vSwitch最佳实践：认识虚拟化网络

数据中心使用虚拟化的服务器越来越多，网络管理员和工程师迫切需要寻找更优的方法实现虚拟机间流量管理。虚拟交换机（vSwitch）旨在管理和转发虚拟环境的流量，
但是网络工程师通常不直接访问这些交换机。如果他们这样做，他们会发现虚拟机管理程序内部的vSwitch通常没有他们所需要的可见性和精细流量管理功能。那就没有办法了么？本文介绍了vSwitch的最佳实践方法，分析了vSwitch支持的功能，它们对网络的影响、潜在的问题，以及有效管理vSwitch和虚拟流量的策略。虚拟交换机如何影响网络数据中心虚拟化有利于提高数据的网络传输速度和使用率，但是也会带来一些网络问题。在虚拟化设置中，网络访问层位于虚拟机管理程序内，内置的vSwitch负责管理流量。但是这些交换机存在一些特殊的问题。传统物理交换机是根据物理设备的MAC地址来确定消息帧的发送目标。vSwitch也采用类似的方式，每一台虚拟宿主都必须连接到一台vSwitch上，方式与物理主机连接物理交换机相同。但是，深入分析之后，我们会发现物理与虚拟交换机有一些显著的区别。在物理交换机上，如果专用的物理线路或交换机端口出现问题，
那么只会有一台服务器受到影响。但是在虚拟化环境中，一条线路可能连接10台以上的虚拟机（VM），出现问题可能会导致多台VM连接中断。而且，连接多台VM需要更多带宽，这都必须由vSwitch进行处理。这些区别在设计
复杂的大型网络中尤为明显，如支持跨数据中心或灾难恢复的VM基础架构。由于vSwitch是手工配置，
然后由各个ESX主机管理，因此，如果管理员或网络工程师不理解虚拟化和ESX管理，就可能出现重大的配置错误或问题。为了实现数据中心虚拟化，思科和VMware开发了两种技术，它们能改进ESX主机内vSwitch功能。VMware
提出了分布式虚拟交换机（DVS）的概念，它是一种将端口和管理分布于集群中所有ESX服务器的vSwitch。思科开发了Nexus 1000V，它是替代ESX的vSwitch，能够将网络交回给网络运营团队管理。虚拟交换技术选择和架构设计问题虚拟交换机(vSwitch)是一个vSphere主机的核心网络组件，它将宿主服务器的物理NIC(pNIC)连接到虚拟机的虚拟NIC（vNIC）。在规划的vSwitch架构中，工程师必须决定他们如何使用物理NIC（pNIC），以分配vSwitch端口组保障冗余、分片和安全。vSphere vSwitch有三种。vNetwork标准交换机（vSS）最适合小型环境使用，其中每一台vSwtich都必须在各个主机上单独配置。第二种是vNetwork分布式vSwitch，它与标准vSwitch类似，不同的是它使用vCentre服务器集中配置。第三种是思科Nexus 1000v，这是由思科和VMware共同开发的一种混合分布式vSwitch，它更智能。vSphere vSwitch的选择取决于您是否有vSphere Enterprise Plus授权。所有这些交换机都支持802.1Q标记技术，它可以在一个物理交换端口上使用多个VLAN（通过在所有网络帧上用标签来确定它们是否属于某个特定VLAN），从而减少一台主机需要的pNIC数量。要在vSphere实现这个功能，我们必须保证模块位于使用标记的位置。安全性对于vSphere vSwitch也很重要。单独使用各种端口和端口组，而不是将它们整合到一个vSwitch上，这样能够实现更高的安全性和更好的管理。这些端口类型包括服务控制台、VMkernel和虚拟机。vSwitch冗余是另一个重要问题。冗余是通过给一台vSwitch分配至少两个pNIC实现的，每一个pNIC分别连接不同的物理交换机。虚拟网络挑战网络团队通常不具备虚拟化环境的管理权限。事实上，虚拟化会带来许多
新的网络问题，包括流量可见性有限、需要实施新的网络策略、手工修复vSwitch和网络配置，VM迁移造成的I/O带宽压力。除了这些技术问题，虚拟化也会引起虚拟化管理和网络管理的冲突。诸如此类的许多问题是由于相同主机VM之间的流量不会流出服务器并进入物理网络，因此网络团队很难监控或管理这些流量。
