多云网络中的Transit Gateway灵活性

F5生态系统 | 2021年11月08日

随着公有云不断扩展，可以说，扩展能力最为有限的反而是我们人类。每项新服务都旨在满足特定需求，例如加快编程速度，或简化配置和部署。AWS Transit Gateway作为VPC的中央共享枢纽，有效降低了云网络的复杂性，但该服务仅适用于AWS环境。

F5 Volterra提供了一种解决方案，可在其他云中以及全球不同云之间扩展和增强中心辐射型模型，同时简化AWS Transit Gateway本身的配置和部署。

临时、网状和中心辐射型架构

传统上，云虚拟网络VPC之间通常按需临时建立连接。对于全新部署，这些连接有助于体现微服务之间的关系并实施访问控制。此外，可能还需要反映物理环境中的限制。例如，允许同一位置的节点直接连接，避免流量绕行“长号”或“回旋镖”等典型的低效路径。然而，专为单一实施方案设计的基础设施往往会限制未来的变更。随着初始设计逐步演变，这可能让人认为需要对架构进行全面重构。

随着临时连接不断增加，架构会逐渐演变为网状拓扑，其中每个节点都与多个其他节点相连。虽然网状拓扑可为数据路径提供高度灵活性，即每个可能的目标都可直接连接，但如果缺乏大规模自动化，创建和维护网状拓扑通常会非常繁琐。

与临时连接不同，中心辐射型架构以规范的方式组织连接。在一组对象中，一个对象充当中心枢纽，与其他所有对象连接，而其他对象之间互不连接。从视觉上看，这种架构通常绘制成自行车轮的形状，也常表示为树状结构：枢纽位于顶部，辐射节点位于底部，类似家谱。中心辐射型或树状架构的主要优势在于简单。它易于绘制和理解，因为辐射节点之间的唯一路径必须经过枢纽。这也意味着它更易于维护：发生事件时，不仅可以缩短确定问题范围所需的时间，而且节点的移动、添加或更改也不会影响基本结构。

其缺点通常被认为是灵活性不足和性能较低。不过，实施得当的中心节点可以保持流量快速传输，而简单架构带来的持续维护优势，胜过设置期间灵活性所带来的任何短期益处。中心辐射型架构还能在任意两个节点之间提供有保障的数据路径，灵活性接近全网状架构，并减少对临时连接的需求。

使用 AWS Transit Gateway 简化云网络

早期的云网络需要在计算实例之间建立临时连接，直到VPC虚拟网络出现。VPC可在每个子网中提供直接连接，大幅简化配置和策略应用。可以将每个VPC理解为一个中心辐射型网络。

AWS Transit Gateway互连VPC，其方式与VPC互连计算实例相同。它本质上采用分层的中心辐射型架构，相当于“中心的中心”或“VPC的VPC”。如果不同VPC均连接到同一个Transit Gateway，其中的节点便可相互连接。Transit Gateway还支持共享专用资源，例如通过多个VPC整合VPN，以增加带宽或简化远程用户访问。

使用F5 Volterra简化多云网络

F5 Volterra提供统一的UI，可用于在云之间创建连接、通过云原生基础设施即代码API配置其中的VPC，以及管理流量和服务交付。在AWS上，它可对Transit Gateway进行全面配置和生命周期控制。如果不使用AWS Transit Gateway或其他云提供商的原生服务，Volterra Console可通过统一方式建立和控制虚拟网络之间的连接，并将管理员的意图转换为特定于云的配置。在需要任意连接虚拟网络子网的场景中，如果管理员需要，Volterra甚至可以自动创建全网状网络。快速配置大幅减少了繁琐操作，自动化功能也几乎消除了出错的可能性。

Volterra将多层中心辐射型网络的概念扩展到全球范围，可有效充当多云中转网关，连接公有云和私有云。基于SaaS的Volterra控制台可对各大公有云所有区域以及客户希望连接的任何私有云进行统一的全球控制。无论需要临时连接、完整的多云网状网络，还是使用F5全球网络作为专用高速私有骨干网的中心辐射型网络，均可全面配置全局架构。

扩展多云网络的人力运维能力

应用自动化和多层架构，可以简化管理员管理云横向扩展的工作，但真正的优势在于扩展管理员的管理能力。Volterra控制台原生支持多租户，可将组织划分为不同的命名空间。每个命名空间对其他命名空间完全不可见，即使在IP层也是如此。在每个命名空间内，管理员可以设置基于意图的策略，然后将控制权委派给开发人员，让他们以自助方式管理项目专属安全连接和服务的生命周期，而不会影响其他项目，也不会超出预设的网络和安全参数。这实现了整个组织的人员规模化，使一线工程师能够在各自的隔离环境中控制多云网络并掌握其运行情况，同时云网络管理员仍可进行全面的全局监督。