服务器虚拟化示意图

网络虚拟化技术：VSS、IRF2和CSS解析思科虚拟交换系统VSS随着云计算的高速发展，虚拟化应用成为了近几年在企业级环境下广泛实施的技术，而除了服务器/存储虚拟化之外，在2012年SDN（软件定义网络）和OpenFlow大潮的进一步推动下，网络虚拟化又再度成为热点。

不过谈到网络虚拟化，其实早在2009年，各大网络设备厂商就已相继推出了自家的虚拟化解决方案，并已服务于网络应用的各个层面和各个方面。

而今天，我们就和大家一起来回顾一下这些主流的网络虚拟化技术。

思科虚拟交换系统VSS思科虚拟交换系统VSS就是一种典型的网络虚拟化技术，它可以实现将多台思科交换机虚拟成单台交换机，使设备可用的端口数量、转发能力、性能规格都倍增。

例如，它可将两台物理的Cisco catalyst 6500系列交换机整合成为一台单一逻辑上的虚拟交换机，从而可将系统带宽容量扩展到1.4Tbps。

思科虚拟交换系统VSS而想要启用VSS技术，还需要通过一条特殊的链路来绑定两个机架成为一个虚拟的交换系统，这个特殊的链路称之为虚拟交换机链路(Virtual Switch Link，即VSL)。

VSL承载特殊的控制信息并使用一个头部封装每个数据帧穿过这条链路。

虚拟交换机链路VSL在VSS之中，其中一个机箱指定为活跃交换机，另一台被指定为备份交换机。

而所有的控制层面的功能，包括管理(SNMP，Telnet，SSH等)，二层协议(BPDU，PDUs，LACP等)，三层协议(路由协议等)，以及软件数据等，都是由活跃交换机的引擎进行管理。

此外，VSS技术还使用机箱间NSF/SSO作为两台机箱间的主要高可用性机制，当一个虚拟交换机成员发生故障时，网络中无需进行协议重收敛，接入层或核心层交换机将继续转发流量，因为它们只会检测出EtherChannel捆绑中有一个链路故障。

而在传统模式中，一台交换机发生故障就会导致STP/HSRP和路由协议等多个控制协议进行收敛，相比之下，VSS将多台设备虚拟化成一台设备，协议需要计算量则大为减少。

网络虚拟化技术：VSS、IRF2和CSS解析随着云计算的高速发展，虚拟化应用成为了近几年在企业级环境下广泛实施的技术，而除了服务器/存储虚拟化之外，在2012年SDN（软件定义网络）和OpenFlow大潮的进一步推动下，网络虚拟化又再度成为热点。

不过谈到网络虚拟化，其实早在2009年，各大网络设备厂商就已相继推出了自家的虚拟化解决方案，并已服务于网络应用的各个层面和各个方面。

下面，就和大家一起来讨论一下Cisco、H3C、huawei这些主流的网络虚拟化技术。

思科虚拟交换系统VSS思科虚拟交换系统VSS就是一种典型的网络虚拟化技术，它可以实现将多台思科交换机虚拟成单台交换机，使设备可用的端口数量、转发能力、性能规格都倍增。

例如，它可将两台物理的Cisco catalyst 6500系列交换机整合成为一台单一逻辑上的虚拟交换机，从而可将系统带宽容量扩展到1.4Tbps。

思科虚拟交换系统VSS而想要启用VSS技术，还需要通过一条特殊的链路来绑定两个机架成为一个虚拟的交换系统，这个特殊的链路称之为虚拟交换机链路(Virtual Switch Link，即VSL)。

VSL承载特殊的控制信息并使用一个头部封装每个数据帧穿过这条链路。

虚拟交换机链路VSL在VSS之中，其中一个机箱指定为活跃交换机，另一台被指定为备份交换机。

而所有的控制层面的功能，包括管理(SNMP，Telnet，SSH等)，二层协议(BPDU，PDUs，LACP等)，三层协议(路由协议等)，以及软件数据等，都是由活跃交换机的引擎进行管理。

此外，VSS技术还使用机箱间NSF/SSO作为两台机箱间的主要高可用性机制，当一个虚拟交换机成员发生故障时，网络中无需进行协议重收敛，接入层或核心层交换机将继续转发流量，因为它们只会检测出EtherChannel捆绑中有一个链路故障。

而在传统模式中，一台交换机发生故障就会导致STP/HSRP和路由协议等多个控制协议进行收敛，相比之下，VSS将多台设备虚拟化成一台设备，协议需要计算量则大为减少。

