與運行業(yè)務的應用程序相關(guān)的安全漏洞或性能相關(guān)問題無疑會影響到企業(yè)收入。例如，酒店預訂系統(tǒng)中的問題將直接影響收入，而不是像Office 365這樣的文檔應用程序。

這是一個普遍的情況，云計算部署將會由于網(wǎng)絡而遇到影響業(yè)務的性能問題。其目標是讓用戶在使用應用程序延遲很小。然而，從私有網(wǎng)絡到公共互聯(lián)網(wǎng)絡的網(wǎng)絡架構(gòu)回傳流量。

企業(yè)將關(guān)鍵任務型應用程序遷移到云平臺，需要重新考慮現(xiàn)有的云互連情況。行業(yè)專家對云計算互連的未來以及稱為互聯(lián)網(wǎng)設(shè)計的新興模式進行了闡述。

通常情況下，隨著市場的成熟，人們將目睹向互聯(lián)網(wǎng)絡設(shè)計的過渡，該設(shè)計始終位于由多混合云架構(gòu)驅(qū)動的傳統(tǒng)云互連之上。

原始互連介紹

有多種傳統(tǒng)方式可以連接到云平臺。每種方式在速度、云生態(tài)系統(tǒng)、價格、安全性和性能方面都有其優(yōu)缺點。

• 第一種也是最常見的連接方式是通過安全網(wǎng)絡，通過全球互聯(lián)網(wǎng)連接運行，例如IPsec隧道。

• 連接到云平臺的第二種方式是通過云計算互連。用戶獲得與云互連的私有、直接、高速連接，例如Equinix Cloud Exchange，并購買以太網(wǎng)交叉連接到各種云計算服務提供商(CSP)的云平臺中。

• 第三種方式是使用直接廣域網(wǎng)(WAN)。用戶可以使用其現(xiàn)有的WAN MPLS/VPLS供應商，根據(jù)需要簡單地添加云計算服務提供商(CSP)。

實際上，許多用戶將最終使用連接模型的組合。這完全取決于用戶所在的位置以及他們選擇的應用程序類型。例如，從大量不同來源提取數(shù)據(jù)的大數(shù)據(jù)應用程序?qū)⒎浅＿m合云互連模型。

另一方面，與使用互聯(lián)網(wǎng)傳輸?shù)倪h程工作人員相比，如果用戶在辦公室，會選擇直接連接WAN。

復雜的架構(gòu)

傳統(tǒng)的云計算數(shù)據(jù)中心互連設(shè)計包含多余負載。這導致IPsec隧道或以太網(wǎng)連接的點對點連接的復雜體系結(jié)構(gòu)。

網(wǎng)格結(jié)構(gòu)不能很好地擴展，并且通常是N的平方問題。每次添加數(shù)據(jù)中心時，都必須為每個其他數(shù)據(jù)/云計算中心添加額外連接數(shù)的平方。

因此，使用某種類型的疊加來管理復雜性。這些疊加以IPsec隧道的形式出現(xiàn)，具有某種類型的分段開銷。大多數(shù)情況下，將使用虛擬可擴展LAN(VXLAN)。

該體系結(jié)構(gòu)由許多單功能服務組成，如路由器、防火墻、負載平衡器、WAN優(yōu)化器和IDS/IPS。單功能服務會導致設(shè)備無序擴張，從而增加了復雜性和成本。閑置的備份設(shè)備可能不僅會導致復雜的配置，還會產(chǎn)生額外的成本。

確保安全

確保安全帶來了一些挑戰(zhàn)。IPsec使用相同的加密密鑰加密隧道內(nèi)的所有內(nèi)容。換句話說，如果有不同安全級別的不同段，則每個邏輯段將共享相同的加密密鑰。

這是全有或全無的加密，因為用戶以相同的方式加密每個網(wǎng)段。由于路由和對等點網(wǎng)絡未經(jīng)過身份驗證，因此可以在沒有事先驗證的情況下將連接添加到網(wǎng)絡。

因此，用戶需要添加防火墻。從本質(zhì)上講，很多用戶正在醞釀沒有集成到路由和環(huán)境中的安全性。沒有遵循網(wǎng)絡安全規(guī)則，其中安全規(guī)則可以隨網(wǎng)絡動態(tài)變化。

