Startseite > Datacenter & Verkabelung > VEPA liefert die Antworten für virtuelle Server

Datacenter-Switching

VEPA liefert die Antworten für virtuelle Server

26. Januar 2011, 13:38 Uhr | Mathias Hein, freier Consultant aus Neuburg an der Donau

Fortsetzung des Artikels von Teil 1

Die Lösung: VEPA

In den vergangenen Jahren wurden viele Lösungen entwickelt, die angeblich alle oben dargestellten Aspekte abdecken. Bei vielen Lösungen handelte es sich um reine Ankündigungen oder Papierlösungen. Von allen verfügbaren Lösungsansätzen gilt inzwischen der Virtual-Ethernet-Port-Aggregator (VEPA) als aussichtsreichste Alternative zum Einsatz virtueller Switches. Innerhalb von VEPA arbeiten sowohl der IEEE-802.1Qbg- als auch der 802.1Qbh-Standard. Diese sorgen dafür, dass viele Policies, Sicherheits- und Verwaltungsaufgaben von den virtuellen Switches auf die physikalischen Ethernet-Switches ausgelagert werden.

Dadurch wird der gesamte -- von virtuellen Maschinen auf einem Server -- erzeugte Datenverkehr an den externen Netzwerk-Switch übermittelt. Der externe Netzwerk-Switch stellt die Verbindung zwischen den virtuellen Maschinen auf demselben physischen Server sowie den anderen Infrastrukturressourcen her. Fester Bestandteil von VEPA ist der so genannte Inter-VM-Hairpining-Mechanismus (manchmal auch Haarnadelmodus genannt). In einem virtuellen Rechner kommunizieren diese bei Bedarf mit anderen VMs.

Werden diese Pakete direkt über den angeschlossenen physikalischen Switch vermittelt, kann es vorkommen, dass beide virtuellen Rechner über den gleichen physikalischen beziehungsweise logischen Port erreichbar sind. In einem solchen Fall filtert der Eingangs-Port des Switches die Pakete aus um Loops und Broadcast-Stürme zu verhindern. Daher galt bisher für Switches folgende Regel: Ein über einen Switch-Port empfangenes Paket darf nicht mehr über diesen Port in Richtung des Empfängers übertragen werden.

Erst durch die Integration des Hairpining-Prozesses ist der Switch in der Lage, die Pakete anschließend über den gleichen Empfangs/Ausgangs-Port zum virtuellen Zielrechner zurückzusenden. Die Übermittlung von Broadcasts oder Multicasts übernimmt VEPA direkt auf der betreffenden virtuellen Maschine. Somit verändert VEPA nicht das Ethernet-Paketformat, sondern nur das Weiterleitungsverhalten von Switches für Unicast-Pakete. Der große Vorteil des Verfahrens besteht in der internationalen Standardisierung. Die zusätzliche Sicherheit hat keine Performancenachteile, da das gesamte Rechnersystem entlastet wird. Die vorhandene Hardware kann weiter genutzt werden und Q-in-Q-fähige Switches können in der Regel per Firmware-Update auf die VEPA-Fähigkeiten und den Hairpin-Modus hochgerüstet werden. Außerdem lässt sich VEPA sowohl als Software (virtueller Switch) wie auch als Hardware-Lösung implementieren.

VEPA bietet darüber hinaus eine klare Perspektive für weitere Entwicklungen, inklusive der Nutzung der Single-Root-I/O-Virtualization-Funktionalität (SR-IOV) in NICs und Converged-Network-Adaptors (CNAs). Die Single-Root-I/O-Virtualization sorgt dafür, dass einzelne virtuelle Maschinen direkt auf einen virtuellen Netzwerk-Port gemappt werden können, der hardwareseitig durch einen SR-IOV-fähigen NIC oder CNA bereitgestellt wird. Damit kann der Hypervisor noch weitergehend von Switching-Aufgaben entlastet werden. Eine SR-IOV-fähige NIC wird bis zu 128 dieser virtuellen Funktionen bereitstellen können.

Durch VEPA wird das Switching aus den Rechnern wieder in das Netzwerk ausgelagert. Der Datenverkehr der virtuellen Maschinen bleibt für das externe Netzwerk sichtbar. Durch das Verlagern des Datenverkehrs aus den virtuellen Maschinen zurück in die physischen Netze lassen sich die vorhandenen Netzwerk-Tools und -Prozesse sowohl in virtualisierten als auch in nicht-virtualisierten Umgebungen beziehungsweise Hypervisor-Systemen nutzen.

Die klassischen Geräte wie beispielsweise Firewalls, IDS/IPS-Systeme und die Access-Control-Lists (ACLs), Quality of Service (QoS) und Port-Mirroring-Funktionen der Switches stehen somit wieder für die Kontrolle der VM- und Inter-VM-Verkehrsströme zur Verfügung.

Der größte Pluspunkt von VEPA besteht darin, dass die Netzwerkkontrolle wieder zum Netzadministrator zurückkehrt und nur noch eine Instanz für die Bereitstellung, Überwachung und Fehlerbehebung im Netzwerk notwendig ist. Das Auslagern der Netzfunktionen vom Server auf die Netzwerk-Switches setzt auch unnötig gebundene Server-Ressourcen frei. Diese lassen sich für die Bereitstellung neuer Anwendungen nutzen.