TF Live直播回放丨王峻：借助开源SDN利器打通异构混合云
在多云时代的企业云服务中，经常遇到混合云和异构资源问题，作为开源SDN 的代表， Tungsten Fabric 能够很好实现 SDN 互通，在网络层面打通异构资源池。
7 月 9 日，在 TF 中文社区线上直播活动【 TF Live 】中，华胜天成网络架构师王峻与大家进行了在线交流，演示了基于 Tungsten Fabric 开源 SDN 功能，如何实现 vCenter 、 OpenStack 、 K8s 之间的异构资源池互通，以及服务链的引流功能。
本期活动，由TF 中文社区和 SDNLAB 联合举办。
【pdf文档下载】
https://tungstenfabric.org.cn/assets/uploads/files/tf-live4-sdn.pdf
【直播视频回放】
https://v.qq.com/x/page/m31138leucf.html
王峻，华胜天成网络架构师。拥有 10 多年网络行业经验，曾参与设计建设大型银行骨干网、互联网政务云等项目。在 7 月 9 日的 TF Live 直播和问答环节，王峻也分享了自己的实践心得，以及 Tungsten Fabric 在企业云计算应用中的作用和表现。
基于 Tungsten Fabric 实现资源池互通
作为老牌云计算综合服务商和云计算运营商，华胜天成在服务客户云计算业务的过程中，开发了适应多云异构资源的统一管理平台，通过统一的云管平台，去对接OpenStack 、 K8s 、 vCenter 、 PowerVC 、 Ironic/xCAT 、裸机、公有云等各自不同的资源池。
不过，在网络层面上，每类资源池其实都有各自的一套网络体系和插件。这对于云管平台来说，网络层就变得比较复杂，需要寻找统一网络管理解决方案，应对客户支持异构资源池的需求。同时，许多客户并不希望被厂商绑定，希望构建一个解耦的架构。
王峻介绍，华胜天成的云开发团队经过大量调研比较，在多云环境覆盖、混合资源池网络应用编排、 SDN 功能、设备支持友好度、开源架构、专业网络支持等方面综合考量，最终选择了 Tungsten Fabric 作为未来统一网络管理的技术方向。
从Tungsten Fabric 的整体架构来看，不管是 OpenStack 的资源池，还是 k8s 的资源，或者 VMware 的资源池，都通过 Tungsten Fabric 计算节点里边的 vRouter 来实现。
QA问答
在 实际应用使用中， 一般 什么场景 会出现这种多个异构资源 ？
从现在很多项目上来看，客户本身一直通过 VMWARE 使用虚拟化，后来又上了 OpenStack ，这种情况很多，但两边管理是割裂的。对于客户来说，一方面想要解耦，不希望绑定厂商；另一方面，比如互联网出口有内外两层防火墙，也需要做成异构的，在金融行业都是比较常见的。
原来用 某厂 的 OpenStack 方案，想用Tungsten Fabric的话是不是改动太大了？
改动应该比较大，我不知道您用的是他们SDN 哪个版本？像厂商这种的，都是基于硬件下发相应配置，然后在边界上去做一个 VLAN 到 VXLAN 的一个转换。而 Tungsten Fabric 主要是开源软件，可以看到，我们所有的 vRouter 全都是在宿主机上去装的，然后跟 underlay 的网络其实没什么关系，只要保证互通就行。
V r outer替换了OVS，架构变化还是挺大的。
对。变化确实比较大，vRouter 相当于都是路由的东西。比如说我在 vCenter 里面创建了一个虚机，然后接到了分布式交换机上，就算我们用的是相同的网络， Tungsten Fabric 也会分配不同的 VLAN tag ，这就会导致所有的流量都会上到 vRouter 上去，不会在这个 vSwitch 上去做转发。
三个资源池的互通演示
接下来王峻进行了细致的演示，基于Tungsten Fabric 在 vmware 中的实现（ Tungsten Fabric 和 vCenter 的集成），来进一步说明 Tungsten Fabric 的功能。
l Tungsten Fabric 通过监控 VM 的创建的 event ，部署网络和安全策略；
l Tungsten Fabric 会为每个 VM 分配 vlan id ，每一个 VM 都有一个独立的 vlan id ；
l vRouter 一个口通过 trunk 连接到 vCenter 的分布式交换机，所有 VM 流量到交换机上打上相应 tag ，通过 trunk 发给 vRouter ，进入相应 vrf ，接下来处理方式和 openstack 和 k8s 就都一样了；
