NSX介绍-翻译

第二章，网络虚拟化介绍

2.1 NSX网络虚拟化解决方案综述

NSX产品的部署形态，包括数据平面、管理平面和控制平面，如图4所示。

图4：NSX组成

NSX架构的原理是将数据、控制、管理层面分离。NSX的组件构成，每个组件的架构都在图4中给出了展示。分离的架构设计，可以让NSX整体架构不断扩大，并且规模不受负载的影响。每一个层面以及各自的整体描述，会在下边详细描述。

2.1.1数据层面

数据层面是通过NSX的vSwitch实现的。NSX提供给vSphere的vSwitch，是基于VDS实现的，这个VDS是通过增加额外组件实现的比之前更强大的虚拟分布式交换。NSX的可扩展组件包括内核模块，都是按照VMware软件的分布式部署方式扩展的。这些模块都运行在hypervisor层。能够提供的服务包扩：分布式路由、分布式防火墙以及vxlan到vlan的桥接。

NSX的VDS精简了物理网络，比方说在hypervisor层实现的接入层交换机。这对于虚拟化的网络能够在逻辑上不受物理网络架构限制是及其重要的。

NSX的vSwitch之所以能够实现现在的能力，是因为其使用vxlan协议的overlay技术，以及集中式的网络架构。基于overlay技术的NSX使一下部分成为可能：

• 在现有的物理网络架构下，通过IP网络overlay技术构建灵活的二层网络。
• 灵活的控制无论东西向还是南北向的流向以实现租户隔离。
• 应用程序的工作负载和虚拟机流量通过overlay网络，对用户来说是透明的，配置网络时候不用关心物理网络的链接情况。
• 基于hypervisor层，可扩展性极强。

管理上的特色有：

• 端口反弹技术（就相当于反向连接，他来主动连你）。
• 流量分析
• 流程跟踪
• 配置备份与还原
• 网络健康状态监控
• QoS（服务质量）
• LACP（链路聚合）

通过虚拟网络，为用户提供一个全方位的工具包，比方说，流量管理、监控，故障排查等。

数据平面同样提供能够保证逻辑网络和物理网络通信的网关设备。（比方说vxlan到vlan的桥接）网关设备的功能可以通过二层的网络（NSX bridging）或者三层网络（NSX routing）实现。

NSX的逻辑网络组件：NSX通过软件形式提供了可靠的网络和安全服务。

图5，NSX的逻辑网络服务

交换设备：逻辑交换能够实现不依赖于物理网络架构的二层网络隔离。

路由设备：逻辑路由可以将不同子网的数据包在不出hypervisor情况下实现传输；路由可以在极小的CPU和内存开销下，在hypervisor层实现。分布式逻辑路由可以在虚拟化网络设备下实现最有路径传输（东西向数据流量）。另外，NSX的边界设备，通过单点集中管理的形式，实现与物理网络设备的无缝连接，由此实现与外部网络的通信（南北向流量）。

与物理网络的链接：二层和三层的网关功能，是通过NSX内部提供的基于逻辑形式和物理形式的负载均衡实现的。

NSX服务平台：NSX是一个能够提供安全服务和分布式防火墙功能的服务平台。这些服务能力可以是NSX内部提供的，也可以是第三方厂商提供的。现在数据中心已部署的物理设备，比方说负载均衡、防火墙、日志处理系统和网络监控系统等，都可以与NSX向结合。所有的服务可以通过NSX的服务链模式进行编排。（在2.1.3详细解释）

2.1.1.1网络和边界服务

NSX提供原生的包括逻辑负载均衡、二层/三层的VPN服务、边界防火墙以及dhcp服务在内的网络和边界服务。

图６，NSX逻辑的网络服务

边界防火墙：边界防火墙是NSX边界服务网关(Edge ServicesGateway－ESG)的一部分。NSX的边界防火墙能提供简单的边界安全保护，但是不能保护物理环境的边界安全。基于ESG的防火墙多用于开发PCI区域，多租户环境或是开发运维类的连接。基于ESG的防火墙不强制重定向内部租户或是内部域的流量到物理网络中

VPN：NSX通过L2 VPN, IPSEC VPN, 和SSL VPN等实现二层和三层的ＶＰＮ服务。ｖｐｎ服务提供远程的数据中心关键业务接入，以及用户接入能力。

逻辑的负载均衡：四到七层的负载均衡，通过对SSL终端的支持，可以作用于内连的和通过代理的两种不同负载模式。能够在单一的拓扑结构下，实现对虚拟环境中各种各样的工作负载进行能力分配支持。

