一种基于叶脊网络架构云资源池的优化方法

谢羽成 孙 健 丁 宁 宋 扬

1.中通服咨询设计研究院有限公司；2.中国电信集团有限公司内蒙古分公司

0 引言

在云网融合的建设如火如荼，各业务平台和核心业务积极争相上云的过程中，云资源池的管理体系遇到了一些挑战和执行上的问题。例如，网络维护部门如何协调同一张资源池中不同业务的部署窗口周期？网络安全部门如何与业务部门协调同一个资源池不同业务的安全防护策略？同一个资源池内对不同业务的质量保障等级如何分配和管理？面对以上的疑问，如何在保证云网融合大方向不变的情况下，缓解或者解决如今面临的一些问题是需要探究的。

1 主流云资源池技术的特点

1.1 Leaf-Spine 架构的云资源池

传统三层网络架构存在带宽浪费、故障域较大、难以适应较大规模网络等弊端，因此，Leaf-Spine（叶脊）网络架构正在逐渐成为当今通信运营商云资源池建设的主流架构。该架构正在大规模城域网络（新型城域网）中积极部署。

通信运营商采用的Leaf-Spine 架构的云资源池典型拓扑如图1 所示。

图1 国内运营商基于叶脊网络架构的云资源池典型拓扑图

该架构的网络侧分为Spine 和Leaf 两层。Spine 节点通常为EOR（End of Row）交换机，Leaf 节点通常为TOR（Top of Rack）交换机。网络整体会统一设置两台Boarder Leaf 设备，该设备通常采用大功率，高性能的路由器产品。

该架构与标准的Leaf-Spine 架构相比，参考了NFV 的业务特征，在架构中设置了管理、业务、存储三个不同的节点。通过这种设置，能够在最大化保障网络中东西流量运行效率的前提下，更加方便地进行维护和管理，符合运营商对云资源池精细化发展的要求，也避免了由于设备故障而造成业务之间的互相影响。这种架构的设置与Facebook 的Fabric 网络架构有相似之处。

1.2 运营商云资源池网络架构的局限性

1.2.1 多业务共用网络出口问题

运营商常用的Leaf-Spine 架构，较普通的三层网络架构的优势，主要体现在东西向流量的优化，该优化能够更好地承载例如5G 核心网、vIMS 等虚拟化网络功能的业务需求。但是单独针对南北向流量而言，其实并没有很大的改善。所有业务的南北向流量，都通过唯一的两台Border Leaf 设备与运营商网络对接。若通过Leaf-Spine 架构的资源池来承载单一业务，该方案并没有很大的问题。但是随着单机房内承载的业务种类越来越多，南北向流量的需求越来越具有多样性的时候，Border Leaf 就容易成为整体网络的主要风险点和业务瓶颈。具体示意图如图2 所示。

图2 基于叶脊网络的资源池南北流量走向示意图

Border Leaf设备与运营商网络对接，可以通过多连接方向、多物理路由等方式进行数据和传输层面的安全保障。但是如果Border Leaf 节点本身出现了设备故障等重大问题，将影响整个资源池的南北向流量的正常运行，有造成运营事故的安全隐患。

1.2.2 针对业务割接窗口协调的难度增大

在现有通信运营商的业务体系中，各专业的平台通常采用烟囱式结构。平台与平台之间互不影响，各专业、各部门可独自安排，并决定自己的升级扩容操作周期。

但是随着网络云化的推进，各业务都通过云资源池的方式进行承载，以往可独自安排扩容或升级操作变成了每次扩容升级操作均需要协调资源池内所有的专业共同规划操作窗口的时间。当在资源池内部署了特大、特别重要的业务时，其他专业对升级扩容的操作窗口和周期的申请就显得异常困难。例如在5G 核心网扩容的较长周期内，其余的业务会很难寻找到合适的扩容、升级、调测的操作窗口。这个问题对运维的管理流程和业务安全保障体系形成了新的挑战。

