这是探讨数字化转型所带来挑战的系列博客中的最后一篇。
容器困局。
容器及其编排管理（据说可以轻松实现）的主要目的之一，是高效扩展。采用容器还有其他一些优势，其中大多与开发相关；但从网络运维（NetOps）的角度来看，关注的重点是扩展能力，以及安全性的缺失。
传统交付架构无法在容器环境中正常运行。通信不稳定、动态变化且难以预测。通信量成倍增加，环境也高度易变。当前的环境状态两分钟后就可能完全不同，更不用说十分钟后。
但仍需为容器环境中的“应用”提供核心网络和安全服务。您无法在其中嵌入身份和访问控制，也无法跨动态变化的实例管理证书。在应用端终止SSL会让您和应用本身都不堪重负。即使是机器人防御和OWASP十大风险防护等应用安全措施，也会变得难以实施，因为在如此多变的环境中，很难找到合适的接入位置。此外，也不可能将容器环境中的每项服务都映射到公共IP。您需要一条安全的入站路径，以便在不干扰环境内部运行的情况下提供应用服务。
好在，以多个微服务形式部署在容器环境中的应用仍然是应用（甚至包括API），并且拥有“应用专用”端点，因此无需改动容器环境即可建立安全的入站路径。这样既能沿用传统的稳定性和扩展原则构建分支式网络架构，又能采用现代方法，通过软件实现容器扩展。这种双层架构可提供可靠、安全的端点，用于从南北向骨干网络过渡到容器环境内的东西向路径。
双层架构
双层架构既能提供必要的可靠性和安全性，又能满足容器化应用对速度和规模的要求。通过控制容器环境的混乱局面，可以降低管理复杂性，并将共享基础设施与容器化应用固有的无序变化隔离开来。这还带来了一个意外的好处：能够支持变更频率不一的生产流水线。虽然应用在容器化环境中的变更可能更频繁，但身份和访问控制以及其他安全相关服务的变更频率可能较低。各项更新可以彼此独立进行，让DevOps能够加快推进速度，同时避免给负责“架构”南北向侧的NetOps带来过大压力。
入口点可以管理应用特定的策略（性能和部分安全策略），其余策略则由安全入站网络的其他部分处理。这种方式对现有环境的影响较小，因此可让容器更顺畅、更轻松地融入为旧版应用提供服务的生产环境。
需要注意的是，要使双层架构正常运行，入口实际上会成为应用，或者至少成为应用的虚拟等效体。
即使容器“围墙”的另一侧有上百个微服务，入口仍是一个战略控制点，可支持扩展和访问，并保护应用免受外部威胁。应通过入口应用那些更适合在流量进入多变且充满不确定性的容器环境之前处理的服务。
……至此，我们对数字化转型背后出人意料的真相的探讨告一段落。还有许多其他隐患和障碍需要解决，但本系列介绍的四个问题——云环境混乱、忽视安全、规模不经济和容器困局——可能是其中最关键的几个。
如果能够了解变革带来的影响，并充分利用自动化、基于软件的安全与扩展能力以及新型架构，就能顺利迈向新一代数据中心。
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。