《云计算架构技术与实践》连载（11）2.2.6 网络虚拟化技术

版权所有，未经华为书面许可，请勿转载或转发  

 

2.2.6 网络虚拟化技术

1.业务应用驱动的边缘虚拟网络自动化

分散在交换机、防火墙、路由器的L2转发表及L3路由表集中到SDN 控制器，使得跨多节点的集中拓扑管控及快速重定义成为可能。基于x86的软件交换机和基于VxLAN隧道封装的Overylay叠加网可以实现业务驱动且与物理网络彻底解耦的逻辑网络自动化，支持跨数据中心的大2层组网。基于业务模板驱动网络自动化配置（见图2-20）。

 

图2-20 网络功能虚拟化层次架构

2. 更强大更灵活的网络安全智能策略

在云计算早期阶段，一般采用下面的方法进行网络安全的部署，但存在一些不足：

l  公有云、 多租户共享子网场景下，静态配置安全组规则，仅在目的端进行过滤, 无法规避DOS攻击（见图2-21）。

图2-21 虚拟机网络安全原理

l  采用外置防火墙方法控制子网间安全，但存在流量迂回（见图2-22）。

图2-22采用外置防火墙方法控制子网间安全

为解决云计算早期阶段技术安全隐患，新阶段云计算架构通过软件定义网络的实施，解决这些问题（见图2-23）。

l  按业务需求统一定义任意目标－源组合的安全策略定义下发到Controller。

l  子网内互访，首包上送Controller，动态下发安全过滤规则，源头扼杀攻击。 

l  子网间互访，动态下发快转流表，避免迂回。

图2-23 通过软件定义网络的实施解决问题