深技術膠片課件

深技術膠片課件第1頁/共29頁術語縮寫釋義與客戶交流時請

X刪除BUM-Broadcast,Multicast,UnknownUnicastNVE-NetworkVirtualEndpointToR-TopofRackVXLAN-VirtualeXtensibleLocalAreaNetworkVXLANSegment-VXLANLayer2overlaynetworkoverwhichVMscommunicateVXLANOverlayNetwork-VXLANSegmentVXLANGateway-anentitywhichforwardstrafficbetweenVXLANandnon-VXLANenvironmentsVTEP-VXLANTunnelEndPoint-anentitywhichoriginatesand/orterminatesVXLANtunnelsVLAN-VirtualLocalAreaNetworkVM-VirtualMachineVNI-VXLANNetworkIdentifier(orVXLANSegmentID)第2頁/共29頁目錄123需求與挑戰(zhàn)特性描述應用與部署第3頁/共29頁需求背景：數(shù)據(jù)中心虛擬化計算/存儲/網(wǎng)絡資源池化，虛擬化，與物理位置無關，資源利用率高。網(wǎng)絡和業(yè)務聯(lián)動，自動部署；網(wǎng)絡資源基于業(yè)務按需分配。需支持大規(guī)模的租戶和業(yè)務ID(4K~數(shù)M)，實現(xiàn)邏輯隔離。物理位置相關的DC資源和管道資源，資源利用率低。網(wǎng)絡和業(yè)務分離，業(yè)務開通時間長，業(yè)務擴展受物理位置限制。各DC基礎設施資源獨立，小二層網(wǎng)絡。租戶隔離限制在DC內(nèi)，無大于4K需求。演進方向傳統(tǒng)數(shù)據(jù)中心DC1DC2DC3DC4NetworkVirtualNetworkComputing/StoragePoolHypervisorNetworkHypervisorCustomerbuyvDC,includingvirtualcomputing/storage/networkServer/StorageApplication虛擬化的數(shù)據(jù)中心云化vDC1vDC2vDC3第4頁/共29頁需求背景：數(shù)據(jù)中心多租戶需求VLAN最大支持4K個廣播域，虛擬化數(shù)據(jù)中心中租戶規(guī)模遠超過4K，每個租戶都需要獨立的隔離的廣播域，基于VLAN的二層隔離技術不能滿足云虛擬化數(shù)據(jù)中心多租戶需求。TenantATenantB…TenantN第5頁/共29頁需求背景：虛擬機遷移需求服務器規(guī)模增長ScaleUP大容量：服務器IO性能增長，10G/40G端口應用。ScaleOut交互多：分布式業(yè)務大量應用，交互大幅增長。資源靈活調(diào)度服務器虛擬化后，需要網(wǎng)絡提供更大范圍二層域，適應虛擬機的靈活遷移和IT資源整合。源、目的虛擬機必須接入相同的子網(wǎng)，遷移前后IP、MAC不變vswitchVMVMVMVMVMvswitchVMVMVMVMVMvswitchVMVMVMVMVMvswitchVMVMVMVMVM分區(qū)1分區(qū)n企業(yè)DCDC3DC2遷移范圍逐漸擴大網(wǎng)絡設備內(nèi)部跨數(shù)據(jù)中心網(wǎng)絡設備之間分區(qū)之間VMVMVM第6頁/共29頁特性概述：VXLAN簡介RackaaSDCaaSITaaSVXLAN（VirtualExtensibleLAN

