ONF成員曾經(jīng)都說(shuō)SDN能夠解決的網(wǎng)絡(luò)架構(gòu)問(wèn)題是思科的一道坎，甚至很多初創(chuàng)企業(yè)都渴望通過(guò)SDN變革嶄露頭角，面對(duì)挑釁思科很快推出了新的解決方案，看思科ACI如何解決當(dāng)前網(wǎng)絡(luò)局限性。

思科ACI可以解決ONF白皮書中列出的所有傳統(tǒng)網(wǎng)絡(luò)局限性。思科ACI解決了這些局限性：

●復(fù)雜性： 思科ACI消除了網(wǎng)絡(luò)的復(fù)雜性。通過(guò)允許網(wǎng)絡(luò)路由和交換完全分布在整個(gè)架構(gòu)，思科ACI可以從轉(zhuǎn)發(fā)解耦策略。思科ACI數(shù)據(jù)包轉(zhuǎn)發(fā)利用商品芯片和定制芯片組合來(lái)提供標(biāo)準(zhǔn)VXLAN橋接和路由，沒有性能損失，或?qū)τ脩艏皯?yīng)用程序的負(fù)面影響。

此外，思科ACI可以應(yīng)用策略，而不需要從網(wǎng)絡(luò)信息(例如IP地址)提取這個(gè)信息。它向每個(gè)VXLAN幀提供16位ID來(lái)識(shí)別數(shù)據(jù)包的源組，這種方法為最終用戶提供了靈活性，用戶無(wú)需豐富的網(wǎng)絡(luò)知識(shí)就可以修改網(wǎng)絡(luò)策略，并且不會(huì)影響網(wǎng)絡(luò)轉(zhuǎn)發(fā)。

思科ACI通過(guò)引入一個(gè)抽象模型(基于組的策略)進(jìn)一步簡(jiǎn)化了策略，讓用戶可以使用更高級(jí)別的抽象結(jié)構(gòu)來(lái)定義連接，而不是具體的網(wǎng)絡(luò)語(yǔ)義。這種模型讓思科ACI的最終用戶可以定義策略規(guī)則，而不需要網(wǎng)絡(luò)知識(shí)，讓應(yīng)用程序管理員和開發(fā)人員可以直接通過(guò)思科ACI策略表達(dá)他們的意圖，而不需要涉及IT網(wǎng)絡(luò)管理員。

●不一致的策略： 在大型網(wǎng)絡(luò)管理網(wǎng)絡(luò)策略的最大挑戰(zhàn)之一是，保持大量設(shè)備策略配置的一致性。思科ACI通過(guò)APIC解決了這個(gè)問(wèn)題，APIC作為思科ACI及相關(guān)物理和虛擬服務(wù)的管理中心店和中央策略權(quán)威。最終用戶只需要向APIC指定對(duì)基于組策略的期望意圖，APIC就會(huì)分配該策略到所有節(jié)點(diǎn)，如圖5所示。

▲使用思科APIC部署策略

思科APIC采用了一種允諾理論，完全分離抽象邏輯模型和實(shí)際模型，沒有對(duì)實(shí)際實(shí)體執(zhí)行配置。這種允諾理論確保了策略一致性。

● 難以擴(kuò)展： 思科ACI可以透明地?cái)U(kuò)展，支持連接、帶寬、租戶和策略變更。思科的主干分支拓?fù)浣Y(jié)構(gòu)支持向外擴(kuò)展設(shè)計(jì)方法。如果需要傳統(tǒng)物理連接，可以添加分支節(jié)點(diǎn)，將它們連接到主干。同樣地，如果需要額外的帶寬或冗余性，則可以添加額外的主干節(jié)點(diǎn)。這種擴(kuò)展部署模型還允許最終用戶從小處著手，隨后擴(kuò)展到更大的環(huán)境，從而降低初始資本支出。然而，添加新的設(shè)備節(jié)點(diǎn)并不意味著增加管理點(diǎn)的數(shù)量。在通過(guò)APIC注冊(cè)新設(shè)備到ACI后，最終用戶可以從APIC管理整個(gè)架構(gòu)，包括新設(shè)備。新設(shè)備的添加不需要管理員的干預(yù)。

