はじめに : ネットワーク設計上の課題について こんな課題で困っていませんか? 課題 1: ネットワーク装置の選定 設置工事 物理配線工事などが必要 課題 2: サーバー設計とネットワーク設計が独立しており連携設定に時間がかかる課題 3: 学内のネットワーク接続管理に手間がかかる 課題 4: メイン

Transcription

1 学術情報基盤オープンフォーラム 2017 ネットワーク機能仮想化と 活用への取り組み 平成 29 年 6 月 8 日国立情報学研究所

2 はじめに : ネットワーク設計上の課題について こんな課題で困っていませんか? 課題 1: ネットワーク装置の選定 設置工事 物理配線工事などが必要 課題 2: サーバー設計とネットワーク設計が独立しており連携設定に時間がかかる課題 3: 学内のネットワーク接続管理に手間がかかる 課題 4: メインキャンパスに集約するとアクセス回線がボトルネックとなる 法定点検停電時のサービス停止対応 サーバルームの物理セキュリティー対策 耐震工事 課題 1: ネットワークの手直し毎に ネットワーク装置の選定 設置工事や物理配線工事が必要 R サブキャンパス Internet 課題 3: 新規研究プロジェクトへの VPN 追加等キャンパス間接続管理が必要 メインキャンパス R FW 課題 4: メインキャンパスを経由したトラヒックがアクセス回線を圧迫 課題 2:E-learning などのアプリ構築と並行 ( 独立 ) したネットワーク設計が必要 APL サーバ 1

3 ネットワーク機能仮想化の活用イメージ ネットワーク機能仮想化を活用することで課題解決を目指しています ポイント 1: ネットワーク機器をクラウドに移行しキャンパス内はすっきり ネットワークは遠隔から自動設定! ポイント 2: アプリケーションとあわせネットワーク機能を含めた統合的な管理 制御を実現! キャンパス内は シンプルなネットワーク装置構成 Internet クラウド上に主要なネットワークを構築 クラウド vr vfw APL APL アプリケーションとネットワークの統合的な管理制御 耐震防水対策等 L2SW L2SW アクセス帯域の有効な活用 サブキャンパス メインキャンパス 2

4 ネットワーク機能仮想化サービス利用イメージ 平成 28 年度 SINET 学術情報基盤サービス説明会 投影資料抜粋 加入機関様のロケ内に配備がなされていた各種ネットワーク装置を 外部 NFVサービスにアウトソーシング化する ( 構内 LANはシンプルな機器を中心に配備し 運用管理を簡易化 ) 特定の機能に対する突発的な需要増減や 構成変更への柔軟な対応 リソース集約 / 共用によるコスト削減などが期待できます Internet 外部 NFV サービス等 学内 LAN WiFi-AP vr vportal vfw vmail 仮想化ネットワーク機能 終端装置 L2SW SINET vdns vntp MOOC / アクティブラーニング 遠隔講義 VPLS/L2VPN VM vlb VM ルータ /FW LB/DNS/NTP 等 汎用サーバ汎用サーバ汎用サーバ 3

5 ネットワーク機能仮想化の流れ サーバの高性能化一般サーバのCPU 性能の価格性能比 (30 年で約 3000 倍 ) バス速度はPCIからPCIe3.0で500 倍 WANの低廉化 高速化 ISDN(64kbps) から光アクセス (1Gbps) へ15600 倍 Software Defined Network(SDN) の登場 : ネットワーク設計 設定をソフト的に簡易に実現 Network Function Virtualization(NFV) の登場 : ネットワーク機器が汎用サーバ上で動作 サーバの高性能化 WAN の低廉化 高速化 データセンタに設置されたサーバを ネットワーク越しで共有するクラウドの登場 ネットワークの設計 設定は 物理作業 論理設定と大変 SDN: ネットワーク設計 設定をソフト的に簡易に ネットワーク機器は専用のハードウェア管理 運用が大変 NFV: ネットワーク機器が汎用サーバ上で動作 4

6 SDN (Software-Defined Networking) とは SDN は ソフトウェアを用いてネットワークを設定 / 制御可能とすることで コスト削減 自動化によるネットワーク設定の簡易化を目指します 利用イメージ SDN アーキテクチャ ネットワーク管理者 A B C D アプリケーション群 論理的な設計 物理装置への設定 制御ソフト ユーザ要望 & サービス要件 一体的制御 ネットワーク状態 仮想化 抽象化 管理 & 制御自動化再帰的管理 & 制御 リソース群 B A C D リソース群 参照 : 5

