簡単構築！ OpenStack 仮想ネットワークファブリックスイッチ２台から簡単構築できるBrocade OpenStack 仮想ネットワーク。 Neutronとの連携により、L2/L3ネットワークに加え FWaaS/LBaaS等のネットワークサービスも柔軟かつ迅速に提供が可能になります。従来の各ベンダーのハードウェアに強く依存する構成では、サービスのマイグレー L2 ます。そこで、これからのクラウド基盤では、まずサーバ、ストレージ、ネットワークなどファイアウォールルータネットワークションやハードウェアの交換が困難で、柔軟かつ効率的なリソース活用に制限がありロードバランサのハードウェアを抽象化します。さらに、パフォーマンスを劣化させることなく、ハードウェアへの依存を完全に排除した形でサービスを展開できることが求められます。 OpenStack 仮想ネットワーク導入メリット 1 インフラ運用に人、手間を掛けないクラウド基盤を実現 2 抽象化を実現し、最新ハードウェアの性能向上を即座に享受 3 その時々に最適な製品をテナントに意識させることなく導入 4 データセンターライフサイクルマネジメントの実現 ①利用効率の向上 ②消費電力の低減 ③パフォーマンスの向上 5 部分最適化ではなく全体的な最適化を実現ネットワークの完全抽象化ハードウェア Brocade 仮想ネットワークの特徴 1 2 3 4 5 VDX2台から始められるスモールスタート構成要件によりハードウェアとソフトウェアを自在に選択高度かつ柔軟な仮想ネットワークサービスを提供シンプルさを維持しながら高い通信性能と安定性を確保サービス断の無いリソース追加、ネットワーク拡張ソフトウェア LBaaS ADX(LB) vADX(LB) FWaaS VDX(ACL) Vyatta(ファイアウォール) L3 VDX(VE/VRRP) Vyatta(ルータ、ゲートウェイ、Floating IP) L2 VDX(VLAN) Brocade OpenStack Plug-in Brocade OpenStack 対応製品イーサネットファブリックとは？ Brocade VDX6740 ？ ● ● ● クラウドへの進化により発生するネットワークの新たな課題にどのように対応するべきか増加し続けるデータセンター内トラフィックトラフィック・フローの流動化・複雑化システム・インフラ全体の運用体制の変化イーサネット・ファブリックでデータセンター全体を最適化 Brocade VDX8770 ● ● Brocade VDX 6740は、10G/40Gに対応したクラウド・ネットワーキングに最適なイーサネット・ファブリックスイッチ。ポート・オンデマンドで最少24ポートから最大 64ポートまで、8ポートずつ柔軟に拡張が可能です。高い拡張性を持ち、 Brocade VDX 8770は、 100 GbEにも対応。 4スロット8U型と8スロット15U型を提供しています。 ● ● 低遅延、高スループット最適なリソース利用の実現スモールスタート可能な基盤マルチベンダーのオープン性既存の資産を活かしながらビジネスの競争力を加速！ ● ● ● ● 高可用性、高信頼性オープン性により既存資産との親和性を実現災害対策など付加サービスを実現 SLAの向上 Brocade Vyatta vRouterは、迅速な導入かつ柔軟性が求められる時代に対応したx86サーバ上で動くIntel DPDK対応の高速仮想ルータ。最新のvPlaneテクノロジを採用し、ルータのコントロール・プレーンをデータ・プレーンから分 Brocade Vyatta vRouter 離し、ハードウェア機器に匹敵するルーティング性能をソフトウェア・ベースの製品で実現します。利用例仮想OSPF/BGP ルータ仮想ルート・リフレクタ Brocade ADX1000 仮想ファイアウォール仮想VPNゲートウェイ仮想CPE 仮想PE/CE Brocade ADXシリーズは、物理と仮想の両プラッアトフォームに対応したロードバランサーです。プリケーションの性能を最大限に高める分散アーキテクチャの上に構築されており、マネジメント・プレーンとデータ・プレーンを物理的に完全に切り離しています。 Brocade Vyatta vADX Brocade vADX 仮想アプライアンス Intel DPDK対応仮想環境上で容易に活用可能 ● L4SLBおよびL7SLB OpenScriptによる柔軟な負荷分散制御キャパシティオンデマンドによるスケールアップ ● ● ● ● L2、L3、ファイアウォールの抽象化 VDX FWaaSプラグインファイアウォール作成テナントユーザがルール、ポリシー、ファイアウォールを設定すると、自動的にテナントのL3インタフェース上にACLが適用されます。 VDX FWaaSプラグインは、IP ACLを用いて、FWaasルールを実現します。 ● テナントあたり、ひとつのファイアウォールが設定できます。 ● Firewallのアップデートの際には、一度ACLはクリアされて、再適用されます。 ● ACLのデフォルトアクションはドロップとなります。 ● 管理者がシステム全体向けのファイアウォールルールを適用することもできます。 sw0# sh ru rbridge-id 1 interface Ve 101 rbridge-id 1 interface Ve 101 ip access-group openstack-acl-dd7a86fd2df26003 out ip address 10.0.3.1/24 no shutdown ! sw0# sh ru ip access-list ip access-list extended openstack-acl-dd7a86fd2df26003 seq 100000 permit tcp 10.0.0.0 0.255.255.255 10.0.0.0 0.255.255.255 count log ! 