主流云平台架构与混合云设计

海继尚 朱奕健 庄彦宇

（联通（上海）产业互联网有限公司 上海市 200050）

1 前言

根据RightScale 2019年云状态报告全球范围内，已有58%的企业使用混合云进行业务部署，国内整体市场水平较低，约为8.1%。探究期本质原因，主要由于大中型企业在构建IT 架构过程中或多或少存在历史遗留问题（包括软件系统以及硬件资源），传统的架构可以使现有业务稳定运行。但在业务高速发展的背景下，传统架构变更缓慢的缺点与新业务高速迭代的特点产生了不可调和的矛盾。必须引入新的技术和面向云计算基础设施架构解决企业发展的痛点。IT 转型的过程中，企业会根据各云商优势与特色，结合企业IT 现状，成本，资产，基础架构能力等多方面因素，构建多云商跨平台的混合云新基础架构，意满足自身业务构建高可用，高扩展性的应用模型。

2 主流云平台架构与混合云设计

2.1 云计算业务模型

云计算通过高速网络，云计算将大量独立的计算单元相连，提供可扩展的高性能计算能力。它的主要特点是：资源虚拟化、服务按需化、接入泛在化、部署可扩展。目前主流云商提供的服务模式主要有4 种，IaaS，PaaS，SaaS，DaaS。

2.1.1 IAAS 服务（基础设施即服务）

基础设施即服务（Infrastructure as a service），是指企业可以使用云计算技术来远程访问计算资源，包含计算，存储，网络资源以及应用虚拟化技术所提供的相关功能。IaaS 以抽象方式，通过互联网，专线等形式将虚拟化服务提供给用户。主流IaaS 云产品包括云主机，虚拟专有网，负载均衡，VPN，块存储，弹性IP 等多种形态产品。

2.1.2 PAAS 服务（平台即服务）

平台即服务（Platform as a service），是指将一个完整的计算机平台，包括应用设计，应用开发，测试作为一种服务提供给客户。在这种模式中除了以最基本的IaaS 方式提供硬件和操作系统，还需要提供对应的附加服务。用户并不需要知道这些服务的具体技术细节，即可直接使用对应产品。主流PaaS 产品包含云数据库，云中间件或完整开发平台等多种云产品。

2.1.3 SAAS 服务（软件即服务）

软件即服务（Software as a service）,是指企业获取软件服务的新形式，不需要用户将软件安装在服务器上，即可获取对应的软件功能，在这种模式中，用户可以通过IP 网络直接获得应用程序。主流SaaS 产品包含云邮箱，云视频，云监控，云杀毒，企业CRM等多种云产品。

图1：Openstack 架构与纳管能力

图2：Openstack 平台拓扑

2.1.4 DAAS 服务（数据即服务）

数据即服务（Data as a service），DaaS 服务是大数据时代的象征，云商建立完整的IT 环境，企业通过大数据平台提供的算法或者接口，收集所需要的基础数据并完成数据分析过程。主流产品包含，离线计算，流计算，数据仓库等多种云产品。

2.2 OpenStack平台架构解析

Openstack 平台在IaaS 层服务能力较强，可提供大量IaaS 层云产品。Openstack 服务组件主要包含计算服务（Nova），网络服务（Neutron），存储服务（Cinder，Swift，Ceph），计量（Ceilometer），身份认证（Keystone），镜像（Glance），仪表盘（Horizon），编排（Heat）等，在平台提供对外服务同时，可以通过nova-scheduler服务与Openstack Image Service 服务对接Vcenter 以纳管企业原有Vmware 虚拟化环境，通过openstack-Ironic 纳管企业原有物理机，实现企业openstack 专有云与私有云的统一管理。如图1所示。

图3：互联网平台拓扑

图4：混合云架构设计

图5：混合云网络架构建设

图6：混合云中台

以OpenStack 为技术框架的云平台主要包含FusionSphere OpenStack(华为OpenStack 商用发行版)，H3Cloud OS（H3C 云操作系统），TStack（腾讯专有云平台）等。整体架构通过传统网络设备组件路由以及Vxlan 网络为平台搭建提供基础环境，在进行Openstack 平台搭建与优化，辅以SDN 控制器完成平台搭建，提供对外云服务。如图2所示。