1.2.3 无法满足各业务不同的安全防护策略需求

随着安全等保的要求越来越精细化，运营商的各业务系统对安全等保的需求开始有了明显的区分。根据《信息安全等级保护管理办法》的规定，信息系统的安全保护等级分为五级，一至五级等级逐级增高。

当前，运营商的各类业务中，核心网、集团管理系统、网络安全系统等业务系统被严格定级为等保三级甚至更高。此外，诸如日常运维系统、办公系统、普通业务平台等，通常定级为等保二级或三级。剩余的非核心业务平台，可根据实际使用需求，定级为等保一级或者按实际安全需求执行。

此时，存在网络架构的统一和实际业务安全等保要求不同的冲突问题。当不同安全等级的业务承载在同机房的同一个资源池中时，运营商需要依照平台内安全等级最高的业务，进行最高级别的安全策略配置，以保障安全的合规性。但这种较高的安全配置，却不一定能符合其余平台的业务需求，出现过度配置、安全投资浪费等问题。

由此可见，业务的安全配置策略和整体云的安全配置策略在某些时候确实存在着一些矛盾点，需要通过合理的办法进行规避。

2 对业务进行分区的建议

由前述可知，当前运营商的云资源池网络架构的局限性主要是由于多种类的业务均承载在同一个资源池中造成的。因此，如何依照业务的特点和特征进行功能分区从而与承载网高效配合，是需要首先考虑的问题。运营商的业务特征除了安全部分以外，还有很多需要考虑的因素，例如业务的服务对象、业务流量的大小、业务的QOS 需求等级、业务的流向特征等。而运营商往往会根据不同的业务特征，形成一个业务故障影响等级的判定。本研究依照业务故障影响等级判定业务的重要性，依照安全等保级别判定安全的重要性。采用以上两个不同的角度完成对不同业务的分区划分。

2.1 依照安全等保级别进行业务区分

在运营商的现有管理体系中，已经在近两年完善了各自业务系统的网络安全定级备案。经过分析，主要遵循了以下几个原则：故障影响范围广、业务重要性高的业务定为3 级；生产子系统，以及不会形成大范围故障或生产事故的系统定级为2 级；非核心生产单元的业务系统定级为1 级。参照某运营商的指导意见，定级建议如表1 所示。

表1 业务系统定级建议

2.2 依照业务重要性等级进行业务区分

依照业务性质，可以将上云承载的系统按照管理界面划分为对内系统和对外系统。对内系统可包括管理系统、运维系统等；对外系统包括生产系统、核心网系统、业务平台系统、增值服务平台系统等。

每一类系统都可以依照故障影响等级进行相关的重要性判定。例如，对内系统，存在集团级系统＞省级系统＞地市级系统的重要性等级区分；对外服务系统，存在核心网系统＞业务平台系统＞第三方平台增值服务系统的重要性等级区分。因此，可参考以上重要性关系，将各类需要通过云资源池承载的业务进行重要性等级区分。

为更好地完成分区工作，建议可以通过赋分的方式对各业务系统的重要性等级进行评定。赋分规则可参考如下：特别重要系统赋分区间为80-100 分，一般重要系统赋分区间为60-80 分，普通系统赋分区间为40-60 分，其他系统赋分区间为20-40 分。

2.3 参照安全等级和业务重要性的业务分区实验

本研究选取了运营商行业中十一个可以通过云资源池承载的系统进行安全定级和重要性赋分实验。赋分实验结果参考如表2 所示。

表2 赋分实验结果

依照以上的赋分实验结果，可在直角坐标系中形成散点图。在直角坐标系中，落在第一象限的系统可分类为一区业务，落在该区域内的系统表示是级别最高，业务需要得到最大保障；落在第二和第四象限中的业务，可分类为二区业务，二区表示该业务比较重要，但是安全需求不高，或者虽然安全需求很高但是业务不是最重要的；落在第三象限中的业务可分为三区业务，该区域内的业务是非核心的业务系统，代表故障影响范围有限。

