業(yè)務 可視云 網絡：Visibility-as-a- Service( VaaS )
VaaS (Visibility-as-a-Service，可視即服務)是星融Asterfusion為 云網絡 設計開發(fā)的業(yè)務可視 整體解決方案，能夠輕松應對、完美滿足云計算時代的運維所面臨的各種挑戰(zhàn)和需求。
構建VaaS方案的基石是NT(Network Telemetry，網絡遙測)技術。
那么啥是NT技術呢?
NT技術為運維人員提供網絡運行的實時參數和狀態(tài)，并且能夠將需要深度分析的網絡數據復制出來，按照預先設置好的策略經過智能處理后，交給后端運營分析系統(tǒng)的子系統(tǒng)(運維、安全、審計、回溯、優(yōu)化等)進行關聯(lián)分析和呈現。
VaaS 整體架構一覽
VaaS方案主要由這4部分構成：
? INT (In-band Network Telemetry，帶內網絡遙測)
? VNT (Virtual Network Telemetry，虛擬網絡遙測)
? ONT (Out-band Network Telemetry，帶外網絡遙測)
? AFC (Asteria Fabric Controller)
圖2：Asterfusion業(yè)務可視云網絡整體架構
INT ：基于可編程交換芯片的INT方案，在轉發(fā)業(yè)務流量的同時，將網絡的即時性能、狀態(tài)、參數收集并記錄下來，在網絡的出口發(fā)送給運營分析系統(tǒng)，用來精準分析物理網絡的健康狀況 。
VNT ：VNT方案是為運行在計算空間的虛擬網絡 開發(fā)的流量采集與分析方案，在不影響業(yè)務系統(tǒng)性能的前提下，虛擬網絡流量會被VNT采集出來，然后通過隧道發(fā)送給ONT方案，用來分析虛擬網絡的運行狀況;對于那些單租戶，VNT能夠將所采集的虛擬網絡流量直接發(fā)送給后端的運營分析系統(tǒng)。
ONT ：ONT方案將來自于物理網絡和虛擬網絡 的采集流量進行租戶和業(yè)務的關聯(lián)對應，再按照預先設定的策略進行智能處理(例如匯聚、分流、負載均衡、隧道解封裝、業(yè)務負載裁剪、元數據提取、特征標記等)，最后將處理后的ONT數據發(fā)送到后端的運營分析系統(tǒng)進行分析。
AFC ：AFC(Asteria Fabric Controller)是VaaS的統(tǒng)一管理和調度平臺，向南通過調用INT、VNT、ONT的REST API自動部署、按需調度、集中管理VaaS方案，同時向北為Cloud OS提供業(yè)務級的REST API，接受Cloud OS的統(tǒng)一調度和自動化管理。
VaaS整合了INT、VNT和ONT三個維度的技術與方案，即可以運行在星融Asterfusion的硬件平臺之上，也可以運行在云計算的虛擬化環(huán)境中。
基于VaaS的業(yè)務可視云網絡全面解決了云網絡運維的各種挑戰(zhàn)，完美滿足云計算對云網絡的運營提出的各種新需求。
接下來，讓我們看看VaaS方案是怎么解決這些運營需求的。
虛擬網絡與物理網絡的綜合運營
在星融Asterfusion業(yè)務可視云網絡中，不同的組件方案都能完成對虛擬網絡和物理網絡的運營分析，并且能夠在同一張ONT網絡上完成虛擬網絡與物理網絡分析結果的關聯(lián)對應。
圖3：虛擬網絡與物理網絡的綜合運營
如圖3所示：
VNT方案采集虛擬網絡 中需要被分析的流量，并進行適當的處理以降低對云中東西向帶寬的消耗(例如過濾掉不感興趣的流量、將感興趣流量的負載部分裁剪掉)，然后通過隧道發(fā)送到ONT網絡進行處理;
ONT方案通過分光或者端口鏡像的方式采集物理網絡 中需要被分析的流量，這些流量也被發(fā)送到ONT網絡進行統(tǒng)一處理;
ONT網絡接收到采集完虛擬網絡和物理網絡的流量后，提取流量當中的特征，完成虛擬網絡與物理網絡的流量關聯(lián)，然后將關聯(lián)后的流量按照預先設置的策略進行智能處理，后發(fā)往運營分析系統(tǒng);
