仇玉雪，趙晶晶，邱逸昌，張海英，趙永平，原 奕，李 凱，周 樂

（北京衛(wèi)星環(huán)境工程研究所，北京 100094）

0 引言

“空間環(huán)境地面模擬裝置”（ 國家大科學(xué)工程項(xiàng)目）作為大型空間綜合環(huán)境地面模擬平臺，用于實(shí)現(xiàn)空間主要環(huán)境因素及其效應(yīng)的模擬。該裝置共劃分為5 個(gè)系統(tǒng)：空間綜合環(huán)境模擬與研究系統(tǒng)，磁環(huán)境模擬與研究系統(tǒng)，空間等離子體環(huán)境模擬與研究系統(tǒng)，數(shù)值仿真與中央監(jiān)控系統(tǒng)及配套系統(tǒng)。數(shù)值仿真與中央監(jiān)控系統(tǒng)是“空間環(huán)境地面模擬裝置”中實(shí)驗(yàn)設(shè)備的集中監(jiān)控樞紐和實(shí)驗(yàn)數(shù)據(jù)的匯聚中心，為裝置及其運(yùn)行的實(shí)驗(yàn)提供全生命周期的管理與支持服務(wù)，包括數(shù)據(jù)采集、實(shí)驗(yàn)和安全監(jiān)控、集中展示、數(shù)據(jù)存儲、運(yùn)行管理、數(shù)值仿真、數(shù)據(jù)共享以及配套系統(tǒng)的監(jiān)管。該系統(tǒng)融合了8 類實(shí)驗(yàn)分系統(tǒng)（綜合環(huán)境模擬分系統(tǒng)、空間生命科學(xué)分系統(tǒng)、微觀機(jī)理分析分系統(tǒng)、離子加速器分系統(tǒng)、器件離子輻照分系統(tǒng)、空間磁環(huán)境模擬與研究分系統(tǒng)、空間等離子體環(huán)境模擬與研究分系統(tǒng)、低能加速器輻射防護(hù)分系統(tǒng)），1 套配套系統(tǒng)（實(shí)驗(yàn)區(qū)空調(diào)控制系統(tǒng)、低能區(qū)冷卻水控制系統(tǒng)、智能樓宇監(jiān)控系統(tǒng)和建筑信息模型）以及門禁、視頻、電話系統(tǒng)業(yè)務(wù)，是集多種實(shí)驗(yàn)測控、高算仿真、多媒體等業(yè)務(wù)的多網(wǎng)融合系統(tǒng)。多種業(yè)務(wù)、多類別數(shù)據(jù)在同一張網(wǎng)絡(luò)中傳遞，各類業(yè)務(wù)要求邏輯隔離，不同業(yè)務(wù)的差異性在同一張物理網(wǎng)絡(luò)中疊加，根據(jù)業(yè)務(wù)需求變化而不斷調(diào)整的網(wǎng)絡(luò)拓?fù)洌约罢鹗幍木W(wǎng)絡(luò)環(huán)路給網(wǎng)絡(luò)設(shè)計(jì)、實(shí)施、維護(hù)帶來了負(fù)擔(dān)，這些都對網(wǎng)絡(luò)可靠性提出更高的要求，對傳統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)提出挑戰(zhàn)。

針對以上問題，本文提出采用網(wǎng)絡(luò)虛擬化技術(shù)對數(shù)值仿真與中央監(jiān)控系統(tǒng)網(wǎng)絡(luò)進(jìn)行設(shè)計(jì)，構(gòu)建多業(yè)務(wù)統(tǒng)一承載的網(wǎng)絡(luò)，以有效解決大規(guī)模網(wǎng)絡(luò)的復(fù)雜拓?fù)洌喕W(wǎng)絡(luò)規(guī)劃，降低設(shè)計(jì)復(fù)雜度，消除網(wǎng)絡(luò)環(huán)路，提升網(wǎng)絡(luò)帶寬，增強(qiáng)網(wǎng)絡(luò)的可靠性和安全性。

