解读ENS网络连接，面向多云多池网络的高效互联

本文分享自华为云社区《ENS网络连接，面向多云多池网络的高效互联》，作者：华为云Stack ENS研发团队。

1、ENS网络连接服务场景详细介绍

ENS网络连接通过统一建模和全局管控实现跨云跨池的网络互通、网络安全服务化，ENS网络连接给客户提供三大核心场景的支持。

场景一：不同数据中心、不同资源池网络一键高性能互通

图1：不同数据中心、不同资源池网络通过ENS实现一键高性能互通

政企客户数据中心经过多年演进，通常会形成多个资源分区，如传统分区、云分区，甚至包括硬件SDN分区和虚拟化分区。这些分区上部署的业务有互通诉求，举个典型的例子，客户的办公业务会同时部署在传统分区、云分区的内网VPC、外联网VPC、互联网VPC，办公业务之间需要互联互通。

通过ENS，客户只需要创建一个网络分段，把各个分区的子网加入到网络分段中，既可以实现自动化互通，并且还可以配置一些自定义路由和策略，进一步优化互通方案，配置效率从“月/天级”提升到“分钟级”。ENS引入连接网关实现不同数据中心自动互通，连接网关采用硬件交换机overlay转发，性能和稳定性高，并且与物理网络解耦，为复杂网络环境提供稳定支持。

场景二：跨云跨池大二层互通

图2：通过ENS实现跨云跨池大二层互通

受限于数据中心的物理空间和电力系统，许多客户面临老数据中心计算资源耗尽但无法扩容服务器的困境。此时，新建数据中心成为唯一选择，而老数据中心与新数据中心的业务往往需要在二层实现无缝连接。

ENS独创的二层扩展功能，可以实现不同数据中心、不同资源分区的网络大二层互通，即一个子网下部分IP在老数据中心分区，部分IP在新数据中心分区，并且二层扩展可以叠加网络分段一起使用，大二层的子网还可以通过网络分段实现三层访问。

场景三：跨云跨池资源迁移，保持IP不变

图3：通过ENS实现跨云跨池迁移保持IP不变

当客户遇到机房老旧不能使用、平台跨代际演进迁移，平台更换迁移等场景，需要进行业务搬迁，而在业务迁移过程中，希望保持IP地址不变，且通过分批迁移降低风险。

ENS的二层扩展功能，可以自动感知IP的迁移变化，结合华为云Stack的CMS（Cloud Migration Station）迁移服务，实现IP粒度的细化迁移，支持单台虚拟机级别的迁移操作。迁移到新资源池后，业务还可以跟老资源池的IP保持二层和三层互通，完全免除修改应用和网络配置的繁琐操作，提供无缝、低风险的迁移体验。

2、ENS网络连接服务架构设计

ENS网络连接要解决的是政企客户不同类型/平台/厂商的IT基础设施之间网络互通和网络安全问题，实现复杂度比单一的IT基础设施要高很多，因此在架构设计上有3个方面需要额外重点考虑：

1）统一的通用网络模型

与资源池网络实现和技术解耦，简单易用。ENS站在全局网络视角，定义了一套全新的服务模型，用户不用感知资源池内是传统物理网络、虚拟化网络还是云SDN网络，也不用感知是哪个厂商的方案，即可以快速实现不同资源池的网络/安全统一管理自动打通。下面是一些核心模块和说明：

图4：ENS通用网络模型，与资源池网络实现无关

•         全局网络：表示面向全局的网络连接器拓扑，里面可以存放各种支持跨池的网络服务实例，方便管理，当前支持存放网络分段实例和二层扩展实例。

•         网络分段：表示全局路由互通的虚拟核心路由器，可以配置路由和端点规则，基于这些配置来实现全局一张网来连接各个资源池。

•         端点：表示连接器，一端连接网络分段，另一端连接各个资源池的网络，通过端点来实现各个资源池的快速自动接入网络分段。

•         端点规则：用于控制网络分段下各个端点是否可以默认互通，便于强管控网络通断。

•         路由策略：用于灵活控制网段分段的转发行为，满足用户自定义灵活组网的诉求。

•         安全策略：用于基于五元组（源IP、目的IP、协议、源端口、目的端口）的统一安全管理，提供域间访问控制安全和双向安全能力。

•         二层扩展：用于实现跨池的大二层互通，在跨资源池容灾、业务搬迁等场景可以保持IP不变，业务无感知迁移。

2）可灵活扩展的软件架构

通过封装标准接口和插件机制，扩展不同类型的资源池仅需要开发对接插件即可，并且可独立测试。

图5：ENS可灵活扩展的软件架构

ENS采用全局管控和本地管控分离的软件架构。全局管控统一管理逻辑，实现ENS主要功能。本地管控部署在资源池内，对接全局管控，可以屏蔽资源池差异，提供插件机制，扩展资源池类型仅需本地管控开发插件。

3）高性能的域间连接网关和安全网关

ENS网络连接设计了两种关键网关，一种是跨资源池的网络互通的连接网关，一种是跨资源池安全访问控制的安全网关。对于客户自建数据中心的资源池，包括传统物理资源池、虚拟化资源池和云资源池，支持利旧传统的硬件交换机作为连接网关，利旧传统的物理防火墙做安全网关。对于三方云资源池，支持采用NFV网元作为连接网关和安全网关，满足客户多样性的诉求。

3、ENS网络连接服务功能展示

ENS网络连接服务在华为云Stack已经商用，客户可以在8.3.1以及最新的8.5.0版本体验。下面是软件功能在界面上具体实现的展示。

•         跨资源池网络高速三层自动互通

客户只需要在ENS console上操作，即可快速组件一张覆盖多种资源池的全互联网络。下图是HCS不同版本资源池之间的四个VPC和一个传统数据中心组建一个全互通的网络，图中的连线表示是否连通。

图6：ENS全局拓扑

•         跨资源池网络高速二层自动互通

ENS是业界首个为客户提供跨资源池二层功能的云服务，ENS可以动态感知资源池内IP的申请和释放，能够感知跨资源池大二层广播域里的IP和MAC冲突，并且自动做抑制和恢复。图7是创建一个二层扩展连接两个资源池的同一个子网的拓扑图，图上还呈现了资源池的IP分布情况。

图7：ENS二层扩展拓扑

图8是呈现IP的详情以及冲突的IP/MAC，冲突的IP/MAC恢复后，ENS服务可以自动感知恢复。

图8：ENS二层扩展中IP详情

•         运维监控可视化

ENS为用户提供实例级的黄金监控指标，并可视化呈现，帮助客户运维复杂全局网络。我们在租户侧实时监控了端点实例的关键指标以及管理侧连接网关的关键指标，并在console上呈现，图9是监控的端口的指标样例。

图9：ENS监控指标可视化

4、总结

政企客户数字化转型并非一蹴而就，多平台类型、多地理位置、多计算类型、多应用架构形态必然持续长期共存。ENS很好的解决了混合云架构下网络连接难、网络安全管理难、运维难等痛点问题，国内金融行业客户和海外客户已经在陆续上线使用，ENS会持续演进，为政企客户提供更多更丰富的新功能。

点击关注，第一时间了解华为云新鲜技术~