那就沒(méi)有辦法了么？本文介紹了vSwitch的最佳實(shí)踐方法，分析了vSwitch支持的功能，它們對(duì)網(wǎng)絡(luò)的影響、潛在的問(wèn)題，以及有效管理vSwitch和虛擬流量的策略。

 

虛擬交換機(jī)如何影響網(wǎng)絡(luò)

 

數(shù)據(jù)中心虛擬化有利于提高數(shù)據(jù)的網(wǎng)絡(luò)傳輸速度和使用率，但是也會(huì)帶來(lái)一些網(wǎng)絡(luò)問(wèn)題。在虛擬化設(shè)置中，網(wǎng)絡(luò)訪問(wèn)層位于虛擬機(jī)管理程序內(nèi)，內(nèi)置的vSwitch負(fù)責(zé)管理流量。但是這些交換機(jī)存在一些特殊的問(wèn)題。

 

傳統(tǒng)物理交換機(jī)是根據(jù)物理設(shè)備的MAC地址來(lái)確定消息幀的發(fā)送目標(biāo)。vSwitch也采用類(lèi)似的方式，每一臺(tái)虛擬宿主都必須連接到一臺(tái)vSwitch上，方式與物理主機(jī)連接物理交換機(jī)相同。

 

但是，深入分析之后，我們會(huì)發(fā)現(xiàn)物理與虛擬交換機(jī)有一些顯著的區(qū)別。在物理交換機(jī)上，如果專用的物理線路或交換機(jī)端口出現(xiàn)問(wèn)題，那么只會(huì)有一臺(tái)服務(wù)器受到影響。但是在虛擬化環(huán)境中，一條線路可能連接10臺(tái)以上的虛擬機(jī)（VM），出現(xiàn)問(wèn)題可能會(huì)導(dǎo)致多臺(tái)VM連接中斷。而且，連接多臺(tái)VM需要更多帶寬，這都必須由vSwitch進(jìn)行處理。

 

這些區(qū)別在設(shè)計(jì)復(fù)雜的大型網(wǎng)絡(luò)中尤為明顯，如支持跨數(shù)據(jù)中心或?yàn)?zāi)難恢復(fù)的VM基礎(chǔ)架構(gòu)。

 

由于vSwitch是手工配置，然后由各個(gè)ESX主機(jī)管理，因此，如果管理員或網(wǎng)絡(luò)工程師不理解虛擬化和ESX管理，就可能出現(xiàn)重大的配置錯(cuò)誤或問(wèn)題。

 

為了實(shí)現(xiàn)數(shù)據(jù)中心虛擬化，思科和VMware開(kāi)發(fā)了兩種技術(shù)，它們能改進(jìn)ESX主機(jī)內(nèi)vSwitch功能。VMware提出了分布式虛擬交換機(jī)（DVS）的概念，它是一種將端口和管理分布于集群中所有ESX服務(wù)器的vSwitch。思科開(kāi)發(fā)了Nexus 1000V，它是替代ESX的vSwitch，能夠?qū)⒕W(wǎng)絡(luò)交回給網(wǎng)絡(luò)運(yùn)營(yíng)團(tuán)隊(duì)管理。

 

虛擬交換技術(shù)選擇和架構(gòu)設(shè)計(jì)問(wèn)題

 

虛擬交換機(jī)(vSwitch)是一個(gè)vSphere主機(jī)的核心網(wǎng)絡(luò)組件，它將宿主服務(wù)器的物理NIC(pNIC)連接到虛擬機(jī)的虛擬NIC（vNIC）。在規(guī)劃的vSwitch架構(gòu)中，工程師必須決定他們?nèi)绾问褂梦锢鞱IC（pNIC），以分配vSwitch端口組保障冗余、分片和安全。

 

vSphere vSwitch有三種。vNetwork標(biāo)準(zhǔn)交換機(jī)（vSS）最適合小型環(huán)境使用，其中每一臺(tái)vSwtich都必須在各個(gè)主機(jī)上單獨(dú)配置。第二種是vNetwork分布式vSwitch，它與標(biāo)準(zhǔn)vSwitch類(lèi)似，不同的是它使用vCentre服務(wù)器集中配置。第三種是思科Nexus 1000v，這是由思科和VMware共同開(kāi)發(fā)的一種混合分布式vSwitch，它更智能。vSphere vSwitch的選擇取決于您是否有vSphere Enterprise Plus授權(quán)。

 