INT方案能夠將交換機在轉發(fā)業(yè)務流量的那一瞬間自身健康狀況數據采集出來，并且在業(yè)務流量離開網絡進入業(yè)務系統(tǒng)之前，將業(yè)務流量攜帶的交換機健康狀況數據從中剝離出來 ，發(fā)送給運營分析系統(tǒng);
運營分析系統(tǒng)根據接收到的ONT數據和INT數據，對云網絡整體進行綜合運營分析。
我們看到，當云網絡發(fā)生故障時，
星融Asterfusion業(yè)務可視云網絡以虛擬和物理相結合的方式 ，幫助云的運營者快速、精準定位到是哪個租戶的哪個業(yè)務出了問題，問題來自于虛擬網絡還是物理網絡，是業(yè)務流量超越SLA、還是物理網絡自身性能瓶頸所致。
云級網絡 的整體運營
星融Asterfusion業(yè)務可視云網絡能夠被部署在云中的任何位置~
圖4：云級網絡的整體運營
如圖4所示：
當云中兩個虛擬計算節(jié)點(兩個藍色的VM)通信時，在他們之間形成了一條虛擬網絡路徑(圖中藍色虛線)，VNT方案能夠將這條路徑上的流量采集出來進行分析;
當這條虛擬網絡路徑上的流量通過物理網絡傳送時，在物理網絡上存在兩條路徑在實際承載虛擬網絡的流量，即圖中的“物理網絡路徑-A(紅色)”和“物理網絡路徑-B(金色)”，這兩條路徑協(xié)同工作，為兩個虛擬計算節(jié)點提供高可靠、高帶寬的通信通道;
在某一瞬間，虛擬網絡流量使用哪一條物理網絡路徑，是由那一瞬間物理網絡設備的負載狀況、虛擬網絡流量的自身特征、物理網絡上同時承載的其他租戶和業(yè)務流量的大小等因素共同決定的，并不能提前預知;
為了對圖中的虛擬網絡流量做全面的分析，ONT方案在物理網絡的各個節(jié)點上都采集了流量，然后將這些流量智能處理后，發(fā)到后端的運營分析系統(tǒng);
所以，運營分析系統(tǒng)就能夠分別通過VNT和ONT獲取全面的虛擬網絡流量信息和全量的底層物理網絡流量信息進行關聯(lián)分析。
通過對物理網絡的全量采集(任意位置、任意流量)，再結合虛擬網絡采集流量進行關聯(lián)分析后，能夠幫助運營者在網絡層面構建云中業(yè)務的全景視圖，因此，星融Asterfusion業(yè)務可視云網絡能夠為用戶提供面向全網的整體運營能力。
面向 云網絡 健康狀況的精準運營
INT是最近幾年出現的，能夠對網絡健康狀況進行精準測量和分析的技術，目前已經被IETF所接納，正處于被標準化的過程中。INT的整體架構如下圖所示：
圖5：INT的整體架構
與傳統(tǒng)的用于觀察網絡健康狀況的工具及能力(例如SNMP)相比，INT從根本上改變了觀察網絡健康狀況的方法 。
INT系統(tǒng)一般由運Controller軟件系統(tǒng)和支持INT能力的網絡設備構成，Controller軟件系統(tǒng)一般包含兩個模塊：策略編排模塊 、分析呈現 。 而網絡設備要能夠接收Controller下發(fā)的策略，并且采集策略所要求的數據，最終輸出到Controller進行分析與呈現。
一般來說，INT系統(tǒng)的工作流程大致如下：
Controller的策略編排模塊根據管理員的需求生成對某種業(yè)務的測量策略，并通過管理通道將生成的策略下發(fā)到業(yè)務轉發(fā)路徑上支持INT能力的網絡設備上;
網絡設備的控制平面接收來自Controller的策略，將策略編譯后下發(fā)到轉發(fā)芯片中;
工作在轉發(fā)平面的轉發(fā)芯片根據來自于控制平面的指令在其所轉發(fā)的業(yè)務流中采集相關的數據(出入接口、收發(fā)時間、隊列長度、緩存狀況等)，并將這些數據按照指令的要求編碼在業(yè)務流中向前傳送;
在業(yè)務流離開網絡進入業(yè)務系統(tǒng)之前，網絡設備將所有的采集數據從業(yè)務流中剝離出來發(fā)往Controller的分析呈現模塊，并將復原的業(yè)務流繼續(xù)發(fā)送到業(yè)務系統(tǒng);
Controller的分析呈現模塊對所接收到的采集數據進行分析、呈現，描繪業(yè)務路徑上的網絡設備在轉發(fā)業(yè)務流那一時刻的健康狀況。
