思科ACI CNI容器网络解决方案

1、面向生产的容器网络思科ACI CNI容器网络解决方案#CLUS 2018 Cisco and/or its affiliates. All rights reserved. Cisco PublicBRKSDN-21152容器上生产在网络上的挑战现有容器网络技术现状 思科容器网络解决方案Agenda思科ACI发布 VMware NSX发布VMware ESX V1.0 发布思科 Nexus1000v 发布标准交换机(单机网络)分布式交换机（集群网络）黄金时代SDN(软件定义网络)青铜时代2013以史为鉴，让我们回头看看虚拟化网络的演进VMware vswitch发 布20012002VMwar

2、e vSphere 4.0发布20082009白银时代容器上生产在网络上的挑战挑战安全和运维是主要挑战75%71%64%62%61%安全管理扩展性网络集成需要商业产品级别的容器平台Source: n= 151, Forrester Consulting, May 2016. Study commissioned by Red Hat01020304050607大规模容器集群实践高可用、业务连续性隔离域及多业务隔离监控、监管、4A审计IaaS和容器云统一管理网络遵循现有网络管理模式提供有状态服务能力K8S京东/谷歌/唯品会生产实践K8S副本模式，Federation跨集群容灾网络多租户、访问控制

3、策略ELK/普罗米修斯/zipkin监管监控三方云管平台 CloudCenter二层接入、云间路由互通、职责清晰数据库，持久化存储，StatusfulSET生产环境对容器云的基本需求现有容器网络技术方案青铜时代的容器组网方案 Docker NetworkingHost-1Container 1Eth0172.17.0.12Container 2Eth0172.17.0.13docker0 Bridge 172.17.42.1veth774786dvethde4e22eeth0iptablesHost-1docker0 Bridge 172.17.42.1Eth0172.17.0.12veth7

4、74786dEth0172.17.0.12Bridge modeHost-1Eth0 (host interface) 192.168.0.2Eth0192.168.0.2Eth0192.168.0.2Container 1Container 2Host ModeContainer 1Container 2Mapped Mode单机网络白银时代的容器组网方案 三块布WeaveFlannelCalico集群网络组网方案和优缺点BackboneStatic LabelBGP-LS BGP-LUStatic LabelBGP-LS BGP-LUCustomer_E-LINE组网方式一：Underla

5、y方案组网方式二：OverLay方案Calico macvlan性能好，流量可视化，无层级隔离、QOS易于组网、规模大，但性能差，封闭网络、无层级隔离网络能力由服务器实现/NFVDC physical-networkDC Cloud-networkWeave flannel组网方案比较扩展性 876543210性能安全SDN融合可视化可管理性支持Calico Weave Flannel MACVLAN安全！ 运维！挑 战思科容器网络解决方案-ACI CNI领先的云架构交换平台Nexus 9000基于策略驱动的网络控制器APIC自动化安全可扩展弹性扩展Extend your networkand

6、 recognize anomalies统一策略Unified network Policyto all DC主动运维Find root cause fasterwith granular details思科SDN解决方案 ACI以应用为中心的基础架构 ACI统一的网络平台15BRKACI-3330Bare MetalACI作为成熟的SDN网络 平台统一管理容器裸金属虚机云平台容器网络模型及资源对应Clusternamespace/deploymentPODNetwork PolicyTenantEpgEndpointOvs FlowK8S资源ACI资源12部署/扩展容器集群创建容器WEBAP

7、PWEBAPPDBServer 1Server 2Opflex/OVSHost level Policy EnforcementACI FabricACI与K8s集成创建ACI网络21部署网络安全策略3网络日常监控管理4注解策略3EPG开发团队网络运维团队安全管理员Infrastructure Policy Enforcement1定义容器网络安全策略安全策略部署流程17清晰的 运维边 界基于Cluster隔离灵活的安全策略基于Namespace 隔离基于Deployment隔离PodPodPodPodPodPod整个Cluster Mapping到一个EPG，默认行为应用或POD间通过K8S

8、 Network Policy控制每个NameSpace映射到一个独立的EPGContract控制NameSpace间访问K8s Network Policy负责POD访问控制每个应用部署一个EPGContracts负责部应用署间的访问控制PodPodPodPodPodPodPodPodPodPodPodPodPodPodPodPodPodPodContractPodPodPodPodPodPodPodPodPodPodPodPodContractContractContractContractEPGNetwork Policy网络可视化PODDeploymentServiceClusterN

9、amespace实现开发团队和网络团队运维工具的隔离！清晰的 管理边 界可视化排错ClientK8s POD20集成IPAM及高级负载均衡特性ACI LeafK8s-node-01ACI LeafOpFlexOVSPODPODPODPODK8s-node-02OpFlexOVSPODPODPODPODWANK8s-masterOpFlexOVSPODPODPODPOD-apiVersion: v1kind: Service metadata:labels:app: nginx name: nginx namespace: defaultspec:ports:- name: 80-tcp por

10、t: 80 protocol: TCP targetPort: 80selector:app: nginxtype: ClusterIPAPIC provisions IPAM and distributed load balancer on OVS将容器网络扩展至多数据中心Kubernetes ClusterBD kube-node(K8s Nodes API ETDC)BD kube-pod (EPGs for cluster, namespace, deployment, etc.)Inter-Pod IP NetworkInter-Pod IP NetworkDC1 POD1DCn PODnPODPODPODPODPODPODThe easiest DCI solution in Industry!ACI CNI与传统容器组网方案比较6543210扩展性987安全SDN融合可视化可管理性支持性能Calico Wea