租戶和策略也采用了向外擴(kuò)展的做法。策略被集中存儲(chǔ)在架構(gòu)中，并根據(jù)需要渲染到架構(gòu)節(jié)點(diǎn)。思科APIC策略庫(kù)本身就是一個(gè)向外擴(kuò)展的集群數(shù)據(jù)庫(kù)。它可以在單個(gè)集群中從3個(gè)節(jié)點(diǎn)增加到31個(gè)節(jié)點(diǎn)，這取決于租戶和策略的要求。即使是傳統(tǒng)集群節(jié)點(diǎn)，所有節(jié)點(diǎn)都被認(rèn)為是活躍的，策略可以在任何集群成員中進(jìn)行管理。

●供應(yīng)商鎖定： 完成的思科ACI部署可能包括4-7層服務(wù)、虛擬網(wǎng)絡(luò)、計(jì)算和存儲(chǔ)資源、WAN路由器以及北向編排服務(wù)。思科ACI的主要優(yōu)勢(shì)是它的開放性，及其發(fā)布的API、4-7層網(wǎng)絡(luò)設(shè)備封裝，以及使用開放OpFlex協(xié)議。通過(guò)這些開放的API、插件和協(xié)議，最終用戶可以逐漸增加功能到其解決方案，而不需要等待供應(yīng)商來(lái)推出新功能。

思科ACI滿足SDN的要求

如前所述，ONF已經(jīng)指出需要新的網(wǎng)絡(luò)模型來(lái)解決計(jì)算領(lǐng)域的新興趨勢(shì)。其中的解決方案是SDN，SDN被定義為“一種計(jì)算網(wǎng)絡(luò)方法，允許網(wǎng)絡(luò)管理員通過(guò)抽象化較低級(jí)別功能來(lái)管理網(wǎng)絡(luò)服務(wù)”。

思科ACI解決方案滿足SDN的定義要求，但為了滿足SDN的要求，它還必須適應(yīng)計(jì)算領(lǐng)域的新興需求，這包括：

● 不斷變化的流量模式： 如前所述，數(shù)據(jù)中心內(nèi)東西流量在不斷增加，下一代數(shù)據(jù)中心需要對(duì)這種工作負(fù)載進(jìn)行優(yōu)化。思科ACI采用主干分支架構(gòu)，非常適合東西工作負(fù)載，幫助確保一致的延遲性和性能。

現(xiàn)代數(shù)據(jù)中心的另一個(gè)要求是，隨時(shí)隨地可以訪問(wèn)內(nèi)容。思科ACI通過(guò)其無(wú)性能影響的網(wǎng)絡(luò)覆蓋來(lái)滿足這一要求，它允許應(yīng)用程序和服務(wù)隨時(shí)隨地部署。它也非常適合于公共云、私有云或混合云部署。由于連接策略從網(wǎng)絡(luò)轉(zhuǎn)發(fā)抽象出來(lái)，更高層云編排平臺(tái)(例如OpenStack、CloudStack和微軟AzurePack)可以管理服務(wù)，而不是底層基礎(chǔ)設(shè)施。

● IT消費(fèi)化： 思科還可以從很多方面幫助企業(yè)應(yīng)對(duì)BYOD趨勢(shì)。首先，這個(gè)基于組的策略模型中內(nèi)置了安全性和合規(guī)性;應(yīng)用程序管理員必須明確授權(quán)給外部訪客才能使用應(yīng)用或服務(wù)。其次，對(duì)安全策略的審計(jì)變成很簡(jiǎn)單的工作，因?yàn)椴呗员欢x在抽象的基于組策略中，而不是在具體的安全訪問(wèn)列表或訪問(wèn)權(quán)規(guī)則中。最后，基于組的策略可以遷移到網(wǎng)絡(luò)其他領(lǐng)域，例如園區(qū)和分支辦事處。

