還需要解決大二層網絡跨機房的問題。另一個比較嚴重的問題就是，大部分的數據中心都是使用vlan做網絡隔離的。如果云內部使用vxlan,我們就需要額外造一個vxlan網關專門負責與數據中心的互聯互通。如果云內部有的用戶使用vlan，有的用戶使用vxlan，那就更復雜了。傳統網絡的發展往往都是解決一個問題又會引入其他新的問題。
3云網絡的功能實現
一個云它的網絡不是簡簡單單說做了100臺虛擬機，100臺虛擬機都能上網，這就是云，這絕對不是云。云是一個讓所有人都能夠在里面獨立生存的一個生態空間，也就是說每一個云內的租戶都需要獨立自定義的網絡空間。另外在同一個云實例的私有地址是可以重復的。網關不能像剛才我們講的用一個物理服務器堆在中間來代替，這個不可靠，網關是需要獨立的，需要每個子網都需要一個獨立的網關。網關應該分布式虛擬化。
4網絡安全
如果黑客入侵了虛擬機。從虛擬機這一端開始發起攻擊，這個東西到底有多危險呢，可以來想象一下，第一個它可以攻擊其他的虛擬機、攻擊網關、攻擊數據中心。云網絡把網絡的邊界變模糊了，從而很容易造成網絡安全能力的下降。如果讓做云的廠家，負責網絡安全，很顯然這不是他們的強項。所以云網絡安全需要借助第三方的專業安全廠家，讓他們把自身優秀的網絡安全產品虛擬化并且集成到云中。這也符合云是一個生態空間的概念。而傳統云網絡的在架構本身，就很難實現這樣深入的整合。原因很簡單，傳統云網絡本身的IO路徑非常復雜，如果要把流量引入第三方的虛擬化安全產品洗清，并且回到正常的網絡邏輯，對于傳統云網絡來說，實在很難實現。
京公網安備 11010502049343號