Analyse und Monitoring in verteilten Umgebungen

Die Virtualisierung verteilter Server-Ressourcen entzieht sich in der Regel durch deren hohe Komplexität der Kontrolle der übermittelten Daten. Auf Basis eines GigaVUE-VM Fabric Nodes, der direkt in die VMware vCenter-Infrastruktur integriert ist, lassen sich die Agilitätsfunktionen (VMware High Availability – HA – und Distributed Resource Scheduler – DRS) nutzen und die für die Analyse und das Monitoring notwendigen Daten abgreifen.

Cisco bietet auch die Möglichkeit zur Weiterleitung virtueller Verkehrsströme an einen externen Switch. Hierzu werden die betreffenden Pakete mit einer speziellen VN-Tag-Kennung gekennzeichnet. Die wichtigsten Komponenten des Tags sind die ID des Interfaces der virtuellen Datenquelle und die ID des Interfaces der Ziel-Schnittstelle (VIF) zur eindeutigen Identifizierung mehrerer virtueller Schnittstellen auf einem physikalischen Port.

Die Herausforderung bei der Übermittlung der mit zusätzlichen Tags versehenen Pakete besteht darin, ohne Hardware- oder Software-Änderungen und ohne zusätzlichen Performance-Overhead zu übermitteln. Hierzu ist eine adaptive Paketfilterung notwendig, die für das Filtern und das Weiterleiten der eingehenden Verkehrsströme auf Basis der VN-Tag Quelle oder der Ziel VIF_IDs und/oder der im Paket gekapselten Paketinhalte sorgt. Da die Analyse- und Monitoring-Tools die zusätzlichen VN-Tag-Header nicht verstehen, muss die Paketfilterung das Löschen des VN-Tag-Headers vor der Weiterleitung der Pakete zum betreffenden Analysator vornehmen.

Netzwerkanalyse in der Cloud

Die Grenzen der aktuellen physischen Netzwerke schaffen Probleme bei der Realisierung verteilter virtueller Rechnerwelten (Clouds). Die Generierung einer virtuellen Maschine ist eine Angelegenheit von wenigen Minuten. Dagegen dauert die Konfiguration der erforderlichen Netzwerk- und Security-Dienste unter Umständen mehrere Tage. Hochverfügbare virtualisierte Serverumgebungen werden in der Regel als "flache" Layer 2-Netzwerke realisiert.

Auf Basis von Virtual Extensible LANs (VXLAN) werden Overlay-Netzwerke auf existierenden Layer 3-Infrastrukturen aufgebaut. Bei der VXLAN-Technik geht es um die Zuordnung von IP-Adressen in einem größeren Netzverbund und um die Beibehaltung der IP-Adresse bei Standortänderungen. Technisch gesehen erzeugt ein VXLAN logische Layer 2-Netzwerke, die dann in standardmäßige Layer-3-Pakete eingepackt werden.

Dadurch werden die logischen Layer 2-Netzwerke über physische Grenzen hinaus erweitert. Zur Unterscheidung der jeweiligen Netze wird eine Segment-ID in jedes Paket eingefügt. In Cloud-Umgebungen lassen sich solche Tunnel auch innerhalb von Hypervisoren, also in den virtuellen Maschinen, generieren und terminieren. Dabei spielt es keine Rolle, ob die physischen Host-Systeme in einem einzigen Rechenzentrum stehen oder über mehrere Standorte weltweit verteilt sind. Das logische Overlay ist somit unabhängig von der zugrunde liegenden physischen Netzwerkinfrastruktur.

Bild 2: VXLAN ermöglicht virtuelle Layer 2-Netze, die über physikalische Grenzen hinausgehen.

Mit Hilfe dieses Verfahrens lässt sich eine große Anzahl von isolierten Schicht 2-VXLAN-Netzen auf einer Layer 3-Infrastruktur abbilden. Darüber hinaus können durch VXLANs virtuelle Maschinen auf demselben virtuellen Layer 2-Netzwerk installiert werden, obwohl sich diese in unterschiedlichen Schicht 3-Netzwerken befinden. Für diesen Zweck wurde bei VXLANs ein 24 Bit langes Segment (Segment ID) hinzugefügt. Damit lassen sich Millionen an isolierten Layer 2-VXLAN-Netzwerken auf einer herkömmlichen Layer 3-Infrastruktur realisieren und die im gleichen logischen Netzwerk installierten virtuellen Maschinen können über Layer 3-Strukturen direkt miteinander kommunizieren. Da der gesamte Layer 2-Datenverkehr bei dieser Lösung in Tunneln versteckt wird, erschwert sich das Monitoring und die Datenanalyse. Eine in das Netz integrierte Visibility-Struktur kann auch in verteilten VM-Strukturen und VXLAN-Overlay-Netzwerken zur Sichtbarmachung der dynamischen Datenverbindungen beitragen. Die zu überwachenden Datenströme werden gezielt an die jeweilige Analyse- oder Monitoring-Komponente ausgegeben.