7 NFV (Network Function Virtualization) とは NFV は 汎用のハード上に ソフトウェア化したネットワーク機能を動作させることで 個々の専用ハードウェアを不要とし 柔軟にネットワーク機能を実現することを目指します 従来のネットワークアプライアンスのアプローチ 機能ごとに専用ハードウェアを使用 NFV のアプローチ ネットワーク機能をソフトウェア化 Router Session Border Controller DPI Firewall Carrier Grade NAT WAN Acceleration Tester/QoE monitor 汎用のハード上で動作 大容量の汎用サーバ 大容量の汎用ストレージ PE Router BRAS 大容量の汎用イーサネットスイッチ 6

8 仮想マシンにおけるパケット処理性能の向上 仮想マシンにおけるパケット処理技術が向上し 単純処理ならば 10Gbps~ も可能に! 従来は NIC からのパケットは Kernel( ハイパーバイザ ) が一旦受信し パケット解析後にユーザ空間のアプリケーションへ転送を行っていたため パケット処理性能が低下 直接 NIC から VM/ ユーザ空間へパケットを渡すことで性能を向上 SR-IOV:VM からは VF ドライバで直接 NIC 内の VF( 仮想化 PCI) から読みだすことで高速化 DPDK:User 空間 NO アプリケーションから 直接 NIC のパケットを読み出すことで高速化 VM1 vnic 従来 SR-IOV 従来 DPDK VM1 vnic VM1 VF driver VM1 VF driver User 空間ユーザアプリ User 空間ユーザアプリ Poll mode driver ハイパーバイザー vswitch ハイパーバイザー Kernel 空間 パケット処理 Kernel 空間 NIC NIC VF FV NIC NIC Classify and queue 7

9 クラウド直結サービス SINET に直結した商用クラウド事業者数は 21 へ (80 以上の加入機関に提供中 ) クラウドデータセンタ 直結 高性能 VPN 選択可能 さくらインターネット 北海道 1 NTT 東 HOTnet 大学 研究機関等 NTT 東 CTC 伊藤忠 NTT-SmC NTT データ九州 富士通 ミライネット UQ NTT コム 佐賀 IDC NHN テコラス 佐賀 福岡 2 兵庫 大阪 岐阜 埼玉 愛知 東京 1 神奈川 富士通 AWS : 利用可 21 社 (25 拠点 ) : 調整中 2 社 K-OPT NTT-SmC NTT 西 IIJ NJC CTC 中部テレさくらインターネット NEC 富士通クラウドテクノロジーズ GMOインターネットねこじゃらし日本 MS (2017 年 5 月 15 日現在 ) 8

10 クラウド直結サービスによるサーバ移行 オンプレミスで管理していたサーバをクラウド化することで 物理的なサーバ管理が不要に!! より高い災害対策を施した拠点 クラウド Internet GW GW L2VPN でセキュアに通信 一部のサーバ 大学キャンパス R オンプレミスサーバ群 キャンパス外 WiFi-AP L2SW FW L2SW サーバの物理管理不要 9 9

11 より災害に強い物理的な対策とクラウドの活用 物理障害 物理セキュリティー 災害耐性を高める物理的な対策として以下があげられます UPSの導入 電源断においても バッテリーにより電源供給ルートを継続 万一の停電時は自家発電も組み合わせ電力を供給 物理的セキュリティー 入館管理とラック施錠管理 生体認証や監視カメラによる監視 耐震設備の導入 2 重床による免震構造 設置機器へのダメージを抑制 ネットワーク接続の堅牢化 堅牢性の高い物理ネットワーク接続 とう道 > 管路 > 架空 高い障害対策が施されたデータセンタ上のクラウド活用も一つの解決策 10

12 ネットワーク機器のクラウドへの移行イメージ ネットワーク機器の仮想化を行いクラウド上のサーバに移行しアプリケーションとネットワークを一体的に管理 制御することで 運用の効率化が期待されます ネットワーク機器を移行 クラウド Internet アプリケーションとネットワークの一体管理 R FW L2SW アプリ 振り分けをクラウド上で実施 キャンパス外 A 大学ーサブキャンパス L2SW 学内はシンプルなネットワーク装置の物理的管理稼働の削減 L2SW 回線効率向上 A 大学ーメインキャンパス オンプレミスサーバ 11

13 ネットワーク機能仮想化技術に関する取組み ネットワーク機能仮想化技術は運用面 性能面など未知の面があるため 新しい技術を実利用するためのノウハウ蓄積 運用性 / 安定性評価を進めております 仮想化ネットワークの活用 仮想化ネットワークの活用 高いハードル 費用対効果 実運用性 安定性 アプリケーションサービスのクラウド化 構築ノウハウ 12

