Мы уже немало писали об инфраструктуре публичного облака VMware vCloud Hybrid Service, которое позволяет предприятию взять виртуальные машины в аренду в датацентрах VMware и объединить их с ресурсами приватного облака.

На днях компания VMware обяъявила о доступности возможности прямого выделенного доступа (Direct Connect) к инфраструктуре vCHS по отдельным и защищенным каналам. Напомним также, что не так давно VMware еще объявила об открытии нового датацентра в UK и 4-го датацентра в Далласе.

Ранее к виртуальным машинам на vCHS можно было обращаться по IPsec VPN через интернет, теперь же доступно прямое соединение шириной до 10 Gbps, которое есть на данный момент только в штатах (а именно в датацентрах: Santa Clara, CA и Sterling) по договоренности с телекоммуникационными и сервис-провайдерами (например, Savvis).

При таком типе соединения полностью поддерживаются технологии, основанные на VXLAN, для организации единых виртуальных сетей, охватывающих собственный ЦОД и датацентр провайдера.

На данный момент в блоге VMware уже можно посмотреть на реальный кейс использования возможностей Direct Connect для облака vCHS.

Для различных типов аренды облака доступны следующие каналы:

• Dedicated Cloud: 1 or 10 Gbps port connection
• Virtual Private Cloud: 1 Gbps port connection

Напомним, что у компании Amazon, с которой конкурирует VMware, в облаке AWS также есть возможности Direct Connect.

На прошедшей конференции VMworld 2013 компания VMware представила свое виденье концепции ЦОД будущего - Software-Defined Datacenter, то есть датацентр, определяемый и направляемый программно, в котором слой оборудования полностью отделен от слоя программного обеспечения, а последний и реализует все необходимые сервисы пользователей и функции управления. То есть, оборудование - это просто подложка, элементы которой можно будет заменять, а все необходимые функции управления будут находиться на стороне программного обеспечения.

Выглядит это так:

В рамках этой концепции было объявлено о работе VMware в четырех направлениях:

• Расширение применения технологии виртуализации на все приложения (например, кластеры Hadoop).
• Трансформация хранилищ в абстрагированные и агрегированные дисковые ресурсы серверов (Virtual SAN) на базе разработок компании Virsto (с русскими корнями, кстати).
• Создание программно-определяемых сетей в датацентре на базе продукта VMware NSX, полученного после покупке компании Nicira.
• Повышение автоматизации датацентра и создание комплексных средств управления (таких как, например, решение VMware vCloud Automation Center (vCAC)).

Сегодня мы поговорим о третьем пункте - решении для построения виртуальной инфраструктуры сетей - VMware NSX, которое было анонсировано на VMworld как один из ключевых компонентов стратегии VMware в рамках концепции Software-defined networking (SDN).

VMware NSX - это решение полученное на основе двух продуктов: купленного Nicira NVP и собственного VMware vCloud Networking and Security (vCNS). Последний предназначен для комплексной защиты виртуального датацентра и построен на базе семейства продуктов VMware vShield. Решение VMware NSX предназначено для крупных компаний, которые планируют повысить степень гибкости сетевой среды датацентра, который связан с другими ЦОД компании, и где требуется переносить виртуальные машины между ними или поддерживать распределенную архитектуру кластеров.

Чтобы понять концепцию NSX можно провести аналогию с серверной виртуализацией, отмапив инфраструктуру VMware vSphere на инфраструктуру "гипервизора" NSX:

Такая архитектура, конечно же, требует интеграции с агентами в физическом оборудовании, которые уже есть в сетевых устройствах Arista, Brocade, Cumulus, Dell, HP и Juniper.

Сама же платформа VMware NSX включает в себя следующие компоненты:

• Controller Cluster - это система, состоящая из виртуальных или физических машин (как минимум 3), предназначенная для развертывания виртуальных сетей во всем датацентре. Эти машины работают в кластере высокой доступности и готовы принимать управляющие команды от различных средств через API, например, VMware vCloud или OpenStack. Кластер осуществляет управление объектами vSwitches и Gateways, которые реализуют функции виртуальных сетей. Он определяет топологию сети, анализирует поток трафика и принимает решения о конфигурации сетевых компонентов.
• Hypervisor vSwitches (NSX Virtual Switches)  - это виртуальные коммутаторы уровня ядра ESXi с программируемым стеком L2-L4 и конфигурационной базой. Они отвечают за работу с трафиком виртуальных машин, обеспечение туннелей VXLAN и получают команды от Controller Cluster.
• Gateways - это компоненты, предназначенные для сопряжения виртуальных и физических сетей. Они предоставляют сервисы IP routing, MPLS, NAT, Firewall, VPN, Load Balancing и многое другое.
• Ecosystem partners - партнеры могут интегрировать собственные виртуальные модули (Virtual Appliances) в инфраструктуру NSX на уровнях L4-L7. Подробнее об этом написано здесь.
• NSX Manager - это централизованное средство управления виртуальными сетями датацентра (с веб-консолью), которое взаимодействует с Controller Cluster.