信息系统工程 │ 2020.4.2060摘要：鉴于资源利用率高、部署管理灵活、运维成本低廉等优势，服务器虚拟化逐渐成为信息服务管理职能部门的优先选择。

然而其技术体制在带来便利的同时也产生了很多安全风险，论文以VMware vSphere套件为例，分析了服务器虚拟化应用中存在的安全隐患，并指出了可以采取的应对措施。

关键词：服务器虚拟化；安全隐患；虚拟化管理服务器虚拟化是将物理服务器的硬件资源抽象成逻辑资源，基于逻辑资源创建并管理虚拟服务器的过程。

传统服务器多为一机一系统的形态，资源利用率大约在5%-15%，机房设备的规模大于实际需求，加之IT 架构过于庞杂，导致服务器运行效率较低。

采用虚拟化技术后，以硬件资源抽象而成的逻辑“资源池”为基础，物理服务器和虚拟服务器之间可以形成“一虚多”“多虚一”和“多虚多”等服务器创建形式，资源利用率可提升至60%-80%。

这样，一方面通过整合配置提高了资源利用率，节省了人工维护和电力消耗成本，另一方面简化了系统管理，可融入负载均衡、动态迁移、高可用性、容错机制和故障隔离等新的管理特性，使得服务器从部署、管理到应用更加节能、高效和稳定，同时也为云计算的发展奠定了基础。

然而，服务器虚拟化在发挥优势的同时也存在着许多传统服务器没有的安全隐患。

本文以VMware 公司的vSphere 虚拟化为例，讨论服务器虚拟化存在的安全问题和可以采取的应对措施。

一、服务器虚拟化常见的安全风险（一）虚拟服务器之间的相互攻击运用虚拟化技术之前，服务器彼此之间物理形态独立，互访流量可通过流量镜像和Netflow 等方式进行监听和检测，也可通过防火墙或者IDS 等系统进行检测，但采用了服务器虚拟化技术后，运行于同一台物理主机上的多个虚拟服务器通过vSwitch（虚拟交换机）相互通信，vSwitch 内嵌于虚拟化平台，数据流处于隐蔽状态。

通常情况下，网络安全设备和审计系统均部署于物理服务器的外部，无法过滤物理主机上各虚拟服务器之间的通信数据（也称“东西向”流量），这样就会产生安全隐患。

2 VXLAN配置关于本章通过VXLAN，虚拟网络可接入大量租户，且租户可以规划自己的虚拟网络，不需要考虑物理网络IP地址和广播域的限制，降低了网络管理的难度。

2.1 VXLAN简介介绍VXLAN的定义、目的和收益。

2.2 原理描述介绍VXLAN的实现原理。

2.3 应用场景介绍VXLAN的应用场景。

2.4 配置注意事项介绍部署VXLAN的注意事项。

2.5 配置VXLAN（SNC控制器方式）介绍了SNC控制器配合设备实现VXLAN部署的方法。

2.6 配置VXLAN（AC控制器方式）介绍了AC控制器（Agile Controller-Enterprise）配合设备实现VXLAN部署的方法。

2.7 配置VXLAN（单机方式）介绍了不依赖于任何控制器，直接在设备上配置VXLAN的方法。

2.8 维护VXLAN通过维护VXLAN，可以实现清除VXLAN统计数据、监控VXLAN的运行状况等。

2.9 配置举例介绍VXLAN配置举例，配置举例中包括组网需求、配置思路、配置过程和配置文件。

2.10 参考标准和协议介绍VXLAN的参考标准和协议。

2.1 VXLAN 简介介绍VXLAN 的定义、目的和收益。

定义RFC7348定义了VXLAN 扩展方案（Virtual eXtensible Local Area Network ），采用MAC in UDP （User Datagram Protocol ）封装方式，是NVO3（Network Virtualization over Layer 3）中的一种网络虚拟化技术。

目的作为云计算的核心技术之一，服务器虚拟化凭借其大幅降低IT 成本、提高业务部署灵活性、降低运维成本等优势已经得到越来越多的认可和部署。

图2-1 服务器虚拟化示意图Server1Server2Server3Server4如图2-1所示，一台服务器可虚拟成多台虚拟机，而一台虚拟机相当于一台主机。

主机的数量发生了数量级的变化，这也为虚拟网络带来了如下问题：l网络隔离能力限制当前主流的网络隔离技术是VLAN或VPN（Virtual Private Network），在大规模的虚拟化网络中部署存在如下限制：–由于IEEE 802.1Q中定义的VLAN Tag域只有12比特，仅能表示4096个VLAN，无法满足大二层网络中标识大量用户群的需求。

服务器虚拟化拓扑图服务器虚拟化拓扑图服务器虚拟化是一种将一台物理服务器划分成多个虚拟服务器的技术，通过虚拟化软件将硬件资源进行细分和管理，从而提高服务器资源利用率、灵活性和可扩展性。

