CN103905523A

CN103905523A - 一种基于sdn的云计算网络虚拟化实现方法及系统

Info

Publication number: CN103905523A
Application number: CN201310717536.0A
Authority: CN
Inventors: 罗登亮; 颜秉珩; 董青; 张俊; 常建忠; 闫冬冬; 栗丽霞
Original assignee: Inspur Beijing Electronic Information Industry Co Ltd
Current assignee: Inspur Beijing Electronic Information Industry Co Ltd
Priority date: 2013-12-23
Filing date: 2013-12-23
Publication date: 2014-07-02

Abstract

本发明提供一种基于SDN的云计算网络虚拟化实现方法及系统，应用于云计算技术领域：上述方法包括以下步骤：控制器代理FlowVisor根据预设策略分别处理来自控制器Controller、Openflow交换机的消息；其中，所述Openflow交换机通过与所述控制器代理与所述控制器之间的通信采用Openflow协议。该方案为云业务动态配置虚拟网段，使用户网络如同其它云计算基础设施一样的灵活，从而显著提升数据中心自动化程度和业务的灵活性，提高VM的密度，降低资本消耗和运营开销，消除传统物理或区域隔离机制的限制，数据中心管理员可实现最佳的VM密度和最佳的经济效益。

Description

一种基于SDN的云计算网络虚拟化实现方法及系统

技术领域

本发明涉及云计算技术领域，尤其涉及一种基于SDN的云计算网络虚拟化实现方法及系统。

背景技术

虚拟化技术的出现为数据中心用户带来的极大的经济利益，虚拟化显著缩短server部署时间、提高server利用率，提高服务水平，降低资本支出和运营成本；但是虚拟化技术带来每个机架20台server到每个机架200台VMs的改变，这为数据中心网络带来了新的挑战，包括更高的带宽和更低的延迟、服务器节点和VM规模的增加、VM间通信管理、跨数据中心站点间的二层互联以承载虚拟机迁移等；因为传统网络架构无法逾越的障碍，用户无法实现最终的网络虚拟化和云计算。

传统的数据中心网络构建使用的是传统的网络平台，具有静止、不灵活和无法满足虚拟化云数据中心动态变化的特点；虽然VM可以通过用户自我配置功能迅速完成资源配置，但是网络资源仍需手工配置静态策略和定义规则，因此，当用户创建新云业务时，网络就是瓶颈，这可能会导致新业务部署推迟数日到数周。

如果部署的业务为了满足灵活性和HA，需要跨越多个数据中心，手动配置隧道和各协议层将是非常麻烦的事，数据中心管理员一直困扰于传统L2到L4层网络分段机制导致的扩展性限制。大L2层VLANs域受STP、广播风暴和最大4096个VLAN限制。如果将L3层网络分段特性降至rack中会限制VM迁移和消弱云计算的优势。因此，L2和L3层网络平台的不灵活性和局限性导致数据中心计算和存储资源利用率不高，并导致过高的电能消耗。

云计算数据中心网络相比传统数据中心网络有了很大变化：Server和Server间的流量成为主流，并且以二层流量为主；站点内部物理服务器和虚拟机数量增大，导致二层拓扑变大；扩容、灾备和VM迁移要求数据中心多站点间大二层互通；数据中心多站点的选路问题受大二层互通影响更加复杂。

软件定义网络（SDN，Software-defined networking）将网络设备控制平面从嵌入式节点分离至软件平台，由软件驱动的控制器（Controller）自动化控制的网络架构，它以开放软件的模式替代传统基于嵌入式且不够灵活的控制平面，软件定义网络是新的网络控制平面实现方法，它适应降低网络复杂度、虚拟化和云计算的网络需求；一个软件定义的可控的互联网，除了更加灵活以外，通过恰当的控制算法，将大大提高网络自身的健壮性、运行效率以及安全性。

目前，针对基于SDN的云计算数据中心网络虚拟化，还没有有效的实施方案。

发明内容

本发明提供一种基于SDN的云计算网络虚拟化实现方法及系统，以解决上述问题。

本发明提供一种基于SDN的云计算网络虚拟化实现方法。上述方法包括以下步骤：

控制器代理FlowVisor根据预设策略分别处理来自控制器Controller、Openflow交换机的消息；其中，所述Openflow交换机通过与所述控制器代理与所述控制器之间的通信采用Openflow协议。