● 云計(jì)算服務(wù)的興起： 通過(guò)從底層基礎(chǔ)設(shè)施抽象應(yīng)用程序、安全策略和IT服務(wù)，思科ACI讓企業(yè)IT部門可以輕松部署私有云。通過(guò)基于組的策略，企業(yè)客戶可以花更多時(shí)間創(chuàng)建連接策略，而不需要管理單個(gè)網(wǎng)絡(luò)設(shè)備。此外，很多IT部門都會(huì)喜歡這種自助服務(wù)模型，并更可能部署它，因?yàn)樗麄兛梢员３謱?duì)其敏感內(nèi)容的控制權(quán)，而不是把控制權(quán)交給公共云。然而，如果企業(yè)稍后想要轉(zhuǎn)移某些工作負(fù)載到公共云，思科ACI基于組的策略可以讓企業(yè)輕松地移動(dòng)網(wǎng)絡(luò)和安全策略;只要很小的修改，一致的基于組的策略配置文件定義也可以存在內(nèi)部部署的私有云以及托管云中。

● 大數(shù)據(jù)需要更多帶寬： 思科ACI為托管大數(shù)據(jù)工作負(fù)載提供了最佳解決方案。除了提供可預(yù)測(cè)的低延遲，思科ACI還提供具有成本效益的向外擴(kuò)展架構(gòu)，允許最終用戶逐漸增加帶寬—通過(guò)添加額外的主干節(jié)點(diǎn)。另外，通過(guò)添加分支節(jié)點(diǎn)，還可以向大數(shù)據(jù)集群添加更多計(jì)算節(jié)點(diǎn)來(lái)提高性能。同時(shí)，思科ACI使用分布式擁塞感知負(fù)載均衡(CONGA)，可以更有效地使用其架構(gòu)帶寬。這個(gè)機(jī)制為網(wǎng)絡(luò)密集型應(yīng)用程序減少了數(shù)據(jù)流完成時(shí)間。

思科ACI還提供了最終用戶試圖在SDN解決方案中尋求的其他功能，包括：

● 自動(dòng)化配置和管理： 思科ACI提供對(duì)網(wǎng)絡(luò)基礎(chǔ)設(shè)施的自動(dòng)化配置和管理。架構(gòu)管理員可以透明地增加主干或分支節(jié)點(diǎn)到思科ACI架構(gòu)，而不需要對(duì)設(shè)備本身的任何配置。思科APIC基于組的策略模型還可以實(shí)現(xiàn)對(duì)合作伙伴解決方案的自動(dòng)配置，讓最終用戶不需要手動(dòng)和單獨(dú)管理這些設(shè)備及系統(tǒng)。

● 能夠部署網(wǎng)絡(luò)端策略： 思科ACI將整個(gè)系統(tǒng)作為單一實(shí)體來(lái)管理，任何網(wǎng)絡(luò)端策略(無(wú)論是物理、虛擬還是4-7層網(wǎng)絡(luò)服務(wù)相關(guān)的策略)都可以通過(guò)APIC來(lái)定義、部署和管理。

● 提高安全性： Cisco ACI is multitenant aware. 安全性是應(yīng)用為中心的模式的一部分。只有策略管理員通過(guò)基于組的策略定義哪些組可以通信，每個(gè)組可以使用哪個(gè)管道來(lái)通信，各組之間才可以連接。思科ACI可以支持多租戶，不同租戶的流量、連接和策略可以共享相同的基礎(chǔ)設(shè)施，而不會(huì)在租戶間泄露信息。思科ACI中所有可管理實(shí)體(被稱為對(duì)象)都有獨(dú)特的權(quán)限，管理員可以使用RBAC定義分配非常具體的安全控制。

● 對(duì)使用網(wǎng)絡(luò)的應(yīng)用程序的更多可視性： 應(yīng)用程序的定義直接以組策略配置文件(被稱為應(yīng)用網(wǎng)絡(luò)配置文件)的形式提供給思科ACI。從這個(gè)配置文件中，思科ACI可以收集關(guān)于網(wǎng)絡(luò)依存關(guān)系的信息，并了解特定應(yīng)用程序的執(zhí)行情況，因?yàn)锳CI正在監(jiān)控底層對(duì)象。

● 提高可擴(kuò)展性： 思科ACI架構(gòu)的動(dòng)態(tài)性質(zhì)、使用向外擴(kuò)展主干分支架構(gòu)和集群數(shù)據(jù)庫(kù)等特點(diǎn)讓思科ACI成為當(dāng)今市場(chǎng)上最具可擴(kuò)展性的SDN解決方案。此外，思科ACI可以使用終端位置信息來(lái)渲染硬件中的策略到執(zhí)行點(diǎn)，即終端連接的點(diǎn)。此功能允許更大的可擴(kuò)展性，而不需要過(guò)度配置策略資源。