沒有應用性能保證

現(xiàn)有模型不提供應用程序性能保證。路徑選擇是基于路由的底層，而不是基于性能的。IPsec隧道將用戶的數(shù)據(jù)從A點傳輸?shù)紹，即使從距離的角度來看，所選擇的路徑可能被大量使用。

此外，用戶還需要使用單獨的工具來衡量應用程序性能，例如NetFlow。

缺乏敏捷性

現(xiàn)有系統(tǒng)缺乏靈活性，包括所有點對點鏈路的定制配置。這種配置通常不是自動的。手動驅(qū)動的體系結(jié)構(gòu)總是容易出錯的。

如果要使用專用鏈接(例如多協(xié)議標簽交換)，則部署時間會很長，特別是如果要包含冗余鏈接。請記住，其中大多數(shù)仍在命令行(CLI)上運行。

相關(guān)費用

顯然，涉及的成本相當高。如果用戶有一個多協(xié)議標簽交換(MPLS)鏈路，則必須使用另一個多協(xié)議標簽交換(MPLS)鏈路來實現(xiàn)冗余。如果保留其默認值，則不能使用全球互聯(lián)網(wǎng)作為備份。請記住，私有鏈接的費用通常是全球互聯(lián)網(wǎng)鏈接的10倍。

為了縮小差距，企業(yè)仍在購買專門的硬件和軟件，或租用昂貴的設(shè)備。例如，用戶不是在敏捷的Amazon EC2軟件實例上運行路由。

網(wǎng)絡互聯(lián)設(shè)計

網(wǎng)絡互聯(lián)設(shè)計的目標是采用數(shù)據(jù)中心，無論是私有數(shù)據(jù)中心還是公共數(shù)據(jù)中心，并將其整合到一個邏輯數(shù)據(jù)中心。即使用戶擁有多個物理位置的設(shè)施，它們也可以從網(wǎng)絡角度看起來像一個邏輯數(shù)據(jù)中心。

網(wǎng)絡互聯(lián)的另一個關(guān)鍵方面是路由，這是計算完成的最后一步。之所以這樣重要的一個原因是，如果用戶有一個多云策略，希望采用VMware解決方案并將其集成到AWS和Azure的云平臺中。

簡單的架構(gòu)

網(wǎng)絡互聯(lián)設(shè)計提供了一個簡單的架構(gòu)，可以擴展到數(shù)千個站點?；ヂ?lián)網(wǎng)絡提供端到端的路由環(huán)境，而不是點對點的網(wǎng)絡。用于創(chuàng)建此邏輯網(wǎng)格的協(xié)議因供應商而異。

不同供應商有不同的目標。有些供應商更關(guān)注網(wǎng)絡互聯(lián)的零信任安全，而其他供應商則使用網(wǎng)絡互聯(lián)來解決與應用程序性能相關(guān)的問題。不支持會話的供應商需要使用覆蓋。

單棧安全性

在理想情況下，單個軟件堆?？捎糜谒芯W(wǎng)絡功能。人們現(xiàn)在開始看到路由和安全性的融合。如今的網(wǎng)絡和安全團隊以及產(chǎn)品是不同的，人們希望將路由和安全性結(jié)合在一起。

一些SD-WAN供應商與安全供應商合作，以便路由和安全性能夠很好地協(xié)同工作。一個例子是使用網(wǎng)絡功能虛擬化(NFV)。

在這里，采用軟件堆棧并在同一硬件實例上運行它們并將服務鏈接在一起。有些情況下，只是將所有內(nèi)容都推送到云端。所有安全性和自我修復都在云平臺中運行，從而抽象出復雜性。無論哪種方法最適合用戶，未來的安全和聯(lián)網(wǎng)都會更加緊密。

支持太比特級網(wǎng)絡

如果用戶想在互聯(lián)網(wǎng)上使用太比特速度，可以購相應的設(shè)備進行擴展。網(wǎng)絡互聯(lián)架構(gòu)為太比特級網(wǎng)絡提供高性能和支持。