）技術簡介:VxLAN是一種overlay的網(wǎng)絡技術，使用MACoverUDP封裝實現(xiàn)多租戶公有云數(shù)據(jù)中心虛擬二層網(wǎng)絡，VXLAN技術具有以下特點：24位的VXLAN網(wǎng)絡標識符可以支持多達16M的VxLAN段的網(wǎng)絡隔離MacoverUDP的報文封裝，二層網(wǎng)絡疊加在三層網(wǎng)絡之，實現(xiàn)二層網(wǎng)絡在三層網(wǎng)絡上的延伸。物理網(wǎng)絡和虛擬網(wǎng)絡解耦，租戶可以獨立規(guī)劃自己的IP地址空間。InnerHeader(SeenbyVM)OuterHeader(UsedforEncapsulation)VMVMETHHdrIPHdrUDPHdrVXLANIDETHHdrPayloadL2/L3NVE(NetworkVirtualEdge)NVE(NetworkVirtualEdge)EthHdrPayloadEthHdrPayload2011年，由VMWare等IT廠商和Cisco為代表的CT廠商共同向IETF發(fā)起VxLAN的草案。2014年8月VxLAN基礎協(xié)議正式發(fā)布為RFC7348。VXLAN技術支持廠商多，技術較成熟。第7頁/共29頁特性概述：VXLAN報文格式如上，包括VXLAN外層封裝和內(nèi)層的原始凈荷,其中:Flags(8bits)其中I必須被設置為1，才是有效的。R需設為0。VXLANSegmentID/VXLANNetworkIdentifier(VNI)–為24bit，是虛擬網(wǎng)絡的標識。Reservedfields(24bitsand8bits)–必須被設置為0.VXLAN外層隧道的目的端口號為4789，為專為VXLAN分配的端口號。第8頁/共29頁特性概述：VxLAN網(wǎng)絡標識符VNI字段，24bits大小相同VNI內(nèi)的VM之間可以直接通信，不需要通過網(wǎng)關跨VNI通信需要VXLANL3GatewayVLANVLANVLANVLANVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVTEPVTEPVTEPVTEPnetworkX…相同VNI內(nèi)的VM之間通信不同VNI的VM不能直接通信VNI（VXLANNetworkIdentifier），VxLAN網(wǎng)絡標識符，類似VLANtag，VxLAN使用VNI標識不同的網(wǎng)段第9頁/共29頁特性概述：VTEPVTEP在虛擬交換機上VTEP在物理交換機上vSwitchVM3VM2vSwitchVM1VM2VTEPvSwitchVM1VM2VTEP基于軟件實現(xiàn)優(yōu)點：TOR交換機不需要虛擬感知，實現(xiàn)簡單缺點：消耗主機硬件資源，影響性能；故障定位與流量識別比較困難。基于硬件ASIC芯片實現(xiàn)優(yōu)點：高性能，線速轉發(fā)能力；尤其南北流WAN側支持異構服務器缺點：功能靈活性受芯片廠商限制；TOR交換機需要借助虛擬感知功能才能實現(xiàn)端到端流程的打通。VTEP(VirtualTunnelEndPoint):

