基于Neutron實現(xiàn)AWS VPC-Peering的方案討論

責(zé)任編輯:editor005

作者:李俊武

2016-06-21 15:21:27

摘自:SDNLAB

8)置放組可以跨越對等的 VPC;但是,您不會在對等 VPC 中的實例之間獲得完全等分的帶寬;這種方式  a)要求這個Shared network必須預(yù)先創(chuàng)建,且其網(wǎng)段范圍有特殊要求,盡量減少與租戶VPC網(wǎng)段地址重疊的影響;

VPC(全稱是Virtual Private Cloud,做網(wǎng)絡(luò)的同學(xué)尤其注意,不是思科vPC的virtual Port Channel)是AWS的云平臺概念,OpenStack里并沒有這一個內(nèi)容;比較起來,VPC對應(yīng)OpenStack的一個vRouter及其相關(guān)的網(wǎng)絡(luò)和子網(wǎng)等資源。通常來講,Neutron的兩個vRouter是相互隔離的,才能確保尤其是不同租戶之間的安全性,但是在某些場景下存在兩個VPC間互通的需求,這種需求的解決方案在AWS里稱之為VPC-Peering(http://docs.aws.amazon.com/zh_cn/AmazonVPC/latest/PeeringGuide/Welcome.html
),這些場景舉例來說:

1. 災(zāi)難恢復(fù)的場景,需要將VPC的數(shù)據(jù)同步到另一個VPC,實現(xiàn)容災(zāi)備份;AWS的VPC現(xiàn)在是不能跨Region的,特定VPC子網(wǎng)也不能跨AZ(Availability Zone),但AWS的VPC-Peering雖不支持跨Region,但支持跨賬戶;

2. 混合云中尤其是不同云平臺的數(shù)據(jù)間通信時,使用VPC間通信也是可以的,但VPC通信并不是一種標(biāo)準(zhǔn)的通信特性或通信協(xié)議,所以會對管理平臺或數(shù)據(jù)模型有一定匹配度要求;

3. 在云平臺部署到眾多DC規(guī)模較小且相互聯(lián)接的情況下,通過VPC互通為節(jié)省用戶數(shù)據(jù)通信的成本;

AWS的官網(wǎng)明確說明,“AWS 使用現(xiàn)有 VPC 基礎(chǔ)設(shè)施創(chuàng)建 VPC 對等連接,既不是網(wǎng)關(guān),也不是 VPN 連接,因此不依賴某個獨立的實體硬件。沒有單點通信故障也沒有帶寬瓶頸”,并且有如下主要限制(http://docs.aws.amazon.com/zh_cn/AmazonVPC/latest/PeeringGuide/vpc-peering-overview.html#vpc-peering-limitations):

1)無法在具有匹配或重疊的 CIDR 塊的 VPC 之間創(chuàng)建 VPC 對等連接;
2)無法在位于不同區(qū)域中的 VPC 之間創(chuàng)建 VPC 對等連接;
3)只能為每個 VPC 創(chuàng)建數(shù)量有限的活動和待定 VPC 對等連接;
4)VPC 對等不支持傳遞的對等關(guān)系;
5)不能在相同兩個 VPC 之間同時建立多個 VPC 對等連接;
6)通過 VPC 對等連接的最大傳輸單元 (MTU) 為 1500 字節(jié);
7)不支持在 VPC 對等連接中進(jìn)行單一地址反向傳輸路徑轉(zhuǎn)發(fā);
8)置放組可以跨越對等的 VPC;但是,您不會在對等 VPC 中的實例之間獲得完全等分的帶寬;
9)一個實例的公有 DNS 主機名稱不會跨對等的 VPC 解析為其私有 IP 地址。

AWS的VPC-Peering管理模型和建立過程與VPN有類似之處,需要建立一個通信認(rèn)證機制和通信的狀態(tài)管理,這些都是OpenStack控制面所缺少的,AWS的VPC-Peering通信狀態(tài)機制如下:

相比于AWS的網(wǎng)絡(luò)豐富特性之一,VPC-Peering,除了需要實現(xiàn)建立通信認(rèn)證機制外,OpenStack的網(wǎng)絡(luò)組件Neutron也并沒有明確支持的對象,不過我們可以在現(xiàn)有Neutron能力基礎(chǔ)上, 在此類討論下有哪些可能的實現(xiàn)方案:

1)基于IPSec類似的端到端VPN

如果將兩個vRouter之間建立一條端到端的VPN隧道,實現(xiàn)VPC互通是行的通的,但是這個方案對云平臺的依賴度較高,就是說如果建立VPN隧道是通過公網(wǎng)IP來進(jìn)行,那么基本可以歸結(jié)為VPN功能(這個時候的帶寬和網(wǎng)絡(luò)延遲就會有影響),特性也不是VPC-Peering了,所以需要對云平臺內(nèi)網(wǎng)要求有一個內(nèi)網(wǎng)網(wǎng)段和vRouter打通,讓租戶感知來創(chuàng)建基于內(nèi)網(wǎng)的諸如IPSec VPN隧道。另外,還需要考慮到,IPSec自身是不支持組播和廣播的,租戶此類業(yè)務(wù)需要通過GRE+IPSec的技術(shù)租戶來實現(xiàn)。