所有這些交換機(jī)都支持802.1Q標(biāo)記技術(shù)，它可以在一個(gè)物理交換端口上使用多個(gè)VLAN（通過(guò)在所有網(wǎng)絡(luò)幀上用標(biāo)簽來(lái)確定它們是否屬于某個(gè)特定VLAN），從而減少一臺(tái)主機(jī)需要的pNIC數(shù)量。要在vSphere實(shí)現(xiàn)這個(gè)功能，我們必須保證模塊位于使用標(biāo)記的位置。

 

安全性對(duì)于vSphere vSwitch也很重要。單獨(dú)使用各種端口和端口組，而不是將它們整合到一個(gè)vSwitch上，這樣能夠?qū)崿F(xiàn)更高的安全性和更好的管理。這些端口類(lèi)型包括服務(wù)控制臺(tái)、VMkernel和虛擬機(jī)。

 

vSwitch冗余是另一個(gè)重要問(wèn)題。冗余是通過(guò)給一臺(tái)vSwitch分配至少兩個(gè)pNIC實(shí)現(xiàn)的，每一個(gè)pNIC分別連接不同的物理交換機(jī)。

 

虛擬網(wǎng)絡(luò)挑戰(zhàn)

 

網(wǎng)絡(luò)團(tuán)隊(duì)通常不具備虛擬化環(huán)境的管理權(quán)限。事實(shí)上，虛擬化會(huì)帶來(lái)許多新的網(wǎng)絡(luò)問(wèn)題，包括流量可見(jiàn)性有限、需要實(shí)施新的網(wǎng)絡(luò)策略、手工修復(fù)vSwitch和網(wǎng)絡(luò)配置，VM遷移造成的I/O帶寬壓力。除了這些技術(shù)問(wèn)題，虛擬化也會(huì)引起虛擬化管理和網(wǎng)絡(luò)管理的沖突。

 

諸如此類(lèi)的許多問(wèn)題是由于相同主機(jī)VM之間的流量不會(huì)流出服務(wù)器并進(jìn)入物理網(wǎng)絡(luò)，因此網(wǎng)絡(luò)團(tuán)隊(duì)很難監(jiān)控或管理這些流量。缺少可見(jiàn)性也意味著網(wǎng)絡(luò)防火墻、QoS、ACL和IDS/IPS系統(tǒng)無(wú)法監(jiān)控物理網(wǎng)絡(luò)的數(shù)據(jù)傳輸。

 

而且，標(biāo)準(zhǔn)和分布式的vSwitch交換機(jī)的管理都不簡(jiǎn)單。管理員只能控制主機(jī)上物理NIC的上行端口，無(wú)法控制vSwitch上存在的諸多虛擬端口。

 

為了解決這些問(wèn)題，網(wǎng)絡(luò)團(tuán)隊(duì)需要新的網(wǎng)絡(luò)管理和安全產(chǎn)品，如Reflex System的虛擬管理中心、Altor Networks的虛擬防火墻和Catbird的vSecurity。所有這些產(chǎn)品都有專門(mén)設(shè)計(jì)的主機(jī)虛擬網(wǎng)絡(luò)流量安全、監(jiān)視、控制功能。

 

使用網(wǎng)絡(luò)邊緣技術(shù)改進(jìn)vSwitch管理

 

網(wǎng)絡(luò)專業(yè)人員在處理網(wǎng)絡(luò)環(huán)境中新的虛擬網(wǎng)絡(luò)交換機(jī)（vSwitch）層時(shí)，可能會(huì)遇到管理、策略實(shí)施、安全性和擴(kuò)展性問(wèn)題。

 

網(wǎng)絡(luò)工程師能在一系列網(wǎng)絡(luò)邊緣虛擬技術(shù)中尋找解決方法。這些技術(shù)包括分布式虛擬交換（DVS）技術(shù)，它可以通過(guò)一個(gè)外部管理系統(tǒng)來(lái)控制多個(gè)虛擬交換機(jī)的數(shù)據(jù)。Nexus 1000v交換機(jī)就是思科的DVS產(chǎn)品。

 

邊緣虛擬橋接技術(shù)(EVB)通過(guò)虛擬機(jī)流量流的vSwitch可見(jiàn)性和緊密策略控制，解決了vSwitch管理問(wèn)題。最后，EVB提供一種基于標(biāo)準(zhǔn)的解決方案，從而不需要在虛擬機(jī)管理程序中調(diào)用軟件交換技術(shù)。

 

