Startseite > Datacenter & Verkabelung > VEPA liefert die Antworten für virtuelle Server

Datacenter-Switching

VEPA liefert die Antworten für virtuelle Server

26. Januar 2011, 13:38 Uhr | Mathias Hein, freier Consultant aus Neuburg an der Donau

Virtuelle Server versprechen mehr Effizienz im Datacenter, werfen aber neuartige Probleme auf, insbesondere für die aktiven Netzwerkkomponenten. Der Virtual-Ethernet-Port-Aggregator-Mechanismus, kurz VEPA, ist Teil des kommenden IEEE-802.1Qbg-Standards und soll die Vernetzungsprobleme im Bereich der Anbindung von virtualisierten Rechner beheben.

Verfügt man über mehrere virtuelle Maschinen (die jeweils aus einem Betriebssystem und einer Anwendungen bestehen) arbeiten diese über einen Hypervisor auf einem physischen Rechner. Die unterschiedlichen virtuellen Maschinen (VMs) kommunizieren über einen virtuellen Switch (vSwitch) miteinander und mit der Außenwelt. Der virtuelle Switch arbeitet als reiner Layer-2-Switch und wird in der Regel auf dem Hypervisor über eine Software realisiert. Aus diesem Grund verfügt jeder Hypervisor über seinen eigenen integrierten virtuellen Switch. Daher variieren die Funktionalitäten jedes virtuellen Switches von Hypervisor zu Hypervisor. Darüber hinaus führt die explosionsartige Verbreitung von virtuellen Maschinen im Datacenter zu erheblichen Managementproblemen an den Schnittstellen zwischen den physischen Servern und den Netzkomponenten (Edge-Switches).

Die neuen Anforderungen auf der Rechnerseite bedingen eine Erweiterung der bisher bekannten Switch-Funktionen, denn die Kommunikationsströme erfordern ein standardisiertes Verfahren zum Austausch der Daten zwischen den Hypervisoren und dem Netzwerk. Darüber hinaus erfordert der Betrieb von vielen dutzend virtueller Maschinen (VMs) auf einem physikalischen Server eine drastische Reduzierung der Komplexität beim Datacenter-Switching.

Würde die hierfür notwendige Intelligenz im Bereich des Daten-I/Os durch den Hypervisor oder durch den physikalischen Rechner bereitgestellt werden, hätte dies zur Folge, dass der Netzwerk-Overhead auf dem Server drastisch ansteigen würde. Darüber hinaus muss der physikalische Server direkt mit den externen Switches zusammen arbeiten und eine Brücke zwischen mehreren VMs und dem externen Netzwerk bilden. Bisher operierten die virtuellen Switches als reine Brücken und der VM-Traffic innerhalb eines Rechners wurde direkt vom virtuellen Switch weitergeleitet. Die zunehmende Virtualisierungsdichte erhöht jedoch den durch den virtuellen Switch generierte Overhead.

Außerdem stellt ein virtueller Switch aus Sicht der physikalischen Netzwerk-Switches einen Fremdkörper im Netz dar, der nicht in der Lage ist, die gleichen Policies (Filter, Sicherheit, Access-Control-Listen, etc.) anzuwenden wie ein physikalischer Switch. Auch führt ein solcher Lösungsansatz zur Duplizierung bestimmter Verwaltungsaufgaben. Der Netzwerk-Switch verfügt bereits über die notwendige Intelligenz und es macht wenig Sinn dessen Funktionen und Dienste an anderer Stelle noch einmal in ähnlicher Form zu erbringen.

Durch die Aufteilung der IT-Funktionen führen beispielsweise in den Unternehmen die Netzwerk- und die Server-Administratoren ihre individuellen Aufgaben aus und benutzen hierfür ihre spezifischen Werkzeuge. Durch die Integration von Netzwerkfunktionen in den Rechner auf Basis des virtuellen Switches ändert sich der Aufgabenbereich des Server-Administrators. Für die Bereitstellung neuer virtueller Maschinen oder den Umzug von VMs ist eine zusätzliche Koordination zwischen den Teams notwendig, damit die Konfiguration des virtuellen Switches mit den Parametern der physikalischen Netzwerk-Switches übereinstimmt.

Außerdem stellt die Fehlerbehebung und die Überwachung der Kommunikation zwischen den unterschiedlichen VMs ein erhebliches Problem dar. In der Praxis ist der zwischen den VMs direkt übermittelte Verkehr nicht sichtbar. Auch steigt die Arbeitsbelastung der Server-Administratoren drastisch an. Heute hat ein Administrator nur für den Betrieb von 8 bis 12 virtuellen Maschinen zu sorgen. In naher Zukunft werden auch hier die Anforderungen stark ansteigen und der Server-Administratoren wird für den Betrieb von 32 bis 64 VMs zuständig sein. Darüber hinaus wird in Zukunft ein besonderes Augenmerk auf der Absicherung der im Rechner arbeitenden VMs liegen, um die gesetzlichen Anforderungen in Sachen Compliance und Zugangssicherheit erfüllen zu können.

Das Fehlen von Sicherheitsstandards und erprobten Sicherheitswerkzeugen rund um virtuelle Switches macht die Absicherung der Kommunikation nicht einfacher und würde zu einer Erhöhung des Overheads, zu Interoperabilitätsproblemen und zur Vergrößerung des Verwaltungsaufwands bei der Nutzung verschiedener Hypervisor-Technologien führen.