2)share network

基于OpenStack云平臺的管理員可以使用Neutron來創(chuàng)建Shared類型的Network,這樣基本所有租戶都看的到并創(chuàng)建虛擬機在上面進(jìn)行通信,比如浮動IP的external-network基本是將Shared屬性設(shè)置為True的。那么需要互通的兩個VPC網(wǎng)段的虛擬機可以都多出來一個port連接到Shared network上實現(xiàn)VPC互通。這個Share Network為了防止占用公網(wǎng)地址成本高,可以選擇一個大范圍的私網(wǎng)地址段;這種方式

a)要求這個Shared network必須預(yù)先創(chuàng)建,且其網(wǎng)段范圍有特殊要求,盡量減少與租戶VPC網(wǎng)段地址重疊的影響;

b)該Share Network為管理員創(chuàng)建的,所以所有租戶都可以看到并使用,這樣就破壞了VPC的安全隔離性,需要不同VPC之間互通的時候做好安全控制;

3)VM連接跨VPC的network實現(xiàn)VNF

當(dāng)一個租戶的兩個VPC想互通,可以簡單的啟動一個虛擬機實例,讓該虛擬機同時連接到兩個VPC各對應(yīng)由互通訴求的網(wǎng)絡(luò)上;該方案相比于AWS的VPC-Peering需要指定虛擬機的Fixd IP,并在虛擬機內(nèi)部加載路由和過濾規(guī)則,實現(xiàn)指定網(wǎng)段地址的VPC互通;另外為了實現(xiàn)將某個VPC發(fā)往另一個VPC流量到該虛擬機實例進(jìn)行中轉(zhuǎn),需要借助Service chain或者策略路由的方式進(jìn)行引流,然后讓虛擬機實現(xiàn)VNF(Virtual Network Function)的功能打通VPC通路。

但是該方案若是有需求實現(xiàn)兩個租戶其各自一個VPC之間互通時,因為沒有任何一個租戶可以看到對端的資源,所以就會產(chǎn)生創(chuàng)建虛擬機時連接網(wǎng)絡(luò)的權(quán)限問題,需要借助管理員創(chuàng)建虛擬機來打通兩個VPC;這無疑為VPC互通時租戶的管理和維護(hù)帶來不方便。

4)借助Gre/Vxlan等隧道模式

最后說一種業(yè)界比較常用的方案,就是在兩個vRouter之間建立一條Gre或Vxlan的內(nèi)網(wǎng)新隧道,該方案原理上與Share Network類似,都是使用一個新的隔離域,但是僅是兩個VPC間私有,不為其他VPC共享。該方案中的Gre或Vxlan隧道隔離域值可以是Neutron從預(yù),留的范圍里面進(jìn)行分配,然后借助SDN控制器打通整條鏈路的通道,從而實現(xiàn)兩個VPC間的互通,猜測AWS的VPC-Peering的實現(xiàn)是基于此方案。但是該方案需要針對Neutron進(jìn)行特定的開發(fā),而且使用成本也相對較高,當(dāng)然所能使用的帶寬和延遲等性能指標(biāo),也會較好。

當(dāng)然,當(dāng)Neutron的租戶網(wǎng)絡(luò)使用Vxlan時,VPC間通信使用另一種隔離方式比如Gre思路會比較清晰,但是數(shù)據(jù)轉(zhuǎn)發(fā)面實現(xiàn)和運維相對會增加復(fù)雜度。

總之,基于Neutron的VPC間通信方案還沒有社區(qū)的統(tǒng)一實現(xiàn),各種方案成本、可靠性、性能、隔離性和可維護(hù)性等不太相同,需要根據(jù)自己的業(yè)務(wù)實際情況和技術(shù)積累,選擇合理低成本的方案。

作者簡介:李俊武,sina微博北京-小武,著有《云計算網(wǎng)絡(luò)珠璣》;三年多交換機研發(fā)經(jīng)歷(熟悉Broadcom、Marvell等公司交換芯片轉(zhuǎn)發(fā)流程和網(wǎng)絡(luò)協(xié)議),兩年多基于Openstack云計算平臺架構(gòu)設(shè)計經(jīng)驗,現(xiàn)在華為IT產(chǎn)品線的云計算網(wǎng)絡(luò)架構(gòu)與設(shè)計組,參與華為公有云和私有云的架構(gòu)設(shè)計方面的工作,包括云平臺網(wǎng)絡(luò)集成華為SDN控制器方面的設(shè)計工作等。

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號-6京公網(wǎng)安備 11010502049343號