1 網(wǎng)絡(luò)虛擬化技術(shù)

網(wǎng)絡(luò)虛擬化的核心目標(biāo)是通過虛擬化技術(shù)，將一個(gè)物理網(wǎng)絡(luò)分割為多個(gè)虛擬網(wǎng)絡(luò)，或者將多個(gè)物理網(wǎng)絡(luò)抽象為一個(gè)邏輯虛擬網(wǎng)絡(luò)，使不同的虛擬網(wǎng)絡(luò)之間的服務(wù)質(zhì)量能夠得到不同級別的保障，從而為上層的應(yīng)用提供網(wǎng)絡(luò)服務(wù)。在服務(wù)器領(lǐng)域啟用虛擬化技術(shù)，運(yùn)行多臺虛擬機(jī)，可提升物理資源利用率，形成1∶N 虛擬化；將多臺服務(wù)器整合，對外提供服務(wù)，稱為N∶1 虛擬化。對于網(wǎng)絡(luò)，虛擬化技術(shù)應(yīng)用有著類似體現(xiàn)，在一張網(wǎng)絡(luò)中采用虛擬化技術(shù)分割出彼此隔離的多個(gè)邏輯網(wǎng)絡(luò)，即1∶N 方式虛擬化的應(yīng)用；同樣，將多臺獨(dú)立的設(shè)備在同一節(jié)點(diǎn)虛擬成一臺設(shè)備，簡化網(wǎng)絡(luò)結(jié)構(gòu)，即N∶1 虛擬化。虛擬化技術(shù)軟件體系架構(gòu)如圖1 所示，其中：虛擬化模塊的功能在于自動進(jìn)行系統(tǒng)的拓?fù)浣Y(jié)構(gòu)收集、角色選舉，并將多臺設(shè)備虛擬成一臺邏輯設(shè)備；硬件系統(tǒng)是組成虛擬化節(jié)點(diǎn)的硬件設(shè)備；設(shè)備管理層可通過軟件對各節(jié)點(diǎn)上虛擬化設(shè)備的接口、板塊等資源進(jìn)行管理；系統(tǒng)管理與上層應(yīng)用模塊可對各種路由協(xié)議模塊、鏈路層協(xié)議模塊等進(jìn)行管理和控制。

圖1 虛擬化技術(shù)軟件架構(gòu)Fig. 1 Structure of the virtualization technology software

2 基于虛擬化技術(shù)的網(wǎng)絡(luò)拓?fù)?/h2>

2.1 網(wǎng)絡(luò)橫向整合

數(shù)值仿真與中央監(jiān)控系統(tǒng)網(wǎng)絡(luò)采用星型拓?fù)浣Y(jié)構(gòu)搭建，各節(jié)點(diǎn)采用雙設(shè)備部署，利用網(wǎng)絡(luò)虛擬化技術(shù)對網(wǎng)絡(luò)橫向整合，實(shí)現(xiàn)1∶N 虛擬化。網(wǎng)絡(luò)拓?fù)淙鐖D2 所示。

圖2 數(shù)值仿真與中央監(jiān)控系統(tǒng)網(wǎng)絡(luò)拓?fù)銯ig. 2 Network topology of numerical simulation and central monitoring system

1）對圖中核心層、匯聚層交換機(jī)利用虛擬化技術(shù)進(jìn)行橫向整合，整合后的網(wǎng)絡(luò)從邏輯上簡化了網(wǎng)絡(luò)架構(gòu)，構(gòu)成單一邏輯節(jié)點(diǎn)，從而使同一節(jié)點(diǎn)對多臺設(shè)備的管理簡化至對單一邏輯設(shè)備的管理，在設(shè)備管理地址分配、網(wǎng)關(guān)設(shè)定方面都起到了簡化作用，不必為邏輯設(shè)備中的多臺設(shè)備分別設(shè)置獨(dú)立的管理地址。

