数据中心IT架构演进趋势

1、数据中心IT架构演进趋势云计算数据中心网络技术回顾云计算推动数据中心架构演变数据中心架构需求趋势云数据中心架构层次和技术方案组件云计算对硬件层面的要求 共享资源池 开放标准北向接口 智能化弹性快速部署和运维能力 可量化/可视化的数据中心资源 按需提供的自服务业务流程 应用可视性 Capex/Opex提升 统一数据中心战略交付 IT-as-a-Service 基础设施即服务的平台 统一计算Unified Computing统一矩阵Unified Fabric统一管理Unified Management高扩展性, 高安全性的网络架构模块化，无状态的计算单元自动化的资源管理(物理和虚拟资源)应用部署

2、对数据中心交换平台的新需求SDN探宗求源/SDN来源102008Nick McKeownMartn Casado1963, born in England1986, bachelor1986-89, HP1989, moved to US1992, Master1995, PhD (Scheduling Cells in an Input-Queued Cell Switch), GSR12K for Cisco, assistant professor of Stanford1997, co-founder, CTO, Abrizio1999, acquired by PMC (stock

3、400M)2002, associate professor of Stanford2003, co-founder, CEO, Nemo System2005, acquired by Cisco, cash, 12.5M2006, director for Slate program2007, Co-founder, Nicira2010, full professor in stanford2011, co-founder, ONF2012, acquired by Vmware, 1.26B2013, co-found, Barefoot networksApplication Fra

4、meworks, Management Systems, Controllers, .DeviceForwardingControlNetwork ServicesOrchestrationManagement“Protocols”Cisco API & Agent Infrastructure (OnePK, YANG)I2RSI2RSAgentPCEPPCEPAgentNeutronOpenstackAgentOpenFlowOpenFlowAgentOMIOMIAgentNETCONFNETCONFAgentPuppetPuppetAgentBGP-LS/FSBGP-LS/FSAgent

5、onePKOperating Systems Cisco IOS / NX-OS / IOS-XRBGPDiameterRadiusSNMP众多的SDN协议SDN探宗求源12SDN解决问题：控制和转发分离第一个SDN所谓的落地项目：OpenflowOpenflow所解决的问题：通过控制和转发分离，降低转发设备成本Openflow无法解决的问题：设备和IP地址解耦ACI：实现设备和IP地址解耦，降低运维复杂度，提高运维自动化程度/2012/12/why-nicira-abandoned-openflow-hardware-control/传统方案无法解决基础架构的新挑战资源的高效接入应用的优化可

6、视化业务的快速部署传统虚拟平台厂商传统自动化/控制器厂商传统网络硬件厂商以应用为中心的基础架构Application Centric Infrastructure业务的快速部署自动化零接触自动化配置基于应用策略管控ComputeComputeStorageStorageServicesServicesL2,L3ProgrammableAutomation应用优化可视化优化为大数据应用优化应用健康状态可视资源的高效接入融合ComputeComputeStorageStorageServicesServicesSpine SwitchesL2,L3Leaf SwitchesNG Fabric打破资

7、源竖井自由灵活组网高可靠易扩展70%ACI（SD）-VS 传统的SDN Openflow Controller CodeSERVEROpenflow ControllerACI Controller自上而下的策略部署，由应用到网络；底层网络是交换矩阵的整体，类似于大的交换机板卡分布在不同的机柜或者机房，管理上是一个整体；分布式数据处理能力，多链路包转发负载均衡；没有控制器的情况下，自动运行类似飞行的自动驾驶基于应用的策略流程控制、其他厂商设备的部署（Opflex）兼容现有网络架构与设备网络初始流量必须流经控制器；转发流表的下发；设备脱离控制器，不能自行运行；业界案例？落地能力；其他厂商设备的集

8、成？控制器厂商？设备厂商？网络纠错？ACI概述应用语言网络语言 应用和网络：协作和对立Web界面应用程序认证系统数据库ACL，VLAN，QOS，SVI。应用慢网络有问题如何快速排错？业务安全ACL过滤如何维护及快速响应？网络的配置难以跟上业务需求变化?虚拟和物理端口虚拟和物理网络访问控制列表端口安全 (TrustSec / MACsec)上行/ 下行 /关联性防火墙控制内容负载均衡Connectivity from App StorageSLA / QoS排错!其实都已经不再需要了！# 1灵活: 任何应用, 任何地点物理和虚拟化环境通用的应用网络模板ADCappdbf/wADCWEBAPICH