VXLAN隧道端點，報文在VTEP處進行VxLAN報文頭的封裝與解封裝。VxLAN封裝報文VNI=blueVTEPVTEPVTEPVTEP原報文VxLAN封裝VM3VM4VM1VM2VM3VM4VM1VM2VM3VM4VM1VM2原報文原報文VM3VM4VM1VM2原報文VxLAN封裝第10頁/共29頁特性描述：VXLANSDN解決方案提供完善的SDN+VXLAN解決方案，實現(xiàn)VXLAN業(yè)務的自動化部署TORNVE:VXLAN虛擬網(wǎng)絡邊緣，VXLAN隧道的終結點，用于用戶虛擬機接入VXLAN網(wǎng)絡。VXLANGateway:VXLAN網(wǎng)關，用于VLAN、VXLAN網(wǎng)絡，VXLAN網(wǎng)絡之間不同子網(wǎng)間三層互通。SDNController(DCController,DCIController):SDN控制器，用于和協(xié)同層一起，構建vxlan網(wǎng)絡，下發(fā)TOR和VXLANGateway的轉發(fā)表項。NetMatrix:Netmatrix是華為SDN領域的新一代網(wǎng)管產(chǎn)品，北向通過RESTful與Neutronplug-in互通，與云平臺協(xié)同實現(xiàn)自動化。南向通過Netconf與華為SDN控制器、防火墻互通，負責業(yè)務模版定義和業(yè)務發(fā)放。OpenStack:OpenStack是一個開源的云平臺，負責DC業(yè)務的整體協(xié)同，包括存儲、計算、網(wǎng)絡。NetMatrixDCFabricTORTORTORDCFabricTORTORTORProvidernetworkPE2PE1PE3DC1ControllerNVEserverNVEserverVMvSwtichVMNVEserverVMvSwtichVMCoreSwitchCoreSwitchDCGatewayVXLANGatewayDCIControllerDC2ControllerNVEserverNVEserverVMvSwtichVMserverVMvSwtichVMCoreSwitchCoreSwitchDCGatewayVXLANGatewayNVEOpenstack第11頁/共29頁特性描述：VXLAN業(yè)務SDN控制面OpenStack提供了虛擬網(wǎng)絡管理的接口，通過openstack可以對IT和網(wǎng)絡系統(tǒng)進行解耦，華為SDN+VXLAN解決方案支持openstack虛擬網(wǎng)絡管理的功能，netmetrix組件對外提供對接openstack網(wǎng)絡管理的restful接口，openstack下發(fā)的網(wǎng)絡操作接口通過netmetix翻譯為netconf消息，下發(fā)給SNC,SNC可以根據(jù)下發(fā)的抽象網(wǎng)絡操作接口實現(xiàn)自動生成vxlanfabric網(wǎng)絡，將用戶接入VXLAN網(wǎng)絡，下發(fā)流表信息等功能。華為SDN+VXLAN解決方案也支持與vmware云平臺對接。業(yè)務流程第12頁/共29頁特性描述：VXLAN二層網(wǎng)關VXLAN二層網(wǎng)關用于傳統(tǒng)以太網(wǎng)絡和虛擬化VXLAN網(wǎng)絡的互通，VXLAN二層網(wǎng)關工作流程如下：1、VXLAN二層網(wǎng)關從傳統(tǒng)網(wǎng)絡收到以太報文，根據(jù)報文接入的Port和VLAN信息獲取對應的二層廣播域；查mac表找到出接口和封裝信息，進行封裝與轉發(fā)；缺省需要剝掉原二層頭的VLANTAG;然后新加VXLAN封裝，包含VXLAN頭VNI、VXLANUDP頭、VXLAN隧道頭（DIP\SIP）以及外層二層頭；完成vxlan報文封裝后，根據(jù)vxlan隧道頭目的IP查路由表發(fā)送報文。2、VXLAN二層網(wǎng)關從VXLAN網(wǎng)絡收到vxlan報文，首先根據(jù)vxlan隧道表檢查VXLANUDPD_PORT、VXLAN隧道DIP\SIP、VXLANVNI的合法有效性；然后根據(jù)VXLANVNI獲取對應的二層廣播域;然后解VXLAN封裝，獲取內(nèi)層二層報文，根據(jù)二層報文目的mac地址查mac表發(fā)送報文。業(yè)務流程第13頁/共29頁特性描述：VXLANL3網(wǎng)關不同網(wǎng)段的VXLAN網(wǎng)絡之間通信，以及不同網(wǎng)段VXLAN網(wǎng)絡和非VXLAN網(wǎng)絡的通信，需要通過VXLAN三層網(wǎng)關實現(xiàn)，VXLAN三層網(wǎng)關工作流程如下：1、VXLAN三層網(wǎng)關收到vxlan報文后解封裝獲取內(nèi)層二層報文，判斷二層報文目的mac為本機mac，入三層轉發(fā)流程。根據(jù)內(nèi)層報文的目的IP地址查路由表，進行三層轉發(fā)。2、根據(jù)路由表獲取下一跳IP地址，根據(jù)IP地址查ARP表，如果ARP表出接口為VXLAN隧道（DC產(chǎn)品實現(xiàn)），則按照ARP表中的VXLAN隧道封裝信息進行vxlan封裝，然后將報文發(fā)送出去。業(yè)務流程第14頁/共29頁特性描述：VXLANL3分布式網(wǎng)關VxLANvSwitchvSwitchVM2物理服務器虛擬服務器虛擬服務器WAN增值業(yè)務設備LeafLeafLeafLeafspinespine私網(wǎng)側公網(wǎng)側VM1LBBorder-leafFW…Leaf節(jié)點是VXLAN網(wǎng)絡邊緣設備，Leaf節(jié)點支持分布式網(wǎng)關功能。終端設備可以通過二層或三層網(wǎng)絡接入Leaf節(jié)點。二層接入時候，Leaf需要支持ARP/ND處理。三層接入時候，Leaf和外部網(wǎng)絡支持普通私網(wǎng)路由協(xié)議。Leaf節(jié)點之間支持ARP或路由同步。Leaf節(jié)點可以為TOR/AGG，或OVS。第15頁/共29頁特性描述：VXLANL3分布式網(wǎng)關轉發(fā)Spine1Spine2Leaf1ServerVNI20Leaf4vSwitchVM3VNI10DA（Leaf4）DA（GW）SA（Server）IP(IP_VM3，IP_Server)payloadOuterETHIP（Leaf4，Leaf1）VXLAN（VNI

VRF）DA（Leaf4）SA（Leaf1）IP(IP_VM3,IP_Server)payloadDA（VM3）SA（Leaf4）IP(IP_VM3，IP_Server)payloadOuterETHIP（Leaf4，Leaf1）VXLAN（VNI

