vSwitch最佳实践：认识虚拟化网络（下）

　　继《vSwitch最佳实践：认识虚拟化网络(上)》，本文将继续介绍虚拟网络的挑战。

　　虚拟网络挑战

　　网络团队通常不具备虚拟化环境的管理权限。事实上，虚拟化会带来许多新的网络问题，包括流量可见性有限、需要实施新的网络策略、手工修复vSwitch和网络配置，VM迁移造成的I/O带宽压力。除了这些技术问题，虚拟化也会引起虚拟化管理和网络管理的冲突。

　　诸如此类的许多问题是由于相同主机VM之间的流量不会流出服务器并进入物理网络，因此网络团队很难监控或管理这些流量。缺少可见性也意味着网络防火墙、QoS、ACL和IDS/IPS系统无法监控物理网络的数据传输。

　　而且，标准和分布式的vSwitch交换机的管理都不简单。管理员只能控制主机上物理NIC的上行端口，无法控制vSwitch上存在的诸多虚拟端口。

　　为了解决这些问题，网络团队需要新的网络管理和安全产品，如Reflex System的虚拟管理中心、Altor Networks的虚拟防火墙和Catbird的vSecurity。所有这些产品都有专门设计的主机虚拟网络流量安全、监视、控制功能。

　　使用网络边缘技术改进vSwitch管理

　　网络专业人员在处理网络环境中新的虚拟网络交换机(vSwitch)层时，可能会遇到管理、策略实施、安全性和扩展性问题。

　　网络工程师能在一系列网络边缘虚拟技术中寻找解决方法。这些技术包括分布式虚拟交换(DVS)技术，它可以通过一个外部管理系统来控制多个虚拟交换机的数据。Nexus 1000v交换机就是思科的DVS产品。

　　边缘虚拟桥接技术(EVB)通过虚拟机流量流的vSwitch可见性和紧密策略控制，解决了vSwitch管理问题。最后，EVB提供一种基于标准的解决方案，从而不需要在虚拟机管理程序中调用软件交换技术。

　　将来，可能会出现单根I/O虚拟化(single root I/O virtualisation，SR-IOV)技术，它将基于软件的虚拟交换机转移到PCI NIC硬件上，并为边缘网络技术提供硬件支持，从而解决了vSwitch和虚拟流量管理问题。

　　使用分布式交换机实现控制

　　由于认识到网络团队实现虚拟化就是为了更好的监控和管理虚拟流量，思科开发了Nexus 1000v分布式虚拟交换机(vSwitch)。这种分布式虚拟交换机将对虚拟主机内的虚拟网络管理权交回给网络管理员，从而解决服务器和网络团队之间的冲突，在宿主上实现更严密的安全性和可管理性。

　　思科Nexus 1000v分布式虚拟交换机由虚拟超级管理模块(VSM)和虚拟以太网模块(VEM)组成，它与虚拟环境的其他组件一起保障数据传输流畅。

　　思科还开发了Nexus 1010v，它是VSM虚拟设备的物理版本，可替代在ESX和ESXi主机上运行的VSM。

　　常规VMware vSwitch与思科Nexus 1000v：如何选择?

　　在传统的VMware vSwitch、VMware的vNetwork分布式交换机(顶级Enterprise Plus 版本中有)和第三方的思科Nexus 1000V之间选择，需要考虑很多问题。

　　一方面，基础版vSwitch是免费的，它有一个便捷的管理界面，支持VMware界面的所有基础特性，这个界面对经验丰富的管理员来说很熟悉。而思科Nexus 1000V需要付费，它的管理界面更复杂，但是它支持一些高级的思科IOS特性，从长远来看有价格优势，并且能保护更深层次的安全。

　　Open vSwitch为网络管理员提供流量控制和可见性

　　Open vSwitch是一种替代思科Nexus 1000v的开源软件，专门管理多租赁公共云计算环境，为网络管理员提供虚拟VM之间和之内的流量可见性和控制。但是，由Citrix支持的Open vSwitch仍不能在VMware环境中使用。

　　Open vSwitch项目由网络控制软件创业公司Nicira Networks支持，旨在用虚拟化解决网络问题，与控制器软件一起实现分布式虚拟交换技术。这意味着，交换机和控制器软件能够在多个服务器之间创建集群网络配置，从而不需要在每一个VM和物理主机上单独配置网络。这个交换机还支持VLAN中继，通过NetFlow、sFlow和RSPAN实现可见性，通过OpenFlow协议进行管理。它还有其他一些特性：严格流量控制，它由OpenFlow交换协议实现;远程管理功能，它能通过网络策略实现更多控制。

　　现在，OpenFlow和由软件定义的网络技术在网络领域的作用越来越大，分析显示Open vSwitch正获得更多的关注：它在vSphere环境中的应用在增多。