9、YPERVISORHYPERVISORHYPERVISOR交易平台APP 移动性APP 可视性LatencyHealth ScoreIsolationSystems Telemetry25Packets dropped# 2灵敏度物理, 虚拟和云环境LatencyHealth ScoreIsolationSystems Telemetry0Packets dropped租户 应用 Application Centric Infrastructure开放APIs, 完全开源、开放、公开透明的多厂商架构APIC Open REST APIs Support Integration With Any

10、 SoftwareOpFlex: Open Fabric Attached Device API Supports Integration with Any Network Device Automation Enterprise MonitoringSystemsManagementOrchestrationFrameworksOVMHypervisor ManagementApplications北向南向Openflow, 3rd party switches, 连续创新软件,硬件,ASIC以及系统的革新Nexus 9500价格能源效率可编程能力端口密度性能价格成本构成对于从1G升级到 1

11、/10GT 以及10G到40G 减少50% ASICS性能 行业内领先性价比 / 板卡带宽1.92 Tbps每槽100G就绪端口密度提高20%无阻塞密度可编程能力JSON/XML API针对客户应用的Linux Container能源效率最新工艺无背板设计提高15% 能源和冷却效率商用芯片+ 定制ASICInnovation in Cisco ASICsNexus9000交换机：二次增值开发，可编程，科研平台Network Ops DrivenSwitch AutomationPolicy Based Fabric Automations开放, 灵活, 可视化 可编程Future-Proof

12、InfrastructurePer-BoxProgrammabilityCentralized Fabric ProgrammabilityNXOS w/ EnhancementsPolicy ControlleriNXOSN9516/N9508/N9504N9396/N93128/N9372NX-OSACIAPIC22NG FabricvPCFEXVxLANPERFORMANCEPORTSPRICEPROGRAMMABILITYPOWERACI优势所面临的挑战:人工手动配置网络、计算、存储、虚拟化统一管理资源的回收与再利用部门之间繁琐的沟通协调结果:过长时间的业务布署无法及时推行业务至市场高

13、 OPEX基础设备资源无法充分有效利用复杂的 IT 程序: 传统布署业务的流程网络管理员Update TrunksCreate VLANsConfigure SAN ZoningCreate UCS Service ProfilesCreate Network Policies服务器管理员Configure ServersBare metal ProvisioningSetup ServersAdd VLAN to Service ProfileCreate VLANCreate Storage Resources (LUNs and Volumes)存储管理员Add vFilers to G

14、roupCreate vFilersCreate IP spaceUCS Blade Power OnCreate Storage PolicyMap NetApp LUN新增使用者与群组规划申请核准定义成本模板新的业务需求123456服务器不再受物理位置的限制，可以在数据中心的任意位置部署ACI解决了客户什么问题 第一步，简化部署问题1：必须登录每一台网络设备，配置VLANQoSACL，既费时又僵化问题2: 如虚拟机发生漂移，到达其他交换机下的物理机器，网络也需做变更解决方法1：为使虚拟机漂移，必须把全网打通（2层网），安全管控又成问题解决方法2： 搭建VXLAN网络，全网打通，但不会带来生

15、成树广播风暴，影响其他业务解决方案3： 采用ACI，使用APIC集中控制器，可以统一动态的配置全网所有的物理虚拟交换机优势：设备和IP地址解耦，应用策略（ ACLQoSVLAN ），不管物理机器如何移动，或虚拟机漂移，都会自动跑到对应的交换机上去，自动配好，大大简化部署和运维传统模式是怎么配置网络的应用软件部门的同事网络部门应用程序有啥要求switch5(config)#switch5(config)# int eth 1/10 - 11switch5(config)# switch mode accswitch5(config)# switch acc vlan 444switch5(con

16、fig)# no shutswitch5(config)# int eth 1/11 - 15switch5(config)# switch mode accswitch5(config)# switch acc vlan 555switch5(config)# no shutswitch5(config)# monitor session 1 source vlan 555switch5(config)# monitor session 1 dest eth 1/16“CLI” 命令行A correct network is defined with the necessary settin

17、gs and resources安全控制部门Text-based languageVery VerboseSettings & Resources Allocation are done in one shotRedundant DefinitionsIn ONE StepDefine required settingsAllocate network resources在ACI的世界里，网络是怎么被配置的应用软件部门网络部门Applicationrequirements安全部门APICStep 1定义好策略Step 2分配网络资源通过APIC控制器，自动下发配置到全网物理交换机和虚拟交换机服

