網(wǎng)絡是云計算數(shù)據(jù)中心最重要的部分，這主要體現(xiàn)在：

網(wǎng)絡的重要性：網(wǎng)絡連接所有節(jié)點，各類服務都通過網(wǎng)絡鏈接，用戶通過網(wǎng)絡遠程操作。沒有網(wǎng)絡，一切都是空的。

網(wǎng)絡的復雜性：不像一般的業(yè)務系統(tǒng)，要么是單服務器級別的或者集群級別的；網(wǎng)絡系統(tǒng)基本上都是數(shù)據(jù)中心級別的，在整個數(shù)據(jù)中心的規(guī)模上，構建各種復雜的網(wǎng)絡業(yè)務邏輯，整個系統(tǒng)復雜度非常高。

網(wǎng)絡故障的嚴重性：計算服務器故障、存儲服務器故障都是相對局部的故障，而網(wǎng)絡故障則牽一發(fā)而動全身。任何一個微小的網(wǎng)絡故障，都可能會引起整個數(shù)據(jù)中心不可用，網(wǎng)絡故障一旦發(fā)生，必然是重大故障。

如果按照功能邏輯把網(wǎng)絡分層，云計算數(shù)據(jù)中心網(wǎng)絡可以分成三層：

第一層，物理網(wǎng)絡?；A的物理承載網(wǎng)絡，也就是我們通常所理解的Underlay底層承載網(wǎng)。物理網(wǎng)絡跟用戶沒有直接關系，因此沒有必要暴露給用戶。

第二層，虛擬網(wǎng)絡?；诨A的物理網(wǎng)絡構建的虛擬網(wǎng)絡，也就是我們通常理解的基于隧道的Overlay網(wǎng)絡。虛擬網(wǎng)絡主要用于租戶隔離，典型服務如AWS的虛擬私有網(wǎng)絡VPC；

第三層，應用網(wǎng)絡。各種用戶可見的應用級的網(wǎng)絡服務，比如接入網(wǎng)關、負載均衡等，如AWS的彈性負載均衡ELB。

1 AWS網(wǎng)絡相關服務概覽

云計算快速發(fā)展，產(chǎn)生了很多網(wǎng)絡相關的產(chǎn)品服務，如表 8.1所示，以AWS為例，介紹網(wǎng)絡相關的產(chǎn)品服務。

表 1AWS的網(wǎng)絡和分發(fā)服務（或功能）

2 虛擬私有網(wǎng)絡服務VPC

借助VPC，用戶可以在AWS云中預置一個邏輯隔離的私有網(wǎng)，在自定義的這個虛擬網(wǎng)絡中啟動AWS資源。用戶可以完全掌控自己的虛擬網(wǎng)絡環(huán)境，包括選擇自己的IP地址范圍、創(chuàng)建子網(wǎng)以及配置路由表和網(wǎng)絡網(wǎng)關。用戶VPC中可以使用IPv4和IPv6，因此能夠輕松安全地訪問資源和應用程序。

用戶可以輕松自定義VPC的網(wǎng)絡配置。例如，可以為Web服務器創(chuàng)建一個能訪問Internet的公有子網(wǎng)。此外，還可以將后端系統(tǒng)（如數(shù)據(jù)庫或應用程序服務器）安置在無Internet訪問的私有子網(wǎng)中?？梢允褂冒踩M和網(wǎng)絡訪問控制列表等多種安全層，對各個子網(wǎng)中的EC2實例的訪問進行控制。

