【正文】 解決方案的主要價值體現(xiàn)在下面四個方面。1) 使用軟件定義的網(wǎng)絡(luò)和安全獲得效率和敏捷性擺脫極不靈活的網(wǎng)絡(luò)和安全體系結(jié)構(gòu)，這種體系結(jié)構(gòu)基于手動調(diào)配的 VLAN 并使用分立管理界面的專用設(shè)備。 使用軟件主導(dǎo)型網(wǎng)絡(luò)和安全服務(wù)，獲得云計算基礎(chǔ)架構(gòu)的全面敏捷性。 通過創(chuàng)建能夠適應(yīng)工作負載并隨工作負載移動的網(wǎng)絡(luò)和安全結(jié)構(gòu)，根據(jù)業(yè)務(wù)需要快速部署、移動、擴展和保護應(yīng)用及數(shù)據(jù)。 vCloud Networking and Security 可使軟件主導(dǎo)型網(wǎng)絡(luò)和安全與緊密集成到虛擬數(shù)據(jù)中心管理中的基于策略的調(diào)配機制結(jié)合在一起。2) 通過提高效率和利用率降低運營、采購成本，實現(xiàn)資源的按需增長vCNS無需重新配置物理網(wǎng)絡(luò)，即可跨集群和單元彈性分配計算資源，用戶可以在初始階段，僅投入項目所必需的最少資源，在后續(xù)的生產(chǎn)實踐中，根據(jù)實際需要，可以再追加所需的資源，從而實現(xiàn)真正的隨需應(yīng)變與動態(tài)增長，并最終提高資源利用率。此外，vCNS提供了高度可擴展的虛擬網(wǎng)絡(luò)，可簡化調(diào)配，降低運營成本，同時減少對專用設(shè)備的需求。 能夠跨集群和單元管理和分配計算資源 能夠減少對專用設(shè)備的需求 能夠受益于與 vCenter 或 vCloud Director 集成的優(yōu)勢3) 利用虛擬工作負載的敏捷性，適應(yīng)動態(tài)業(yè)務(wù)需求可創(chuàng)建隨應(yīng)用擴展的網(wǎng)絡(luò)并在需要的位置應(yīng)用安全服務(wù)，而無需升級硬件。 vCloud Networking and Security 可提高應(yīng)用可用性并增強網(wǎng)絡(luò)性能。 無需重新配置物理網(wǎng)絡(luò)，即可部署、移動或擴展虛擬工作負載 可自動調(diào)配和橫向擴展網(wǎng)絡(luò)連接和安全服務(wù) 能夠更全面地了解虛擬通信流量1) 在基礎(chǔ)架構(gòu)中全面使用高度集成并完整的網(wǎng)絡(luò)與安全解決方案可以讓用戶在充分利用現(xiàn)有的網(wǎng)絡(luò)連接和安全投資的同時，能夠受益于最新的第三方創(chuàng)新技術(shù)。 通過 REST API，用戶可以在虛擬網(wǎng)卡和虛擬邊緣插入服務(wù)，同時支持硬件和軟件解決方案。由于vCNS提供了一整套高度集成且完整的網(wǎng)絡(luò)與安全解決方案，因此，用戶不再需要四處尋找各種零散且相互獨立的網(wǎng)絡(luò)與安全方案，vCNS集成了常用的各種與網(wǎng)絡(luò)和安全相關(guān)的服務(wù)，部署一個vCNS就相當(dāng)于一次性地使用了用戶所需要的多種網(wǎng)絡(luò)與安全解決方案。 可充分利用開放式體系結(jié)構(gòu)和行業(yè)標(biāo)準(zhǔn) API 為基于硬件和軟件的解決方案提供一致的支持 可保護現(xiàn)有網(wǎng)絡(luò)連接和安全投資 工作原理正如vSphere對服務(wù)器硬件的計算容量進行抽象化以創(chuàng)建能夠用作服務(wù)的虛擬資源池一樣，vCNS可將網(wǎng)絡(luò)連接和安全服務(wù)抽象成一個廣義的容量池，并使這些服務(wù)的使用與底層物理基礎(chǔ)架構(gòu)分離。該統(tǒng)一網(wǎng)絡(luò)容量池可通過最佳方式分割成多個邏輯網(wǎng)絡(luò)，以支持特定的應(yīng)用。當(dāng)網(wǎng)絡(luò)與應(yīng)用關(guān)聯(lián)時，它可以隨應(yīng)用一起移動、擴展或收縮。