科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网网络频道路由交换云应用:混合云需要混合网络来支撑

云应用:混合云需要混合网络来支撑

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

Patrick Hubbard指出,一旦开始将一些使用云服务的服务器迁移到云中的虚拟机上,企业就开始制造一种不同的东西:混合加混合云。

来源:TechTarget中国 2014年9月23日

关键字: IaaS 虚拟机 网络 混合云 云服务

  • 评论
  • 分享微博
  • 分享邮件

在经过一番艰苦努力的之后,我最终调试解决了一个非常棘手的混合云网络问题。

虚拟私有云(VPC)提供了一个包含免费虚拟机(VM)使用时间的培训项目,学生可以跟随一位现场讲师学习,而不需要花时间去安装产品。但是,大量的短暂存在亚马逊云服务(AWS)虚拟机使我的主控机很难保持对它们的可靠控制。它们可能无法访问我最喜欢的亚马逊简单队列服务(SQS),使用几百个这种服务会控制我的Elastic Compute Cloud(EC2)费用支出。

和许多很好的混合云一样,VPC的私有地址空间已经通过AWS Direct Connect链接到我的数据中心,从而对外展现为单个内聚的网络。问题是,虽然数据中心内所有系统都可以看到SQS正常工作,但是在亚马逊EC2本身的虚拟机却无法看到。似乎并没有魔法般的虚拟机实例访问权限组合可以做到这一点,尽管可以肯定它们可以自动获得核心AWS服务的访问权限。

这个解决方案最终会包含路由功能。在解决这个问题,我突然发现了云管理中有一个新的网络复杂性问题。这个问题不仅存在于传统云网络中,也存在于现在所谓的混合加混合网络(Hybrid-Hybrid Networks, HHN)。

混合加混合网络(Hybrid-hybrid networks)指的是什么?

当前企业IT推崇的云应用主要是基础架构即服务(IaaS)。实际上,IT正在将数据中心内物理机架上的服务器迁移到云中的虚拟机上。当然,我们需要保证Exchange服务器仍然能够将授权请求转发回到本地的Active Directory,这样管理员才能使用AWS Direct Connect、Azure Virtual Network或其他技术创建持久链接。一旦完成了这一步,你就得到了一个纯粹的混合云。

但是,如果你是一些真实云服务的早期采用者,如存储、云数据库、队列、转码等,又会如何呢?如果是这样,那么即使你的所有服务器仍然在机架中,你也已经进入云了。例如,如果你知道数据库名称,但是不能访问它所在的主机,那么你只是其中一个用户。一旦你开始将一些使用云服务的服务器迁移到云中虚拟机上,你就会遇到一种前所未有的网络复杂性,从而制造出一些不同的东西:混合加混合云。

结果:网络增加了而非减少了

对于早期采用者,IaaS应该不需要动太多脑筋。你的业务已经使用了很多的云服务,将大量系统迁移到混合云和IaaS上,可以更好地分配服务和用户,从而提升服务交付质量。因此你只需要关注于最后的用户接口问题。同时,服务器与后台系统之间的繁重网络流量也会得到很大的改进。可是,这个结果并不一定会如期出现。更坏的是,我们喜欢使用的调试工具可能并不支持IaaS基础架构。(我在期盼着NetFlow的到来。)

云基础架构的不透明性意味着你不会连接到虚拟交换机,也不会检查访问控制列表(ACL),而且你不会查看NetFlow或检查防火墙配置中的原始ACL。你看不懂配置面板的内容,里面有继承的JSON策略/角色块和其他一些复杂信息。解决方法是回归一下,回想以前初涉IT时候的场景。以前,高级管理员不会随便给你root权限,因此你必须想一些办法绕过这个问题。

首先,先记住因为所有来自同一个供应商的服务并一定位于同一个位置,否则网络复杂性也不会成为一个问题。当这些使用云服务的应用部署在机架上时,它们会使用服务的地理路由前端。无论数据中心在什么位置,这个服务都会生成最高效的路由。如果现在决定将一个服务器迁移到位于悉尼的一个虚拟机上,那么它可能会对运行在弗吉尼亚的服务性能产生影响。确实,这里仍有一个意想不到的云网络问题:你仍然必须用Visio画出服务的拓扑图。

其次,要使用手头已有的工具。你可能无法访问IaaS平台的VSwitch,但是IaaS服务器仍然有操作系统和NIC,而且你可以安装深度数据包检测传感器,从云服务器的角度观察流量。

最后,你仍然在数据中心内保留VPC分界点的总体可见性,而且你想象不到的是,你会发现问题就出现在这个位置。

固化路由的一个特殊方法

在我的HHN中,我添加一些特殊的虚拟机实例角色限制,保护网络安全性不受学生虚拟机的影响。也就是说,我将所有流量转发回数据中心,然后我在这里通过信任的Palo Alto防火墙管理外出的互联网请求。这通常不会成为一个问题,但是我还将AWS服务调用限制在数据中心一个特定子网中。防火墙会接收到来自这些服务的大量请求,但是它们却来自于AWS VPC空间中一些不可信的新私有子网。防火墙会执行它的本职功能——阻挡流量。在EC2仪表析出现红色警报之后,解决方法实际上是很简单的。

在将虚拟机迁移到云的过程中,只需要记住关键点并不是考虑基础架构。这里仍然有许多规划和故障修复要做。固定的网络和旧式检测方法比以前更加重要,特别是在我们进入混合加混合加混合网络之后。这个问题会在我们实现IPv6之前到来。

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章