本发明还提供一种基于SDN的云计算网络虚拟化实现系统，包括：Openflow交换机、控制器Controller、控制器代理FlowVisor；所述Openflow交换机通过所述控制器代理与所述控制器相连；所述Openflow交换机通过与所述控制器代理与所述控制器之间的通信采用Openflow协议。

本发明通过SDN实现了云计算数据中心网络虚拟化，基于SDN的网络虚拟化包括数据转发层虚拟化和控制层代理虚拟化，该方案为云业务动态配置虚拟网段，使用户网络如同其它云计算基础设施一样的灵活，从而显著提升数据中心自动化程度和业务的灵活性，提高VM的密度，降低资本消耗和运营开销，消除传统物理或区域隔离机制的限制，数据中心管理员可实现最佳的VM密度和最佳的经济效益。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1所示为本发明实施例1的SDN网络虚拟化之前运行于控制器的网络虚拟化示意图；

图2所示为本发明实施例2的SDN网络虚拟化之后运行于控制器的网络虚拟化示意图；

图3所示为本发明实施例3的SDN网络虚拟化结构图；

图4所示为本发明实施例4的FlowVisor实现网络虚拟化示意图；

图5所示为本发明实施例5的Openflow交换机示意图；

图6所示为本发明实施例6的Floodlight组件构成图；

图7所示为本发明实施例7的FlowVisor实现网络虚拟化工作流程图。

具体实施方式

下文中将参考附图并结合实施例来详细说明本发明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。

本发明提供了一种基于SDN的云计算网络虚拟化实现方法，包括以下步骤：

其中，所述Openflow协议在云数据中心网络建立从一台VM到另外一台VM的转发路径,在VM与VM之间的三层网络基础上建立二层广播域。

其中，控制器代理FlowVisor根据预设策略分别处理来自控制器Controller、Openflow交换机的消息的过程为：

所述控制器代理拦截来自所述控制器的Openflow消息；

所述控制器代理通过资源分配策略控制每个控制器使用各自的切片策略；

所述控制器代理透明地重写消息至所述Openflow交换机，从而实现控制唯一的一个网络切片；

当来自所述Openflow交换机的消息与切片策略匹配时才被转发至相应的控制器。

其中，所述网络切片是由一组文本配置文件来定义的；其中，所述文本配置文件包含控制各种网络活动的规则。

其中，所述各种网络活动的规则包括：允许、只读、拒绝。

其中，控制器代理通过OpenFlow协议接口对OpenFlow交换机中的流量表进行控制的过程为：

OpenFlow交换机接收到数据包后，首先在本地的流量表上查找转发目标端口，如果没有匹配，则把数据包转发给控制器代理，由控制器代理决定转发端口；其中，每个OpenFlow交换机都有一张流量表，进行包查找和转发，OpenFlow交换机通过OpenFlow协议经一个安全通道连接到所述控制器代理，对流量表进行查询和管理。

OpenFlow是软件定义网络的一种新颖实现，目前已经有许多厂商推出支持OpenFlow协议的物理和虚拟交换机。OpenFlow控制器根据运行实况实时控制分布式网络节点，分布式网络节点生成快速转发表，无须进行复杂智能分析计算，只需执行网络转发平面功能。OpenFlow控制器可以获取全网视图，因此可以动态防止环路发生。当新转发节点加入到OpenFlow网络时，自动从控制器获取最新的网络配置信息，完成网络自动化感知。控制器基于x86标准服务器架构，强大计算能力和横向扩展特性保证了控制平面扩展性和经济性。OpenFlow不但增加了传统转发平面的效率，在提供高级网络服务方面还可以展现独特价值，比如多对一的网络虚拟化，分布式负载均衡和分布式防火墙或入侵检测，非常不同于传统模式的一对多网络虚拟化模式。

本发明提供一种基于SDN的云计算网络虚拟化实现系统，包括：一组Openflow交换机、控制器（Controller）和控制器代理（FlowVisor），Openflow交换机与Controller的通信通过Openflow协议实现。

控制器可以根据相应算法、逻辑、分析和规则，以软件定义规范方式将配置信息推到分布式网络节点，分布式网络节点从控制器接受特定格式规则后更新数据转发平面的转发规则，随后根据转发规则完成数据转发。控制器可以针对每个细分的网络路径，按照一条条“信息流”细分，每个“信息流”数据转发由每个特定的分布式网络节点完成。当计算或存储资源变化时，控制器根据分析结果重新调整节点配置规则，这样就实现虚拟化和云计算网络所需要的自动化和精细化动态配置管理。

