網(wǎng)絡(luò)是云計算數(shù)據(jù)中心最重要的部分，這主要體現(xiàn)在：

網(wǎng)絡(luò)的重要性：網(wǎng)絡(luò)連接所有節(jié)點，各類服務(wù)都通過網(wǎng)絡(luò)鏈接，用戶通過網(wǎng)絡(luò)遠程操作。沒有網(wǎng)絡(luò)，一切都是空的。

網(wǎng)絡(luò)的復雜性：不像一般的業(yè)務(wù)系統(tǒng)，要么是單服務(wù)器級別的或者集群級別的；網(wǎng)絡(luò)系統(tǒng)基本上都是數(shù)據(jù)中心級別的，在整個數(shù)據(jù)中心的規(guī)模上，構(gòu)建各種復雜的網(wǎng)絡(luò)業(yè)務(wù)邏輯，整個系統(tǒng)復雜度非常高。

網(wǎng)絡(luò)故障的嚴重性：計算服務(wù)器故障、存儲服務(wù)器故障都是相對局部的故障，而網(wǎng)絡(luò)故障則牽一發(fā)而動全身。任何一個微小的網(wǎng)絡(luò)故障，都可能會引起整個數(shù)據(jù)中心不可用，網(wǎng)絡(luò)故障一旦發(fā)生，必然是重大故障。

如果按照功能邏輯把網(wǎng)絡(luò)分層，云計算數(shù)據(jù)中心網(wǎng)絡(luò)可以分成三層：

第一層，物理網(wǎng)絡(luò)。基礎(chǔ)的物理承載網(wǎng)絡(luò)，也就是我們通常所理解的Underlay底層承載網(wǎng)。物理網(wǎng)絡(luò)跟用戶沒有直接關(guān)系，因此沒有必要暴露給用戶。

第二層，虛擬網(wǎng)絡(luò)?；诨A(chǔ)的物理網(wǎng)絡(luò)構(gòu)建的虛擬網(wǎng)絡(luò)，也就是我們通常理解的基于隧道的Overlay網(wǎng)絡(luò)。虛擬網(wǎng)絡(luò)主要用于租戶隔離，典型服務(wù)如AWS的虛擬私有網(wǎng)絡(luò)VPC；

第三層，應用網(wǎng)絡(luò)。各種用戶可見的應用級的網(wǎng)絡(luò)服務(wù)，比如接入網(wǎng)關(guān)、負載均衡等，如AWS的彈性負載均衡ELB。

1 AWS網(wǎng)絡(luò)相關(guān)服務(wù)概覽

云計算快速發(fā)展，產(chǎn)生了很多網(wǎng)絡(luò)相關(guān)的產(chǎn)品服務(wù)，如表 8.1所示，以AWS為例，介紹網(wǎng)絡(luò)相關(guān)的產(chǎn)品服務(wù)。

表 1AWS的網(wǎng)絡(luò)和分發(fā)服務(wù)（或功能）

2 虛擬私有網(wǎng)絡(luò)服務(wù)VPC

借助VPC，用戶可以在AWS云中預置一個邏輯隔離的私有網(wǎng)，在自定義的這個虛擬網(wǎng)絡(luò)中啟動AWS資源。用戶可以完全掌控自己的虛擬網(wǎng)絡(luò)環(huán)境，包括選擇自己的IP地址范圍、創(chuàng)建子網(wǎng)以及配置路由表和網(wǎng)絡(luò)網(wǎng)關(guān)。用戶VPC中可以使用IPv4和IPv6，因此能夠輕松安全地訪問資源和應用程序。

用戶可以輕松自定義VPC的網(wǎng)絡(luò)配置。例如，可以為Web服務(wù)器創(chuàng)建一個能訪問Internet的公有子網(wǎng)。此外，還可以將后端系統(tǒng)（如數(shù)據(jù)庫或應用程序服務(wù)器）安置在無Internet訪問的私有子網(wǎng)中?？梢允褂冒踩M和網(wǎng)絡(luò)訪問控制列表等多種安全層，對各個子網(wǎng)中的EC2實例的訪問進行控制。