14 ネットワーク機能仮想化の特徴的な機能 より安定的にネットワークサービスを実現するための機能として オートヒーリング機能 オートスケーリング機能の実現が期待されています オートヒーリング : 仮想ネットワーク機器が稼働しているホストサーバに物理障害が発生した際 他の物理サーバにVMを移動することで 早急に障害回復を実現します オートスケーリング : 仮想ネットワーク機器の処理負荷が許容値を超えたときに 新たに仮想ネットワーク機器を追加することで処理負荷を分散し対応します オートヒーリングの例 2 引っ越し! 3 障害回復 仮想 Firewall 仮想 Firewall 物理サーバ 物理サーバ 物理サーバ 物理サーバ 1 物理サーバの障害 = 仮想ネットワーク機器の障害 13

15 仮想 FW のオートスケーリング例 仮想 FW の負荷を観測し 負荷が所定の範囲を超えた際に 自動的に仮想 FW の追加を行います その際に必要な振り分けを行うために必要な周辺機能への設定も同時に行います 1 処理負荷の観測 4WAN 側からの振り分け機能の設定 Router(WAN) vrouter 2vFW の立ち上げ vfw #1 vfw #2 vfw#3 ロードバランサー VM VM VM 3LAN 側からの振り分け機能の設定 14

16 DC 間をまたいだ vrouter オートヒーリング例 DC 内でのオートヒーリングに加え DC 間を跨いだ vrouter オートヒーリングも評価しています DC 間でのオートヒーリングは 同一の DC 内に必要な予備リソースを DC 内に確保できないケースを想定し行っています DC 内オートヒーリング DC 間オートヒーリング 別 DC アクティブ DC 別 DC アクティブ DC SINET vr SINET vr R R vr vr R R 予備リソースあり 予備リソースあり R WAN 側ルータ vr vrouter( 仮想化ルータ ) vr オートヒーリング後のvRouter VM(Webサーハ 等 ) 15

17 NFV プラットフォーム構成イメージ データセンタ内に L2SW を配備し SINET5 とサーバ ストレージを接続します NFV オーケストレータ + クラウドコントローラで 仮想ルータ (vrouter) 仮想ファイヤーオール ( vfw) 等の仮想化ネットワーク機能 (VNF) をサーバ上に構成します SINET とデータセンタ間を VPN 等で接続することで VNF にアクセスが可能となります SINET5 バックボーン ポータル NFV Orchestrator 加入機関様 VPLS IPdual 等 100 GE 10 GE/40 GE Layer-2 Switch Server Server VNF 40 GE Storage Storage Physical Appliances Cloud Controller Tenant Network 17

18 NFV オーケストレータ構成 NFVオーケストレータは3つの機能要素から構成されています サービスシナリオ (Service Scenario) ライフサイクル管理 (NFV Lifecycle Management) NW 装置設定 (NW Appliance Configuration) User NFV Orchestrator Portal Service Scenario L2OD サーバ Network Monitoring NFV Lifecycle Management NW Appliance Configuration SINET5 Router Physical Network Equipment Virtual Network Function Virtual Machine Cloud Controller 18

19 vfw オートスケーリングシナリオ動作 Cloud Controller が各 VM の CPU 負荷を定期的に監視 閾値を一定回数 (N 回 ) 連続で超過をトリガーに Service Scenario を起動 Service Scenario 部は事前に設定したシナリオに沿って動作 vfw を追加するために NFV Lifecyle Management 部に VM 起動を指示 NFV Lifecyle Management 部は Cloud Controller に VM 起動を指示 Service Senario 部は VM の起動完了を待ち受け 起動完了の信号受信後 NW Appliance Configuration 部へ vfw のセットアップを指示 NW Appliance Configuration 部は vfw のコンフィグを投入し FW 機能を起動 User NFV Orchestrator L2OD サーバ Portal Network Monitoring 5 Service Scenario NFV Lifecycle Management NW Appliance Configuration SINET5 Router Physical Network Equipment Virtual Network Function Virtual Machine Cloud Controller 19

20 VNF オートヒーリングシナリオ動作 Network Monitoring 部が定期的にVNFの障害を監視一定時間 VNFの動作が確認できない場合 NFV Lifecycle Management 部に通知 NFV Lifecyle Management 部は Cloud ControllerにVM 削除 新規 VM 作成を指示 Cloud ControllerからService Scenario 部にVMの起動完了を通知 NW Appliance Configuration 部へVNFのセットアップを指示 NW Appliance Configuration 部は VNFのコンフィグを投入しVNFを起動 User NFV Orchestrator Portal Service Scenario 4 L2OD サーバ Network Monitoring 2 NFV Lifecycle Management 1 6 NW Appliance Configuration 5 3 SINET5 Router Physical Network Equipment Virtual Network Function Virtual Machine Cloud Controller 20