2）無需啟用虛擬路由冗余協(xié)議（virtual router redundancy protocol, VRRP）做路由冗余設(shè)置，可實(shí)現(xiàn)跨設(shè)備鏈路聚合功能，簡化了對多條物理鏈路的管理。通過聚合鏈路，可提升網(wǎng)絡(luò)帶寬，無需依賴生成樹協(xié)議（spanning tree protocol, STP）進(jìn)行環(huán)路探測，避免網(wǎng)絡(luò)鏈路中環(huán)路的形成而導(dǎo)致的網(wǎng)絡(luò)不可用情況發(fā)生。

3）當(dāng)單臺虛擬化節(jié)點(diǎn)交換機(jī)成員發(fā)生故障時(shí)，二層、三層拓?fù)錈o需進(jìn)行重新收斂，路徑可靠性增強(qiáng)。虛擬化的思想是將多臺設(shè)備合并成單臺高密度端口的設(shè)備，因此節(jié)點(diǎn)內(nèi)有多個(gè)設(shè)備控制器，構(gòu)成節(jié)點(diǎn)的設(shè)備分為master 和非master 設(shè)備，以及slave設(shè)備。master 與slave 設(shè)備保持同步關(guān)系，在業(yè)務(wù)處理方面，master 全面負(fù)責(zé)。當(dāng)主設(shè)備master 出現(xiàn)故障，會從其他slave 中重新選出新主設(shè)備接替業(yè)務(wù)，因此網(wǎng)絡(luò)節(jié)點(diǎn)不會因master 設(shè)備故障而導(dǎo)致節(jié)點(diǎn)失效。在數(shù)值仿真與中央監(jiān)控系統(tǒng)網(wǎng)絡(luò)中采用基于鏈路狀態(tài)的路由協(xié)議——開放式最短路徑優(yōu)先（open shortest path first, OSPF）路由協(xié)議，當(dāng)master收到鄰居路由節(jié)點(diǎn)發(fā)送的update 報(bào)文時(shí)，會觸發(fā)本地路由表更新，同時(shí)會立即轉(zhuǎn)發(fā)新路由信息給節(jié)點(diǎn)內(nèi)其他成員設(shè)備，其他成員設(shè)備也會立刻更新路由表，保證虛擬化節(jié)點(diǎn)內(nèi)各物理設(shè)備內(nèi)的路由信息同步；當(dāng)slave 設(shè)備收到鄰居節(jié)點(diǎn)發(fā)來的路由更新時(shí)，會將報(bào)文發(fā)送給master 設(shè)備進(jìn)行處理。如此，保證了路由信息處理統(tǒng)一通過master 設(shè)備進(jìn)行，然后再更新、同步至各個(gè)節(jié)點(diǎn)內(nèi)其他設(shè)備。當(dāng)master 出現(xiàn)故障時(shí)，新當(dāng)選的master 可以無縫接手工作，不會影響到虛擬化節(jié)點(diǎn)的數(shù)據(jù)轉(zhuǎn)發(fā)工作。此種機(jī)制可以有效保證二、三層數(shù)據(jù)流不因節(jié)點(diǎn)內(nèi)master 故障而導(dǎo)致業(yè)務(wù)中斷。

2.2 網(wǎng)絡(luò)縱向隔離

數(shù)值仿真與中央監(jiān)控系統(tǒng)是一張物理連通，融合多種業(yè)務(wù)、多種數(shù)據(jù)的網(wǎng)絡(luò)，利用網(wǎng)絡(luò)虛擬化技術(shù)對網(wǎng)絡(luò)進(jìn)行縱向隔離，實(shí)現(xiàn)N∶1 虛擬化。網(wǎng)絡(luò)結(jié)構(gòu)如圖3 所示。