VPC的功能總結(jié)如下：

在AWS的可擴展基礎設施中創(chuàng)建VPC，并可以選擇任何的私有IP地址范圍；

通過添加輔助IP范圍來擴展VPC；

將VPC的私有IP地址范圍分割成一個或多個公有或私有子網(wǎng)，以便在VPC中運行應用程序和服務；

使用網(wǎng)絡控制列表控制進出各個子網(wǎng)的入站和出站訪問；

在S3中存儲數(shù)據(jù)并設置權限，以便僅可從VPC內(nèi)部訪問這些數(shù)據(jù)；

為VPC中的實例分配多個IP地址并連接多個彈性網(wǎng)絡接口；

將一個或多個彈性IP地址連接到VPC中的某個實例，以便直接從Internet訪問該實例；

將VPC與其他VPC相連接，可以跨VPC訪問其他VPC中的資源；

通過VPC終端節(jié)點建立與AWS服務的私有連接，無需使用Internet網(wǎng)關、NAT或防火墻代理；

建立到私有服務或由AWS PrivateLink提供支持的SaaS解決方案的私有連接；

使用AWS站點到站點VPN橋接VPC和現(xiàn)場IT基礎設施；

在EC2-Classic平臺中啟用EC2實例，以使用私有IP地址與VPC中的實例進行通信；

將VPC安全組與EC2-Classic中的實例進行關聯(lián)；

使用VPC Flow Logs來記錄有關進出VPC的網(wǎng)絡接口的網(wǎng)絡流量的信息；

支持VPC中的IPv4和IPv6；

使用VPC流量鏡像，為EC2實例捕獲和鏡像網(wǎng)絡流量；

使用網(wǎng)絡和安全設備（包括第三方產(chǎn)品）來阻止或分析入口和出口流量。

3 彈性負載均衡ELB

ELB在多個目標（如EC2實例、容器、IP地址和Lambda函數(shù)）之間自動分配傳入的應用程序流量。它可以在單個可用區(qū)內(nèi)處理不斷變化的應用程序流量負載，也可以跨多個可用區(qū)處理此類負載。

ELB提供三種負載均衡器，它們均能實現(xiàn)高可用性、自動擴展和可靠的安全性，因此能讓用戶的應用程序獲得容錯能力：

ALB（Application Load Balancer，應用負載均衡器）：ALB最適合HTTP和HTTPS流量的負載均衡，面向包括微服務和容器在內(nèi)的現(xiàn)代應用程序架構，提供高網(wǎng)絡層級請求的路由功能。ALB運行于單獨的請求級別（第7層），可根據(jù)請求的內(nèi)容將流量路由至VPC內(nèi)的不同目標。

NLB（Network Load Balancer, 網(wǎng)絡負載均衡器）：若要對需要極高性能的傳輸控制協(xié)議（TCP）、用戶數(shù)據(jù)報協(xié)議（UDP）和傳輸層安全性（TLS）協(xié)議流量進行負載均衡，最適合使用網(wǎng)絡負載均衡器。網(wǎng)絡負載均衡器運行于連接層（第4層），可將流量路由至VPC內(nèi)的不同目標，每秒能夠處理數(shù)百萬請求，同時能保持超低延遲。網(wǎng)絡負載均衡器還針對處理突發(fā)和不穩(wěn)定的流量模式進行了優(yōu)化。

CLB（Classic Load Balancer，經(jīng)典負載均衡器）：CLB同時運行于請求級別和連接級別，可在多個EC2實例之間提供基本的負載均衡。CLB適用于在EC2-Classic網(wǎng)絡內(nèi)構建的應用程序。

ELB的主要功能：

高可用性：ELB在單個可用區(qū)或多個可用區(qū)內(nèi)的多個目標（EC2實例、容器和IP地址）之間自動分配流量。

運行狀況檢查：ELB可以檢測無法正常運行的目標、停止向它們發(fā)送流量，然后將負載分散到剩余的正常運行的目標上。

安全性功能：使用VPC創(chuàng)建和管理與負載均衡器關聯(lián)的安全組，以提供更多網(wǎng)絡和安全選項。還可以創(chuàng)建內(nèi)部（非面向Internet的）負載均衡器。

TLS終止：ELB提供集成化證書管理和SSL/TLS解密，使用戶可以靈活地集中管理負載均衡器的SSL設置，并從用戶自己的應用程序上卸載CPU密集型工作。

第4層或第7層負載均衡：用戶可以對HTTP/HTTPS應用程序執(zhí)行負載均衡以實現(xiàn)特定于第7層的功能，或者對依賴于TCP和UDP協(xié)議的應用程序使用嚴格的第4層負載均衡。

運行監(jiān)控：ELB提供與Amazon CloudWatch指標的集成和請求跟蹤，以便實時監(jiān)控應用程序的性能。

可以根據(jù)應用程序按需選擇合適的負載均衡器。如果需要靈活管理應用程序，推薦使用ALB；如果應用程序需要實現(xiàn)極致性能和靜態(tài)IP，推薦使用NLB。如果現(xiàn)有應用程序構建于EC2-Classic網(wǎng)絡內(nèi)，則應使用CLB。

4 云計算網(wǎng)絡的特點

網(wǎng)絡是數(shù)據(jù)中心最核心的功能，對網(wǎng)絡來說，最關鍵的兩個性能指標是帶寬和延遲。云計算是多租戶場景，多租戶域間隔離和跨域訪問，以及動態(tài)的網(wǎng)絡變化也是數(shù)據(jù)中心網(wǎng)絡非常重要的特點。

更大的帶寬

前面我們講了大數(shù)據(jù)的迅猛發(fā)展，數(shù)據(jù)量越來越大，網(wǎng)絡傳輸?shù)膸捯苍诳焖偕?。疊加數(shù)據(jù)中心東西向流量，英特爾估計，數(shù)據(jù)中心內(nèi)部的流量每年以25％的速度增長。當前數(shù)據(jù)中心大規(guī)模商用的主流的數(shù)據(jù)帶寬是25Gbps，預計未來兩三年內(nèi)，將逐步過渡到100Gbps。