IP地址獨立

對IP地址獨立性和重疊IP地址的支持至關(guān)重要。許多組織已經(jīng)分配了不受限制地運營的團隊，從而產(chǎn)生了1000個AWS賬戶。最終，當用戶想要轉(zhuǎn)向共享服務，日志記錄或基于身份的策略(IAM)時，IP地址沖突的可能性很高。

這里有兩個選擇：用戶可以讀取所有內(nèi)容，也可以使用提取IP地址的供應商產(chǎn)品。抽象IP地址基于其他變量(如命名數(shù)據(jù)網(wǎng)絡)進行路由。

零信任安全

它還提供零信任安全性。零信任安全的基本定義是沒有事先認證和授權(quán)就沒有建立傳輸控制協(xié)議(TCP)或用戶數(shù)據(jù)報協(xié)議(UDP)。

自適應加密和會話身份驗證

自適應加密是在應用層加密，使用傳輸層安全性(TLS)，可選擇在網(wǎng)絡級別重新加密。當然優(yōu)點是雙重加密比單一加密更安全。如果某人在應用程序?qū)佑袀鬏攲影踩?TLS)，他們?nèi)匀豢梢栽趥鬏攲影踩?TLS)會話設(shè)置期間獲得有關(guān)TLS連接的一些元數(shù)據(jù)。

然而，在網(wǎng)絡層加密使用不同的密鑰，使用戶可以隱藏有關(guān)該TLS會話的元數(shù)據(jù)。但是，如果要在網(wǎng)絡層進行加密，則會實現(xiàn)網(wǎng)絡性能。要解決此問題，用戶可能需要額外的資源來促進加密。

1：1分割

互聯(lián)網(wǎng)設(shè)計提供1：1分割。這是應用程序或服務到另一個應用程序或服務的映射。確切地說，在虛擬服務器中，應用程序只能在此端口上與另一個端口的應用程序進行通信，而不是通用的服務器到服務器映射。

應用程序性能和服務保證

應用程序性能和服務保證確保應用程序正在高效運行。此外，它確保應用程序采用最佳路徑而不是最短路徑，這可能具有高利用率。

確定性路由

在通過安全堆棧時，必須采用確定性和動態(tài)路由，因為用戶不需要非對稱路由。

一些SD-WAN供應商通過發(fā)送ping，雙向轉(zhuǎn)發(fā)檢測(BFD)或通過其他一些專有的保持活動訪問鏈路測量來監(jiān)控鏈路。邊界網(wǎng)關(guān)協(xié)議(BGP)路由控制路由，但它是靜態(tài)的，可以根據(jù)規(guī)則或跳變進行配置，但是，這些指標都不是基于鏈路的利用率。

如果在一段時間內(nèi)丟棄了超過10%的數(shù)據(jù)包，用戶應該能夠?qū)⒙酚稍O(shè)置為更好的路徑。許多SD-WAN正在宣傳這一點，因為在過去設(shè)置思科智能WAN(IWAN)時，數(shù)據(jù)流的設(shè)置將使用相同的鏈路，直到該流程結(jié)束，無論抖動或數(shù)據(jù)包丟失如何。

大型會話的鏈接負載平衡

全球互聯(lián)網(wǎng)為大型會話提供鏈路負載平衡。比方說，用戶正在執(zhí)行備份，可以平衡多個鏈接，而不是使用單個鏈接，這些鏈接可以同時使用給定的AWS或Azure實例，以便于進行大量文件傳輸。

從傳輸控制協(xié)議(TCP)的角度來看，它看起來仍然相同。TCP仍然按順序保留序列號，即使它們進入不同的路徑。這是因為負載平衡是在開放系統(tǒng)互連(OSI)模型的網(wǎng)絡層執(zhí)行的。

維護會話狀態(tài)

在網(wǎng)絡中，會話將通過防火墻。發(fā)生拓撲更改導致返回路徑發(fā)生變化時會發(fā)生什么?

非對稱路由將導致防火墻丟棄會話。因此，需要通過防火墻邊界和網(wǎng)絡拓撲更改來維護會話狀態(tài)。因此，如果某個鏈接表現(xiàn)不佳，則需要確保路線更改是雙向的，而不僅僅是單方。這使用戶可以正確進行故障轉(zhuǎn)移。在這種情況下，從TCP角度來看，用戶仍然在維護TCP狀態(tài)。