VRF）DA（Leaf4）SA（Leaf1）IP(IP_VM3，IP_Server)payload1.租戶主機或VM發(fā)出跨子網(wǎng)的IP報文2.1).DA=GW，根據(jù)用戶報文查找網(wǎng)關接口，根據(jù)接口的VRF，報文走三層轉發(fā)，路由下一跳指向Vxlan隧道2.2).進行Vxlan隧道封裝，填寫SA、DA、VNI3.不同的Leaf間通過一個共享的VRFVNI拉通，替換內(nèi)層以太頭，報文封裝VRFVNI，封裝外層IP4.1vniVRF查找找到BDIF4.2根據(jù)BDIFMAC=DMAC，走三層轉發(fā)?！綛DIFMAC是VTEPMAC】4.3根據(jù)網(wǎng)絡側BDIF查找到VRF，VRF內(nèi)查主機路由，替換以太頭發(fā)給目標主機第16頁/共29頁特性描述：VXLANL3分布式網(wǎng)關典型場景—跨子網(wǎng)互通如圖，Leaf1下掛的主機H1與Leaf2下掛的主機H2分別屬于子網(wǎng)VNI10和VNI20，且他們接入的是同一VPN；H1要訪問H2，就是同一VRF不同子網(wǎng)互通。第17頁/共29頁如圖，H1與H2屬于不同子網(wǎng)，且屬于不同VRF，這樣在Leaf上無法互相學到對方的主機路由；場景1：不同VM直接互通，采用增加IRT直接導入方案leaf1和leaf2上VRF1和VRF2分別配置對方的IRT，直接實現(xiàn)互通。

主要應用于不同VM直接互通場景，該方案流量路徑不用環(huán)回，路徑優(yōu)。場景2：多個VRF需訪問同一公共域，采用Hub-Spoke方案多個VRF需要同時訪問同一公共域，比如同一租戶的不同VRF要走防火墻。

如圖，leaf1上VRF1與VRF2要互訪，需要通過Hub-leaf、Hub-CE做環(huán)回。特性描述：VXLANL3分布式網(wǎng)關典型場景—跨VRF互通第18頁/共29頁特性描述：VXLANL3分布式網(wǎng)關典型場景—外部L3網(wǎng)絡接入如圖，Boardleaf連接外部路由器Router，Boardleaf與Router部署OptionA：Boardleaf與router把對方互看做CE；Boardleaf與router直接部署正常的L3路由協(xié)議；當存在多個Boardleaf時，所以不能發(fā)缺省路由。第19頁/共29頁特性描述：VXLANL3分布式網(wǎng)關典型場景—1個VRF對多個VRF第20頁/共29頁特性描述：ARP廣播抑制一般的廣播報文會在二層網(wǎng)絡進行泛洪，這樣既浪費帶寬、影響網(wǎng)絡性能，而且容易引起環(huán)路等網(wǎng)絡問題，ARP請求報文是二層網(wǎng)絡中最為普遍的一種廣播報文，ARP代答功能可以抑制ARP請求廣播報文，減少廣播報文對網(wǎng)絡的影響，ARP代答的過程如下：1、openstack在創(chuàng)建vm時，將vm的(ip,mac)信息下發(fā)給SNC,SNC對vm信息進行緩存，用于ARP代答。2、主機發(fā)送ARP請求報文到TOR，TOR將ARP報文通過openflow通道上送給SNC。3、SNC查詢ARP緩存表，SNC查找到ARP緩存表情況下，代替ARP請求的主機進行應答，將應答報文通過openflow通道發(fā)送給TOR，TOR解openflow封裝，將ARP應答報文發(fā)送主機，主機可以學習到請求的ARP表項。4、SNC查找不到ARP緩存表情況下，將報文發(fā)給轉發(fā)器進行廣播，遠端主機收到請求報文后進行arp應答，主機根據(jù)應答學習到請求的ARP。業(yè)務流程第21頁/共29頁特性描述：VXLAN已知單播轉發(fā)1、TOR1收到來自終端H1的報文，根據(jù)報文中接入的端口和VLAN信息獲取對應的二層廣播域，并判斷報文的目的MAC是否為已知單播MAC，如果是已知單播報文，則走已知單播流程，否則走BUM報文轉發(fā)流程。2、TOR1判斷是已知單播的情況下，TOR1上VTEP根據(jù)查找到的VNI和遠端VTEP地址進行VXLAN封裝和報文轉發(fā)。封裝后的VXLAN報文通過TOR1和TOR2之間的IP網(wǎng)絡進行轉發(fā)。3、TOR2上VTEP收到VXLAN報文后，根據(jù)UDP目的端口號、源/目的IP地址、VNI判斷VXLAN報文的合法有效性。依據(jù)VNI獲取對應的二層廣播域，然后進行VXLAN解封裝，獲取內(nèi)層二層報文。4、TOR2根據(jù)內(nèi)層二層報文的目的MAC，查MAC表找到的出接口和封裝信息，為報文添加VLANTag，轉發(fā)給對應的終端H3。業(yè)務流程第22頁/共29頁特性描述：VXLANBUM報文轉發(fā)1、TOR1收到來自終端H1的報文，根據(jù)報文中接入的端口和VLAN信息獲取對應的二層廣播域，并判斷報文的目的MAC是否為BUMMAC，如果是則進入BUM報文轉發(fā)流程，否則走單播流程進行轉發(fā)。2、在TOR1判斷是BUM報文的情況下，TOR1上VTEP根據(jù)對應的二層廣播域獲取對應VNI的頭端復制隧道列表，依據(jù)獲取的隧道列表進行報文復制，并進行VXLAN封裝，并從出端口轉發(fā)。3、TOR2/TOR3上VTEP收到VXLAN報文后，根據(jù)UDP目的端口號、源/目的IP地址、VNI判斷VXLAN報文的合法有效性。依據(jù)VNI獲取對應的二層廣播域，然后進行VXLAN解封裝，獲取內(nèi)層二層報文。4、TOR2/TOR3根據(jù)獲取的內(nèi)層二層報文進行轉發(fā)，如果二層報文的目的mac能夠命中mac表,則根據(jù)mac表中查找到的端口進行報文封裝和轉發(fā)，否則將報文廣播到TOR的用戶側端口。業(yè)務流程第23頁/共29頁方案亮點：對接主流云管理平臺完善的網(wǎng)絡解決方案華為VXLAN解決方案高性能硬件網(wǎng)關三層VXLAN網(wǎng)關二層VXLAN網(wǎng)關分布式網(wǎng)關支持頭端復制模式ARP廣播流量消除VMwareOpenstack完善的SDN解決方案完善的二層和三層解決方案方案亮點

