瞻博网络马绍文：做云计算最好用的 SDN 控制器

采访马绍文是在全球网络技术大会上。SDN专场的听众很多，座位坐满了，很多听众就站着听，听到精彩的地方就举起手机拍照，闪光灯此起彼伏，颇有几分粉丝追星的味道。当时身为瞻博网络亚太区资深产品总监的他，刚刚在SDN专场结束了《云计算需要什么样的 SDN 控制器》的演讲。记者也随后采访了他，听他聊聊瞻博网络眼中的SDN发展之道。

全球网络技术大会马绍文发言现场

　　SDN：颠覆传统带来更多创新可能

　　马绍文告诉记者，在人们传统意识里，创业不仅仅需要投入大量人力物力，更意味着要经得起时间的检验。对于一家创业公司来说，三五年的时间仍只是处于起步阶段。然而云计算的出现颠覆了这一切。

　　越来越多的公司借助云平台很快实现财富积累，日本有一家公司发布精灵宝贝游戏，采用云平台搭建，很短的时间内在全球被 1 亿用户下载，公司营收暴涨，这在没有云平台的时代简直无法想象。

　　马绍文指出，这样的颠覆还出现在传统电信运营商市场。在传统 Ops 运营模式下，运营商采购路由器、交换机，防火墙，一次配置之后，可能长达一年都不会再变动。但到了云运营模式时代，需要全网转向DevOps模式才能适应云计算。 DevOps 能帮助客户在物理网络之上创建一个虚拟化的网络。如何去维护管理这个虚拟化的网络，这时就离不开SDN控制器的帮忙。

　　云计算需要什么样的 SDN 控制器?

　　他把业界常见的 SDN 控制器大致分为三类：

　　第一类是关注路由器WAN的控制器。这类控制器大约控制 100+路由器节点，采用标准路由协议 BGP/PCEP/Segment Routing etc;

　　第二类是关注数据中心交换机的控制器。这类控制器大约控制1000+路由器节点，通常在两个 TOR 交换机之间创建 VTEP tunnel，采用 Openflow 等方式;

　　第三类是关注 Cloud 的控制器。这类控制器控制了10，000+虚拟路由器/虚拟交换机，最突出的特点是不再主要管理路由器/交换机，在 hypervisor 层面管控(vRouter/OVS)， 采用 BGP/XMPP/OVSDB，创建 vPE EVPN/L3VPN 网络。

　　马绍文重点讲解了最重要的关注云的SDN控制器。Google 采用仙女座(Andromeda)控制器来进行网络虚拟化，管理虚机和 Docker。“瞻博网络的 Contrail 控制器也实现类似功能。”

　　他表示，Contrail 基本的设计思想是把每个数据中心 Server 的 Hypervisor 里面虚拟化出来一个 vRouter。多个 VM/Dockers 会连接到这个 vRouter 的不同的 Tenent VRF。同时 vRouter 之间采用 GRE/UDP/VXLAN做外层隧道, 采用内层标签来标识不同的VRF。 vRouter相当于传统L3VPN 和 EVPN 的一个 vPE 功能。vPE 用户侧不再接入 CE 设备，而是为 VM/Docker 提供连接性。

　　简单地说，如果客户有一万台服务器，部署了瞻博网络的 Contrail 之后，一万台服务器Server的vRouter变成了一个大的虚拟化的路由器, 为数万的 VM/Docker提供多租户隔离的类似VPN网络的连通性。有了这个Contrail Cloud SDN控制器下的数据中心网络。客户通过Openstack/Kubernets的 GUI创建的VM/Docker的IP地址，RT/RD信息网络VRF信息被vRouter传送回Contrail控制器，并且分发到其他的所有vRouter，实现数据中心之内的互联。并且Contrail可以通过BGP协议发送更新到MX DC GW路由器，刚刚创建的VM/Docker马上会被客户从外界Internet 访问，从而实现大规模数据中心的云化部署。

　　马绍文还谈到，很多企业用户网络规模不大，业务模式简单，不太想采用复杂的网络SDN控制器，但是对云平台仍有需求。对于这类需求客户，瞻博网络提供了另外一种简化版本的无控制器的 Cloud 部署方式。“这种新的 Openstack EVPN/VXLAN 插件在2016年9月份已经支持，同时我们还提供 Security GW 相应的 Neutron 插件。我们有一些客户已经采用了这种方式来部署轻量级的云应用。”

　　容器云乃大势所趋

　　马绍文还针对一些IT新技术表达了自己的态度。马绍文表示Dockers一定是趋势，现在非常多的大型Web客户已经采用Docker。随着Kubernets和Openshift的逐渐成熟，欧美的中小客户在2015/2016年，已经开始采用Kubernets和Juniper的Contrail来部署一些容器云，比如TCP Cloud 、LITHIUM等。“国内的客户大概在2017年会越来越多支持。”

　　他还给记者举了一个例子，瞻博网络的一个客户，TCPCloud在欧洲做了很多的智慧城市项目，它把很多的街灯，很多的停车场的充电站、变电站的那些感应器连接起来。因为它的传感器数量非常多，对于物联网(IoT)应用，如果采用虚拟机(virtual machine)的话，这对服务器的CPU/内存容量要求非常大。对于这种情况，采用轻量级的容器云可以提供更好的优化能力。

　　对于容器云的安全性，马绍文表示众人主要顾虑就是做微切分(micro segment)的时候容器云会存在一些安全性问题，或者不同Docker之间的安全保护没有那么好。对此瞻博网络的做法是采用Contrail和Kubernets一起，在容器之间通过虚拟路由器把它管理起来的，把商业规则(rules)、防火墙、深度包检测(DPI)的功能串进服务链里面，从而提高容器的安全性。

　　“客户之所以选择Docker是因为能获得轻量级的解决方案。因为同样的一个服务器，过去客户可能只能启动10个虚拟机，但是如果用Docker，同样的容量，同样的CPU存储器，我可以至少做100个Dockers。”马绍文举了一个例子，例如给某个自动驾驶汽车分配一个Dockers的应用，如果基于现有的虚拟机，客户点一下按钮，虚机启动可能要等10分钟左右，但如果是Dockers，基本上是所见即所得，大大提升了客户体验。

　　自动化和机器学习的弄潮儿

　　对于目前大家都非常关注的IT运维，瞻博网络也做了大量自动化的提升工作。马绍文介绍到，美国六大OTT客户中有五家都是瞻博网络的客户，像Google、Facebook、Twitter、亚马逊、苹果。瞻博网络之所以获得他们的认可，除了硬件性能非常出色之外，最大的好处就是自动化运维能力非常强。他告诉记者，由于 OTT客户觉得瞻博网络的自动化工具搭建的很好，所以他们把瞻博网络的一些惯例(common practice)开放出来，要求其他厂家来实现类似开放配置协议(open config)、NETCONF这样的基本功能。而这些自动化工具都早已被嵌入在瞻博网络Junos OS里面的。

　　他举例道，在一个大的数据中心，成千上万个交换机，瞻博网络供一个图形界面Network Director GUI，不需要任何命令行配置，在GUI里面可以构建三级或者是五级的CLOS架构，实现自动IP地址配置、BGP配置、EVPN、VXLAN配置，并且可以监控边界网关协议(BGP)协议的运行情况。

　　不仅如此，瞻博网络的机器学习也走在了市场的前面。当别人还在谈论机器学习时，瞻博网络已经把机器学习嵌入到两个SDN控制器里面了。“open Contrail集成了一个大数据分析的引擎，然后做网络的异常情况的处理，另一个是我们的NorthStar，广域网的流量设计，马上推出的版本也会有一个大数据分析。”马绍文还透露，瞻博网络的安全产品线，其中一个重点也是大数据分析，它可以把用户的流量上送到亚马逊AWS或者是阿里云做专门的处理，去清洗，去分析，分析之后它会知道客户网络中拓扑中的问题，可能屏蔽掉某个接口，这就是软件定义安全网络(SDSN)。

　　采访中记者发现，瞻博网络很多技术的研究都走在市场前面，瞻博网络对市场的布局往往在悄无声息中完成，等到某个技术热点成为业界热点的时候，瞻博网络已经开始收获技术成果。让记者叹服的，也正是他们对技术的执着，在浮躁的大环境下面可以沉寂下来默默耕耘，匠心难得，未来可待。