Посмотрим на высокоуровневую архитектуру решения:

Как мы видим, NSX оперирует собственными виртуальными сетями, которые инкапсулируют в себе физические сети средствами протоколов STT, VXLAN и GRE (как это делается мы уже писали вот тут). А компонент NSX Gateway выполняет функции моста для коммутации на уровне L2 и маршрутизации на уровне L3.

В качестве серверных гипервизоров в инфраструктуре NSX могут быть использованы решения VMware vSphere, KVM или Xen.

Надо отметить, что есть два варианта развертывания решения:

• Окружение, состоящее только из хостов vSphere: в этом случае NSX опирается на инфраструктуру vSphere Distributed Switch (VDS) при взаимодействии с компонентами решения. А компонент NSX Gateway опирается на решение NSX Edge, которое было выделено из подпродукта vCNS Edge (бывший vShield Edge).
• Гибридное окружение с несколькими гипервизорами: тут NSX уже использует Open vSwitch для KVM и Xen, а также собственный виртуальный коммутатор NSX vSwitch, работающий на уровне ядра ESXi. С точки зрения шлюза тут уже NSX может использовать различные физические модули.

Вот так выглядит детальная архитектура решения VMware NSX с учетом развертывания в среде только с VMware vSphere (обратите внимание, что NSX может работать только с одним сервером vCenter - это ограничение архитектуры):

Тут видно, что на уровне гипервизора работают 4 компонента, так или иначе используемых NSX:

• Security - средства безопасности уровня ядра.
• Виртуальные сети VXLAN.
• Distributed Router (DR) - распределенный маршрутизатор.
• Distributed Firewall - распределенный сетевой экран, который мы упоминали вот тут.

А вот так выглядит решение NSX в гибридной среде с несколькими гипервизорами:

С точки зрения логических функций NSX выполняет следующее:

• Logical Switching - NSX использует комбинацию Stateless Transport Tunneling (STT), Generic Routing Encapsulation (GRE) и VXLAN для гибридных окружений или только VXLAN для окружений vSphere, чтобы предоставлять коммутацию уровня L2 вне зависимости от нижележащей топологии сети. Теперь все происходит на уровне эмулируемой структуры виртуальных сетей, не затрагивающей IP-адреса и не привязанной к физическому расположению, что значит, что виртуальную машину можно перемещать между датацентрами без изменения конфигурации сетей.

• Поддержка аппаратных туннелей - VXLAN Tunnel Endpoints (VTEPs), которые позволяют поддерживать технологию виртуальных сетей на аппаратном уровне и не создавать задержек в сети.
• Logical Routing - теперь L3-маршрутизация возможна на логическом уровне, вне зависимости от нижележащего оборудования и за счет наличия distributed routing (DR) module в VMware ESXi с поддержкой протоколов динамической маршрутизации BGP и OSPF.
• Logical Firewalling - эти возможности пришли из продукта  vCNS App (vShield App), они позволяют обеспечить комплексную защиту датацентра средствами модулей распределенного сетевого экрана (distributed firewall, DFW).
• Logical Load Balancing and VPN - эти функции были также взяты из vCNS и поддерживаются только для окружений vSphere. В этом случае компонент NSX Edge осуществляет балансировку соединений на уровне L7 с поддержкой различных алгоритмов, а также позволяет организовать надежный VPN-туннель к инфраструктуре на базе IPsec и SSL.

Более подробно о решении VMware NSX можно узнать на этой странице.

Мы уже немало писали о EMC VPLEX (тут, тут и тут) - решении для виртуализации сети хранения данных SAN, которое позволяет объединить ресурсы различных дисковых массивов различных производителей в единый логический пул на уровне датацентра или нескольких географически разнесенных датацентров. Это позволяет гибко подходить к распределению дискового пространства и осуществлять централизованный мониторинг и контроль дисковых ресурсов.