VXLAN網(wǎng)絡(luò)可以跨越物理邊界，從而跨不連續(xù)的集群和單元來優(yōu)化計算資源利用率。因為邏輯網(wǎng)絡(luò)與物理拓撲相互分離，所以無需重新配置底層物理硬件即可擴展VXLAN網(wǎng)絡(luò)。正因如此，也就無需再花費大量時間來規(guī)劃如何調(diào)配VLAN及管理VLAN數(shù)量劇增問題。隨著網(wǎng)絡(luò)實現(xiàn)虛擬化，安全性、負載平衡及其他網(wǎng)關(guān)服務(wù)會與新模式完全一致并與之完全集成，用戶可以跨集群和單元實現(xiàn)負載平衡。通信流量的可見性增強，安全保護功能也更加高效。當(dāng)應(yīng)用移動或擴展時，它可以保持有效的內(nèi)部隔離和邊界安全。vCNS將網(wǎng)絡(luò)和安全調(diào)配及運營與虛擬數(shù)據(jù)中心管理集成在一起，從而降低了運營費用和復(fù)雜性。用戶可以通過一個中心控制點來管理、部署、報告、記錄并集成第三方服務(wù)。此外，用戶可以繼續(xù)使用現(xiàn)有基礎(chǔ)架構(gòu)來構(gòu)建虛擬網(wǎng)絡(luò)和安全服務(wù)。這樣可大幅簡化運營、提高資源利用率和改進根據(jù)業(yè)務(wù)需要進行擴展時的敏捷性，所有這一切均通過一個集成式可擴展平臺來實現(xiàn)。如下圖所示，VMware軟件定義的網(wǎng)絡(luò)與安全解決方案的工作原理可以分為如下四大部分。圖：軟件定義的網(wǎng)絡(luò)與安全之架構(gòu)1) 抽象化和池化創(chuàng)建虛擬網(wǎng)絡(luò)并確保安全的第一步是抽象化和池化資源。 正如 vSphere 通過對服務(wù)器硬件的計算容量進行抽象化，創(chuàng)建了能夠用作服務(wù)的虛擬資源池一樣，vCloud Networking and Security 可將網(wǎng)絡(luò)連接和安全服務(wù)抽象成一個一般意義上的容量池，從而使用戶能夠脫離底層物理基礎(chǔ)架構(gòu)使用這些服務(wù)。 此池可以跨越物理邊界，從而跨集群和單元實現(xiàn)最佳的計算資源利用率。2) 創(chuàng)建邏輯網(wǎng)絡(luò)并提供網(wǎng)關(guān)服務(wù)在創(chuàng)建網(wǎng)絡(luò)和安全資源池之后，用戶可以將其細分成多個邏輯網(wǎng)絡(luò)，并將這些網(wǎng)絡(luò)與特定的應(yīng)用相連。 由于此類網(wǎng)絡(luò)現(xiàn)已連接至應(yīng)用，因此它們可以隨應(yīng)用移動或者是伸縮。 而且，由于邏輯網(wǎng)絡(luò)從物理網(wǎng)絡(luò)拓撲中脫離出來，因此無需重新配置底層物理硬件就可以擴展這些網(wǎng)絡(luò)。 這解決了規(guī)劃 VLAN 調(diào)配的周期以及管理數(shù)量劇增的 VLAN 都非常耗時的問題。 簡化了操作并極大地加快了應(yīng)用調(diào)配。 通過部署虛擬工作負載加快應(yīng)用調(diào)配，而無需重新配置物理網(wǎng)絡(luò) 根據(jù)需要擴展應(yīng)用，而不會造成 VLAN 數(shù)量劇增 通過跨子網(wǎng)邊界和不相鄰的集群高效地管理計算資源，從而降低成本和復(fù)雜性此邏輯網(wǎng)絡(luò)不但可以連接任意網(wǎng)絡(luò)元素，而且還是一個可連接更高級別服務(wù)的框架，如防火墻、VPN 和負載平衡器。 現(xiàn)在，應(yīng)用將連同其邏輯網(wǎng)絡(luò)和安全網(wǎng)關(guān)服務(wù)一起移動或擴展。，客戶則受益于只需一個窗口即可管理所有這些服務(wù)，從而降低了數(shù)據(jù)中心的運營成本和復(fù)雜性。 從單個窗口管理服務(wù) 提供針對您的需求優(yōu)化的網(wǎng)關(guān)服務(wù) 不再依賴于難以管理且無法隨數(shù)據(jù)中心的增長而擴展的設(shè)備3) 利用Ecosystem Framework引入第三方網(wǎng)絡(luò)與安全服務(wù)邏輯網(wǎng)絡(luò)既可以提供 VMware的服務(wù)，也可以集成第三方基于硬件或軟件的解決方案。 