設定 Neutron設定ファイルでVDX FWaaSプラグインを有効後、 ML2のBrocade設定ファイルを編集します。 % cat /etc/neutron/plugins/ml2/ml2_conf_brocade.ini [Fwaas] seq_ids=100000:200000 #direction can be configured as egress/ingress/both #by default direction will be both direction=both|in|out #user can enable count the number of acl hits and log it by below flags #by default these flags are false count = True log=True プラグイン VDX L3/VE（Virtual Ethernet）テナントルータをサポートし、 VDX L3/VEプラグインでは、ハードウェアベース・ルーティングの自動設定をすることができます。 no shutdown sw0# show running-config rbridge-id 2 rbridge-id 2 ... interface Ve 101 ip address 10.0.3.3/24 vrrp-group 1 virtual-ip 10.0.3.1 priority 2 no shutdown ! interface Ve 102 ip address 10.0.2.2/24 vrrp-group 1 virtual-ip 10.0.2.1 priority 2 no shutdown 設定 ML2 のブロケード設定ファイルで、実際にL3 ルーティングを行うVDXノード（rbridge ID）を指定します。この時、2つのrbridgeを指定すると、自動で冗長設定されます。 % cat /etc/neutron/plugins/ml2/ml2_conf_brocade.ini [ml2_brocade] rbridge_id= 1,2 ルータ/インタフェースの作成テナントユーザがルータおよびインタフェースを作成すると、VDX上にVRRPの設定を含んだL3インタフェースが２台のVDXに対して自動で作成されます。 sw0# show running-config rbridge-id 1 rbridge-id 1 .... interface Ve 101 ip address 10.0.3.2/24 vrrp-group 1 virtual-ip 10.0.3.1 priority 1 no shutdown ! interface Ve 102 ip address 10.0.2.2/24 vrrp-group 1 virtual-ip 10.0.2.1 priority 1 ルータ/インタフェースの削除テナントユーザがルータのインタフェースを削除すると、設定されていた L3インタフェースが削除されます。 VDX ML2プラグイン ML2プラグインでは、ハードウェアスイッチの設定を行うメカニズムドライバーが必要となります。ML2のBrocade メカニズムドライバーは、NETCONFを使い、バックエンドの Brocade VDXスイッチの設定を行います。現在このメカニズムドライバのサポートは VLANのみとなっています。 Neutron Neutron ML2 plugin Brocade メカニズムドライバ NETCONF 設定プラグインを使うために、Brocade設定ファイルを編集します。 % cat /etc/neutron/plugins/ml2/ml2_conf_brocade.ini [switch] username = admin password = password address = <switch mgmt ip address> ostype = NOS physical_networks = phys1 また、Brocadeメカニズムドライバを利用できるようにML2設定ファイルの編集を行います。また、テナントへ割り当てるVLANのレンジもここで指定します。 Brocade VDX67xx VDX87xx % cat /etc/neutron/plugins/ml2/ml2_conf.ini [ml2] tenant_network_types = vlan type_drivers = local,flat,vlan,gre,vxlan mechanism_drivers = openvswitch,brocade # OR mechanism_drivers = openvswitch,linuxbridge,hyperv,brocade [ml2_type_vlan] network_vlan_ranges = physnet1:101:600 Vyatta FWaaSプラグインゾーンベースのステートフルファイアウォールを用いて、FWaaSルールを実現します。 VDX FWaaSプラグインは、ファイアウォール作成テナントユーザがルール、ポリシー、ファイアウォールを設定すると、自動的にVyatta vRouterにFirewall、Zone Policyが適用されます。 