2.3 互联网平台架构解析

互联网平台架构在PaaS，SaaS，DaaS 层服务能力较强，可提供大量PaaS，SaaS，DaaS 层云产品。互联网架构主要以分布式系统为底层支撑，提供完整的云平台能力与云生态开发能力。互联网架构由大型互联网公司根据自身业务特点进行改造，对企业输出能力，其丰富的数据库，中间件，大数据产品在企业业务转型过程中起到较为关键的作用。

以互联网架构为技术框架的云厂商主要包含Apsara Stack（阿里专有云平台），Windows Azure(微软专有云平台)等。整体平台在构建过程中，通过基础网络搭建完成设备基本接入，由分布式网关与OpenvSwitch 完成Vxlan 网络搭建，在分布式系统的环境中，拓展生成云数据库，中间件，安全等专属资源池，实现IaaS，PaaS，大数据应用的部署，完成平台搭建，对外提供服务。如图3所示。

2.4 混合云架构设计

基于互联网架构，OpenStack架构，企业原有平台共存的情况下，通过构建统一的数据通道，建立云网高度融合的基础网络环境。根据多架构平台特性，融合OpenStack，互联网以及原有IDC基础资源，提供统一Iaas 服务；将互联网平台数据库，中间件，大数据等能力共享至其它平台，提供统一Paas 服务；根据用户原有应用架构做多中心改造，实现高可用，可扩展的Saas 应用。

企业在建设混合云设计过程中会遇到以下3 类问题：

云平台选择：云平台技术选型过程受到成本，设备利旧，业务需求，企业研发能力等诸多因素影响。如果企业对于Iaas 资源有较大需求，可以选择Openstack 架构为主平台承载大量业务辅以互联网平台提升业务扩展能力（Openstack 架构平台资源5年期成本比互联网架构低28%-47%），并且可以逐步纳管企业原有数据中心资源。反之若企业对于Paas 或大数据有较强需求，以互联网架构平台为主平台辅以Openstack 架构平台承载基础业务，提升业务迭代以及数据处理能力。

多平台业务融合：在构建多平台应用时，由于企业原有IDC 迁移成本过大，业务融合在混合云架构中实现难度是最大的。与新建云平台完成业务流量互通与融合，实现跨平台业务融合，逐步形成双活/灾备模式的高可用应用架构。

多平台管理融合：在多平台完成部署后，完整的运营管理工作就成为混合云的重点，可建立跨云调度系统平滑地实现多平台统一管理。混合云架构设计如图4所示。

3 跨平台混合云关键技术

3.1 网络自动化

3.1.1 Netconf

Netconf 协议在混合云环境中，由于基于现有网络协议与控制手段，整体实现难度较小，仅需要梳理混合云组建过程中的业务逻辑与标准化，并进行接口开发，实现交换机配置下发能力即可。管理软件可以使用NETCONF 协议将配置数据写入设备。所有数据通过XML 编码，通过HTTPS 等方式进行传输。

3.1.2 Openflow

基于Openflow 的网络自动化技术的基础构件包含，Openflow交换机，控制器以及南北向访问接口，通过Openflow 流表实现数据转发。完全基于Openflow 的交换机，不具备传统交换机的控制能力，完全依赖控制器做转发控制，混合Openflow 交换机除了支持传统设备能力之外，还支持Openflow 控制。整体使用Openflow的难度在混合云中技术难度较大，为了实现平滑迭代，可使用混合型Openflow 交换机以降低网络自动化的难度。

3.2 云间调度

3.2.1 混合云适配

混合云适配需要支撑多个架构的云平台抽象为统一的资源模型，并进行统一的编排。支持计算，存储为基础组件，以网络属性作为用户抽象的唯一属性，并根据用户权限配置对应的资源依赖关系，通过灵活组合实现资源自动化编排和复杂服务模块的组建。在适配各架构云平台过程中，混合云适配器需要完成不同云商的接口统一，供用户调用实现用户自主编排能力。