21 SINET とクラウド DC 間の連携機能 SINET 内の VPN(VPLS) と NFV ー DC に構成したネットワーク仮想化機能とを 自動的に接続するための機能の検討を行っています 1 加入機関様から NFV-DC 間の VPN を設定 2ネットワーク仮想化機能はオーケストレータ / クラウドコントローラで設定 3 上記 1と2を接続 サブ DC SINET メイン DC L2OD サーバ Portal NFV Orchestrator Cloud Controller Cloud Controller R R VPLS Tenant Network 加入機関様 R 1 加入機関様を接続する VPN の設定 2 ネットワーク仮想化機能へつながるネットワーク設定 21

22 L2 オンデマンドサービス概要 利用者から 接続対地や開始 終了時間 ( 短期間から長期間まで ) 等を指定して オンデマンドで L2VPN/VPLSを設定 利用する際のイメージは以下の通り L2VPN (PtoP 接続 ): オプションとして 帯域指定や経路指定が可能 VPLS (MPtoMP 接続 ): オプションとして 対地の追加 削除が可能 NSI(OGF Network Service Interface) による国際連携に対応 GUI に加えて (REST-)API による予約に対応 :L2VPN :VPLS LS4 LS4 経路指定 LS4 網制御サーハ NSI 動的設定 (NETCONF) Global Requester GUI/API LS4 LS4 LS4 LS4 SINET 利用機関 SINET 利用機関 SINET 利用機関 SINET 利用機関 ユーザ ユーザ ユーザ ユーザ ユーザ ユーザ ユーザ ユーザ ユーザ ユーザ 22

23 L2 オンデマンド Web 操作画面 Web 画面から VPN の設定 (VPN グループ選択 予約時刻 経路指定等 ) が可能 ログイン画面 VPNグループ選択画面 VPN 予約時刻等の設定画面 23

24 L2OD- クラウド連携のためのポータル画面 L2OD で設定する VPN と NFV で設定するネットワークとを連携して設定します 3L2OD- クラウドそれぞれの情報を突合し 設定可能な VPN 情報としてまとめて表示 この画面から VPN 設定を実施 1L2OD で設定する VPN 情報の投入 2 クラウドで設定するプロジェクト情報の投入 24

25 ( 参考 ) L2OD サーバと NFV の連携機能 L2OD サーバにて設定を行う VPN と NFV を接続する機能を検討しております User Access System relation サービス申し込み User SINET Portal Operator 申し込み VLAN-ID の割当 NFV Orchestrator Cloud Controller Resources L2OD サーバ SINET5 Router VLAN-ID Table VPN 拠点登録 ポータルへログイン VLAN-ID の登録 User ID, password Get-information Replay ( 利用可能 VLAN-ID) テナントネットワーク情報テナントネットワークとして利用可能なVLAN-IDの登録 (VLAN-ID S 同期 ) VM テナントネットワーク起動 VM テナントネットワーク起動( 利用可能なVLAN-IDを指定 ) VM 起動 VPN 設定 ( 利用可能 VLAN-IDを指定 ) VPN 予約 VPN 予約修正 キャンセル Reserve ( 利用可能な VLAN-ID を指定し VPN を予約 ) Modify/Cancel ( 利用可能な VLAN-ID を指定し予約修正 キャンセル ) Start time VPN を SINET5 に設定 VPN 終了 VM 削除 VM 削除 VM 削除 End time 25

26 新サービスに関する web アンケートについて 平成 28 年度 SINET 学術情報基盤サービス説明会投影資料抜粋 先般 表記 Web アンケートにご協力いただき 誠にありがとうございます web アンケート結果概要について御報告させていただきます 件名 主旨 新サービスに関する web アンケートについて NFV サービスに関する需要があるかの調査目的のため 2 項目について web アンケートを実施 調査項目 ネットワーク機能仮想化サービストライアル VPN Exchange Pointサービス 期間 2016/8/1~2016/10/ 末アンケート実施対象 SINET 加入機関 回線の登録者 26