將來(lái)，可能會(huì)出現(xiàn)單根I/O虛擬化（single root I/O virtualisation，SR-IOV）技術(shù)，它將基于軟件的虛擬交換機(jī)轉(zhuǎn)移到PCI NIC硬件上，并為邊緣網(wǎng)絡(luò)技術(shù)提供硬件支持，從而解決了vSwitch和虛擬流量管理問(wèn)題。

 

使用分布式交換機(jī)實(shí)現(xiàn)控制

 

由于認(rèn)識(shí)到網(wǎng)絡(luò)團(tuán)隊(duì)實(shí)現(xiàn)虛擬化就是為了更好的監(jiān)控和管理虛擬流量，思科開(kāi)發(fā)了Nexus 1000v分布式虛擬交換機(jī)（vSwitch）。這種分布式虛擬交換機(jī)將對(duì)虛擬主機(jī)內(nèi)的虛擬網(wǎng)絡(luò)管理權(quán)交回給網(wǎng)絡(luò)管理員，從而解決服務(wù)器和網(wǎng)絡(luò)團(tuán)隊(duì)之間的沖突，在宿主上實(shí)現(xiàn)更嚴(yán)密的安全性和可管理性。

 

思科Nexus 1000v分布式虛擬交換機(jī)由虛擬超級(jí)管理模塊（VSM）和虛擬以太網(wǎng)模塊（VEM）組成，它與虛擬環(huán)境的其他組件一起保障數(shù)據(jù)傳輸流暢。

 

思科還開(kāi)發(fā)了Nexus 1010v，它是VSM虛擬設(shè)備的物理版本，可替代在ESX和ESXi主機(jī)上運(yùn)行的VSM。

 

常規(guī)VMware vSwitch與思科Nexus 1000v：如何選擇？

 

在傳統(tǒng)的VMware vSwitch、VMware的vNetwork分布式交換機(jī)（頂級(jí)Enterprise Plus 版本中有）和第三方的思科Nexus 1000V之間選擇，需要考慮很多問(wèn)題。

 

一方面，基礎(chǔ)版vSwitch是免費(fèi)的，它有一個(gè)便捷的管理界面，支持VMware界面的所有基礎(chǔ)特性，這個(gè)界面對(duì)經(jīng)驗(yàn)豐富的管理員來(lái)說(shuō)很熟悉。而思科Nexus 1000V需要付費(fèi)，它的管理界面更復(fù)雜，但是它支持一些高級(jí)的思科IOS特性，從長(zhǎng)遠(yuǎn)來(lái)看有價(jià)格優(yōu)勢(shì)，并且能保護(hù)更深層次的安全。

 

Open vSwitch為網(wǎng)絡(luò)管理員提供流量控制和可見(jiàn)性

 

Open vSwitch是一種替代思科Nexus 1000v的開(kāi)源軟件，專門(mén)管理多租賃公共云計(jì)算環(huán)境，為網(wǎng)絡(luò)管理員提供虛擬VM之間和之內(nèi)的流量可見(jiàn)性和控制。但是，由Citrix支持的Open vSwitch仍不能在VMware環(huán)境中使用。

 

Open vSwitch項(xiàng)目由網(wǎng)絡(luò)控制軟件創(chuàng)業(yè)公司Nicira Networks支持，旨在用虛擬化解決網(wǎng)絡(luò)問(wèn)題，與控制器軟件一起實(shí)現(xiàn)分布式虛擬交換技術(shù)。這意味著，交換機(jī)和控制器軟件能夠在多個(gè)服務(wù)器之間創(chuàng)建集群網(wǎng)絡(luò)配置，從而不需要在每一個(gè)VM和物理主機(jī)上單獨(dú)配置網(wǎng)絡(luò)。這個(gè)交換機(jī)還支持VLAN中繼，通過(guò)NetFlow、sFlow和RSPAN實(shí)現(xiàn)可見(jiàn)性，通過(guò)OpenFlow協(xié)議進(jìn)行管理。它還有其他一些特性：嚴(yán)格流量控制，它由OpenFlow交換協(xié)議實(shí)現(xiàn)；遠(yuǎn)程管理功能，它能通過(guò)網(wǎng)絡(luò)策略實(shí)現(xiàn)更多控制。

 

現(xiàn)在，OpenFlow和由軟件定義的網(wǎng)絡(luò)技術(shù)在網(wǎng)絡(luò)領(lǐng)域的作用越來(lái)越大，分析顯示Open vSwitch正獲得更多的關(guān)注：它在vSphere環(huán)境中的應(yīng)用在增多。