圖3 數(shù)值仿真與中央監(jiān)控系統(tǒng)業(yè)務(wù)縱向隔離網(wǎng)絡(luò)示意Fig. 3 Vertical segregation network of numerical simulation and central monitoring system services

將實(shí)驗(yàn)分系統(tǒng)層中的實(shí)驗(yàn)業(yè)務(wù)與配套業(yè)務(wù)層中的配套服務(wù)業(yè)務(wù)利用虛擬路由轉(zhuǎn)發(fā)（virtual routing and forwarding, VRF）技術(shù)進(jìn)行網(wǎng)絡(luò)端到端隔離；將同一張網(wǎng)絡(luò)縱向按需分割成多個(gè)貫穿全網(wǎng)的邏輯通道，獨(dú)立業(yè)務(wù)間無需數(shù)據(jù)交換；部署在應(yīng)用資源層的應(yīng)用系統(tǒng)、高性能計(jì)算和數(shù)據(jù)存儲作為公共資源為不同業(yè)務(wù)提供服務(wù)，根據(jù)實(shí)際需求劃入不同VRF 域中，從而確保每個(gè)邏輯網(wǎng)絡(luò)中所承載的業(yè)務(wù)相互獨(dú)立。

3 基于虛擬化技術(shù)的數(shù)據(jù)中心網(wǎng)絡(luò)設(shè)計(jì)

根據(jù)計(jì)算業(yè)務(wù)需要，在數(shù)值仿真與中央監(jiān)控系統(tǒng)中規(guī)劃部署數(shù)據(jù)中心，向各類業(yè)務(wù)提供計(jì)算資源。傳統(tǒng)的數(shù)據(jù)中心網(wǎng)絡(luò)規(guī)劃設(shè)計(jì)依據(jù)高可靠思路，形成了冗余復(fù)雜的Mesh 網(wǎng)狀網(wǎng)結(jié)構(gòu)。結(jié)構(gòu)化網(wǎng)狀網(wǎng)的物理拓?fù)湓诒３指呖煽?、故障容錯(cuò)、提升性能上有優(yōu)勢；但此類設(shè)計(jì)為通用設(shè)計(jì)方式，依賴純物理冗余拓?fù)浣Y(jié)構(gòu)的架構(gòu)，導(dǎo)致設(shè)備間連接線路過于復(fù)雜，加大了實(shí)際運(yùn)行中運(yùn)維的工作量，同時(shí)，二層環(huán)路出現(xiàn)在網(wǎng)絡(luò)中的機(jī)率增加。Full Mesh的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、鏈路通斷、帶寬增減等狀態(tài)變化、節(jié)點(diǎn)設(shè)備故障會導(dǎo)致配置變化，使運(yùn)維、排故更加復(fù)雜。利用網(wǎng)絡(luò)虛擬化技術(shù)可方便地簡化網(wǎng)絡(luò)邏輯架構(gòu)，整合物理節(jié)點(diǎn)，支持上層應(yīng)用的快速變化，為數(shù)據(jù)中心網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì)提供良好的解決方案。

傳統(tǒng)數(shù)據(jù)中心服務(wù)器區(qū)交換網(wǎng)絡(luò)有無環(huán)設(shè)計(jì)和有環(huán)設(shè)計(jì)多種選擇方案，網(wǎng)絡(luò)拓?fù)淙鐖D4 所示。

圖4 傳統(tǒng)的多種服務(wù)器區(qū)接入網(wǎng)絡(luò)拓?fù)銯ig. 4 Traditional servers access to the network map

數(shù)值仿真與中央監(jiān)控系統(tǒng)數(shù)據(jù)中心采用環(huán)路接入拓?fù)洌ㄟ^虛擬化設(shè)計(jì)方式，在不改變網(wǎng)絡(luò)物理拓?fù)浣Y(jié)構(gòu)、保持原布線方式的前提下，完成各層網(wǎng)絡(luò)橫向整合（如圖5 所示），即完成節(jié)點(diǎn)內(nèi)多設(shè)備組合成一個(gè)邏輯交換節(jié)點(diǎn)，被整合設(shè)備互連線纜成為設(shè)備虛擬化組內(nèi)部互聯(lián)線纜，對邏輯設(shè)備外部不可視，對邏輯組內(nèi)設(shè)備互聯(lián)接口省去IP 地址配置。