開放式體系結(jié)構(gòu)和標(biāo)準(zhǔn) API 使平臺能夠引入第三方創(chuàng)新技術(shù)，從而實現(xiàn)延展。這其中一個典型的例子就是無代理終端安全防護，Endpoint。通過Ecosystem Framework，系統(tǒng)可以引入第三方的安全服務(wù)，同時將病毒掃描活動從各個虛擬機卸載到安全虛擬設(shè)備來提高性能。安全虛擬設(shè)備能夠持續(xù)更新防病毒特征碼，為主機上的虛擬機提供無中斷保護。4) 實現(xiàn)基于策略的自動化vCNS 還可以實現(xiàn)增值，因為它可以基于策略自動實施和動態(tài)擴展網(wǎng)絡(luò)連接和安全服務(wù)，從而充分發(fā)揮虛擬數(shù)據(jù)中心蘊藏的效益和敏捷性。vCNS可以與vCloud Director集成來完成多種網(wǎng)絡(luò)與安全服務(wù)的調(diào)配與交付。u 根據(jù)應(yīng)用程序元數(shù)據(jù)調(diào)配服務(wù)u 不再需要執(zhí)行手動配置流程和重復(fù)管理任務(wù)u 自動調(diào)配和橫向擴展網(wǎng)絡(luò)連接和安全服務(wù) 應(yīng)用場景VMware軟件定義的網(wǎng)絡(luò)與安全解決方案主要應(yīng)用在如下三個方面。1) 高效、可靠地虛擬化關(guān)鍵業(yè)務(wù)應(yīng)用并為整個軟件定義的數(shù)據(jù)中心提供網(wǎng)絡(luò)與安全服務(wù) 使用支持虛擬化的防火墻和自適應(yīng)信任區(qū)域保護和隔離關(guān)鍵應(yīng)用 加強對內(nèi)部虛擬機通信的了解和控制 跨不相鄰的集群和單元優(yōu)化資源利用率 識別并保護敏感的業(yè)務(wù)信息 利用高度集成的一整完整的網(wǎng)絡(luò)與安全解決方案，為整個軟件定義的數(shù)據(jù)中心提供可靠的網(wǎng)絡(luò)與安全服務(wù)2) 構(gòu)建敏捷、可信賴的私有云基礎(chǔ)架構(gòu) 通過消除 VLAN 減少手動網(wǎng)絡(luò)連接調(diào)配并簡化部署 跨物理網(wǎng)絡(luò)邊界優(yōu)化計算資源的管理和使用 通過集成式防火墻和網(wǎng)關(guān)服務(wù)保護虛擬數(shù)據(jù)中心的邊緣安全 利用 Web 負載平衡功能跨虛擬機集群管理入站 Web 流量3) 保護虛擬桌面部署的安全 限制遠程第三方用戶對授權(quán)應(yīng)用進行網(wǎng)絡(luò)訪問 保護敏感數(shù)據(jù)以免未經(jīng)授權(quán)的員工或黑客訪問 簡化安全管理流程并消除性能瓶頸 主要功能軟件定義的網(wǎng)絡(luò)與安全的主要功能有：虛擬網(wǎng)絡(luò)VXLAN，網(wǎng)關(guān)服務(wù)，分布式防火墻和高級特性，其中高級特性又包括如下特性：高可用High Availability，流量監(jiān)控與統(tǒng)計，數(shù)據(jù)安全保護，管理與報告，Ecosystem Framework。 虛擬網(wǎng)絡(luò)VXLANVXLAN 是創(chuàng)建彈性可移動虛擬數(shù)據(jù)中心的基礎(chǔ)。 使用 VXLAN 技術(shù)可以跨不連續(xù)的集群或單元池化計算資源，然后將該資源池劃分到與應(yīng)用連接的邏輯網(wǎng)絡(luò)。 與 VLAN 不同，VXLAN 虛擬網(wǎng)絡(luò)可以跨虛擬資源池和物理邊界擴展，因此具有更高效率、可擴展性、彈性和可管理性。216。 概覽隨著 IT 組織向聚合基礎(chǔ)架構(gòu)和面向服務(wù)的模式轉(zhuǎn)移，很多人逐漸發(fā)現(xiàn)目前的數(shù)據(jù)中心網(wǎng)絡(luò)連接體系結(jié)構(gòu)是一個限制因素。 基于 VLAN 的交換模式由來已久，但它們在數(shù)據(jù)中心內(nèi)遭遇了以下難題：1) 缺乏靈活性VLAN和相應(yīng)的網(wǎng)絡(luò)服務(wù)既不靈活，也不易延展。