SDN网络虚拟化使用FlowVisor的Flowspace功能来定义虚拟网络。定义的标准可以是源/目标MAC、源/目标端口和源/目标IP等等。控制器代理FlowVisor是建立在OpenFlow之上的网络虚拟化平台，它可以将物理网络分成多个逻辑网络，从而实现开放的SDN网络虚拟化。FlowVisor安装在商品硬件上，它是一个特殊的OpenFlow控制器，主要是作为OpenFlow交换机网络和其他标准OpenFlow控制器之间的透明代理。

SDN网络虚拟化之前运行于控制器的网络虚拟化如图1所示，其特征是：功能的限制导致不完美的设计，静止且不灵活的网络阻碍VM的迁移，固定的业务隔离浪费计算性能资源；SDN网络虚拟化之后运行于控制器的网络虚拟化如图2所示，其特征是：动态的网段显著提高业务灵活性和可扩展性，提高VM的密度的同时降低25%到50%的成本，包括资本性支出和运营性支出。

SDN网络虚拟化根据实时业务定义的变化动态更新虚拟网段，每个网段支持丰富的网络安全设置、Qos和其它策略。SDN网络虚拟化能够通过网络隧道跨物理数据中心扩展虚拟网段，并支持多租户网络环境IP地址范围重叠。SDN网络虚拟化的自动化网络为大规模数据中提供服务，消除传统人工移动、增加和改变网络设备带来的数日到数周的时间浪费；SDN网络虚拟化满足大型数据中心的可扩展性，支持足够的虚拟网段和上千台交换机的规模。

SDN网络虚拟化结构设计：OpenFlow协议可以在云数据中心网络建立从一台VM到另外一台VM的转发路径，在VM与VM之间的三层网络基础上建立了二层广播域，如图3所示。OpenFlow协议扩展了三层相对静态功能，根据数据流动态建立负载均衡决策路径，并根据虚拟化交换网络配置改变最优的转发路径，从而简化了大型数据中心3层网络适应2层虚拟机移动性要求。

OpenFlow协议最关键的特性就是支持远端的控制，有了统一的控制机制，网络才变得真正智能可控。在分布式虚拟网络中，虚拟机移动后，当虚拟机相应“信息流”的第一个数据包到达移动后的本地虚拟交换机节点（OpenFlow虚拟交换机），如果本地虚拟交换机节点没有发现匹配的转发规则，整个数据报文会被送到控制器代理，控制器代理根据定义规则逻辑设定本地规则，并应用到本地虚拟交换机的转发表建立新的匹配项，之后的“信息流”不再通过控制器代理，由本地虚拟交换机节点直接转发完成。

FlowVisor是一个特殊的OpenFlow控制器，扮演着OpenFlow交换机和OpenFlow控制器间透明代理的角色，如图4所示。所有OpenFlow消息都将透过FlowVisor进行传送。FlowVisor使用OpenFlow协议与控制器与交换机相互进行通信。无需对控制器进行任何修改，并且，它们认为自己直接与交换机进行通信。FlowVisor在充当代理角色时，会根据内配置的策略，对OpenFlow消息进行拦截、修改、转发等操作。这样，OpenFlow控制器就只控制其被允许控制的流，并不知道其所控制的网络被FlowVisor进行过分片操作。相似的，从交换机发出的消息经过FlowVisor，也只会被发送到相应的控制器。FlowVisor通过检查、覆写和监管从其通过的OpenFlow消息来保证透明和隔离。根据资源分配策略、消息类型、目的和内容，FlowVisor会进行下列几种操作：a)不修改，直接转发；b)修改为合适的消息然后转发；c)以错误信息的形式反弹消息到发送者。从控制器看来，FlowVisor就是一个交换机，从交换机看来，FlowVisor又成为了一台控制器。