本文将介绍服务器虚拟化的拓扑图示例，并详细解释每个章节的内容。

1.概述在服务器虚拟化拓扑图中，主要包括以下几个关键组件：- 物理服务器：指实际的硬件服务器，作为虚拟化平台的基础。

- 虚拟化软件：用于将物理服务器划分成多个虚拟服务器的软件，常见的包括VMware、Hyper-V等。

- 虚拟机管理器：用于管理和监控虚拟服务器的软件，可用于创建、删除、迁移虚拟机等操作。

- 虚拟交换机：用于虚拟机之间或虚拟机与物理网络之间的通信。

- 存储设备：用于存储虚拟机的镜像文件和数据。

2.物理服务器物理服务器是虚拟化平台的基础，可以是一台独立的服务器或是一个服务器集群。

在虚拟化拓扑图中，通常以一个矩形表示，并标注服务器的型号、CPU、内存等配置信息。

3.虚拟化软件虚拟化软件是将物理服务器划分成多个虚拟服务器的关键组件。

在虚拟化拓扑图中，可以使用一个圆形或椭圆形表示这个组件，并标注虚拟化软件的名称和版本号。

4.虚拟机管理器虚拟机管理器是管理和监控虚拟服务器的关键软件，可以用于创建、删除、迁移虚拟机等操作。

在虚拟化拓扑图中，可以使用一个云朵图标表示这个组件，并标注虚拟机管理器的名称和版本号。

5.虚拟交换机虚拟交换机用于虚拟机之间或虚拟机与物理网络之间的通信。

在虚拟化拓扑图中，可以使用一个矩形和箭头表示虚拟交换机，并标注交换机的名称和IP地质。

6.存储设备存储设备用于存储虚拟机的镜像文件和数据。

在虚拟化拓扑图中，可以使用一个硬盘图标表示存储设备，并标注设备的名称、容量等信息。

附件：本文档不涉及附件。

法律名词及注释：1.服务器虚拟化：一种将一台物理服务器划分成多个虚拟服务器的技术。

2.虚拟化软件：用于将物理服务器划分成多个虚拟服务器的软件。

3.虚拟机管理器：用于管理和监控虚拟服务器的软件，可用于创建、删除、迁移虚拟机等操作。

深度：什么是VxLANVXLAN即虚拟扩展局域网，是大二层网络中广泛使用的网络虚拟化技术。

在源网络设备与目的网络设备之间建立一条逻辑VXLAN隧道，采用MAC in UDP（User Datagram Protocol）封装方式，即，将虚拟机发出的原始以太报文完整的封装在UDP报文中，然后在外层使用物理网络的IP报文头和以太报文头封装，这样，封装后的报文就像普通IP报文一样，可以通过路由网络转发，这就像给二层网络的虚拟机插上了路由的翅膀，使虚拟机彻底摆脱了二、三层网络的结构限制。

为什么需要VXLAN？为什么需要VXLAN呢？这和服务器的虚拟化趋势紧密相关，一方面出现了虚拟机动态迁移，要求虚拟机在迁移前后的IP和MAC地址不能改变；另一方面，租户数量激增，需要网络提供隔离海量租户的能力。

虚拟机动态迁移服务器虚拟化技术是把一台物理服务器虚拟化成多台逻辑服务器，这种逻辑服务器被称为虚拟机（VM）。

通过服务器虚拟化，可以有效地提高服务器的利用率，降低能源消耗，降低运营成本，所以虚拟化技术目前得到了广泛的应用。

在服务器虚拟化后，虚拟机动态迁移变得常态化，为了保证迁移时业务不中断，就要求在虚拟机迁移时，不仅虚拟机的IP地址不变，而且虚拟机的运行状态也必须保持原状（例如TCP会话状态），所以虚拟机的动态迁移只能在同一个二层域中进行，而不能跨二层域迁移。

传统的三层网络架构限制了虚拟机的动态迁移范围，如下图所示，迁移只能在一个较小的局部范围内进行，应用受到了极大的限制。

传统的三层网络架构限制了虚拟机的动态迁移范围为了打破这种限制，实现虚拟机的大范围甚至跨地域的动态迁移，就要求把VM迁移可能涉及的所有服务器都纳入同一个二层网络域，这样才能实现VM的大范围无障碍迁移。

众所周知，同一台二层交换机可以实现下挂服务器之间的二层通信，而且服务器从该二层交换机的一个端口迁移到另一个端口时，IP 地址是可以保持不变的。

这样就可以满足虚拟机动态迁移的需求了。