ArchSummit北京-《主流容器SDN技术与微服务架构实践》-徐兆魁

《ArchSummit北京-《主流容器SDN技术与微服务架构实践》-徐兆魁》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、ArchSummit全球架构师峰会北京站2015容器SDN技术与微服务架构实践大纲•何谓SDN•容器与网络•主流容器SDN方案•Flannel•Calico•Weave•七牛实践与案例分析何谓SDN软件定义网络网络结构的灵活性容器与网络•相比传统虚机•每个容器的职能更少•容器之间的关系更加复杂•网络端点数量上升•容器的生命周期更短PipeworkDockerBridge•原理：•Linuxbridge二层包交换•iptablesNAT地址转换•ip_forward路由转发DockerBridge

2、•NAT性能损耗•重启后IP发生变化•Bridge内流量难以精细隔离•IP无法跨主机灵活迁移•需额外管理端口冲突•NAT模式下，跨主机间通信会隐藏地址信息•blahblah…Flannel控制平面转发平面-udp转发平面-vxlanCalico•将操作系统协议栈化为Router•模拟传统网络拓扑实现思路做路由转发控制平面转发平面/隔离Weave•分布式Router（container）•Router间建立TCP学习路由，形成控制平面•Router间建立UDP/vxlan通道，形成数据转发平面控制

3、平面•分布式Router之间FullMesh结构•通过路由协议自主学习路由•自主进行节点拓扑计算与收敛转发平面-old•从网桥设备上通过pcap获取原始帧•wRouter查询下一跳地址，将原始帧封成UDP发送•对端解封UDP，将原始帧注入网桥设备转发平面-new•wRouter不参与实际流量转发•wRouter通过控制odpFlow规则达到路由目的•odp间通过vxlan隧道互联服务发现/负载均衡•DNSServer监听在docker0•Container的dnsserver指向docker0•

4、DNSServer从wRouter中查取子网隔离•支持子网级隔离•依赖容器的网络配置权限•仅子网内流量可走weavebridge•非法流量会被导入默认网关（即docker0）DockerFlannelWeaveCalicoBridge隔离粒度粗无粗，子网级细地址管理子网内分配etcdIPAMIPAMudp差pcap差性能NAT损耗好vxlan好odp好服务发现无无DNS无负载均衡子网分配TCPmesh控制平面etcdRR/BGPmesh二层学习路由协议UDP/vxlanUDP/vxlanLinu

5、x转发平面Bridge+NAT隧道隧道协议栈对基础架构的二层互通IP可达IP可达IP可达要求或BGP打通业务需求•适应复杂异构的基础架构•端点可迁移，并保持IP不变•服务发现、负载均衡•精细均衡（L4/L7）•对业务无侵入性（无需端口配置）•端到端流量精细ACL转发平面•对原有物理基础网络侵入小•offload隧道计算量提升性能•硬件厂商支持相对完善控制平面•容器和虚机的一点不同•容器间依赖关系相对固定（职责细化的结果）•单机可推演可能产生的outbound•实际产生的outbound<<可能产

6、生的outboundOpenFlow•表达能力强•HeaderFields几乎可以匹配任意字段•配合Table和Priority可实现复杂的处理逻辑•流表淘汰机制：•被动：Idle/HardTimeout•主动：FlowDelete•支持第三方扩展，例如NiciraOpenFlow控制平面•多控制器实例一组•负载均衡•高可用•多组分区域管辖服务发现/负载均衡•分布式负载均衡器•在本机即被代理，无额外内网流量开销•IP级负载均衡•业务无需配置端口（后端监听即用）•L7自定义配置丰富•支持常用Ngi

7、nx配置•可指定访问某个后端•etc.安全组•支持Pod/Service/SecurityGroup<->Pod/Service/SecurityGroup•可向目标安全组Export指定Pod/Service•支持ICMP/TCP/UDP案例一七牛文件处理FOP架构演变文件处理架构Stage1文件处理架构Stage2•增加Discovery组件，收集Agent上报信息•FopGate从Discovery获取集群信息，做LB•增加业务Agent•上报后端信息•上报保活信息•单机内workerLB

8、文件处理架构Stage3•取消业务层Discovery服务•业务Agent功能退化•无需与Discovery心跳保持•简化Agent后端，无需LB•FopGate取消LB逻辑文件处理架构Stage4•进一步分离•有状态服务Agent•无状态服务worker•通过调度调配worker数量案例二用户自定义文件处理UFOP架构演变Before•端口映射，管理麻烦，业务使用不灵活•隔离粗暴，容器间通讯一律禁止After•天然Discovery/LoadBalance•划分安全组，容器间关系灵活•完整端口