VPC的功能總結(jié)如下：

在AWS的可擴展基礎(chǔ)設(shè)施中創(chuàng)建VPC，并可以選擇任何的私有IP地址范圍；

通過添加輔助IP范圍來擴展VPC；

將VPC的私有IP地址范圍分割成一個或多個公有或私有子網(wǎng)，以便在VPC中運行應用程序和服務(wù)；

使用網(wǎng)絡(luò)控制列表控制進出各個子網(wǎng)的入站和出站訪問；

在S3中存儲數(shù)據(jù)并設(shè)置權(quán)限，以便僅可從VPC內(nèi)部訪問這些數(shù)據(jù)；

為VPC中的實例分配多個IP地址并連接多個彈性網(wǎng)絡(luò)接口；

將一個或多個彈性IP地址連接到VPC中的某個實例，以便直接從Internet訪問該實例；

將VPC與其他VPC相連接，可以跨VPC訪問其他VPC中的資源；

通過VPC終端節(jié)點建立與AWS服務(wù)的私有連接，無需使用Internet網(wǎng)關(guān)、NAT或防火墻代理；

建立到私有服務(wù)或由AWS PrivateLink提供支持的SaaS解決方案的私有連接；

使用AWS站點到站點VPN橋接VPC和現(xiàn)場IT基礎(chǔ)設(shè)施；

在EC2-Classic平臺中啟用EC2實例，以使用私有IP地址與VPC中的實例進行通信；

將VPC安全組與EC2-Classic中的實例進行關(guān)聯(lián)；

使用VPC Flow Logs來記錄有關(guān)進出VPC的網(wǎng)絡(luò)接口的網(wǎng)絡(luò)流量的信息；

支持VPC中的IPv4和IPv6；

使用VPC流量鏡像，為EC2實例捕獲和鏡像網(wǎng)絡(luò)流量；

使用網(wǎng)絡(luò)和安全設(shè)備（包括第三方產(chǎn)品）來阻止或分析入口和出口流量。

3 彈性負載均衡ELB

ELB在多個目標（如EC2實例、容器、IP地址和Lambda函數(shù)）之間自動分配傳入的應用程序流量。它可以在單個可用區(qū)內(nèi)處理不斷變化的應用程序流量負載，也可以跨多個可用區(qū)處理此類負載。

ELB提供三種負載均衡器，它們均能實現(xiàn)高可用性、自動擴展和可靠的安全性，因此能讓用戶的應用程序獲得容錯能力：

ALB（Application Load Balancer，應用負載均衡器）：ALB最適合HTTP和HTTPS流量的負載均衡，面向包括微服務(wù)和容器在內(nèi)的現(xiàn)代應用程序架構(gòu)，提供高網(wǎng)絡(luò)層級請求的路由功能。ALB運行于單獨的請求級別（第7層），可根據(jù)請求的內(nèi)容將流量路由至VPC內(nèi)的不同目標。

NLB（Network Load Balancer, 網(wǎng)絡(luò)負載均衡器）：若要對需要極高性能的傳輸控制協(xié)議（TCP）、用戶數(shù)據(jù)報協(xié)議（UDP）和傳輸層安全性（TLS）協(xié)議流量進行負載均衡，最適合使用網(wǎng)絡(luò)負載均衡器。網(wǎng)絡(luò)負載均衡器運行于連接層（第4層），可將流量路由至VPC內(nèi)的不同目標，每秒能夠處理數(shù)百萬請求，同時能保持超低延遲。網(wǎng)絡(luò)負載均衡器還針對處理突發(fā)和不穩(wěn)定的流量模式進行了優(yōu)化。