Также мы писали и о компании Nicira, купленной некоторое время назад компанией VMware и предлагающей решение Network Virtualization Platform (NVP), предназначенное для виртуализации сетей в рамках концепции Software-defined networking (SDN). Работает оно на базе технологии VXLAN и является основой будущего продукта VMware NSX.

Теперь компании EMC и VMware выпустили видеоролик, раскрывающий преимущества совместного использования этих двух решений:

В ролике показывается, что VPLEX и Nicira имеют высокую степень интеграции в рамках общей концепции автоматизированного датацентра. Например, при увеличении трафика репликации продукт Nicira адаптивно реагирует на это событие и увеличивает доступную полосу пропускания для VPLEX при возрастании нагрузки, а также уменьшает полосу при ее падении. Это особенно актуально в географически разнесенных датацентрах с ограниченными каналами и высокими требованиями по доступности приложений.

Не так давно компания VMware выпустила новый документ "VMware Network Virtualization Design Guide", который полезно будет почитать менеджерам и сетевым администраторам виртуализованного ЦОД на платформе VMware vSphere.

В документе на довольно концептуальном уровне рассматривается сетевая модель виртуального датацентра (virtual datacenter, VDC) в контексте использования следующих продуктов и технологий VMware:

• VMware vSphere Distributed Switch 5.1 (1)
• VMware vSphere logical network VXLAN (2)
• VMware vCloud Networking and Security Edge 5.1 (3)
• VMware vCloud Networking and Security Manager 5.1 (4)
• VMware vCloud Director 5.1 (5)
• VMware vCenter Server 5.1

Кстати, об организации сетей VXLAN в виртуальной инфраструктуре VMware vSphere и о том, для чего они нужны, мы уже писали вот тут.

В рамках концепции VXLAN рассмотрено прохождение пакетов в рамках одной виртуальной сети VXLAN:

А также прохождение пакетов из одной сети VXLAN в другую:

Интересны также комплексные сценарии, например, по организации доступа к виртуальной машине, работающей в рамках растянутого кластера (Stretched Cluster) и переехавшей из одного датацентра в другой посредством vMotion.

В общем - читайте.

В начале прошлого года мы рассказывали о средстве VMware vCloud Connector, которое позволяет мигрировать виртуальные машины на платформе VMware vSphere из частного облака предприятия в публичное хостинг-провайдера и обратно, что может пригодиться в условиях мгновенной нехватки аппаратных ресурсов. vCloud Connector представляет собой бесплатный плагин к VMware vCenter (управляется через Web Client), с помощью которого пользователь своей частной виртуальной инфраструктуры может перемещать свои виртуальные машины в облако, т.е. к провайдеру, который дает виртуальную инфраструктуру в аренду. Происходит это, в том числе, с использованием VMware vCloud API.

С момента нашей прошлой заметки продукт существенно изменился, а на VMworld Europe 2012 была анонсирована версия vCloud Connector 2.0 (надо отметить, что пока текущая версия vCloud Connector 1.5 не поддерживает vCloud Director 5.1). Теперь это решение разделено на 2 версии:

• Free Edition
• Advanced Edition (в составе комплекта vCloud Suite)

Какие возможности появились в бесплатном VMware vCloud Connector 2.0 Free:

• Improved Workload Tranfer - улучшенные технологии передачи данных и совместимости, позволяющие мигрировать виртуальные машины между частным облаком VMware vSphere, vCloud Director и сертифицированными сервисами vCloud (всего более 15 провайдеров, но в ближайшей перспективе - более 160).
• New User Interface and Features – улучшенный интерфейс, предоставляющий возможности кросс-облачного поиска (о как!) виртуальных машин или шаблонов по имени.
• Multi-tenant vCloud Connector (VCC) node – улучшенные возможности для внедрения vCloud Connector в гибридных облаках.

В коммерческом издании VMware vCloud Connector 2.0 Advanced появились следующие возможности:

• DataCenter Extention – возможность растягивания сети датацентра компании на ЦОД провайдера на уровне layer 2 через защищенный туннель SSL VPN (посредством VXLAN). Это позволяет переместить виртуальную машину в ЦОД сервис-провайдера, сохранив ее IP-адрес, и продолжать управлять ей так, как будто бы она исполняется в собственном датацентре.
• Content Sync - позволяет иметь один централизованный каталог виртуальных сервисов (vApp), который будет реплицироваться на удаленные каталоги (например, у различных сервис-провайдеров), которые вы можете использовать для создания новых виртуальных машин. Эти каталоги могут быть "подписаны" на исходный каталог.