27 ネットワーク機能仮想化サービス利用イメージ 平成 28 年度 SINET 学術情報基盤サービス説明会 投影資料抜粋 加入機関様のロケ内に配備がなされていた各種ネットワーク装置を 外部 NFVサービスにアウトソーシング化する ( 構内 LANはシンプルな機器を中心に配備し 運用管理を簡易化 ) 特定の機能に対する突発的な需要増減や 構成変更への柔軟な対応 リソース集約 / 共用によるコスト削減などが期待できます Internet 外部 NFV サービス等 学内 LAN WiFi-AP vr vportal vfw vmail 仮想化ネットワーク機能 終端装置 L2SW SINET vdns vntp MOOC / アクティブラーニング 遠隔講義 VPLS/L2VPN VM vlb VM ルータ /FW LB/DNS/NTP 等 汎用サーバ汎用サーバ汎用サーバ 27

28 VPN Exchange Point サービスイメージ 平成 28 年度 SINET 学術情報基盤サービス説明会投影資料抜粋 加入機関様の異なる VPN( 図は VPN-A と VPN-B) 間を NFV サイトに配備する仮想化ネットワーク機能を介して接続を行います 異なる VPN 間でトラヒックを疎通 VPN Exchange point vvpn-gw VPN-GW Controller SINET vfw vfw 仮想化ネットワーク機能 SINET バックボーン 加入機関 VPN-A( ) VPN-B( ) ( )SINET-VPN サービス L2VPN/VPLS L3VPN 仮想大学 LAN L2 オンデマンド 28

29 1 アンケート結果 平成 28 年度 SINET 学術情報基盤サービス説明会投影資料抜粋 166 の機関から回答をいただいた 1 割強の機関は具体的に NFV 検討を進めており 9 割以上の組織が関心を持たれている 5 割弱の機関からネットワーク機能仮想化サービストライアルに興味ありとご回答をいただいた 質問事項回答 ( 有効回答数 166/ 対象数約 800) Q1 特定のネットワーク機能に対する 突発的な需要増減や構成変更への柔軟な対応が望まれますか? Q2 Q1 が Yes の場合 いずれのネットワーク機器が対象となりますか?( 複数選択可 ) Q3 Q1 が Yes の場合 NFV は候補となりますか?( 複数回答可能 ) Q4 貴機関では ネットワーク整備のためのコスト削減を進めていますか? Yes 60 (36%) / No 106 (64%) ファイヤウォール 54 (90%) ルータ 41 (68%) ロードバランサー 27 (48%) その他 ( 1) 候補として検討中 12 (20%) 時間があったらNFVを検討したい 43 (73%) NFV 以外で検討中 8 (13%) Yes 107 (64%) / No 59 (36%) Q5 Q4がYesの場合 NFVは候補となりますか? 候補として検討中 14 (13%) 時間があったらNFVを検討したい 62 (58%) NFV 以外で検討中 27 (25%) Q7 貴機関では 学内ネットワーク更改 ( 2) を予定していますか? 予定している 94 (56%) 予定していない 29 (17%) 未定 53 (27%) Q8 NFV テストベッドに興味がありますか? Yes 86 (52%) / No 80 (48%) 1 L2スイッチ 無線 LAN-AP DNS SSL VPN-GW IDS/IDC Webサーハ MLサーハ ドメイン認証サーハ 事務局システム 就職支援システム 2 ここでのネットワーク更改とは, 学内 LANなどの大掛かりなもの NFV 化の対象となるネットワーク機器 ( ケ ートウェイルータ 基幹ルータ FW/DNS 等 ) などの機器の更改を対象としています 29

30 2 アンケート結果 平成 28 年度 SINET 学術情報基盤サービス説明会投影資料抜粋 VPN 間接続に対する需要あり と 3 割弱の機関からご回答いただいた VPN 間接続の利用用途は 自組織内 VPN が 9 割 他機関 VPN 接続も 4 割弱あるとの結果 また 数分以内での VPN 接続といった 即応性についても需要があるとの回答をいただいた 質問事項アンケート対象数約 800 有効回答数 166 Q1 VPN 間の接続を行う需要がありますか? Yes 47 (28%) No 119 (72%) Q2 VPN 間の接続を行うのは どのような利用目途の VPNですか ( 複数回答可 ) 情報システム接続用 VPN 33 (70%) 研究用途 VPN 31 (66%) その他 ( 自由記載 : ) 6 (13%) Q3 接続先のVPN 候補の責任機関は?( 複数回答可 ) 自機関内のVPN 42 (89%) 他機関のVPN 18 (38%) その他 ( 自由記載 : ) 1 (2%) Q4 VPN 間接続にかかる時間として望まれるのは? 数分以内 20 (43%) 数時間以内 18 (38%) 数日以内 15 (32%) Q5 VPN 間接続のために必要と考えるネットワーク機器は?( 複数回答可 ) ルータ 36 (77%) ファイアウォール 18 (38%) その他 ( 自由記載 : ) 4 (9%) 30