CLB（Classic Load Balancer，經(jīng)典負載均衡器）：CLB同時運行于請求級別和連接級別，可在多個EC2實例之間提供基本的負載均衡。CLB適用于在EC2-Classic網(wǎng)絡(luò)內(nèi)構(gòu)建的應用程序。

ELB的主要功能：

高可用性：ELB在單個可用區(qū)或多個可用區(qū)內(nèi)的多個目標（EC2實例、容器和IP地址）之間自動分配流量。

運行狀況檢查：ELB可以檢測無法正常運行的目標、停止向它們發(fā)送流量，然后將負載分散到剩余的正常運行的目標上。

安全性功能：使用VPC創(chuàng)建和管理與負載均衡器關(guān)聯(lián)的安全組，以提供更多網(wǎng)絡(luò)和安全選項。還可以創(chuàng)建內(nèi)部（非面向Internet的）負載均衡器。

TLS終止：ELB提供集成化證書管理和SSL/TLS解密，使用戶可以靈活地集中管理負載均衡器的SSL設(shè)置，并從用戶自己的應用程序上卸載CPU密集型工作。

第4層或第7層負載均衡：用戶可以對HTTP/HTTPS應用程序執(zhí)行負載均衡以實現(xiàn)特定于第7層的功能，或者對依賴于TCP和UDP協(xié)議的應用程序使用嚴格的第4層負載均衡。

運行監(jiān)控：ELB提供與Amazon CloudWatch指標的集成和請求跟蹤，以便實時監(jiān)控應用程序的性能。

可以根據(jù)應用程序按需選擇合適的負載均衡器。如果需要靈活管理應用程序，推薦使用ALB；如果應用程序需要實現(xiàn)極致性能和靜態(tài)IP，推薦使用NLB。如果現(xiàn)有應用程序構(gòu)建于EC2-Classic網(wǎng)絡(luò)內(nèi)，則應使用CLB。

4 云計算網(wǎng)絡(luò)的特點

網(wǎng)絡(luò)是數(shù)據(jù)中心最核心的功能，對網(wǎng)絡(luò)來說，最關(guān)鍵的兩個性能指標是帶寬和延遲。云計算是多租戶場景，多租戶域間隔離和跨域訪問，以及動態(tài)的網(wǎng)絡(luò)變化也是數(shù)據(jù)中心網(wǎng)絡(luò)非常重要的特點。

更大的帶寬

前面我們講了大數(shù)據(jù)的迅猛發(fā)展，數(shù)據(jù)量越來越大，網(wǎng)絡(luò)傳輸?shù)膸捯苍诳焖偕?。疊加數(shù)據(jù)中心東西向流量，英特爾估計，數(shù)據(jù)中心內(nèi)部的流量每年以25％的速度增長。當前數(shù)據(jù)中心大規(guī)模商用的主流的數(shù)據(jù)帶寬是25Gbps，預計未來兩三年內(nèi)，將逐步過渡到100Gbps。

帶寬逐步增大，意味著許多現(xiàn)有的網(wǎng)絡(luò)數(shù)據(jù)處理架構(gòu)，會逐漸的無法滿足如此高性能的處理要求。例如，傳統(tǒng)的基于內(nèi)核TCP/IP的網(wǎng)絡(luò)處理逐漸被DPDK所取代，并且現(xiàn)在已經(jīng)有完全硬件卸載的網(wǎng)絡(luò)處理設(shè)備批量部署。

更低的延遲

Akami的一項研究表明，頁面加載速度的延遲一秒會導致轉(zhuǎn)化率平均下降7％，頁面瀏覽量下降11％，用戶滿意度下降16％。在金融業(yè)中，即使是一毫秒的延遲也會對高速交易算法的性能產(chǎn)生巨大影響。金融業(yè)對延遲的敏感性的一個案例是，某公司投資了4億多美元，只是為了將紐約和倫敦之間的傳輸時間縮短5毫秒。