圖5 數(shù)據(jù)中心網(wǎng)絡(luò)虛擬化整合Fig. 5 Network virtualization structure of the data centre

虛擬化整合后的節(jié)點(diǎn)，多臺設(shè)備工作在同一邏輯組內(nèi)，每臺設(shè)備各自獨(dú)立的控制器通過設(shè)備間互聯(lián)鏈路進(jìn)行通信，通過選舉出的主設(shè)備對整個(gè)邏輯組內(nèi)的所有設(shè)備進(jìn)行管理和控制，其控制板負(fù)責(zé)邏輯組內(nèi)所有端口數(shù)據(jù)轉(zhuǎn)發(fā)，完成各網(wǎng)絡(luò)協(xié)議設(shè)置、地址配置。邏輯組內(nèi)多臺設(shè)備作為網(wǎng)絡(luò)節(jié)點(diǎn)工作時(shí)等同單臺設(shè)備，繼而簡化對設(shè)備配置及管理，同時(shí)，使不同網(wǎng)絡(luò)層之間的網(wǎng)狀互聯(lián)簡化成單條邏輯鏈路。對于接入服務(wù)器而言，多網(wǎng)卡上行接入到虛擬化節(jié)點(diǎn)內(nèi)多臺設(shè)備時(shí)，由于節(jié)點(diǎn)內(nèi)設(shè)備作為一個(gè)邏輯節(jié)點(diǎn)，所以可方便地啟用鏈路聚合技術(shù)，提供接入鏈路冗余以及帶寬擴(kuò)展能力。當(dāng)網(wǎng)絡(luò)節(jié)點(diǎn)單臺設(shè)備出現(xiàn)故障時(shí)，節(jié)點(diǎn)邏輯組內(nèi)存在單臺可用設(shè)備即可保證網(wǎng)絡(luò)節(jié)點(diǎn)不失效。由于服務(wù)器采用多鏈路與網(wǎng)絡(luò)節(jié)點(diǎn)連接并采用鏈路聚合協(xié)議，所以單條物理鏈路發(fā)生故障不會導(dǎo)致服務(wù)器與網(wǎng)絡(luò)節(jié)點(diǎn)間鏈路失效。測試結(jié)果表明：當(dāng)單條物理鏈路或邏輯節(jié)點(diǎn)內(nèi)單臺設(shè)備發(fā)生故障時(shí)，網(wǎng)絡(luò)丟包率為0；在故障節(jié)點(diǎn)設(shè)備或故障鏈路恢復(fù)過程中，數(shù)據(jù)丟包為1～2 幀，這是因?yàn)樵谠O(shè)備恢復(fù)或鏈路恢復(fù)時(shí)，節(jié)點(diǎn)內(nèi)設(shè)備會再次進(jìn)行通信協(xié)商，物理鏈路再次聚合時(shí)同樣會由于協(xié)議協(xié)商導(dǎo)致數(shù)據(jù)丟幀，但不影響整個(gè)網(wǎng)絡(luò)通信及業(yè)務(wù)應(yīng)用。通過虛擬化技術(shù)可提升網(wǎng)絡(luò)冗余度及容錯(cuò)性，增加網(wǎng)絡(luò)可靠性。

4 基于虛擬化技術(shù)的網(wǎng)絡(luò)安全設(shè)計(jì)