從工作流程可以看出INT具備如下主要特點：
動態(tài)。
按照業(yè)務與管理的需求對INT系統(tǒng)進行動態(tài)調整，能夠隨時對需要重點關注的業(yè)務進行觀察。
推送。
INT系統(tǒng)會在轉發(fā)業(yè)務流量的同時，主動向管理與分析系統(tǒng)推送采集的測量數據，而不是響應管理側周期性的查詢。
數據平面采集。
INT系統(tǒng)直接從網絡設備的轉發(fā)平面獲取采集數據，這樣就規(guī)避了傳統(tǒng)模型中采集數據由控制平面生成、無法反應轉發(fā)平面的真實狀況或數據。
高精度。
傳統(tǒng)模型中網絡健康數據只能夠反應網絡在查詢時刻的狀況，精度較低，而INT采集的各種健康數據描述的則是交換機在真正轉發(fā)指定業(yè)務流量的那一時刻的狀態(tài)，精準度非常高。
多租戶網絡。
在承載著多租戶、多業(yè)務的云上，INT系統(tǒng)能夠僅僅對某一個租戶的某一種業(yè)務進行轉發(fā)過程的數據采集，幫助管理員針對租戶/業(yè)務進行網絡健康狀況的精細分析。
星融Asterfusion基于可編程交換芯片與全開放架構開發(fā)的CX系列和NX系列云交換機全面支持INT能力。
圖6：面向云網絡健康狀況的精準運營
如圖6所示：
在星融Asterfusion業(yè)務可視云網絡上，運營分析系統(tǒng)能夠為不同租戶的不同業(yè)務定義分析策略，然后動態(tài)下發(fā)到由星融Asterfusion云交換機(CX系列 & NX系列)構建的云網絡上去;針對不同的業(yè)務流，云交換機在轉發(fā)時刻將采集交換機的各種健康狀況數據，然后將這些數據發(fā)送到運營分析系統(tǒng)，由運營分析系統(tǒng)從租戶/業(yè)務維度完成對云網絡健康狀況的精準分析。
對于發(fā)現問題的業(yè)務流量，運營分析系統(tǒng)能夠通過星融Asterfusion云網絡的sFlow能力采樣該業(yè)務流的部分報文，或通過ONT方案獲取該業(yè)務流的全部報文，進一步的深入分析、定位問題。
不影響生產網絡的高性能運營
星融Asterfusion業(yè)務可視云網絡的ONT方案能夠幫助運營分析系統(tǒng)全量獲取云中的業(yè)務流量，從而獲得更智能、更全面的業(yè)務分析數據。
ONT方案全量獲取業(yè)務流量卻不會給生產網絡帶來任何性能的影響，并且在生產網絡與運營分析系統(tǒng)之間建立起一條不受距離和規(guī)模限制的傳送通道。
一般來說，運營分析系統(tǒng)從生產網絡獲取業(yè)務流量的主要方法是端口鏡像。
如下圖所示，當需要對流動在生產網絡中的某一業(yè)務流量進行跟蹤分析時，管理員通常會在該業(yè)務流量所流經的某一臺生產網絡交換機上，利用該交換機的端口鏡像能力，將正常轉發(fā)的業(yè)務流量復制一份、經過鏡像端口發(fā)送給后端的運營分析系統(tǒng)。
圖7：通過交換機端口鏡像采集數據
對于小規(guī)模、業(yè)務流量較小、業(yè)務變化不頻繁的場景，端口鏡像的部署方案完全沒有問題。
但是，在云計算的環(huán)境，端口鏡像方案有著顯而易見的缺點 ：
對生產網絡的性能帶來巨大影響。
通常，交換機開啟端口鏡像后，會對其自身的轉發(fā)性能產生很大的影響;在云中因為業(yè)務路徑的不確定性，需要在業(yè)務可能路徑的所有交換機上開啟端口鏡像，才能完成針對業(yè)務路徑的全量分析;所以，在大規(guī)模的云中使用端口鏡像，將會對生產網絡的性能帶來巨大的沖擊。
交換機可支持鏡像的端口十分有限。
一般的，交換機支持鏡像端口的總數量 是有限 的(個位數)，對于大規(guī)模部署的云來說，僅交換機支持的鏡像端口的數量就已經無法滿足全量采集的需求了。
浪費生產網絡的端口資源。
對于云計算來說，云網絡最寶貴的資源之一就是其端口資源，在同樣的空間內，每多一個網絡端口投入到生產系統(tǒng)，就意味著ROI(投資回報)的提升和TCO的降低，所以，將大量的生產網絡端口資源當作鏡像端口使用實在不是一個明智之舉。