● 動(dòng)態(tài)創(chuàng)建和移動(dòng)虛擬機(jī)： 思科ACI架構(gòu)允許虛擬機(jī)靈活部署，無(wú)限制的虛擬機(jī)移動(dòng)。思科ACI還創(chuàng)新地實(shí)現(xiàn)虛擬機(jī)移動(dòng)的透明度。

● 創(chuàng)建私有或混合云： 對(duì)于想要部署私有云、公共云和混合云的企業(yè)而言，思科ACI是非常好的解決方案。大多數(shù)思科ACI早期部署者都是公共云服務(wù)提供商。除了可擴(kuò)展性、安全性和靈活性，思科ACI還通過(guò)組策略模式提供網(wǎng)絡(luò)連接的抽象化代表。該功能在云計(jì)算部署中非常具有吸引力，因?yàn)檫@種部署的主要要求是抽象化網(wǎng)絡(luò)基礎(chǔ)設(shè)施的復(fù)雜性，對(duì)云服務(wù)的客戶不可見。

● 從整體配置網(wǎng)絡(luò)： 思科ACI允許整個(gè)架構(gòu)被看做單個(gè)2層網(wǎng)絡(luò)或3層網(wǎng)絡(luò)虛擬轉(zhuǎn)發(fā)器?？梢詣?chuàng)建額外的專用網(wǎng)絡(luò)，但它們通常被配置作為單個(gè)實(shí)體。這種方法讓最終用戶可以部署新服務(wù)(網(wǎng)絡(luò)服務(wù)或應(yīng)用程序)，而不需要了解底層網(wǎng)絡(luò)如何被配置和連接。

● 基于文本的配置以簡(jiǎn)化版本控制： 所有配置設(shè)置都表示為思科APIC的管理對(duì)象。這些管理對(duì)象可以通過(guò)API訪問(wèn)，而API可以通過(guò)結(jié)構(gòu)化REST命令(XML或JSON格式)來(lái)管理。此外，由于這些對(duì)象具有定義的結(jié)構(gòu)—從底層物理和虛擬網(wǎng)絡(luò)抽象出來(lái)，相同的配置文件定義可以用于在完全不同的思科ACI架構(gòu)中部署相同的連接策略。

● 除SNMP和CLI外的先進(jìn)網(wǎng)絡(luò)管理工具： 除了SNMP和CLI，思科ACI對(duì)象模型XML和JSON格式的REST接口、GUI和一些軟件開發(fā)工具包。除了一般的網(wǎng)絡(luò)設(shè)備管理，思科ACI還包括其他SDN解決方案中沒有的創(chuàng)新管理功能。例如，思科ACI提供健康評(píng)分，它會(huì)獲取底層、覆蓋、物理、虛擬和生態(tài)系統(tǒng)設(shè)備的依賴關(guān)系，并將這些信息轉(zhuǎn)換為特定對(duì)象的健康評(píng)分。這些分?jǐn)?shù)可以轉(zhuǎn)換為終端組水平、應(yīng)用網(wǎng)絡(luò)配置文件水平或租戶水平的更高水平的分?jǐn)?shù)，以提供更直觀的視圖。最終用戶可以使用這個(gè)視圖來(lái)解決思科ACI架構(gòu)中的異常情況。原子計(jì)數(shù)器是另一個(gè)思科ACI創(chuàng)新。

這個(gè)計(jì)數(shù)器可以計(jì)算進(jìn)入和離開架構(gòu)的數(shù)量，還可以范圍縮小到計(jì)算單個(gè)分支節(jié)點(diǎn)。通過(guò)創(chuàng)建流量地圖，原子計(jì)數(shù)器讓最終用戶可以看到架構(gòu)中的高、中、低使用區(qū)域，并發(fā)現(xiàn)思科ACI架構(gòu)中流量下降的位置。

Gartner副總裁兼著名分析師Joe Skorupa在2013年3月描述他對(duì)SDN的愿景時(shí)簡(jiǎn)單定義了思科ACI的價(jià)值：“在數(shù)據(jù)中心方面，SDN是策略驅(qū)動(dòng)型數(shù)據(jù)中心的組成部分。它為連接網(wǎng)絡(luò)到數(shù)據(jù)中心內(nèi)的其他組件提供了可編程連接性，提供了一個(gè)綜合、功能型系統(tǒng)。例如，配置應(yīng)用程序可以指定CRM應(yīng)用程序的實(shí)例在特定序列必須提供某些服務(wù)，并應(yīng)確保流量在正確序列通過(guò)適當(dāng)?shù)脑O(shè)備。”

