腾锐网络可视化助力中国电信5G云资源池

为了迎接5G，同时也为了更好的服务于云租户，中国电信提出了“云改”的概念，并在全国快速铺开落地。在全国云资源池的整体布局中，中国电信针对两个超大规模核心云资源池基地的网络流量分析系统进行了重点设计和改造，以实现全网流量运行状况的监控。

【中国电信超大规模核心云资源池的组网图】

逐步推演清晰的需求

在设计初期的讨论中，中国电信的技术人员尝试将云资源池中的全部网络数据流量镜像或分光给网络可视化后端系统集群，让服务器集群来进行报文源标记、过滤、截短和分析等处理。但，服务器集群的处理压力严重超出载荷，导致必须超预期地扩建后端系统服务器集群规模，进而带来数据中心的TCO（Total Cost of Ownership，总拥有成本）大幅增加。

与此同时，中国电信的技术人员又发现：如果流量被镜像或分光到后端系统，服务器将会获取到用户数据流中的所有数据信息，这显然无利于客户信息保密责任的实施，也违背了合规要求……

就这样，随着方案不断地细化和分解，中国电信提出了以下明确热建设需求：

❶ 网络流量分析系统的前端除了完成汇聚分流的作用外，还要根据性能分析的要求过滤出有效的流量转发至后端，截掉无用信息以降低网络可视化后端系统的计算和存储压力，让后端分析系统更高效地完成安全、延迟、丢包、吞吐等多维度的运营性能分析；

❷ 对多租户流量进行识别和标记，通过报文中的VNI等字段进行不同租户流量的识别和标记，方便后端系统对不同租户的流量进行分析和处理；

❸ 根据标记，将流量同源同宿至指定的服务器集群，并实现服务器集群的负载均衡，降低服务器的处理压力，提升处理效率；

❹ 当不同服务器集群系统要对同一份流量进行分析时，需要将流量复制成多份，并分发给不同的后端系统；

❺ 对流量的所有操作必须满足合规要求，保护客户的隐私数据，包括姓名、地址和身份证等基本身份信息，及位置、IP地址、Cookie数据和RFID标签等网络数据。

腾锐的All-in-One网络可视化方案

针对中国电信的需求，腾锐Teraspek在原有网络中增加了一套网络可视化Monitoring Fabric架构，超预期地达成了云资源池网络流量分析系统改造的全部目标。

【Teraspek解决方案组网图】

❶ 口的网络可视化交换机：32个100G端口的PF9032 & 48个10G+6个100G端口的PF6648，通过镜像或分光技术分别负责采集100G和10G链路中的网络流量；

❷ 对采集到的流量进行过滤、报文截短、源端口标记、复制、多租户流量的识别和标记等多种并行的报文深度处理。其中，报文过滤可以降低服务器处理负担，只接收有用流量；报文截短可以将报文中的隐私数据截掉，只保留报文头部有效信息等字段，满足合规要求；源端口标记可以区分不同租户或者区域的流量，对流量进行分类，简化管理；报文复制可将一份流量复制多份，分发给多个后端系统同时进行分析；通过报文中VNI等字段进行不同租户流量的识别和标记，可以帮助后端系统对不同租户的流量进行分析和处理；

❸ 根据后端系统的需求，将流量负载均衡并同源同宿地转发至指定的后端服务器系统集群中。由于原有数据链路的负载均衡或路由不对称等原因，同一个会话的多个报文，可能被负载均衡到多条链路上。对于服务器阵列而言，希望把属于同一个会话的所有报文，都汇聚到同一服务器，以便完成数据处理。对此，腾锐的Monitoring Fabric可通过针对所有链路会话的交换汇聚完美解决这一问题，实现同源同宿并负载分担到后端系统。

本期项目亮点总结

✚ 支持分布部署、分层设计、集中监控，管理人员可对所有设备进行统一配置与管理；

✚ 通过灵活设置L2/L3/L4/L7层并发过滤策略，为各种后端监测系统精准获取目标流量提供了有力的支撑，降低服务器集群的处理负担；

✚ 全线速的报文复制，为多个后端系统提供数据源；

✚ 精准的多租户流量识别和标记能力；

✚ 截去报文中对网络性能分析无关的业务负载，符合互联网信息安全相关的合规要求，只将有效信息转发至服务器，提升服务器性能利用率，降低存储压力，降低TCO；

✚ 高密度、高速率端口的分流器组合，使组网更加灵活，可按需、横向进行扩展，最多可以实现高达Pbps级别的大容量同源同宿分流方案扩展；

✚ 超高的性价比，相比于机箱式的组网架构，盒式组网可将成本降低30%左右。