VMwareNSX金融行业案例

王培久资深系统工程师网络虚拟化-VMwareNSX在金融的应用和案例分享议程数据中心云计算对网络的要求网络虚拟化总体架构案例分析总结CONFIDENTIAL2云计算大数据应用的虚拟化安全合规性24x7业务连续性业务敏捷性SDN节能环保新一代数据中心发展的业务和技术驱动企业IT向云架构转型逻辑计算存储网络?资源池化提高资源利用率简化运维动态迁移自动均衡资源物理逻辑计算与存储虚拟化专用硬件和品牌厂商绑定CAPEXOPEX高网络对上层应用封闭手工配置和管理应用部署周期长应用和网络紧耦合云计算驱动下数据中心的过去、现在和将来阶段四:灵活的计算+灵活的网络NOW任何网络硬件平台灵活网络服务：防火墙、路由、LB等基于应用灵活快速地定义网络阶段一:传统的计算+传统的网络1995阶段二:灵活的计算+传统的网络2001阶段三:灵活的计算+大二层网络2010计算虚拟化对数据中心网络的真正挑战是什么？CONFIDENTIAL6Floor-1:VLAN1–10.x.x.xFloor-2:VLAN2–172.16.x.x敏捷性：应用可以按需定义特定应用的网络切片和逻辑拓扑结构，实现数据中心应用的快速灵活部署Anyapplicationanywhere不受二层网络STP、二层广播风暴、MAC地址表和VLAN数量的限制，实现anyapplicationanywhere东西向路由优化利用分布式路由技术实现虚拟化环境中Web/APP/DB层的东西向流量的优化，而不是所有南北和东西向流量都送到汇聚层交换机处理精细化网络服务基于虚拟机颗粒度和应用颗粒度的精细化安全控制基于虚拟机层面的服务均衡和SSL加密等自动化向上提供标准API接口，实现网络资源和服务的自动化部署传统网络存在的不足CONFIDENTIAL阶段一:传统的计算+传统的网络1995阶段二:灵活的计算+传统的网络2001传统网络架构存在的不足缺乏业务快速部署能力传统竖井式架构，业务区严格隔离，不支持业务的灵活快速部署更不支持基于多租户多应用的网络切片功能灵活性不足由于二层技术的限制各业务区尽量把二层域限制得越小越好，无法支持跨业务区的vmotion等功能，业务的灵活性大大受限缺乏虚拟资源安全和管理的监控手段对于网络部门来说，虚拟机的接入完全是个黑盒子，缺乏有效的虚拟机之间的安全管理和监控的手段不支持网络资源的自动化部署所有网络的配置都是通过命令行手动完成，配置和运维管理非常复杂，导致当各种虚拟资源位置变化时，管理员不堪重负资源利用率低各业务区网络为各业务区专用，不支持一个物理网络为多租户/多应用服务CONFIDENTIAL阶段三:灵活的计算+大二层网络2010大二层网络架构带来的好处灵活性高借助大二层技术，虚拟资源可以跨业务区部署，同时支持vmotion等功能，业务的灵活性大大提高大二层网络架构存在的不足过渡技术应用案例非常少，从数据中心发展看已经成为过渡技术，各厂商目前都在Vmware主导的VXLAN上寻求更好的解决方案缺乏虚拟资源安全和管理的监控手段对于网络部门来说，虚拟机的接入完全是个黑盒子，缺乏有效的虚拟机之间的安全管理和监控的手段不支持网络资源的自动化部署所有网络的配置都是通过命令行手动完成，配置和运维管理非常复杂，导致当各种虚拟资源位置变化时，管理员不堪重负技术本身存在局限性无论是IETFTRILL还是思科的FabricPath都没有解决二层网的三个根本问题：Flooding、MAC表项扩展和VLAN扩展大二层网络带来的好处和存在的不足NOW软件定义的虚拟化网络CONFIDENTIAL9阶段四:灵活的计算+灵活的网络NOW任何网络硬件平台灵活网络服务：防火墙、路由、LB等基于应用灵活快速地定义网络敏捷性：应用可以按需定义特定应用的网络切片和逻辑拓扑结构，实现数据中心应用的快速灵活部署Anyapplicationanywhere不受二层网络STP、二层广播风暴、MAC地址表和VLAN数量的限制，实现anyapplicationanywhere东西向路由优化利用分布式路由技术实现虚拟化环境中Web/APP/DB层的东西向流量的优化，而不是所有南北和东西向流量都送到汇聚层交换机处理精细化网络服务基于虚拟机颗粒度和应用颗粒度的精细化安全控制基于虚拟机层面的服务均衡和SSL加密等自动化向上提供标准API接口，实现网络资源和服务的自动化部署议程数据中心云计算对网络的要求网络虚拟化总体架构案例分析总结CONFIDENTIAL1011云平台新业务请求软件定义的虚拟化网络总体架构vCenterOperationsMgmtvCloudAutomationCenterIaaSPaaSDaaSApplicationDirectorMgmtvCloudDirector/ConnectorvCenterSiteRecoveryManagervSphereCloudServiceProvidersHyper-visorsCMSNSXIaaSPaaSDaaS支撑任意的应用(无需修改)虚拟网络VMwareNSX网络虚拟化平台逻辑交换网络任意网络硬件架构云管理平台（vCAC,OpenStack,Cloudstack）逻辑防火墙逻辑负载均衡逻辑路由网络逻辑VPNX86虚拟化层NSX软件定义的虚拟化网络组成要素L2L3VirtualNetworkL2OpenvSwitchNSXGatewayVMVMvSpherevSphereKVMXenServervSwitchvSwitchvSwitchvSwitchHWSWControllerClusterAPIVLANNSXManagerHWPartnerVTEPDeviceCMPVLANVLANLayer3IPNetwork软件定义的虚拟化网络工作原理ExternalNetworks简单,易复制，自动化地实现多租户云网络软件定义的虚拟化网络-敏捷性根据应用需求利用vxlan技术按需定义应用的网络切片和逻辑拓扑结构(Web/App/DB)实现数据中心应用的快速灵活部署VLAN1–10.x.x.xVLAN2–172.16.x.xVLAN2–192.168.x.xVirtualNetworkVirtualLayer2–88.33.x.x(whatever)软件定义的虚拟化网络-真正的Anyapplicationanywhere利用VXLAN解决数据中心网络存在的三大问题：Anyapplicationanywhere大二层架构下存在的：MAC地址表、VLAN和二层Flooding三大问题数据复制支持unicast、hybrid和multicast模式解决目前vxlan没有controlplane带来的flooding问题传统的边界防火墙已经被证实为不足够安全,而用传统方式实现micro-segmentation基本上不可行对内部流量不管控InternetInternet安全性不充分管理上不可能软件定义的虚拟化网络-分布式防火墙Micro-SegmentationVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMBenefits…安全策略直接部署到VM网络端口No“ChokePoint”,nomorehairpin•分布式处理,线速过滤,水平扩展•安全策略管理简化bycontextpolicyrule•vNIClevel管控,安全与网络无关•集中管控软件定义的虚拟化网络-分布式防火墙Micro-Segmentation软件定义的虚拟化网络-分布式路由软件定义的虚拟化网络-分布式防火墙CONFIDENTIAL20软件定义的虚拟化网络-自动化通过标准的RESTAPI向上支持多种企业云管理平台（VcloudDirector,vCAC,OpenStack,Cloudstack）实现网络虚拟化资源的自动部署软件定义的虚拟化网络-集中化运维和监控议程数据中心云计算对网络的要求网络虚拟化总体架构案例分析总结CONFIDENTIAL22NSXCustomersEORPODTORPOD服务器机房三层交换核心EORPODTORPOD服务器机房某保险公司:利用NSX实现虚拟化资源的精细化安全管理和监控缺乏虚拟机颗粒的安全管理和监控手段尽管南向安全可以通过汇聚层防火墙控制但虚拟化应用规模越来越大，缺乏有效的东西向流量安全控制手段，同时希望虚拟机vmotion时，安全策略随动，不需要任何变更行业监管的要求，需要监控特定虚拟化环境中特定虚机的进出流量同时希望虚机可以跨机房和三层网络随意VmotionNSX:VxlanEORPODTORPOD服务器机房三层交换核心EORPODTORPOD服务器机房NSXControllerNSXManagervCenterServer某保险公司:利用NSX实现虚拟化资源的精细化安全管理和监控利用NSX分布式虚拟防火墙功能，实现虚拟机环境的精细化安全管理，同时实现虚拟机vmotion时，安全策略随动，不需要任何变更支持基于特点应用或虚机的span和rspan功能实现流量的实时监控满足行业监管的要求借助vxlan技术实现跨机房和三层网络随意Vmotion某商业银行:利用NSX构建新一代金融互联网渠道客户需求：随着金融互联化的快速发展，越来越多业务子系统向网银区迁移，同时大量的新业务也不断快速推出，现有网银出口架构在以下几个方面存在诸多问题：扩展性不足现有架构无法满足创新型互联网应用不断推出的要求：移动应用、手机APP、地图、网上商城、大数据等部署不灵活原有架构下DMZ区主要集中在某一机房，跨楼层或跨机房部署相对困难，同时更无法支持虚拟资源跨机房的灵活调度互联网DMZ区普遍采用虚拟机方式，缺乏针对虚机的安全控制和精细化管理不支持应用快速和自动化部署敏捷自动化安全L3L2PODAL2L3PODBL3L2PODYL2L3PODZOSPFECMP基础架构层面的标准化可复制和快速部署采用基于POD的标准架构网络资源的可复制和快速部署采用NSX架构按需要快速复制应用网络和相关的网络服务VXLAN实现DMZ区到数据中心任何位置的按需扩展配置管理有NSX通过图形界面统一完成采用分布式防火墙技术实现虚机层面的安全管理和策略的随动为了NSX将和企业云平台集成，实现应用的自动化部署某商业银行:利用NSX构建新一代金融互联网渠道CONFIDENTIAL28某商业银行:利用NSX实现业务系统网络P2V的迁移•硬件环境–业务网络层次：•核心层：–CiscoN7000核心路由器两台，AA方式提供核心路由。•汇聚层：–H3CF5000多层防火墙两台，互为主备方式提供3层接入和防火墙功能。–H3C12508交换机两台，堆叠方式提供2层接入。–现有架构下服务器资源以基于x86的物理服务器和小型机为主–客户在未来两年内要完成90%业务系统P2V的迁移3层网关H3CF5KH3C12508CiscoN7K现有环境下客户面临的问题：现有物理机环境下设备采购和运维成本过高应用部署周期长（1-2个以上）资源利用率低P2V迁移客户重点关注的问题：虚机层面的安全控制和管理监控虚机层面东西向的路由优化虚机跨三层的vmtion现有物理环境和虚机环境的无缝迁移CONFIDENTIAL29某商业银行:利用NSX实现业务系统网络P2V的迁移P2V改造后物理架构P2V改造后逻辑架构CONFIDENTIAL30•物理连线部分承载目前管理业务区使用的不进行网关变更的VLAN。老网关新建环境流量L2-Bridge迁移规划EdgeGW新部署规划EdgeClusterComputeClusterVTEP迁移环境流量物理连线原有物理环境新建x86环境CiscoN7KF5K1250812510M9K某商业银行:利用NSX实现业务系统网络P2V的迁移议程数据中心云计算对网络的要求网络虚拟化总体架构案例分析总结CONFIDENTIAL31HypervisorX86HostsLineratePerhostPhysicalorVirtual10KLogicalSwitches硬件软件硬件软件云