隨著需求的增減，計算和存儲資源需要在無重大運行開銷的情況下進行分配。2) 容錯操作效率低動態(tài)資源調(diào)整、高可用性技術(shù)（例如 VMware Fault Tolerance，vMotion）在大二層網(wǎng)絡(luò)上最容易實現(xiàn)，但是創(chuàng)建和管理該二層網(wǎng)絡(luò)在運維操作上卻十分困難，尤其是在大規(guī)模操作時更是如此。3) VLAN 和 IP 地址管理的局限性IP 地址的維護和 VLAN 限制成為數(shù)據(jù)中心擴展的難題，特別是在要求強有力的隔離或處于服務(wù)提供商環(huán)境的時候。為了解決此難題，VMware 與領(lǐng)先的網(wǎng)絡(luò)連接和電子設(shè)備供應(yīng)商（包括Cisco Systems）合作，創(chuàng)建了 VXLAN 技術(shù)。 VXLAN 是一種在常用的網(wǎng)絡(luò)上通過Overlay技術(shù)建立虛擬網(wǎng)絡(luò)的方法。 通過利用行業(yè)標(biāo)準(zhǔn)的以太網(wǎng)技術(shù)，在現(xiàn)有網(wǎng)絡(luò)之上可以創(chuàng)建大量虛擬網(wǎng)絡(luò)，并且它們彼此之間以及與底層物理網(wǎng)絡(luò)之間完全隔離。圖：軟件定義的網(wǎng)絡(luò)與安全是解決之道VXLAN 的工作方式是創(chuàng)建第 2 層邏輯網(wǎng)絡(luò)，并將其封裝在標(biāo)準(zhǔn)第 3 層 IP 數(shù)據(jù)包中。 無需任何 VLAN 標(biāo)記，每個框架中的“分段 ID”即可將 VXLAN 邏輯網(wǎng)絡(luò)相互區(qū)分開來。 這樣，大量相互隔離的第 2 層 VXLAN 網(wǎng)絡(luò)可以在通用第 3 層基礎(chǔ)架構(gòu)中共存，而且在相互之間以及與底層網(wǎng)絡(luò)之間實現(xiàn)完全隔離。 通過支持跨物理邊界的“擴展集群”優(yōu)化數(shù)據(jù)中心計算資源利用率 通過在標(biāo)準(zhǔn)第 3 層 IP 網(wǎng)絡(luò)上運行 VXLAN 來優(yōu)化網(wǎng)絡(luò)操作，從而不再需要構(gòu)建和管理寵大的第 2 層基礎(chǔ)傳輸層 在標(biāo)準(zhǔn)交換硬件上運行 VXLAN，交換機上無需進行軟件升級，也無需具備特殊代碼版本。216。 VXLAN的技術(shù)優(yōu)勢：1) 靈活性通過支持跨交換機和單元邊界的“擴展集群”，數(shù)據(jù)中心服務(wù)器與存儲的利用率和靈活性可實現(xiàn)最大化。2) 優(yōu)化的網(wǎng)絡(luò)操作VXLAN 在標(biāo)準(zhǔn)第 3 層 IP 網(wǎng)絡(luò)上運行，不再需要構(gòu)建和管理龐大的第 2 層基礎(chǔ)傳輸層。3) 投資保護VXLAN 在標(biāo)準(zhǔn)交換機硬件上運行，交換機上無需進行軟件升級，也不必采用特殊的代碼版本。隨著 VMware 和其他供應(yīng)商推出基于 VXLAN 的解決方案，企業(yè)可以充分利用更高的數(shù)據(jù)中心自動化程度、敏捷性和效率所帶來的優(yōu)勢。216。 利用 VXLAN構(gòu)建邏輯網(wǎng)絡(luò)VXLAN 提供跨數(shù)據(jù)中心結(jié)構(gòu)創(chuàng)建隔離式多租戶廣播域的功能，并且使客戶能夠創(chuàng)建可跨越物理網(wǎng)絡(luò)邊界的彈性邏輯網(wǎng)絡(luò)。創(chuàng)建邏輯網(wǎng)絡(luò)的第一步是抽象和池化網(wǎng)絡(luò)資源。 正如 vSphere 將計算容量從服務(wù)器硬件中抽象出來以創(chuàng)建能夠作為服務(wù)使用的虛擬資源池一樣，虛擬分布式交換機 (VDS) 和 VXLAN 將網(wǎng)絡(luò)抽象成一般化的網(wǎng)絡(luò)容量池，并使這些服務(wù)的使用從底層物理基礎(chǔ)架構(gòu)中分離出來。 