摘要：華為雲Stack L2BR/L3GW服務采用硬件設備作為網關，充分發揮硬件的優勢，給客戶雲上雲下業務互通提供了高性能，低時延，靈活組網，靈活配置，穩定可靠的能力。
本文分享自華為雲社區《【華為雲Stack】【大架光臨】第5期：高性能雲網關，打通雲內外業務互通的任督二脈》，作者：華為雲Stack網絡架構師 姚博，華為雲Stack網絡技術專家 朱娜 。
一、業務場景
客戶本地數據中心的業務部署形態，經歷了使用傳統物理服務器、虛擬化、雲服務等多種不同的產品形態，並且這幾種形態由於客戶業務運行的需要，會存在相當一段時間的並存階段。由於雲計算能夠為客戶提供高效的業務部署能力、按需的擴容能力和多部門的資源共享能力等，並且為客戶業務創新和組織整合提供了強大的技術基礎，所以雲計算經過了十幾年的發展，技術理念上基本獲得了客戶的認可，並且現在政企雲場景，客戶業務上雲成為一種趨勢，甚至是KPI的考核。
企業業務上雲是一個漸進的過程，在這個過程中，會存在部分業務部署在雲上，部分業務部署在非雲形態的傳統物理機上，也就是說企業的業務網絡是覆蓋雲上雲下的混合組網；在這種業務場景下，雲平台需要提供一種傳統的物理underlay網絡和雲上的虛擬overlay網絡互通的能力，比如L2/L3互通，技術上來說，是能夠提供雲平台可控的L2BR/L3GW網元。
二、技術難點和關鍵需求
現有的方案是通過在X86或ARM服務器上部署軟網元來實現雲內雲外L2/L3的流量打通，這種方案在友商中使用的比較多，具有不依賴硬件的優勢，但是存在性能低、成本高等問題需要優化。企業的業務多種多樣，不同的業務對於雲平台提供的網絡互通能力有不同的要求，關鍵業務對L2BR/L3GW有了更多要求：
高帶寬/低成本：比如在數倉備份業務的場景下，把雲上的數據備份到雲下的NBU Media Server，備份出口帶寬高達500Gbps；通過服務器構建的軟網元L2BR/L3GW，需要數十個網元才能組成一個高帶寬的集群，成本高，並且集群規模有上限，到達瓶頸后，無法再擴容了，滿足不了業務帶寬持續增長的訴求；還有就是集群規模變大后，引入了管理和維護復雜的問題；
圖1 數倉備份業務使用場景
低時延/高擴展：比如雲平台提供的分布式數據庫同城雙活高可靠場景，數據庫集群跨AZ部署，集群內實時備份，集群同時對雲下客戶端提供服務，高負載情況下，時延要求低於2ms；而在提供了低延遲的同時，還要提供L2BR/L3GW多集群的調度能力，以及集群整體故障的流量遷移調度能力。通過服務器構建的軟網元L2BR/L3GW，端到端鏈路上變長，時延較大，並且時延隨着負載變大而增大，滿足不了這種穩定的低時延要求。
圖2：數據庫高可靠低時延場景
靈活物理組網：雲上雲下互通，必然會經過一個網關節點，一邊接入雲上的overlay網絡，另一邊接入數據中心underlay網絡，由於不同數據中心部署環境不同，網關的組網要求也不同，常見的有堆疊組網，VRRP組網，雙活口字型組網以及雙活交叉組網；通過服務器構建的軟網元L2BR/L3GW，組網上有額外限制，vlan需要延伸到多個TOR，這對於物理網絡配置要求較高的客戶來說不可接受。
圖3：數據中心常見組網分類
硬件設備利舊：對於金融行業客戶以及部分政企行業客戶，由於其業務的重要性，以及使用習慣和技術棧等原因，偏好使用成熟穩定的硬件設備來承擔雲上網絡服務的職責，基於客戶已購的設備資產，使用硬件設備做L2BR/L3GW網關，相比於服務器，物理組網不僅更簡單，成本也更低。
三、適配政企的網絡互通方案
華為雲Stack一直致力於給企業客戶提供本地最優的雲基礎設施以及雲服務，基於客戶業務雲上雲下L2/L3互通的訴求，華為雲Stack 基礎服務 L2BR/ L3GW雲網關服務，采用硬件交換機作為網關轉發面實現，完美滿足上述的高性能、低時延、低成本、靈活組網、彈性擴展的訴求，並且維護簡單，轉發穩定。
L2BR是高速、低時延、穩定安全的專屬二層連接通道，用於滿足傳統業務遷移上雲過程中，要求業務IP地址不變的訴求。從邏輯上看，L2BR服務把雲內的子網延伸到雲外，對於那些不能一次全部遷移到雲上，同時覆蓋雲上雲下的業務非常重要，這類業務使用L2BR服務，不僅可以保留子網，還可以保留IP地址，上雲的時候，與它交互的其它客戶端不需要做任何修改，雲外的網絡或者安全配置也不需要調整，上雲變得簡單易行。