SDN面臨新的挑戰(zhàn)

雖然SDN、基于軟件的虛擬覆蓋和Openflow為傳統(tǒng)和新興計(jì)算工作負(fù)載提供了解決方案，但現(xiàn)在除了在學(xué)術(shù)和研究機(jī)構(gòu)，很少數(shù)據(jù)中心部署了軟件覆蓋和Openflow。這種低部署率是因?yàn)橐恍┬绿魬?zhàn)，包括以下：

● 基于軟件的虛擬覆蓋難以管理和故障排除： Joe Skorupa在2013年3月的問(wèn)答環(huán)節(jié)中確定了這一挑戰(zhàn)：“這種基于軟件的虛擬覆蓋做法的最大限制是，它不能解決管理底層基礎(chǔ)設(shè)施的問(wèn)題，在覆蓋中調(diào)試問(wèn)題很復(fù)雜，并且它不支持裸機(jī)主機(jī)。”

基于軟件的虛擬覆蓋的根本問(wèn)題是，它們與底層物理基礎(chǔ)設(shè)施很少或沒有關(guān)系，底層網(wǎng)絡(luò)中的任何下降不能簡(jiǎn)單地追溯到受影響的服務(wù)和應(yīng)用程序。此外，基于軟件的虛擬覆蓋可能由不同的團(tuán)隊(duì)管理，使用不同的技能，這個(gè)團(tuán)隊(duì)可能無(wú)法解決終端到終端網(wǎng)絡(luò)連接問(wèn)題，導(dǎo)致IT運(yùn)營(yíng)部門以及供應(yīng)商的指責(zé)。在傳統(tǒng)網(wǎng)絡(luò)中，這種缺點(diǎn)可能更加嚴(yán)重，因?yàn)閭鹘y(tǒng)網(wǎng)絡(luò)不靈活，但至少這種網(wǎng)絡(luò)有可預(yù)測(cè)性。

● OpenFlow協(xié)議對(duì)于數(shù)據(jù)中心太原始和具體化： 網(wǎng)絡(luò)交換機(jī)中的OpenFlow對(duì)輸入數(shù)據(jù)包使用匹配函數(shù)(通常是基于現(xiàn)有網(wǎng)絡(luò)字段屬性，例如源MAC地址或目標(biāo)IP地址)，然后采取一些行動(dòng)，這可能要取決于交換機(jī)部署，但通常涉及通過(guò)給定物理或邏輯端口轉(zhuǎn)發(fā)數(shù)據(jù)包。

對(duì)于大多數(shù)數(shù)據(jù)中心用例，不需要這種細(xì)致的控制，因?yàn)閿?shù)據(jù)中心的帶寬通常很豐富。因此，可能不需要基于網(wǎng)絡(luò)表頭參數(shù)的詳細(xì)路徑?jīng)Q定，并可能給數(shù)據(jù)中心網(wǎng)絡(luò)管理員帶來(lái)不必要的開銷。

此外，OpenFlow協(xié)議假定特定硬件架構(gòu)使用一系列通用表查詢來(lái)生成行動(dòng)到數(shù)據(jù)包。這種對(duì)底層硬件架構(gòu)的看法限制了可擴(kuò)展性和可移植性。更高的抽象水平允許不同的特定硬件架構(gòu)提供特定的優(yōu)勢(shì)，同時(shí)滿足API的要求。

● 商品芯片沒有為OpenFlow優(yōu)化： 大多數(shù)商品芯片都是為一般數(shù)據(jù)中心工作負(fù)載進(jìn)行了優(yōu)化。通常情況下，這種部署分配大量?jī)?nèi)存到轉(zhuǎn)發(fā)表來(lái)執(zhí)行最長(zhǎng)前綴匹配和鄰接，地址解析協(xié)議(ARP)和MAC及IP地址綁定查詢;部分內(nèi)存到ACL，通常使用三態(tài)內(nèi)容可尋址存儲(chǔ)器(TCAM)--優(yōu)化用于掩蔽、數(shù)據(jù)包匹配和動(dòng)作集。