l vRouter 另一个口通过标准端口组连接物理网卡，和其他的 ESXi 和 KVM 资源池建立 MPLSoverUDP 的隧道；
l 实际运行中，会在vRouter 装一个 vCenter 的 manager ，去管理 VLAN 的 tag 。
在直播的演示环境中，包含了 OpenStack ， K8s 和 vCenter 三个资源池。通过在 vCenter 上部署两台机器：一台为 TF 的 Controller ，一台为部署了 vRouter 的 ESXi ，后者创建一个虚机，然后去和 K8s 和 OpenStack 上虚机的互通。
在三个资源池互通演示完成后，王峻还演示了数据流追踪，在vRouter 上通过命令追踪数据流，查看了中间的转发过程和互通的实现。
QA问答
每个资源池都有一个 vRouter ，这个是谁提供的？
比如说我们在OpenStack 有两个计算节点，这两个节点宿主机上面都会有相应的 vRouter ，去负责它的宿主机的转发。再看 K8s 里面的 Pod ，两个 node 上都有 vRouter 。对于 vCenter 来说，每个 ESXi 上都有 vRouter 。
刚才这些 演示的 操作，都在一台 宿主 机上完成的吗？
不是的，我们的OpenStack 和 K8s 是嵌套虚拟化，在现有的虚拟化平台上又搭建了环境， vCenter 这块也是用一个工作站去搭的，还有 v Center 的环境， VMX 出口的路由器是在一个 vCenter 的环境上。
Tungsten Fabric 只能用于 二层的网络 ，来 连接几个资源池 ，是这样吗？
它其实本质上是三层的，你的每一个虚机上来，它都在vRouter 上面，刚才我们也看了追踪路由，虚拟机接上来之后会给它分配相应的虚拟接口，划到相应的 VRF 里边，刚才看到 VRF 里面的路由表，会生成一个 32 位的路由，本质上我觉得还是路由，但它是一个 32 位的路由。
服务链的功能及引流
除了异构资源池互通，王峻还分享了服务链的引流功能。
虚机一般是通过vRouter 到网关，然后出去访问互联网，但为了保护虚机安全，可能还要在路径上增加一个防火墙。此时防火墙有可能是在 OpenStack 、 KVM 资源池里边，那就需要把流量引到防火墙，再从防火墙出来，然后再通过网关出去上网。
也就是说，当我们需要在路径上增加一些NFV 相应的功能，比如防火墙或者检测的设备，然后把流量引过来，就要用到服务链的功能。
针对服务链引流的演示，首先在 K8s 里边创建一个 pod ，然后接入到一个自定义的网络里边，通过 Floating IP 绑定给 pod 。
接下来，防火墙是在vCenter 环境里的一个 VSRX ，有两个 VN ，通过 RT ，去把 Floating IP 网络和 left 网络（ trust 接口）打通，将流量引到防火墙上来。
最后，再通过right 网络，和 vmx 边界打通，进而访问外网。
QA问答
中间有没有碰到过比较难解决的问题 ？跑通 的过程中踩过什么坑？
部署的过程中还好，但因为vCenter 文档比较少，我们团队这边找了很多东西，遇到些麻烦。其实 vCenter 这块来说， Tungsten Fabric 的支持不是特别好，比如防火墙导入文件镜像的时候，只能选一个网卡，导入成功之后，要新添加网卡（需要三个接口：管理、 left 、 right ），这个时候 Tungsten Fabric 就不能识别到了，暂时只能手动解决。比如关联了新建的网络，或者原来关联的网路改了，不能同步更改，要手动更改，才能一致互通。
Tungsten Fabric管 理 裸机的方向是什么？
Tungsten Fabric 目前不能完美地实现裸机的东西，我们裸机可以注册到OpenStack 上面，然后去部署操作系统，完成后但就没有办法去切换到租户网络上去，还需要一些改进。
在实验环境 中 的 underlay 是在一个局域网 吗 ？ 可以在广域网实现吗？
广域网其实有更好的方案，我们现在的环境，所有的出口都是通过一个VMX ，这样的话不可能两个数据中心通过同一个出口出去，我觉得更合理的方案是，每个数据中心都会有一个出口，然后通过出口去把两边实现互通，隧道应该是可以互通的，我们下一阶段就要测这个场景。
在直播过程中，王峻也提到，Tungsten Fabric 还有很多需要改进完善的地方，但作为华胜天成下一步的网络技术发展方向，团队会和大家一样，做好研究开发，在社区积极交流，探索如何更好地应用 Tungsten Fabric ，打造更高可用的异构混合云架构。
往期回顾
KK/建勋：多云、SDN，还有网工进化论
杨雨：Tungsten Fabric如何增强Kubernetes的网络性能
Frank Wu：当OpenStack遇到Tungsten Fabric
