Как виртуализировать сеть: часть вторая, Hyper-V
В предыдущей статье, посвященной виртуализации сетей, мы затронули некоторые теоретические аспекты этого метода объединения сетевых ресурсов компьютеров в единые платформы. Поговорим теперь подробнее о некоторых нюансах виртуализации сети на примере Hyper-V – инструмента аппаратной виртуализации для 64-разрядных систем на основе гипервизора (монитора виртуальных машин) – в Windows Server 2016.
Виртуализация сети Microsoft Hyper-V позволяет нескольким виртуальным сетям (потенциально с перекрывающимися IP-адресами) работать в одной и той же физической сетевой инфраструктуре, благодаря чему каждая виртуальная сеть работает таким образом, будто она является единственной виртуальной сетью.
В виртуализации сети Hyper-V (HNV) пользователь или клиент определяется как «владелец» набора IP-подсетей, развернутых в организации. В качестве клиента может выступать организация или предприятие с несколькими подразделениями, нуждающимися в изоляция сети. Каждый клиент может иметь одну или несколько виртуальных, а каждая виртуальная сеть включать в себя несколько виртуальных подсетей. Виртуальной сетью создается граница изоляции, внутри которой виртуальные машины в виртуальной сети получают возможность для взаимодействия друг с другом. Традиционно такая изоляция применяется при помощи виртуальных локальных сетей с разделенным диапазоном IP-адресов и 802.1-ым тегом q или идентификатором виртуальной локальной сети. Однако в случае использовании HNV для изоляции применяется метод инкапсуляции NVGRE или режим VKSLAN, необходимый для создания сетей наложения с возможностью перекрытия IP-подсетей между клиентами.
У каждой виртуальной сети есть свой уникальный идентификатор домена маршрутизации на узле. Этот идентификатор приблизительно соответствует идентификатору ресурса, необходимому для установления контакта с ресурсом RESTFUL виртуальной сети в сетевом контроллере. Для указания ссылки на ресурс RESTFUL виртуальной сети используются имена универсального кода ресурса (URI), к которому добавляется идентификатор этого ресурса.
Виртуальная подсеть отвечает за реализацию семантики подсети IP третьего уровня для виртуальных машин одной виртуальной подсети. После чего этой сетью образуется широковещательный домен, (аналогичный виртуальной локальной сети) обеспечивающий строгую изоляцию за счет использования поля идентификатора клиента NVGRE (ТНИ) или идентификатора VKSLAN сети. Каждая виртуальная подсеть относится к одной виртуальной сети и ей назначается уникальный идентификатор виртуальной подсети (VSID), который использует особый ключ в заголовке инкапсулированного пакета. Здесь важно, чтобы VSID отвечал требованиям уникальности и находится в диапазоне от 4096 до 2^24–2. Решающим преимуществом виртуальной сети и домена маршрутизации является то, что он дает клиентам возможность использовать собственные топологии сети (например, IP-подсети) в облаке.
Скажем несколько слов и об архитектуре виртуализации сетей Hyper-V. В Windows Server 2016 HNVv2 осуществляется при помощи виртуальной платформы фильтрации Virtual Filtering Platform Azure (VFP), являющейся расширением фильтрации NDIS в коммутаторе Hyper-V. Ключевым принципом работы VFP является то, что подсистема обработки тождеств с внутренним интерфейсом API предоставляется агенту узла SDN для программирования сетевой политики. Самому агенту узла SDN информация о сетевой политике приходит сетевого контроллера по каналам связи Open vSwitch Database Management Protocol (OVSDB) и Windows Communication Foundation (WCF).
Важно отметить, что с помощью VFP программируется не только политика виртуальной сети (например, сопоставление CA-PA) запрограммированная с помощью VFP, но и дополнительной политики, такой как ACL, QoS. В VFP создается слой для каждого типа политики (например, виртуальная сеть), являющийся эксклюзивным набором таблиц правил или потоков. Эта политика лишена каких-либо встроенных функций до тех пор, пока для их реализации не назначаются определенные правила. Каждый слой получает приоритет, после чего уровни назначаются порту согласно возрастанию их приоритета. Правила организуются в группы по большей части соответствуя направлениям и семействам IP-адресов. Группы также получают свой приоритет таким образом, чтобы одно правило группы соответствовало одному заданному потоку.
Подытоживая необходимо подчеркнуть, что технологии виртуализации сетей на основе технологии облака могут обеспечивать использующей их компании множество преимуществ, например улучшенную масштабируемость и более эффективное использование ресурсов. Для реализации этих потенциальных преимуществ требуется использование технологии, которая посвящена решению проблем многоклиентской масштабируемости в динамической среде. И в этом плане виртуализация сети Hyper-V – интересный пример решения этих проблем с помощью разграничения топологий физической и виртуальной сетей.
