以计算为中心 虚拟化时代的交换网络 (5)

第二节 云计算虚拟化交换网络——边缘篇

虚拟化交换网络层边缘层挑战

熟悉IT发展历史的人都知道，IT技术发展趋势总是这样，进入者在软件上突破和实现，不断应用于客户和取得市场反馈，然后随着性能提升要求和硬件技术发展，移植到高速、简洁的ASIC上，虚拟化交换网络领域也不外乎遵循这样变化轨迹。

前面所讲，计算资源内部虚拟交换网络实际上是通过数据中心边缘计算节点内部的虚拟交换机软件实现。虚拟交换机放在数据中心网络计算节点内部时就被称为虚拟边缘桥接VEB（Virtual Edge Bridge）。这种称谓是非常合适的，因为此时虚拟交换机完成的功能和二十多年前我们使用的物理桥接设备（Bridge）类似，只完成不同网络节点之间的数据转发，没有更细分的交换控制和管理比如网络监视、更多标准协议支持等等。虚拟边缘桥接优点是基于物理主机内部交换，基于计算节点内部资源，不会增加更多外部网络流量，实现物理计算节点内部更快交换速度，不需要额外硬件支持，只需在虚拟机支撑管理平台编写告诉数据转发引擎和开发控制平面，服务器管理人员更容易理解和实施，但是主机软件交换机缺点是一方面是性能提高受制于CPU和网卡IO架构，另一方面是它通常只能由服务器团队通过虚拟机支撑平台配置和管理，传统网络团队难以理解、学习和操作，缺乏链路底层的监控和安全控制，因此IT安全管理策略还需要在虚拟机和物理机不同层面分别实现。为了进一步提高性能和简化管理，把卸载到网卡功能再卸载到强大的物理交换机。

虚拟化交换网络边缘层层技术发展

针对以上数据中心边缘网络技术和管理挑战，目前业界发展“Edge Virtual Bridging”（EVB）边缘虚拟桥接，形成了两种的技术标准：

虚拟以太端口汇聚器（Virtual Ethernet Port Aggregator，简称VEPA）

VEPA技术标准是由HP、IBM、Dell、Juniper和Brocade等公司发起的，统一管理和监控各种虚拟机的桥接标准，目前已被采纳为IEEE标准802.1Qbg，其主要功能由数据中心边缘虚拟交换机硬件实现。VEPA有两种实现模式，一种是标准模式，需要虚拟交换机和上联交换机做少量代码升级；另外一种是多通道模式，需要上联交换机更多智能处理功能。

标准模式VEPA技术特点是实现简单。传统虚拟环境下，同一物理节点的不同虚拟机之间流量发送由虚拟交换机直接处理了，并不会发出网口。在VEPA下，情况发生了一点点改变，虚拟机内部之间流量不再由本地虚拟交换机处理，而是被强制发往物理网卡外部，由网卡上联的VEPA交换机接收处理后才发送回来，这种技术叫Hairpin（发夹）。因为大家知道，传统交换机固件不允许从一个物理接口接收数据帧，又同时从同一口发送同样目的MAC地址的数据帧，所以需要我们需要对传统交换机固件做一些简单修改，允许其绕回。这种方式下，很简单，所有虚拟机流量被重新导向了上联物理交换机，用户可以轻松地以传统管理方式，在修改后的物理交换机上实现流量统计、安全控制管理，减少物理节点宝贵CPU资源，不必浪费在简单的网络I/O层面。不过VEPA实现方式也有明显缺点，所有虚拟机之间流量在物理节点和交换机来回了两次，浪费了网络带宽和增加数据延迟，但是与安全管理简单控制收益相比，这些代价是值得的。另外一方面，专用网络设备芯片对网络流量转发和控制效率通常比我们标准服务器来得更加经济有效，我们还可以结合第一节中提到的单根IO虚拟化（Single Root I/O Virtualization）或VMDq直接路径I/O减少虚拟机之间来回转发数据包负面影响。

标准VEPA EVB操作模式

VEPA多通道运行模式

多通道模式VEPA（Mutli-Channel VEPA）则增强了标准模式功能，同时兼容传统虚拟交换机和标准模式VEPA，实现方式是将物理链路分成多个服务通道Channel，网络交换机和网卡独立识别每个通道，这些通道可以分配给传统直联虚拟机、传统VEB模式虚拟化交换机或VEPA虚拟以太端口聚合交换机。每个通道物理标识采用802.1ad（Q-in-Q）技术，简单来讲，就是在802.1Q VLAN标记基础上增加了“S-Tag”服务字段标记每个通道，很显然，服务器网卡和交换机都需要支持Q in Q特性，才能区分不同源虚拟机或桥接流量。