帶寬逐步增大，意味著許多現(xiàn)有的網(wǎng)絡數(shù)據(jù)處理架構，會逐漸的無法滿足如此高性能的處理要求。例如，傳統(tǒng)的基于內(nèi)核TCP/IP的網(wǎng)絡處理逐漸被DPDK所取代，并且現(xiàn)在已經(jīng)有完全硬件卸載的網(wǎng)絡處理設備批量部署。

更低的延遲

Akami的一項研究表明，頁面加載速度的延遲一秒會導致轉(zhuǎn)化率平均下降7％，頁面瀏覽量下降11％，用戶滿意度下降16％。在金融業(yè)中，即使是一毫秒的延遲也會對高速交易算法的性能產(chǎn)生巨大影響。金融業(yè)對延遲的敏感性的一個案例是，某公司投資了4億多美元，只是為了將紐約和倫敦之間的傳輸時間縮短5毫秒。

在線事務處理（OLTP）的工作負載主要由南北流量控制，客戶端請求，然后服務器響應，通過相對簡單的三層網(wǎng)絡結(jié)構就能得到很好的服務。但是，隨著社交媒體和移動應用程序的爆炸性增長，流量模式已從南北（在客戶端和數(shù)據(jù)中心之間）轉(zhuǎn)變?yōu)闁|西向（數(shù)據(jù)中心內(nèi)的流量）。據(jù)估計，單個在線查詢可以在數(shù)據(jù)中心內(nèi)生成數(shù)百甚至數(shù)千個請求，然后才能響應來自客戶端的請求。在這種環(huán)境下，即使數(shù)千個訪問同時執(zhí)行，需要花費較長響應時間的訪問相對少見，但其仍然最終決定了服務的總體響應時間。

域間隔離和跨域訪問

VPC是云服務商在數(shù)據(jù)中心內(nèi)為用戶提供的一個邏輯隔離的區(qū)域，用戶可以在自己定義的的虛擬網(wǎng)絡中創(chuàng)建云服務資源。底層的虛擬網(wǎng)絡系統(tǒng)保證了不同用戶網(wǎng)絡區(qū)域的隔離。

但是，不同的私有網(wǎng)絡區(qū)域并不是完全封閉的，有些場景是需要跨域訪問的。比如，一些非實例型“獨立服務”提供的服務，當用戶從自己的VPC訪問另外某個VPC中服務的時候，通常有兩種做法，一種是使用公網(wǎng)IP通過公網(wǎng)訪問，還有一種方法就是通過提供一些特定的滿足安全機制情況下的跨域訪問服務來走數(shù)據(jù)中心內(nèi)部網(wǎng)絡路徑去訪問，以此來提升訪問效率，這種就是數(shù)據(jù)中心內(nèi)部的跨域訪問。再比如，數(shù)據(jù)中心按照區(qū)域和可用區(qū)進行劃分，用戶在不同的跨區(qū)域的數(shù)據(jù)中心多地容災、或者特定的服務和數(shù)據(jù)通信，則需要跨數(shù)據(jù)中心訪問。

通過VPC把不同用戶或者系統(tǒng)的資源隔離，是為了安全的考慮；跨域訪問，則是在保證安全基礎上的性能和功能的考慮。

動態(tài)的網(wǎng)絡變化

單個數(shù)據(jù)中心服務器規(guī)?？梢赃_到數(shù)萬臺，如此大規(guī)模服務器集群需要數(shù)千臺網(wǎng)絡設備連接在一起。這種大規(guī)模的數(shù)據(jù)中心網(wǎng)絡管理難度大，網(wǎng)絡運行故障定位難，運維成本非常高。大規(guī)模數(shù)據(jù)中心動態(tài)網(wǎng)絡變化主要體現(xiàn)在：

云計算是多租戶模式，不同的租戶業(yè)務之間是要完全隔離的，數(shù)據(jù)中心通過虛擬網(wǎng)絡來實現(xiàn)不同租戶網(wǎng)絡域的隔離。租戶以及租戶的資源一直處在一個動態(tài)的變化中，這加劇了網(wǎng)絡變化的頻次和難度。

數(shù)據(jù)中心數(shù)萬臺服務器，不可避免會發(fā)生故障，而要保證用戶服務的高可用，用戶業(yè)務在不同的物理服務器之間遷移也會影響網(wǎng)絡的變化。

并且，互聯(lián)網(wǎng)上層業(yè)務日新月異的變化，也會影響網(wǎng)絡的變化。

審核編輯：劉清