IT 安全在網(wǎng)絡(luò)設(shè)計(jì)中至關(guān)重要，在安全設(shè)計(jì)中應(yīng)充分考慮到網(wǎng)絡(luò)設(shè)備與安全設(shè)備的冗余性，但如此會出現(xiàn)多種復(fù)雜的設(shè)計(jì)拓?fù)?，這對實(shí)現(xiàn)網(wǎng)絡(luò)安全性目標(biāo)提出了挑戰(zhàn)。利用虛擬化技術(shù)可在簡化網(wǎng)絡(luò)結(jié)構(gòu)的同時(shí)，簡化網(wǎng)絡(luò)設(shè)備與安全設(shè)備之間的對接設(shè)計(jì)，從而提升系統(tǒng)的安全性和可靠性。

防火墻是網(wǎng)絡(luò)安全中一種重要的技術(shù)手段和有效的防御工具，防火墻在網(wǎng)絡(luò)中的部署模式分為路由模式和透明模式，路由模式在傳統(tǒng)的部署方式中分為Active-Standby 和Active-Active 模式（如圖6 所示）。Active-Standby 模式是指：網(wǎng)絡(luò)中二層協(xié)議終止于匯聚層，匯聚和核心的網(wǎng)絡(luò)同處一個(gè)OSPF 域內(nèi)，為了保證負(fù)載均衡，采用多VRRP 組的部署方式；位于核心層和匯聚層間的防火墻接口均設(shè)置為三層接口，需要核心、匯聚、防火墻分別啟用兩組VRRP 組才能完成負(fù)載均衡功能（如圖6(a)所示）。Active-Active 模式是指：各防火墻作為獨(dú)立的路由節(jié)點(diǎn)與交換機(jī)組成OSPF 域，路由協(xié)議控制數(shù)據(jù)流經(jīng)的防火墻，雙防火墻相互同步會話信息，由圖6(b)可見12 個(gè)路由節(jié)點(diǎn)，至少有12 條路由。

圖6 防火墻路由模式Fig. 6 The firewall routing mode

在數(shù)值仿真與中央監(jiān)控系統(tǒng)中，防火墻采用Acitve-Acitve 方式部署，以提高網(wǎng)絡(luò)靈活性和防火墻設(shè)備利用率。以實(shí)驗(yàn)分系統(tǒng)為例，在系統(tǒng)接口交換機(jī)與實(shí)驗(yàn)監(jiān)控交換機(jī)之間部署雙防火墻（如圖7所示）以提升網(wǎng)絡(luò)節(jié)點(diǎn)可靠性。啟用網(wǎng)絡(luò)虛擬化技術(shù)后，實(shí)驗(yàn)監(jiān)控交換機(jī)、實(shí)驗(yàn)系統(tǒng)接口交換機(jī)、實(shí)驗(yàn)監(jiān)控實(shí)時(shí)防火墻被整合為一臺邏輯設(shè)備，大幅減少了三層接口和路由數(shù)目，使網(wǎng)絡(luò)安全結(jié)構(gòu)更為簡單。

圖7 防火墻網(wǎng)絡(luò)部署模式Fig. 7 The firewall network deployment mode

5 結(jié)束語

通過網(wǎng)絡(luò)虛擬化技術(shù)構(gòu)建的數(shù)值仿真與中央監(jiān)控系統(tǒng)網(wǎng)絡(luò)，將各節(jié)點(diǎn)多臺網(wǎng)絡(luò)設(shè)備虛擬化成一臺邏輯設(shè)備進(jìn)行管理和應(yīng)用。此方式具備分布式設(shè)備管理、分布式彈性路由及分布式鏈路聚合特性，與傳統(tǒng)的網(wǎng)絡(luò)設(shè)計(jì)相比，起到簡化網(wǎng)絡(luò)設(shè)計(jì)、創(chuàng)建無環(huán)網(wǎng)絡(luò)結(jié)構(gòu)、提高網(wǎng)絡(luò)安全性和可靠性、增強(qiáng)網(wǎng)絡(luò)可擴(kuò)展性以及便于后期網(wǎng)絡(luò)運(yùn)行管理的效果。