OpenFlow表使用交換機(jī)內(nèi)后一種形式的內(nèi)存。然而，轉(zhuǎn)發(fā)存儲(chǔ)器在ACL內(nèi)存內(nèi)不容易更改，所以，現(xiàn)在的商品芯片中安裝流條目的內(nèi)存總量很有限。如前所述，如果出現(xiàn)任何故障，數(shù)據(jù)包可能會(huì)被意外刪除或轉(zhuǎn)發(fā)到SDN控制器以作進(jìn)一步處理。

思科ACI如何解決SDN新挑戰(zhàn)

下一代SDN架構(gòu)必須解決所有這些挑戰(zhàn)，讓我們來(lái)看看思科ACI的做法：

● 基于軟件的虛擬覆蓋難以管理和故障排除： 思科ACI不僅僅依靠基于軟件的虛擬覆蓋來(lái)進(jìn)行連接。雖然思科ACI確實(shí)部署了網(wǎng)絡(luò)覆蓋，但它在硬件中被實(shí)例化，并且，ACI的管理功能具有足夠的智能來(lái)提供全面的協(xié)調(diào)和情境化來(lái)展現(xiàn)底層或覆蓋網(wǎng)絡(luò)中哪些服務(wù)受到故障影響。

需要注意的是，思科ACI既支持終止在思科ACI架構(gòu)的基于軟件的覆蓋，也支持在上面運(yùn)行的覆蓋。這些是部署的可選模式，最終用戶可以決定如何部署工作負(fù)載。重點(diǎn)是，思科ACI不依賴于基于軟件的覆蓋來(lái)實(shí)現(xiàn)靈活性。

● OpenFlow協(xié)議對(duì)于數(shù)據(jù)中心太原始和具體化： 除了提供自動(dòng)化和靈活性，思科ACI還通過(guò)基于組的策略來(lái)描述數(shù)據(jù)中心的連接。由于策略意圖被抽象化，最終用戶可以定義數(shù)據(jù)中心內(nèi)某些事物如何連接到其他事物。這種抽象化的策略讓云編排工具、應(yīng)用程序和安全管理員更容易使用。

● 商品芯片沒有為OpenFlow優(yōu)化： 思科ACI使用商品芯片和思科開發(fā)的芯片來(lái)提供適當(dāng)?shù)墓δ?，并且該解決方案的價(jià)格極具吸引力。思科Nexus 9000系列交換機(jī)中的定制芯片包括內(nèi)存表結(jié)構(gòu)，使某些功能可以卸載到主板商品芯片，定制芯片專門用于策略執(zhí)行、封裝規(guī)范化和VXLAN路由等功能。

結(jié)論

IT行業(yè)正在經(jīng)歷重大的轉(zhuǎn)變，BYOD、大數(shù)據(jù)、云計(jì)算、IT即服務(wù)和安全都是熱門趨勢(shì)。與此同時(shí)，企業(yè)希望降低總體IT支出(通過(guò)降低資本開支和運(yùn)營(yíng)開支)，以及提高整體IT靈活性來(lái)向業(yè)務(wù)部門和職能部門提供更好的服務(wù)。網(wǎng)絡(luò)行業(yè)很多人認(rèn)為SDN是推動(dòng)行業(yè)前進(jìn)的模型，但該技術(shù)的部署面臨挑戰(zhàn)。

思科ACI并不是SDN的競(jìng)爭(zhēng)對(duì)手，而是作為催化劑，以幫助推動(dòng)SDN在整個(gè)IT行業(yè)的部署：在本質(zhì)上，作為SDN愿景的推動(dòng)者。雖然有些人稱思科ACI不是SDN，根據(jù)ONF白皮書對(duì)SDN的定義，思科ACI確實(shí)滿足SDN的要求。思科ACI也更進(jìn)了一步，解決了OpenFlow尚未解決的領(lǐng)域。

最終，業(yè)界將會(huì)是思科ACI(和SDN)是否成功的裁判，但從目前的興趣和部署勢(shì)頭來(lái)看，思科ACI很可能成為數(shù)據(jù)中心網(wǎng)絡(luò)的新常態(tài)。