此池可以跨越物理邊界，從而跨集群和單元優(yōu)化計算資源利用率。 統(tǒng)一網(wǎng)絡(luò)容量池隨后可通過最佳方式分割成多個邏輯網(wǎng)絡(luò)，直接連接到特定的應(yīng)用。圖：利用VXLAN構(gòu)建邏輯網(wǎng)絡(luò) 網(wǎng)關(guān)服務(wù)vCNS網(wǎng)關(guān)服務(wù)Edge是專為虛擬數(shù)據(jù)中心提供的邊緣網(wǎng)絡(luò)安全解決方案。它可提供網(wǎng)絡(luò)安全網(wǎng)關(guān)服務(wù)和 Web 負載平衡等基本安全功能，以提高性能和可用性。此解決方案可利用容錯和高可用性等功能獲得無可比擬的恢復(fù)能力。管理員可通過隨附的 vCNS Manager 控制臺集中管理 vCNS 網(wǎng)關(guān)服務(wù)，該控制臺與 vCenter Server 無縫集成以便對虛擬數(shù)據(jù)中心進行統(tǒng)一的安全管理。此外，vCNS 網(wǎng)關(guān)服務(wù)也可與 VMware vCloud Director 協(xié)同使用，以便在多租戶云計算基礎(chǔ)架構(gòu)中自動執(zhí)行和加快虛擬數(shù)據(jù)中心的安全調(diào)配速度。安全管理員和虛擬基礎(chǔ)架構(gòu)管理員的職責(zé)分離使他們只能訪問有限的授權(quán)資源。它的主要優(yōu)勢有：u 由于可以省去多種專用設(shè)備并可以快速調(diào)配網(wǎng)絡(luò)網(wǎng)關(guān)服務(wù)，因此可以降低成本和復(fù)雜性。u 利用內(nèi)置的邊緣網(wǎng)絡(luò)安全解決方案及服務(wù)，可以確保策略得到執(zhí)行。u 每個組織或租戶擁有一個邊緣，因而可以提高可擴展性和性能。u 可通過詳細的日志記錄簡化 IT 遵從性工作。u 利用與 VMware vCenter Server 及領(lǐng)先的企業(yè)安全解決方案集成的全功能界面，可以簡化管理流程。u 不再需要使用集成了防火墻、負載平衡器、VPN 和 DHCP 的專用硬件。vCNS 網(wǎng)關(guān)服務(wù)的主要用途u 整合邊緣安全硬件 — 借助 vCNS 網(wǎng)關(guān)服務(wù)，客戶可以使用現(xiàn)有的 vSphere 資源來調(diào)配邊緣安全服務(wù)，因此不需要使用邊緣安全硬件在 vSphere 主機之間進行物理隔離。u 快速安全地調(diào)配虛擬數(shù)據(jù)中心邊界 — 借助 vCNS 網(wǎng)關(guān)服務(wù)，組織可在虛擬數(shù)據(jù)中心環(huán)境周邊輕松創(chuàng)建安全、邏輯、獨立于硬件的邊界（即“邊緣” ） ，從而更為便捷地利用多租戶 IT 基礎(chǔ)架構(gòu)中的共享網(wǎng)絡(luò)資源。u 保護共享網(wǎng)絡(luò)中的數(shù)據(jù)機密性 — vCNS 網(wǎng)關(guān)服務(wù)可對站點間 VPN 提供 256 位加密，以保護在虛擬數(shù)據(jù)中心邊界內(nèi)傳輸?shù)乃袛?shù)據(jù)的機密性。u 確保 Web 服務(wù)的性能和可用性 — vCNS 網(wǎng)關(guān)服務(wù)可跨多個虛擬機集群高效管理入站 Web 流量，并且包含可供客戶與邊緣安全性功能一起部署或獨自部署的多種 Web 負載平衡功能。u 促進遵從性管理 — vCNS 網(wǎng)關(guān)服務(wù)可為企業(yè)提供證明其遵從公司策略、行業(yè)和政府法規(guī)所需的事件詳細日志記錄以及流量統(tǒng)計信息等必要的控制措施。vCNS網(wǎng)關(guān)服務(wù)在全球范圍內(nèi)的主要案例如下圖所示。圖：vCNS網(wǎng)關(guān)服務(wù)全球主要案例vCNS網(wǎng)關(guān)服務(wù)主要包括：網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT）、動態(tài)主機配置協(xié)議（DHCP）、針