3.2.2 中台持续集成

混合云中台部署基于微服务架构进行构建，在整体运行过程中需要不断进行迭代，不断完善其资源调度与编排的能力，同时在平台迭代的过程中需要控制对现有业务影响。

4 跨平台混合云架构落地方案

跨平台混合云建设分为以下3 个阶段：

云架构设计与建设阶段：不同云商的平台架构有各自的特色与找重点，使用的技术栈差距较大，若从底层平台进行融合其技术壁垒以及难度很大，不适合在底层平台系统进行融合。因此需要进行合理的架构设计实现多平台业务与管理的融合以及租户之间的隔离。

云中台开发：云中台整体作用在于将各个独立的平台进行统一的管理与调度。通过研发多云适配器进行统一的监控，资源的调拨，实现跨平台融合。

云生态建设：混合云自身能力与外部优秀的产品进行结合，形成多生态架构，综合性云能力。

在混合云建设过程中需要关注多平台的业务网络与管理网络的隔离，以及云能力复用在多个平台中。

4.1 跨平台混合云网络架构建设

混合云网络通过MPLSVPN,GRE 等相互隔离的隧道，实现各业务之间的区隔，连接自有IDC 以及多业务云平台。另一方面在连接公有云的过程中，可以通过IPSECVPN, SDWAN,专线等方式建设基础网络，通过隧道或者标签转发技术实现不同业务之间的隔离，同时避免出现地址冲突等云平台常见问题。混合云网络架构建设如图5所示。

4.2 混合云中台开发

如图6所示，混合云中台开发建设主要包含：混合云调度中台，混合云运营中台，混合云资源中台实现用户体系与产品体系抽象化。适配器，同步器，SDN 控制器等功能对接传统IDC，Openstack 平台，互联网平台，实现多平台管理能力拉通，实现多云调度多云监控。其次新建用户体系，将企业组织分散在多个平台内，并在网络侧新增用户属性，实现一体化的用户管理。第三新建产品能力，将多种云能力进行抽象，降低用户对底层架构的感知，提升自有混合云的使用体验。

4.3 混合云生态构建

云生态建设需要整合上游应用，结合厂商能力与开源社区能力，形成多元化云应用。尤其在安全，大数据，AI 领域，云生态引入与建设对于云能力提升尤为明显。云生态本质是在完成标准定制的前提下针对混合云能力开放，主要涵盖以下内容：研发共享：提供开发者（租户）统一开发接口，中间件服务支持，提供开发测试环境等。产品运营：提供合作伙伴（厂商）产品管理能力，包括：产品上下线，产品推广，以及产品标准化部署。

5 混合云思考与发展

5.1 混合云与边缘云思考

中国电子技术标准化研究院和阿里云计算有限公司联合发布《边缘云计算技术及标准化白皮书》，定义边缘云计算简称边缘云，是基于云计算技术的核心和边缘计算的能力，构筑在边缘基础设施之上的云计算平台。边缘计算是网络中最靠近物或数据源头融合网络、计算、存储、应用核心能力的分布式开放平台，就近提供边缘智能服务。以边缘节点作为数据感知与交互层，以混合云强大的计算，图形处理能力建立中央处理能力，可较大地提升大数据时代的时效性与有效性。

5.2 混合云安全防护

混合云的安全防护相较于普通云计算更为复杂，需要考虑不同平台的安全能力，并结合第三方安全产品实现混合云的全方位保护。根据等保2.0 云计算扩展要求，要想建立“云安全”系统，并使之正常运行，需要解决四大问题：

（1）建设云安全探针检测威胁与攻击；

（2）需要专业的反病毒技术应对网络安全突发时间；

（3）需要大量的资金投入完善网络安全防护能力；

（4）需要建立放开的云安全生态，建设云安全体系。

混合云安全体系的建立不仅可以为云计算保驾护航，也可拓展安全市场，提升云整体竞争力。