18、务器接入网络后自动实现网络配置ADCappdbf/wADCWEBAPICConnectivity PolicySecurity PoliciesQoS Bandwidth Reservation AvailabilityStorage and computeApplication L4-L7 ServicesSLAQoSSecurityLoadBalancingAPPLICATION NETWORK PROFILE可扩展的脚本语言模型HYPERVISORHYPERVISORHYPERVISORACI解决了客户什么问题 第二步，动态调优和定位问题问题： 应用变慢，怀疑网络有问题，排错必须登录到每

19、台交换机，检查端口，流量，再把IP地址“翻译成”应用服务器的名字，才知道是那台服务器很慢原因：只能看到局部的每台交换机，无法看到全网的情况，手工做对应关系，才知道问题位置解决方案：ACI控制器，可以看到各个应用服务器，在全网什么地方跑得多快，丢了多少个包可按照预先设计的策略，自动调整全网各台交换机的配置，让某个特定的应用“跑快一些”命令行网络操作模式下，无法实现上述功能Systems Telemetry端到端的故障排查让物理网络和虚拟化环境相结合Tenant HEALTH SCORELATENCYVISIBILITYVMsPhysicalApplication Delivery Control

20、lerFirewallMicrosecond(s)3352Packet Drops0Systems TelemetryApplication HEALTH SCORELATENCYVISIBILITYVMsPhysicalApplication Delivery ControllerFirewallMicrosecond(s)5168Packet Drops25物理网络L4L7服务多数据中心双活和云服务计算资源存储虚拟机以及虚拟网络Based on common network load and link failure scenarios更好的性能优化和链路负载均衡对于网络拥塞的控制60%6

21、0%90%网络方面的创新动态负载均衡动态的包有限调度大数据分析应用数据加快30%网络端口利用率ACI解决了客户什么问题 第三步，安全管控问题：安全策略ACL必须对每台设备配置ACL访问控制策略，基于VLAN/IP/端口等网络语言，不易理解。如发生人事变动，因为无法看懂，所以无人敢调整ACL，只能增加新的ACL，造成ACL杂乱，亦或冲突，无法管理解决方案：APIC控制器完全是按照应用语言去定义策略的，策略和其所处于的位置解耦。应用安全网络各个专业人员使用共同语言，配置策略效率提升集中的安全控制和审计功能通过应用程序接口动态导入安全策略)服务部署的自动化研发部门法律部门销售部门人事财务完全的安全隔

22、离，针对每个应用/用户的访问控制既能互相隔离，又不影响性能和扩展将网络转发和安全策略分离开来Open APIsPolicyEngine动态的企业安全策略APIC市场部门APPLICATION NETWORK PROFILEACI规划设计现有网络设备可直接集成至ACI fabric将 ACI 引入现有的数据中心架构ACI Fabric到现有网络环境的策略延伸38Hypervisor Interaction with ACI两种hypervisor的集成模式ACI Fabric作为IP-Ethernet Transport网络手工进行EPG封装映射独立的phsical与virtual的policy

23、 domainVLAN 10VLAN 10VXLAN 10000Non-Integrated ModeACI Fabric统一的策略控制Encapsulations Normalized 和动态部署Physical+Virtual统一的Policy domainAPPWEBDBIntegrated ModeDB39Hypervisor Integration with ACIEndpoint DiscoveryDVS HostAPICVMMControl(vCenter API)Data PathACI Fabric中Endpoints的发现可以使用如下两种方法:Control Plane L

24、earning: Out-of-Band Handshake: vCenter APIsInband Handshake: OpFlex-enabled Host (AVS, Hyper-V, etc.)Data Path Learning: Distributed switch learning可以采用LLDP/CDP进行非opflex host中虚机的发现OpFlex HostControl (OpFlex)Data Path40VMWare IntegrationThree Different Options+Distributed Virtual Switch (DVS)vCenter

25、 + vShieldApplication Virtual Switch (AVS)封装方式: VLAN安装方式: NativeVM发现机制: LLDP软件许可: vCenter with Enterprise+ License封装方式: VLAN, VXLAN安装方式: NativeVM发现机制: LLDP软件许可: vCenter with Enterprise+ License, vShield Manager with vShield License封装方式: VLAN, VXLAN安装方式: VIB through VUM or ConsoleVM发现机制: OpFlex软件许可:

26、vCenter with Enterprise+ License41APIC AdminVI/Server AdminInstantiate VMs, Assign to Port Groupsl/bEPG appEPG dbF/WEPG WEBApplication Network ProfileCreate Application PolicyWebWebWebAppHYPERVISORHYPERVISORVIRTUAL DISTRIBUTED SWITCHWEB Port groupApp port groupDb port groupvCenter Server / vShield85