L3GW是高速、低時延、穩定安全的專屬三層連接通道。三層組網相比二層組網，廣播域小，靈活性高，因此，雲上雲下三層互通是業務上雲過程中的普遍訴求。
圖4：L2BR/L3GW使用場景
L2BR/L3GW雲服務架構簡介
L2BR/L3GW服務有獨立的Console便於用戶自助使用，編排層調用管理層提供的API下發配置，控制層有獨立的device manager管控L2BR/L3GW交換機，device manager里scheduler模塊用於在不同的網關節點上做調度，可以滿足故障場景的高可靠；manager模塊用於和交換機交互。數據層通過L2BR/L3GW交換機連接雲內和雲外網絡。
圖5：L2BR/L3GW整體架構
L2BR/L3GW雲服務設計關鍵點
1. 靈活物理組網以及豐富的路由協議
網絡管理員除了分配物理網絡資源，還可以自定義L3GW的組網，滿足個性化需求；L3GW和PE之間路由互通，可以使用靜態路由配置，也可以使用BGP動態學習和通告路由。
2. 高帶寬低時延
除了硬件設備帶來的高帶寬低時延，雲外資源通過L2BR/L3GW和雲內服務器互通一跳直達，在雲內不會經過其它集中式網關，保證最優的帶寬和時延。另外，處理器的性能至關重要，使用華為自研的設備做L2BR/L3GW的網關，相比帶寬和同等數量服務器實現的網關，性價比提升60倍。
3. 彈性擴容
隨着雲計算的普及，雲上業務規模越來越大，對L2BR/L3GW的規格要求也會越來越高，因此，L2BR/L3GW在設計時就考慮了彈性擴容的訴求。大規模場景下，客戶可以按需擴容多組L2BR/L3GW網關，不同的L2BR/L3GW網關給不同的VPC提供服務。有了彈性擴容能力，還可以支持數據中心有多個網絡分區的企業客戶，要求接入不同網絡分區時物理設備隔離以及帶寬獨享，在這種場景下可以使用不同的L2BR/L3GW設備的網關來接不同的網絡分區，雲上的單個VPC同時接入這些網絡分區。通過L2BR/L3GW網關多集群可以提供高達72T帶寬能力，並且可以持續提升。
L2BR/L3GW雲服務南向開放生態設計考慮
避免廠商鎖定一直是企業IT要解決的重要問題，企業客戶在選擇雲廠商的時候，希望可以靈活的選擇不同供應商的設備來降低風險。
我們注重開放生態建設，和生態伙伴一起攜手，更好的服務客戶。華為雲Stack將推出雲網絡南向生態框架，集成第三方設備，L2BR/L3GW服務不再依賴華為CloudEngine交換機，而是可以采用第三方廠商的交換機來給客戶提供相同的功能和體驗。
雲網絡南向生態框架提供了以標准化的接口快速對接不同第三方廠商設備的能力：
- 框架定義了南向集成第三方設備的標准協議和API，不同的廠商的硬件設備控制器以相同的方式對接框架。
- 框架提供了南向SDK，廠商基於南向SDK開發硬件設備控制器，便於廠商自主驗證測試，降低對接難度。
- 框架提供了通用的北向標准API，可以靈活擴展模型，基於硬件設備提供更多的服務。
L2BR/L3GW雲服務的易用性
L2BR/L3GW雲服務是用於連接傳統物理網絡的，物理網絡離不開網絡管理員的規划和管理，因此L2BR/L3GW設計時充分考慮了網絡管理員和業務人員的角色划分和職責分工，在使用上采用基於角色的分權控制，由網絡管理員規划和分配雲上雲下邊界互聯設備的IP資源以及VLAN資源，授權給業務人員使用，這樣對於網絡管理員來說，既可以做到網絡統一規划，防止網絡沖突，也可以強管控雲平台出口流量，合理規划網絡帶寬；對於業務人員來說，又不用學習復雜的網絡知識，只需要基本的網絡基礎也可以使用L2BR/L3GW服務。
圖6：管理員在運維Console上配置和分配L2BR網絡資源
圖7：管理員在運維Console上配置和分配L3GW網絡資源
圖8：業務人員在運營Console上使用L2BR服務
圖9：業務人員在運營Console上使用L3GW服務
四、寫在最后
華為雲Stack L2BR/L3GW服務采用硬件設備作為網關，充分發揮硬件的優勢，給客戶雲上雲下業務互通提供了高性能，低時延，靈活組網，靈活配置，穩定可靠的能力。L2BR/L3GW以其強大的功能以及簡單易用等優勢，在政務、金融、醫保等諸多行業得到了普遍的使用。未來，華為雲Stack通過南向生態框架，集成第三方廠商設備，構建開放生態，滿足客戶的個性化需求，把L2BR/L3GW持續做強，為客戶業務平滑上雲提供保障。