耗時耗力，為生產網絡的 安全運 維引入風險。
因為鏡像對性能的影響，不可能隨時對任何業(yè)務流量都開啟鏡像功能，但在云中，網絡承載著數以十萬計的租戶和業(yè)務的流量，不同的租戶和業(yè)務隨時也都有可能產生運營分析的需求，這就意味著管理員要頻繁地變更生產網絡的配置，費時費力，而且為生產網絡的安全運維引入了巨大的不可控風險。
要求后端運營分析系統(tǒng)服務器的數量線性增長。
在鏡像部署場景中，每開啟一個鏡像端口，就意味著后端的運營分析系統(tǒng)要保留一個專門的端口來接收發(fā)送過來的業(yè)務流量，無論這個端口中實際傳送的流量是端口帶寬的10%還是100%;從今天服務器的一般配置與處理能力來看，這種端口密度匹配要求，意味著后端運營分析系統(tǒng)的服務器數量的線性增長。
為了解決上述問題，星融Asterfusion的ONT方案采用基于分光器的旁路部署、帶外采集方案，在滿足全量、全網采集的同時，對生產網絡的性能、運維不帶來任何影響。
圖8：不影響生產網絡的高性能運營
如圖8所示：
在星融Asterfusion ONT方案中，與生產網絡并行地建設一張ONT網絡，然后通過分光器將需要采集分析的生產網絡的線路旁路接進ONT網絡，所有通過這條線路傳輸的業(yè)務流量在正常傳送的同時，都會被分光器全量地復制一份。通過分光線路發(fā)送給ONT網絡，經過智能處理后進入運營分析系統(tǒng)。
相對于鏡像方案的缺點，ONT方案的優(yōu)點 也是顯而易見的：
因為分光的過程僅僅是對物理層光信號的復制與放大，因此對生產網絡的性能沒有任何影響。
數據采集的規(guī)模不受生產網絡設備端口數量的限制，只需在需要分析的線路上部署分光器即可;
生產網絡的端口可以全部用于生產，確保采集全量分析數據的同時，生產網絡的ROI不會降低;
所有的變更、操作全部在獨立的ONT網絡上發(fā)生，不會對生產網絡的運維帶來任何風險;
ONT網絡的智能處理能力能夠將從生產網絡采集到的業(yè)務流量進行智能處理、高效收斂，大幅降低運營分析系統(tǒng)所需服務器的數量。
更為值得一提的是，構建ONT網絡的星融Asterfusion PX系列網絡可視交換機采用可編程硬件平臺，在單位空間內提供超高端口密度和超高處理性能的同時，還提供包括流量匯聚、負載均衡、流量裁剪、租戶關聯(lián)等各種智能處理能力，并且能夠根據網絡規(guī)模按需任意擴展，在生產網絡和運營分析系統(tǒng)之間建立一個全線速的智能通道。
能夠負擔得起的低TCO運營
構建一個業(yè)務可視化分析系統(tǒng)對于運營好一張云來說的確是不可或缺的，一般來說，可視化分析系統(tǒng)的架構大致如下：
圖9：業(yè)務可視化分析系統(tǒng)的一般架構
從邏輯上來說，業(yè)務可視化分析系統(tǒng)分為兩層：
? 網絡流量存儲層
? 業(yè)務分析呈現層
?網絡流量存儲層 與業(yè)務系統(tǒng)的生產網絡直接連接，接收從生產網絡鏡像或者分光過來的業(yè)務流量，完成針對網絡流量的初級處理之后，將報文及處理產生的元數據存儲在本地，供業(yè)務分析呈現層使用。
該層需要執(zhí)行的動作主要包括：
一對一全量接受網絡流量
流量過濾，匹配識別流量特征
網絡流量的編輯
全量儲存過濾后的網絡流量
解除封裝、終結隧道、識別協(xié)議
元數據的提取與分析
元數據的存儲
有一點需要強調的是，因為架構的關系，同屬于一個業(yè)務的流量信息有可能存儲在網絡流量存儲層的任何一臺服務器上。所以，給業(yè)務分析呈現層帶來了分析與處理層面的復雜度。
?業(yè)務分析呈現層 直接向運營者展示業(yè)務分析的結果，它首先從網絡流量存儲層獲取各種流量報文及其對應的元數據，按照業(yè)務邏輯對這些流量報文和元數據完成重構與各種分析后，按照預定的規(guī)則及分析邏輯將結果呈現在直接面對運營者的控制面板上。
該層需要執(zhí)行的動作主要包括：
獲取全量元數據
完成虛擬網絡與物理網絡的關聯(lián)
完成元數據的去重
完成業(yè)務邏輯的一致性重構
分析與呈現
顯而易見的，上述架構最大的問題在于：