27、19ACI FabricAutomatically Map EPG To Port GroupsPush PolicyCreate VDS2Cisco APIC and VMware vCenter Initial Handshake6DBDB7Create Port GroupsACI Hypervisor Integration VMware DVS/vShieldAPIC3Attach Hypervisor to VDS4Learn location of ESX Host through LLDP42Microsoft Interaction with ACI微软的两种集成方式策略管理

28、通过: Through APIC软件许可: Windows Server with HyperV, SCVMMVM 发现机制: OpFlex封装方式: VLAN, NVGRE (Future)Plugin Installation: ManualIntegration with SCVMMAPICIntegration with Azure PackAPIC策略管理通过：Superset of SCVMMPolicy Management: Through APIC or through Azure Pack软件许可: Windows Server with HyperV, SCVMM, Az

29、ure Pack (free)VM 发现机制: OpFlex封装方式: VLAN, NVGRE (Future)Plugin Installation: Integrated+43APIC AdminSCVMM AdminInstantiate VMs, Assign to VM Networksl/bEPG appEPG dbF/WEPG WEBApplication Network ProfileCreate Application PolicyMSFT SCVMM8519ACI FabricAutomatically Map EPG To VM NetworksPush PolicyCr

30、eate Virtual Switch2Cisco APIC and MSFT SCVMM Initial Handshake6ACI Hypervisor Integration MSFT SCVMMAPIC3Attach Hypervisor to Virtual Switch4Learn location of HyperV Host through OpFlexHYPERVISORHYPERVISOROpFlex AgentHYPERV VIRTUAL SWITCH7Create VM NetworksOpFlex AgentWEB VM NetworkApp VM NetworkDb

31、 VM Network44WebWebAppAppDBAPIC Admin(Basic Infrastructure)Azure Pack Tenant36ACI FabricPush Network Profiles to APICPull Policy on leaf where EP attachesIndicate EP Attach to attached leaf when VM starts12HYPERVISORHYPERVISORHYPERVISORACI Azure Pack IntegrationAPICGet VLANs allocated for each EPGCr

32、eate Application Policy7Azure Pack SPFSCVMM PluginAPIC PluginOpFlex AgentOpFlex AgentOpFlex AgentInstantiate VMs514Create VM Networks445WebWebWebWebAppAppDBDBACI支持OpenStack的两种模式Neutron ROUTerSECURITY GroupNeutron networkNeutron APIGroup Policy APINeutron networkPortPortTenantTenantUse Existing Neutr

33、on APIs with APIC and Cisco ACI ContractGroupService ChainGroupGroup Policy introduces a new API that maps to the ACI policy model ACI OpenStack 整合面临的挑战-讲共同的语言Neutron ROUTerSECURITY GroupWebWebWebWebAppAppDBDBHYPERVISORHYPERVISORHYPERVISORNeutron networkAPICAPIC PluginAPIC DriverOVS DriverNeutronNet

34、workingAPIC PLUGIN(VLAN base)Neutron 对象APIC 对象TenantTenantNetworkEPG/Bridge DomainSubnetSubnetSecurity Group + RuleN / ARouterContract/Subject/Filter, no l3-agentNetwork:externalOutsidePortStatic Path Binding摆脱L3-agent限制, ACI-N9K极大的丰富了tenant router的功能 OpenStack Managed Network Workflow 2ACI Admin(ma

35、nages physical network, monitors tenant state)(控制网络和基础架构同时完成应用识别管理)l/bEPG appEPG dbf/wl/bEPG WEBApplication Network ProfileCreate End Point Groups (any-any allow)35ACI FabricPush PolicyAPICOpenStack Tenant(Performs step 1,4)(只关注tenant和应用状态)Instantiate VMsWebWebWebWebAppApp4Create Network, Subnet, Se

36、curity GroupsNeutron ROUTerSECURITY Group1DBDBHYPERVISORHYPERVISORHYPERVISORNOVANEUTRONNeutron networkAutomatically Push Network Profiles to AFCGroup-Based Policy (GBP)是什麽Intent-based API for describing application requirementsSeparates concerns of tenants and operatorsCaptures dependencies between

37、tiers of an applicationPlugin model Supports mapping to Neutron APIsSupports “native” SDN driversGroup Based Policy Workflow2ACI Admin(manages physical network, monitors tenant state)(控制网络和基础架构同时完成应用识别管理)l/bEPG appEPG dbf/wl/bEPG WEBApplication Network ProfileCreate Application Policy35ACI FabricPush PolicyAPICOpenStack Tenant(Performs step 1,4)(只关注tenant和应用状态)Instantiate VMsWebWebWebWebAppApp4Create Application Network Profile1DBDBHYPERVISORHYPERVISORHYPERV