在線事務(wù)處理（OLTP）的工作負載主要由南北流量控制，客戶端請求，然后服務(wù)器響應，通過相對簡單的三層網(wǎng)絡(luò)結(jié)構(gòu)就能得到很好的服務(wù)。但是，隨著社交媒體和移動應用程序的爆炸性增長，流量模式已從南北（在客戶端和數(shù)據(jù)中心之間）轉(zhuǎn)變?yōu)闁|西向（數(shù)據(jù)中心內(nèi)的流量）。據(jù)估計，單個在線查詢可以在數(shù)據(jù)中心內(nèi)生成數(shù)百甚至數(shù)千個請求，然后才能響應來自客戶端的請求。在這種環(huán)境下，即使數(shù)千個訪問同時執(zhí)行，需要花費較長響應時間的訪問相對少見，但其仍然最終決定了服務(wù)的總體響應時間。

域間隔離和跨域訪問

VPC是云服務(wù)商在數(shù)據(jù)中心內(nèi)為用戶提供的一個邏輯隔離的區(qū)域，用戶可以在自己定義的的虛擬網(wǎng)絡(luò)中創(chuàng)建云服務(wù)資源。底層的虛擬網(wǎng)絡(luò)系統(tǒng)保證了不同用戶網(wǎng)絡(luò)區(qū)域的隔離。

但是，不同的私有網(wǎng)絡(luò)區(qū)域并不是完全封閉的，有些場景是需要跨域訪問的。比如，一些非實例型“獨立服務(wù)”提供的服務(wù)，當用戶從自己的VPC訪問另外某個VPC中服務(wù)的時候，通常有兩種做法，一種是使用公網(wǎng)IP通過公網(wǎng)訪問，還有一種方法就是通過提供一些特定的滿足安全機制情況下的跨域訪問服務(wù)來走數(shù)據(jù)中心內(nèi)部網(wǎng)絡(luò)路徑去訪問，以此來提升訪問效率，這種就是數(shù)據(jù)中心內(nèi)部的跨域訪問。再比如，數(shù)據(jù)中心按照區(qū)域和可用區(qū)進行劃分，用戶在不同的跨區(qū)域的數(shù)據(jù)中心多地容災、或者特定的服務(wù)和數(shù)據(jù)通信，則需要跨數(shù)據(jù)中心訪問。

通過VPC把不同用戶或者系統(tǒng)的資源隔離，是為了安全的考慮；跨域訪問，則是在保證安全基礎(chǔ)上的性能和功能的考慮。

動態(tài)的網(wǎng)絡(luò)變化

單個數(shù)據(jù)中心服務(wù)器規(guī)?？梢赃_到數(shù)萬臺，如此大規(guī)模服務(wù)器集群需要數(shù)千臺網(wǎng)絡(luò)設(shè)備連接在一起。這種大規(guī)模的數(shù)據(jù)中心網(wǎng)絡(luò)管理難度大，網(wǎng)絡(luò)運行故障定位難，運維成本非常高。大規(guī)模數(shù)據(jù)中心動態(tài)網(wǎng)絡(luò)變化主要體現(xiàn)在：

云計算是多租戶模式，不同的租戶業(yè)務(wù)之間是要完全隔離的，數(shù)據(jù)中心通過虛擬網(wǎng)絡(luò)來實現(xiàn)不同租戶網(wǎng)絡(luò)域的隔離。租戶以及租戶的資源一直處在一個動態(tài)的變化中，這加劇了網(wǎng)絡(luò)變化的頻次和難度。

數(shù)據(jù)中心數(shù)萬臺服務(wù)器，不可避免會發(fā)生故障，而要保證用戶服務(wù)的高可用，用戶業(yè)務(wù)在不同的物理服務(wù)器之間遷移也會影響網(wǎng)絡(luò)的變化。

并且，互聯(lián)網(wǎng)上層業(yè)務(wù)日新月異的變化，也會影響網(wǎng)絡(luò)的變化。

審核編輯：劉清