OpenFlow交换机：OpenFlow交换机是整个OpenFlow网络的核心部件之一，主要完成数据层的转发，OpenFlow交换机包括OpenFlow物理交换机和OpenFlow虚拟交换机。OpenFlow虚拟交换机结构图如5所示：每个OpenFlow交换机都有一张流量表，进行包查找和转发。交换机可以通过OpenFlow协议经一个安全通道连接到外部控制器代理，对流量表进行查询和管理。OpenFlow交换机接收到数据包后，首先在本地的流量表上查找转发目标端口，如果没有匹配，则把数据包转发给控制器代理，由控制器代理决定转发端口。OpenFlow协议用来描述控制器代理和交换机之间交互所用信息的标准，以及控制器代理和交换机的接口标准。OpenFlow控制器可以通过规范与支持OpenFlow协议的交换节点沟通配置信息，决定数据转发平面的转发表，控制器代理与转发节点间通过SSL加密传输。

控制器：OpenFlow实现了数据层和控制层的分离，其中OpenFlow交换机进行数据层的转发，而控制器（Controller）实现了控制层的功能。控制器通过OpenFlow协议接口对OpenFlow交换机中的流表进行控制，从而实现对整个网络进行集中控制。控制器Floodlight是一个具有分布式数据存储的集中式控制系统，支持企业级弹性和可扩展性。

Floodlight不仅是一个OpenFlow控制器，而且还是一个构建于该控制器基础上的应用集合。Floodlight控制器实现了一系列通用功能来控制和查询OpenFlow网络，基于Floodlight提供的应用可以解决不同用户的网络需求。图6展示了Floodlight控制器、构建于Floodlight的Java应用模块和对外提供Floodlight应用的REST API三者之间的关系。当用户运行Floodlight时，控制器和相应的Java模块应用集合随之启动。所有的模块都通过默认的8080REST端口对外暴露REST APIs服务。基于任何语言开发的REST应用都可以通过发送http REST指令给控制器实现信息检索和服务调用。

Floodlight控制器可以通过冷/热集群方式配置多个Controller实现HA，Controller节点在另外一个Controller节点故障时切换，从而保护现有flows、重建网络、提供新flows和建立新的连接。控制器可以在集群或物理服务器中以虚拟系统方式操作，并且支持带外和非data path方式操作，每个controller集群支持1000台交换机和多达每秒250,000个主机连接。

控制器代理FlowVisor：FlowVisor是建立在OpenFlow之上的网络虚拟化平台，它可以将物理网络分成多个逻辑网络，从而实现开放的软件定义网络（SDN）。它为管理员提供了广泛定义规则来管理网络，而不是通过调整路由器和交换机来管理网络。

FlowVisor安装在x86硬件上，它是一个特殊的OpenFlow控制器，主要是作为OpenFlow交换机网络和其他标准OpenFlow控制器之间的透明代理。FlowVisor通过抽象层来分割物理网络，它位于一组交换机和软件定义网络或多个网络之间，管理带宽、CPU利用率和流量表，这类似于Hypervisor管理程序位于服务器硬件和软件之间，以允许多个虚拟操作系统运行。

FlowVisor使用标准OpenFlow指令集来管理OpenFlow交换机，这些指令设置了低级别规则，比如如何基于数据包表头中的特征来转发数据包。由于所有这些规则都是通过流量表定义的，因此，无论是从带宽还是CPU使用率来看，网络虚拟化都没有增加太大开销或者几乎没有增加开销，不过需要设置和修改流量表规则的单独的带外物理控制器。

FlowVisor网络虚拟化的基本原理是网络切片，网络切片是由一组文本配置文件来定义的，文本配置文件包含控制各种网络活动的规则，例如允许、只读和拒绝，其范围包括流量的来源IP地址、端口号或者数据包表头信息。切片隔离是FlowVisor虚拟化的重要组成部分，FlowVisor按照以下五个规格来进行虚拟化和隔离：

（1）带宽：每个切片应该具有专门的总可用带宽百分比。

（2）拓扑结构：每个切片对于网络节点（包括物理和虚拟交换机及路由器）应该有自己的“看法”。切片的组成部分应该是不知道切片的，对于控制器而言，FlowVisor看起来就是普通的交换机；从OpenFlow交换机的角度来看，FlowVisor就是一个控制器。

（3）流量：根据上述规则设置，流量应该严密地始终如一地隔离到一个特定切片或者多个切片。

（4）设备CPU：重载物理交换机可以丢掉缓慢路径的数据包，网络管理员会更新OpenFlow统计计数器和规则，所以在评定限速密集命令时，FlowVisor应该考虑CPU资源。