vyatta@test# sh firewall name fw1 { rule 1 { action accept destination { address 10.0.2.0/24 port 80 } protocol tcp source { address 10.0.0.0/14 } } } state-policy { established { action accept } related { action accept } } [edit] name fw1 } } interface eth1 vyatta@test# sh zone-policy zone External_Untrust { from Internal_Trust { firewall { } zone Internal_Trust { from External_Untrust { firewall { name fw1 } } interface eth2 } [edit] Vyatta L3プラグインクラウド環境での、Vyatta vRouter デプロイを自動で行います。またテナントルータ、ゲートウェイ機能（SNAT）、FloatingIP（DNAT)をサポートしています。テナントルータは、ネットワークノードではなく、コンピュートノード上で起動します。設定各コンピュートノードで、管理用セグメント（ br-mng) 、VM 間通信用セグメント（br-ex)を作成します。 (br-int)、外部セグメント vRouter設定ファイルは、下記のように編集します。 % cat /etc/neutron/plugins/brocade/vyatta/vrouter.ini [vrouter] tenant_admin_name = admin tenant_admin_password = password tenant_id = xxxxx keystone_url = http://xxxx:5000/v2.0 image_id = xxxxx flavor = 2 management_network_id = xxxx Floating IP 機能 VMへFloating IPを設定すると、Vyatta vRouterにDNATが自動的に設定されます。ルータの作成テナントユーザがルータを作成するとVyatta vRouterのイメージがコンピュートノード上に自動で起動されます。ルータインタフェースの作成テナントユーザがルータインタフェースを作成すると、起動している Vyatta このとき、vRouterはプラグアンド vRouterにインタフェースがアサインされます。プレイより追加されたインタフェースを認識できるため、VMの再起動の必要はありません。ゲートウェイ機能テナントユーザはルータにゲートウェイを設定することで外部ネットワーク（パブリックネットワーク）へアクセスできるようになります。このとき、V y a t t a vRouterにSNATが自動的に設定されます。ネットワークの作成テナントユーザがネットワークを作成し、VMを起動すると、該当のポートに VLANが自動的に割り当てられます。 sw0# show running-config interface ten 1/0/1 interface TenGigabitEthernet 1/0/1 switchport switchport mode trunk switchport trunk allowed vlan add 102,104 no shutdown ! vyatta@test# sh nat source { rule 4001 { outbound-interface eth1 source { address 10.0.101.0/24 } translation { address 10.0.0.61 } } } [edit] vyatta@test# sh nat destination { rule 1 { destination { address 10.0.0.62 } inbound-interface eth1 translation { address 10.0.101.3 } } } ネットワークの削除テナントユーザが VMとネットワークを削除すると、該当のポートのVLANが自動的に削除されます。 sw0# show running-config interface ten 1/0/1 interface TenGigabitEthernet 1/0/1 switchport switchport mode trunk switchport trunk allowed vlan add 102 no shutdown ! Bondingインタフェースへの対応サーバが接続するインタフェースは、Bondingで2台のスイッチへ接続でき、複数のポートをvLAG を含めて自動的に設定できます。 vLAG Bonding ロードバランサーの抽象化 B ro ca de AD X B ro Physical ADX AD ca de ADX/vADX LBaaSプラグイン X Physical ADX ハードウェアベースLBaaS ADX/vADX LBaaSプラグインは、ハードウェアのADX、仮想アプライアンスのvADXの両方に対応しています。LBaaSプラグインにより、Virtual IP(VIP)、メンバー、ヘルスモニターの設定を自動化することができます。