Обидно, конечно, что поддержка VXLAN доступна только в платной версии, ну да ладно. Скачать VMware vCloud Connector можно по этой ссылке.

С покупкой VMware компании Nicira стало больше разговоров о технологии VXLAN (Virtual eXtensible LAN), которая предоставляет расширенный механизм создания виртуальных сетей VLAN в крупных ИТ-инфраструктурах, объединяющих несколько датацентров компании (о ней мы уже упоминали). Разумеется, она нацелена на виртуализацию, и ее поддержка будет включена в платформу VMware vSphere в недалеком будущем. То есть VXLAN - это замена VLAN для создания прозрачной мобильной сетевой среды для виртуальных машин, имеющих возможность перемещаться между датацентрами.

Суть имеющейся сегодня проблемы заключается в том, что IP-адрес системы определяет две, по-сути разные, сущности: идентификатор системы и указатель на географическое размещение в сети (датацентр, сегмент), кроме того стандартная концепция VLAN позволяет использовать только до 4096 виртуальных сетей для логической изоляции классов систем, что в крупных инфраструктурах иногда оказывается недостаточно (особенно это касается IaaS-инфраструктур сервис-провайдеров, работающих с сотнями организаций, у каждой из которых свои VLAN).

Поэтому компании Cisco и VMware, к которым присоединились Citrix и Red Hat, разработали стандарт VXLAN, позволяющий организовать логические сети L2 поверх уровня L3 с возможностью минимального внесения изменений в существующую инфраструктуру сетевого взаимодействия в организациях. На данный момент черновик стандарта VXLAN в реализации IPv4 отправлен в организацию IETF, вскоре там будет и документ по реализации в IPv6.

Обзорный ролик по технологии VXLAN:

Образно говоря, технология VXLAN - это способ создания новых логических L2-сетей в рамках уже существующих L3-сетей. В одной VXLAN-сети виртуальная машина уникально идентифицируется двумя следующими параметрами:

• VXLAN Network Identifier (VNI) - 24-битный идентификатор виртуальной сети, а значит их всего может быть более 16 миллионов штук
• MAC-адрес машины

Соответственно, в одной VXLAN-сети не может быть машин с одинаковым MAC-адресом, но в разных VXLAN-сетях они вполне могут существовать (что актуально для виртуальных машин, MAC которых генерируется автоматически и глобально не уникален). Большое количество возможных VXLAN-сетей позволяет виртуальным машинам "путешествовать" между инфраструктурой организации и сторонними сервис-провайдерами без изменения сетевой идентификации, сохранением политик и изоляции внутри виртуальной сети безотносительно ее физического размещения (у себя или у IaaS-провайдера).

Для работы инфраструктуры VXLAN есть следующие компоненты:

• Необходима поддержка режимов Multicast, IGMP и PIM
• Идентификатор VNI внутри IP-пакета, только машины с одинаковым VNI могут взаимодействовать между собой
• Шлюз VXLAN Gateway
• Компонент VXLAN Tunnel End Point (VTEP) на стороне сервера виртуализации
• Виртуальная сеть VXLAN Segment/VXLAN Overlay

С точки зрения IP-пакета VXLAN, в сети IPv4 его размер увеличивается на 50 байт, а в сети IPv6 - на 70 байт. Работает это примерно так:

Допустим у нас есть виртуальная сеть VXLAN с VNI равным 864. Когда виртуальная машина VM1 хочет послать IP-пакет виртуальной машине VM2 происходят следующие вещи:

• VM1 по протоколу ARP посылает пакет с запросом MAC-адреса VM2
• Компонент VTEP1, размещенный на первом сервере VMware ESXi, инкапсулирует этот ARP-пакет в мультикаст-пакет, ассоциированный с виртуальной сетью с VNI 864
• Все остальные VTEP, получающие этот пакет, добавляют ассоциацию VTEP1 и VM1 в свои VXLAN-таблицы
• VTEP2  получает пакет, декапсулирует его и посылает броадкаст на портгруппы виртуальных коммутаторов, которым присвоен VXLAN c VNI 864
• VM2, находящаяся в одной из этих портгрупп, получает ARP-пакет и отвечает своим MAC-адресом
• VTEP2 на втором хосте ESXi формирует юникастовый пакет и отправляет его уже по существующему маршруту
• VTEP1 декапсулирует пакет и передает его виртуальной машине VM1

Теперь обратимся к структуре VXLAN-пакета:

В нем есть следующие заголовки (слева-направо):

Outer MAC Header (Ethernet Header)

Он содержит следующие поля:

• Destination Address - это MAC-адрес VTEP назначения, если этот VTEP является локальным по отношению к ближайшему роутеру, или MAC-адрес самого роутера, если VTEP находится за ним
• VLAN - опциональное поле с тэгом VLAN (не обязательно в VXLAN-реализации)
• Ethertype - тип пакета (для IPv4 установлен в 0×0800

Outer IP Header

• Protocol - содержит значение 0×11, чтобы обозначить, что это UDP-пакет
• Source IP - IP-адрес VTEP источника
• Destination IP - IP-адрес VTEP назначения

UDP Header

• Source Port - устанавливается передающим VTEP
• VXLAN Port - порт VXLAN IANA (еще не определен)
• UDP Checksum - контрольная сумма пакета на уровне VXLAN

VXLAN Header

• VXLAN Flags - различные флаги
• VNI - 24-битное поле с идентификатором VXLAN
• Reserved - набор зарезервированных полей

Итак, VM1 по описанному выше алгоритму узнала MAC-адрес VM2, после чего начинает ей адресно слать пакеты примерно так:

• VM1 посылает IP-пакет к VM2 с адреса 192.168.0.100 на адрес 192.168.0.101
• VTEP1 берет пакет и инкапсулирует его, добавляя следующие заголовки:
• VXLAN header с идентификатором VNI=864
• Стандартный UDP-заголовок с назначенным портом (VXLAN IANA)
• Стандартный IP-заголовок с IP-адресом VTEP назначения и признаком UDP-пакета
• Стандартный MAC-заголовок с MAC-адресом следующего устройства (next hop). В данном случае это роутер с маком 00:10:11:FE:D8:D2, который будет использовать стандартную маршрутизацию пакета по IP-сети до VTEP2.
• Далее VTEP2 получает такой пакет, распаковывает его (он узнает, что это VXLAN, так как это UDP-пакет) и вытаскивает VNI (864). Далее уже очищенный от обертки IP-пакет направляется к VM2, которая находится в портгруппе с VNI 864, перед чем VTEP убеждается, что она может получить пакет
• Виртуальная машина VM2 получает IP-пакет очищенным, как обычный IP-пакет

Таким образом, технология VXLAN, поддерживаемая в программном обеспечении платформы виртализации и роутеров позволит расширить сферу применения виртуальных сетей VXLAN в виртуальных облачных средах, где виртуальная машина сможет существовать в различных географически разделенных датацентрах, а пользователи смогут распределять нагрузку между своим частным облаком и облаком сервис-провайдера, не прибегая к переконфигурации виртуальных машин в рамках их виртуальных сетей.

Что еще можно почитать на эту тему (источники данной статьи):

• VXLAN Primer-Part 1
• VXLAN Primer-Part 2: Let’s Get Physical

На проходящей конференции VMworld 2011 в Лас-Вегасе за прошедший день было сделано несколько интересных анонсов. Три из них кажутся наиболее важными.

1. Проект VMware Appblast.

Это новый проект VMware, который позволит открывать виртуализованные с помощью ThinApp приложения в любом веб-браузере, совместимом с HTML 5 и Java. Совместно с VMware Horizon App Manager, технология VMware Appblast позволит организовать доставку приложений упакованных ThinApp на любое устройство пользователя, включая планшеты iPad или коммуникаторы на базе Android.

2. Технология сетевого взаимодействия VXLAN (Virtual eXtensible LAN).

Это уровень абстракции Layer 2 для доступа к виртуальным машинам вне зависимости от их расположения. Технология, разработанная совместно с компанией Cisco, использует технологию инкапсуляции "MAC-in-UDP" для создания схемы взаимодействия виртуальных машин, которые могут перемещаться между разными датацентрами со своими физическими сетями и адресацией. В случае применения VXLAN ничего не нужно будет менять с точки зрения сетевой идентификации ВМ в случае ее перезда, например, в другой датацентр (к примеру, сервис-провайдера).

Более подробно о VXLAN вы можете прочитать здесь.

3. Проект VMware Octopus.

Многие знают, что такое сервис Dropbox. Это облачное хранилище данных, но относительно которого есть сомнения в надежности и безопасности. VMware Octopus - это некий аналог Dropbox, т.е. онлайн-хранилище данных, которое позволит крупным предприятиям организовать облачное хранение данных с необходимым уровнем доступности, надежности и безопасности.

У этого проекта есть веб-сайт, на котором можно зарегистрироваться для раннего участия в бете сервиса. Более подробно про проект написано тут.

Скоро об этом обо всем - подробнее.