缺少可见性也意味着网络防火墙、QoS、ACL和IDS/IPS系统无法监控物理网络的数据传输。而且，标准和分布式的vSwitch交换机的管理都不简单。管理员只能控制主机上物理NIC的上行端口，无法控制vSwitch上存在的
诸多虚拟端口。为了解决这些问题，网络团队需要新的网络管理和安全产品，如Reflex System的虚拟管理中心、Altor Networks的虚拟防火墙和Catbird的vSecurity。所有这些产品都有专门设计的主机虚拟网络流量安全、监视、控制功能。使用网络边缘技术改进vSwitch管理网络专业人员在处理网络环境中新的虚拟网络交换机（vSwitch）层时，可能会遇到管理、策略实施、安全性和扩展性问题。网络工程师能在一系列网络边缘虚拟技术中寻找解决方法。这些技术包括分布式虚拟交换（DVS）技术，它可以通过一个外部管理系统来控制多个虚拟交换机的数据。Nexus 1000v交换机就是思科的DVS产品。边缘虚拟桥接技术(EVB)通过虚拟机流量流的vSwitch可见性和紧密策略控制，解决了vSwitch管理问题。最后，EVB提供一种基于标准的解决方案，从而不需要在虚拟机管理程序中调用软件交换技术。将来，可能会出现单根I/O虚拟化（single root I/O virtualisation，SR-IOV）技术，它将基于软件的虚拟交换机转移到PCI NIC硬件上，并为边缘网络技术提供硬件支持，从而解决了vSwitch和虚拟流量管理问题。使用分布式交换机实现控制由于认识到网络团队实现虚拟化就是为了更好的监控和管理虚拟流量，思科开发了Nexus 1000v分布式虚拟交换机（vSwitch）。这种分布式虚拟交换机将对虚拟主机内的虚拟网络管理权交回给网络管理员，从而解决服务器和网络团队之间的冲突，在宿主上实现更严密的安全性和可管理性。思科Nexus 1000v分布式虚拟交换机由虚拟超级管理模块（VSM）和虚拟以太网模块（VEM）组成，它与虚拟环境的其他组件一起保障数据传输流畅。思科还开发了Nexus 1010v，它是VSM虚拟设备的物理版本，可替代在ESX和ESXi主机上运行的VSM。常规VMware vSwitch与思科Nexus 1000v：如何选择？在传统的VMware vSwitch、VMware的vNetwork分布式交换机（顶级Enterprise Plus 版本中有）和第三方的思科Nexus 1000V之间选择，需要考虑很多问题。一方面，基础版vSwitch是免费的，它有一个便捷的管理界面，支持VMware界面的所有基础特性，这个界面对经验
丰富的管理员来说很熟悉。而思科Nexus 1000V需要付费，它的管理界面更复杂，但是它支持一些高级的思科IOS特性，从长远
来看有价格优势，并且能保护更深层次的安全。Open vSwitch为网络管理员提供流量控制和可见性Open vSwitch是一种替代思科Nexus 1000v的开源软件，专门管理多租赁公共云计算环境，为网络管理员提供虚拟VM之间和之内的流量可见性和控制。但是，由Citrix支持的Open vSwitch仍不能在VMware环境中使用。Open vSwitch项目由网络控制软件创业公司Nicira Networks支持，旨在用虚拟化解决网络问题，与控制器软件一起实现分布式虚拟交换技术。这意味着，交换机和控制器软件能够在多个服务器之间创建集群网络配置，从而不需要在每一个VM和物理主机上单独配置网络。这个交换机还支持VLAN中继，通过NetFlow、sFlow和RSPAN实现可见性，通过OpenFlow协议进行管理。它还有其他一些特性：严格流量控制，它由OpenFlow交换协议实现；远程管理功能，它能通过网络策略实现更多控制。现在，OpenFlow和由软件定义的网络技术在网络领域的作用越来越大，分析显示Open vSwitch正获得更多的关注：它在vSphere环境中的应用在增多。