サポートされる機能プロトコル : HTTPS、HTTP、TCP ADX・vADXの設定 ADX/vADXの基本設定（インタフェース、ルーティングなど）負荷分散方式 : ROUND_ROBIN、LEAST_CONNECTIONS は事前に手動で行い、NeutronからADX/vADXの登録を行いセッション永続性 : SOURCE_IP ます。モニター : TCP、HTTP、HTTPS telnet@ServerIronADX 1000#sh ru !Building configuration... !Current configuration : 1288 bytes ! … ! server real 10.0.3.2 10.0.3.2 port http port http url"HEAD /" ! Virtual ADX メンバー、ヘルスモニターの作成 VIP、テナントユーザが VIP 、メンバー、ヘルスモニターの設定を行うと、ADX/vADXへ自動的に設定が適用されます。 server real 10.0.3.4 10.0.3.4 port http port http url"HEAD /" ! server group-real pool1 ! server virtual vip1 10.0.2.252 predictor round-robin port http sticky bind http 10.0.3.2 http 10.0.3.4 http Virtual ADX ソフトウェアベースLBaaS Yahoo! JAPAN パフォーマンス比較事例オープンにコミットするブロケードをパートナーに。プラグインの活用によって性能ロスのない仮想ネットワークとFWaaSを実現ネットワーク部分 OpenStackを軸に据えたクラウド基盤の設計を進めていたヤフーでは、検証結果 50VM に対しての設計にあたり、「共に創る＝共創」の取り組みができるかどうかを軸に、ネットワークベ通信速度ンダーの選定を実施。その結果、同社の大規模なApache Hadoop 基盤を支えるネット 20.0 ワークでの導入実績はもとより、会社としてのオープンな技術への積極的な取組みとコ 15.0 ミットメントを評価し、ブロケードをパートナーとして選定した。 10.0 同社のOpenStack基盤では、データセンターの上位ネットワークを支えるコアスイッチに 5.0 （以下、ラック群を集約するアグリ Brocade MLXe スイッチング・ルータ Brocade MLXe）、ゲーション・スイッチとラック内のトップオブラック（ToR）スイッチにBrocade VDX シリーズスイッチ（以下、を組み合わせている。 Brocade VDX） 0.0 OpenStackでは、OpenStack Networking（Neutron）がネットワークの抽象化を担っているが、ヤフーの OpenStack 基盤では、ヤフーとブロケードが共同開発した Brocade Neutron Plugin for VDX/VCSを活用することで性能ロスのない仮想ネットワークサービスとFWaaS（Firewall-asa-Service）を実現している。同社の計測によれば、ソフトウェアベースのGRE（Generic Routing Encapsulation）トンネリングと比較して8倍のスループットと2分の1のレイテンシを達成している。ブロケードコミュニケーションズシステムズ株式会社転送速度 3000 Kpps Gbps 8倍 9倍 1000 gre tunnel VDX 応答時間 3.00 ms 1.00 0 gre tunnel 構成 Kernel Open vSwitch ML2 driver gre tunnel VDX 今回の検証構成 1 倍 2 2.00 0.00 2000 VDX Open vSwitch + VDX 2.6.32 Open vSwitch + gre tunnel 2.6.32 2.3 2.3 Open vSwitch + VDX Plugin Open vSwitch ブロケードに関するより詳しい情報は、以下のWebサイトをご覧ください。 © 2015 Brocade Communications Systems, Inc. All rights reserved. 01/15 ADX, Brocade, Brocade Assurance, the B-wing シンボル、DCX, Fabric OS, HyperEdge, ICX, MLX, MyBrocade, OpenScript, VCS, VDX, Vyatta は登録商標であり The Effortless Network and The On-Demand Data Centerは米国またはその他の国における Brocade Communications Systems, Inc.,の商標です。その他のブランド、製品名、サービス名は各所有者の製品またはサービスを示す商標またはサービスマークである場合があります。注意：本ドキュメントは情報提供のみを目的としており、Brocadeが提供しているか、今後提供する機器、機器の機能、サービスに関する明示的、暗示的な保証を行うものではありません。Brocadeは、本ドキュメントをいつでも予告なく変更する権利を留保します。また、本ドキュメントの使用に関しては一切責任を負いません。本ドキュメントには、現在利用することのできない機能についての説明が含まれている可能性があります。機能や製品の販売/サポート状況については、 Brocadeまでお問い合わせください。