DHCP和NAT服务：实现DHCP服务，或者转发DHCP请求。实现NAT功能。

NSX同样也提供了一个，能够被第三方厂商部署和配置可扩展平台。比如融合进虚拟化形式的负载均衡，以及网络监控模块。将上边说的这么多服务能力进行集成，是比物理的负载均衡、DHCP服务器等现存的网络架构更简单的架构模式。

２.１.１.２安全服务和分布式防火墙

NSX支持自己原生的安全服务，比方说：东西向的二层到四层的分布式防火墙、南北向流量的边界防火墙以及对IP／MAC欺骗等的验证。

分布式防火墙：基于内核甚至是虚拟网卡级别的安全防护。这使防火墙实现安全的效率更高，可扩展性更强，避免了传统物理设备的性能瓶颈。以分布式架构实现在内核，占用极小的CPU和内存开销就可以换来很高的效率。

NSX同样也提供了可扩展的框架，允许安全厂商对安全服务提供支持。流行的产品包括防病毒等安全能力，七层基于应用的防火墙，入侵防御、入侵检测，文件完好性检测，以及虚拟机漏洞防护等服务。

２.１.２控制平面

NSX controller是NSX控制平面的最关键部分。在一个使用VDS的vSphere环境中，controller实现不受多播限制的vxlan，以及像分布式逻辑路由这样的控制平面的重要元素。

稳定和可靠的数据传输是网络中最关心的部分。NSX controller是控制平明的一部分，它在逻辑上实现了与数据传输层面的分离。为了进一步调高可靠性与可扩展性，NSX controller节点在集群中的每一个节点部署一个。

除了controller之外，control ＶＭ可以在ESXi主机内部允许转发数据，并且允许在边界的EdgeＶＭ和本地的controlＶＭ间动态的选择路经规划。数据平面的网络传输从来没有经过控制平面确实是很晦涩的。

２.１.３管理平面和提供给开发者的平台

在NSX整个系统中，NSX manager是NSX管理平面的。

NSX manager提供的配置和可编排的结构有如下这些：

• 逻辑的网络组建－逻辑交换和逻辑路由
• 网络和边界服务
• 安全服务和分布式防火墙

边界服务和安全服务可以是NSX manager的内置原生组件，也可以是集成第三方厂商的。NSX manager可以完美的编排原生的和第三方的服务。

所有的安全服务，不论是原生的还是第三方的，都通过ＮＳＸ的管理平面进行部署和配置管理。控制平面提供单一的窗口来查看业务的服务能力。他同样也能将基于策略的服务编排、环境分享、集成服务时间处理等变得容易。这简化了对于安全态势的审计。实现了流水线形式的，基于身份认证的控制能力。

使用NSX内置的产品或者第三方厂商集成进来的服务，都可以通过web管理界面进行管理。NSX manager同样提供restfull api供开发者实现自动化的业务能力。这种灵活的架构，可以供任何云管理平台、安全供应商平台等实现自动化的配置、监控、管理进行集成，成为了简单可行的自动化架构。对多种不同的平台、服务、管理，进行集成在现在成为了可能。

vmware的软件定义数据中心套件共包含下边这些：

• VMware vRealize Automation (vRA)

• VMware Log Insight (LI)

• VMware vRealize Operations Manager (vROps)

• VMware Integrated OpenStack (VIO)

第三方可集成部分：

• Arkin Visibility and Operations Platform

• Tufin Orchestration Suite for Firewall Management

第三章，NSX的功能组件

NSX的逻辑网络利用了两种类型的接入实体-基于hypervisor层的接入和网关层的接入。基于hypervisor的接入层将虚拟化终端连接进逻辑网络。基于网关的接入层，将物理网络部署的二层和三层设备接入逻辑网络中。

图7，NSX的功能组件

NSX平台包含多种功能组件，保证平台管理的可靠性，传输控制，和服务交付。接下来的部分我们会详细的阐述这些细节的功能点和管理的细节。

3.1.1 NSX namager

NSX manager是管理平面的虚拟节点。它以rest api形式为NSX提供服务，帮助实现自动化的部署和管理虚拟网络。在NSX针对vSphere的体系架构中，NSX manager直接与vCenter相连，进而管理计算设施。NSX manager与vCenter是1对1的关系。在vCenter的web管理界面，NSX manager通过提供网络和安全的插件，以便管理员能够配置和管理NSX的功能组件。

图8，NSX manager在vSphere web client端的插件