具体示例如图3 所示。

图3 业务分区实验结果图

3 对双平面组网在云资源池中的应用探讨

3.1 双平面组网的技术特点

“双平面”的网络架构在2010 年前后开始在国内应用。该网络架构的引入主要是为了解决承载网层面的安全问题和业务优先级保障问题。在云资源池的组网层面，暂时还未了解到相关的应用成果。

“双平面”架构的优势是可以将业务流量按其重要程度，分别通过A、B 两个不同的平面承载。通过这种架构，有能力让多种不同业务的承载方案更加清晰，效率能得到有效提升。也给管理部门提供了多样化的业务保障策略，有利于后续管理。

3.2 双平面组网在云资源池建设中的应用

在业务侧有了一区、二区、三区的区分之后，就可以用多平面的方式，对不同分区的业务进行针对性承载。考虑到承载网设备在资源池内的整体投资占比不宜过大，本研究优先探讨如何基于双平面，对基于Leaf-Spine 架构的资源池进行改善。A 平面承载优先级最高的一区业务，B 平面承载优先级次级的二区和三区业务。

可以在云资源池中通过增加Leaf-Spine 架构中的Border Leaf 节点，结合业务分区完成改进工作。优化后的示意图如图4 所示。

图4 对基于叶脊网络资源池优化后的组网及业务走向示意图

通过该调整，可以使用A、B 两个不同的平面，针对业务的分区不同，进行差异化承载。该拓扑的调整能够为云资源池的建设和管理带来以下几个优点：

（1）能够解决资源池网络出口瓶颈问题。通过新增Border Leaf 节点，能够有效拓宽资源池南北流量。网络出口不再依靠唯一的一对Border leaf 节点，有效增强了网络的健壮性和安全性，有利于后期的扩容。

（2）能够解决资源池内操作窗口调度难的问题。业务分区和双平面建设后，运维管理部门可以规划用A 平面承载一区业务，B 平面承载二区和三区业务。因此，二区、三区业务的操作不会实际影响到一区业务的运行。运维部门也可以自行安排A、B 平面的业务承载计划，并进行灵活调度，极大缓解网络升级与安全保障之间的矛盾。

（3）提供了相同资源池内差异化服务的可能性。在实际配置中，由于A、B 平面相对独立，可以在承载网侧对不同的平面制定不同的差异化服务策略。例如A 平面可以主要连接运营商A 网络，B 平面可以主要连接运营商B 网络，A 网络和B 网络之间通过边缘路由器互通。通过这种方式，资源池内的业务可以根据实际业务需求进行定向选择，从而可以为同一资源池内的不同业务提供差异化服务，提高云资源池南北向流量的流通效率。

（4）为资源池的网络承载提供额外的容灾手段。考虑到A、B 平面的容灾特点，以及Leaf-Spine 架构全连接的特征，A 平面与B 平面实质上形成了互备的关系。因此，当A 平面出现重大级别故障时，A平面的业务可切换至B平面进行承载，反之亦然，从而为资源池提供额外的一种安全容灾手段。

4 结束语

随着云网融合建设的持续推进，无论是运营商、政府部门，还是企事业单位，对于云资源池建设的需求都呈现井喷式爆发。随着业务逐渐多样化，如何针对特殊需求完善现有云网络架构显得十分必要。本研究对如何将双平面组网和业务分区应用在主流的Leaf-Spine 架构的云资源池中进行了初步探讨和分析。当然，其中有很多细节问题还需进一步探究，例如如何更好、更客观地对业务进行分区？如何继续优化数据传输协议配置，从而提高A、B 双平面承载的运行效率？以上遗留问题都需进行更加专业的评估。本研究是从架构层级对资源池的优化进行讨论，也为未来的云资源池部署提供了新的思路，具有良好的应用前景。