大量的服務器在重復地做著同樣的事情;
服務器大量地存儲了對于業(yè)務分析來說無用的數據;
大量的服務器在做不擅長的事情;
架構沒能解決業(yè)務邏輯一致性的問題，浪費CPU的計算力來解決;
這些問題導致為云中業(yè)務構建一個可視化分析系統(tǒng)的TCO會非常高，除了鏡像/分光的成本以外，還意味著大量的服務器和存儲系統(tǒng)。
星融Asterfusion VaaS的ONT方案成功的解決了上述問題，讓針對云業(yè)務進行整體運營分析成為可以負擔得起的方案。
圖10：被ONT優(yōu)化的業(yè)務可視化分析系統(tǒng)架構
星融Asterfusion VaaS方案在業(yè)務系統(tǒng)的生產網絡和可視化分析系統(tǒng)之間構建了一個獨立的ONT網絡，然后將網絡流量存儲層和業(yè)務分析呈現層原先需要服務器做的工作全部卸載到ONT網絡上 ，由ONT網絡一次性地、高效地、專業(yè)地完成，不再浪費服務器的計算力 做這些不擅長的事情，而是專注在對業(yè)務的可視化分析與呈現上。
并且，星融Asterfusion的ONT網絡還具備如下特點，可以進一步優(yōu)化業(yè)務可視分析系統(tǒng)：
網絡流量裁剪。 可選的報文截短功能將從生產網絡接收到的全尺寸報文截短再到指定的長度，去除對于分析系統(tǒng)無意義的負載部分而只保留報文頭部，在確保業(yè)務分析邏輯正確的前提下，有效降低后端存儲服務器接收、處理負擔，同時大幅降低報文存儲的壓力，提升單臺服務器的使用效率;需要強調的是，星融Asterfusion VNT也能夠支持網絡流量裁剪功能。
重復流量剔除。 星融Asterfusion ONT網絡能夠將從生產網絡的不同分段，接收到的重復的網絡流量剔除后，只保留一個拷貝、發(fā)送給后端的報文存儲服務器，大幅節(jié)省后端報文存儲服務器的處理時間，降低其存儲壓力，并且為分析與呈現服務器降低處理重復數據的負擔，進一步提升其處理效率。
業(yè)務邏輯重構。 ONT網絡在轉發(fā)從生產網絡分光過來的流量時，除了完成原先在兩層服務器上做的工作，同時，還從業(yè)務邏輯的層面還原、重構了同屬于一個業(yè)務的流量(即同源同宿)，確保同屬于一個業(yè)務的所有數據全部輸出到同一臺網絡流量存儲層的服務器上，分析呈現層的服務器只需要從這一臺服務器上就可以獲得指定業(yè)務的所有信息，節(jié)省了從所有存儲服務器讀取數據的開銷 和自行完成業(yè)務邏輯重構的開銷 ;
業(yè)務彈性分布。 對于流量較大、單臺服務器無法完成分析的業(yè)務，星融Asterfuison ONT網絡支持將業(yè)務按照邏輯分布到由多臺服務器組成的存儲、分析集群上去，由集群中的多臺服務器并行地完成對業(yè)務的存儲、分析和呈現，而這種情形，在ONT網絡缺失的情況下，是根本不可能完成的。
不 妥協(xié)性能的靈活性。 構建星融Asterfuison ONT網絡的Asterfusion PX系列產品是基于業(yè)界最領先的可編程交換芯片及技術開發(fā)的，能夠按照業(yè)務需求將各種功能(協(xié)議識別、隧道終結、流量裁剪、業(yè)務重構、報文編輯、元數據提取等)在芯片內部的處理邏輯中通過軟件編程的方式實現，在以超強的靈活性確?？焖夙憫獦I(yè)務需求的同時，又不降低系統(tǒng)的性能。
通過以上架構與能力，星融Asterfusion為云計算交付的是真正能夠負擔得起的低TCO運營的方案：
15:1的流量收斂；
單位空間最高6.4T的處理性能；
8倍的端口使用效率提升；
3倍的服務器效率提升；
更值得一提的是，構建星融Asterfusion ONT網絡的PX系列網絡可視交換機與構建云物理網絡的CX系列和NX系列云交換機基于相同的硬件平臺開發(fā)，對于運營來說，相同的硬件平臺則意味著統(tǒng)一庫存、備件管理和靈活的部署選擇，將進一步降低運營的綜合成本。
申請創(chuàng)業(yè)報道，分享創(chuàng)業(yè)好點子。點擊此處，共同探討創(chuàng)業(yè)新機遇！