對接主流的云管理平臺目前支持和Openstack和VmWare云平臺集成，實現(xiàn)VXLAN業(yè)務的自動部署。高性能的硬件網(wǎng)關，支持硬件VXLAN二層和三層網(wǎng)關，對于BUM報文支持頭端復制模式，無需部署組播，SNC控制器支持ARP代答，消除ARP廣播流量，提升網(wǎng)絡性能。完善的SDN解決方案可以通過SDN控制器統(tǒng)一控制轉發(fā)VXLAN流量的轉發(fā)器，提供DC內(nèi)同子網(wǎng)流量互通和跨子網(wǎng)流量互通的解決方案，提供DC之間流量互通的解決方案。第24頁/共29頁應用與部署：不同物理數(shù)據(jù)中心相同子網(wǎng)互通Vm1和vm2屬于兩個不同物理數(shù)據(jù)中心中的虛擬機，這兩個虛擬機屬于同一個子網(wǎng)的vxlan網(wǎng)絡，我們以VM1和VM2互通，說明一下業(yè)務走向。1、VM1預發(fā)送報文到VM2，首先發(fā)送ARP請求獲取VM2的MAC，通過ARP代答機制，VM1學習到VM2的ARP，然后VM1封裝報文發(fā)送。2、TOR1受到VM1報文，查詢SNC下發(fā)的MAC轉發(fā)表進行轉發(fā)。3、TOR1的MAC轉發(fā)表包含macaddress、vni和vxlan隧道信息，TOR轉發(fā)前，會根據(jù)vxlan隧道信息進行封裝，會在原來的報文外面添加vxlanhead，封裝后的外層報文源IP和目的IP為Tunnel的源IP和目的IP，完成vxlan封裝，依附基礎網(wǎng)絡進行傳輸。4、TOR3收到vxlan報文，進行vxlan解封裝，同時根據(jù)TOR3配置的vlan和vxlan關系，把解封裝后的報文打上vlan標簽，給VM2傳輸。5、VM2所在的Vswitch會對vlan解封裝，數(shù)據(jù)傳輸?shù)絍M2。業(yè)務流程第25頁/共29頁應用與部署：跨虛擬數(shù)據(jù)中心的虛擬機互通

Vm1和vm2屬于兩個不同物理數(shù)據(jù)中心中的虛擬機，這兩個虛擬機屬于兩個不同子網(wǎng)的vxlan網(wǎng)絡，我們以VM1和VM2互通，說明一下業(yè)務走向。1、VM1預發(fā)送報文到VM2，由于是不同子網(wǎng)，發(fā)送ARP請求獲取網(wǎng)關MAC。SNC進行ARP代答，回復網(wǎng)關橋MAC，封裝后發(fā)送。2、報文到TO