5分布式数据中心三层网络互联方案.docxVIP

分布式数据中心三层网络互联方案2013-07-26 00:30:00??[??中关村在线???]??收藏文章?分享到?评论(11)　　实现分布式数据中心部署需要通过三种网络互联：数据中心间存储网络互联、数据中心服务器接入层二层网络互联、数据中心间三层网络互联。本文就“三层网络互联”详述传统互联方案及其相关优化方案的不同特点。　　一、???????? 传统方案 —— 单侧网关　　单业务的传统部署模式为单侧网关模式，单业务流只从一个数据中心进出（单进单出），对另一个数据中心的前端网络利用不高，且可能在数据中心互联链路上存在较大流量。单侧网关方案适用于业务流量不大、便于区分、业务连续性要求不高的场景。　　1.???? 方案说明图1. 单侧网关的部署方案　　对于同一个网段内的虚机流量来说，只会选择一个数据中心的设备作为网关进行流量转发。即使该网段内某虚机从一个数据中心动态迁移到另一个数据中心，流量也只从单一数据中心进出；但对于不同网段的虚机流量，可以通过设定不同数据中心的不同网关，从而将流量分担到不同的数据中心。　　唯一网关部署　　针对单侧网关部署方案，也可以采用仅仅在一个数据中心部署唯一的网关方案，如图2左侧拓扑，这种方案会导致正常情况下大量的流量通过互联链路，造成不必要的带宽占用，并且一旦原数据中心的网关设备出现故障后，只能通过手工增加配置的方式切换到灾备的数据中心，切换方式非常不灵活，所以不建议采用这种部署方式。　　VRRP部署　　推荐的方式是在两个数据中心之间部署VRRP协议，如图2右侧拓扑，在主用的数据中心VRRP优先级调整较高，正常情况下通过主数据中心的网关设备转发流量，而故障之后可以迅速的切换到灾备中心的网关设备，实现自动切换。但是会有较多的VRRP报文通过互联链路转发，可能会受到互联链路的质量限制，存在VRRP异常切换的风险。?图2. 唯一网关部署 VS VRRP方案部署　　对于访问数据中心的用户，要访问服务器的资源，必须保证流量的来回路径一致，所以就需要将网关侧发布的路由作为优选路由。简单来说，可以通过拆分网段的方式，确保较长掩码长度的路由被优选。路由部署的方式如图3所示：图3. 单网关的路由发布与选择　　在正常情况下，数据中心2内的虚机发出的流量必须经由数据中心之间的互联链路至数据中心1的网关设备进行转发，这会导致二层转发时的次优路径问题。实际组网中基于光纤互联时，造成的延时非常小，这种次优路径问题对业务基本没有影响，维护技术与传统的数据中心管理技术没有差别。　　在设计路由的同时，也必须考虑防火墙的部署方式。两个数据中心共部署4台防火墙，而且4台防火墙要做到“全部Active”，基本不可行；如果每个数据中心只部署1台防火墙，跨中心做双Active，但是在切换的时候会导致网关和防火墙的同时切换和状态重新同步，维护和切换非常麻烦，所以不建议将网关部署在防火墙上，而应部署在交换机上，通过策略路由的方式引导流量经过防火墙。这种方式的优点有：　　汇聚交换机与核心路由器之间运行OSPF，三层联通性好。　　网关在汇聚交换机上，防火墙无需处理过多的主机ARP请求。　　控制灵活，服务器之间的互访是否需要过防火墙，都可以通过策略控制。　　2.???? 流量路径切换　　当网关设备出现故障时，流量路径如图4左侧拓扑所示。通过VRRP协议的检测，不同业务的网关均切换至数据中心2。对于分支机构或者外部用户，仅仅可以学习到一条聚合路由，因此流量也会切换至数据中心2。另一种情况，当虚机从数据中心1迁移至数据中心2时，流量路径如图4右侧拓扑所示。由于网关仍然在数据中心1，因此流量经过数据中心1的网关完成转发，存在次优路由的代价。??图4. 网关设备故障时的灾备切换　　3.???? 方案小结　　单侧网关方案的特点：　　Ingress（客户机——服务器）访问路径：将到同一地址的路由采用不同的优先级或者拆分成不同掩码长度的网段，分别从两个数据中心向外发布。控制路由的各种属性使得网关侧发布的路由被优选。　　Egress （服务器——客户机）访问路径：通过VRRP协议，使得某些业务优选一个数据中心的网关进行转发。　　方案的优点：　　流量路径明确、配置管理简单。　　安全性强，FW基于状态监测报文。　　缺点主要为：　　基于业务网段的不同来区分，粒度较大。　　当互联链路存在链路质量问题时，次优路径影响会较为明显。　　二、???????? 优化方案1 —— RHI + 网关分离　　网关分离方案适用于业务流量较大、IP规划复杂、业务连续性要求较高的场景。采用“RHI（路由健康注入）+网关分离”的方案，对于单业务来说网关同时部署在两个数据中心，业务流在不同情况下可分别从两个数据中心进出（双进双出），避免了传统方案中存在的前端网络利用不高和互联链路流量的问题。　　1.??