（5）转发表：由于转发表往往被限定在物理设备上，网络管理员应确保一个切片不会影响任何特定设备的转发表，迫使它放弃另一切片的规则。

下面进行具体说明：

本发明基于Openflow交换机、控制器（Floodlight）和控制器代理（FlowVisor）实现了云计算数据中心网络虚拟化。

控制器Floodlight和控制器代理之间的动态区域划分由FlowVisor进行处理，FlowVisor基于策略对于网络区域进行划分。例如，可以划分出一个子网络用于检测HTTP流量，便可定义一条规则Allow:tcp_port:80andip=user_ip。这样，通过FlowVisor的每一条请求，与之相匹配的，就会到达相应的控制器。而其余的正常流量都会匹配另一条规则Deny:tcp_port:80and ip=user_ip.Allow:all。这样，每一条匹配这个规则的流量，即除第一条之外的所有其他流量，都可以到达另外一台控制器。

FlowVisor是通过这种策略进行的网络划分，而不是固定地指派控制器与某些交换机的对应，所以只需要更新FlowVisor中的策略，即可实现网络区域的动态划分。

运行控制器：进入Floodlight相应的安装目录，执行以下指令启动Floodlight控制器：java-jar target/floodlight.jar

以虚拟交换机open vSwitch为例，连接Openflow虚拟交换机至Floodlight控制器：ovs-vsctl set-controller swtcp:172.16.11.250:6633

运行FlowVisor：执行以下指令启动FlowVisor：

flowvisor/usr/local/etc/flowvisor/flowvisor-config.xml

执行以下指令创建用户网络切片，网络切片通过Controller控制：

fvctl createSlice<slice name>tcp:<controller IPaddress>:<controller port><your e-mail>

虽然切片定义了一个controller对应一个网络分片，但是并没有定义用户切片的匹配规则，因此需要创建相应的匹配规则，匹配规则即FlowSpace。

执行以下指令创建相应的匹配规则：

fvctl addFlowSpace all<higher priority number>any"Slice:<slicename>=<actions>"

其中all代表所有的datapaths；priority number代表用户切片规则相对于其他切片规则优先级；any代表任何flow能匹配用户定义的切片；action是一个数字，代表用户切片动作。

如图7所示FlowVisor的工作流程如下：

第一步，FlowVisor拦截来自guest Controller的Openflow消息；

第二步，FlowVisor通过资源分配策略控制每个guest Controller使用各自的切片策略；

第三步，FlowVisor透明地重写消息至Openflow交换机，从而实现控制唯一的一个网络切片；

第四步，当来自Openflow交换机的消息与切片策略匹配时才被转发至相应的guest Controller。

本领域普通技术人员可以理解上述实施例的全部或部分步骤可以使用计算机程序流程来实现，所述计算机程序可以存储于一计算机可读存储介质中，所述计算机程序在相应的硬件平台上（如系统、设备、装置、器件等）执行，在执行时，包括方法实施例的步骤之一或其组合。

可选地，上述实施例的全部或部分步骤也可以使用集成电路来实现，这些步骤可以被分别制作成一个个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求所述的保护范围为准。

Claims

1.一种基于SDN的云计算网络虚拟化实现方法，其特征在于，包括以下步骤：

2.根据权利要求1所述的方法，其特征在于：所述Openflow协议在云数据中心网络建立从一台VM到另外一台VM的转发路径,在VM与VM之间的三层网络基础上建立二层广播域。

3.根据权利要求2所述的方法，其特征在于：控制器代理FlowVisor根据预设策略分别处理来自控制器Controller、Openflow交换机的消息的过程为：

所述控制器代理拦截来自所述控制器的Openflow消息；

4.根据权利要求3所述的方法，其特征在于：所述网络切片是由一组文本配置文件来定义的；其中，所述文本配置文件包含控制各种网络活动的规则。

5.根据权利要求4所述的方法，其特征在于：所述各种网络活动的规则包括：允许、只读、拒绝。

6.根据权利要求1所述的方法，其特征在于：控制器代理通过OpenFlow协议接口对OpenFlow交换机中的流量表进行控制的过程为：

7.一种基于SDN的云计算网络虚拟化实现系统，其特征在于，包括：Openflow交换机、控制器Controller、控制器代理FlowVisor；所述Openflow交换机通过所述控制器代理与所述控制器相连；所述Openflow交换机通过与所述控制器代理与所述控制器之间的通信采用Openflow协议。

8.根据权利要求7所述的系统，其特征在于：控制器代理通过OpenFlow协议接口对OpenFlow交换机中的流量表进行控制。