SDN и OpenFlow: щупаем VMware NSX Preview и Cisco Nexus - интересно, но порог входа высок

На прошлой неделе один из клиентов спросил, «что там с этим SDN - нам уже надо или подождать». Вопрос правильный, и мы как раз несколько дней до этого разбирали VMware NSX Preview и смотрели на OpenFlow-режим на Cisco Nexus. Ниже - что реально поняли, а не пересказ вендорских слайдов.

Что такое SDN в контексте корпоративной сети

Идея не новая, но только сейчас начала перетекать из академических лабораторий в продукты, которые можно реально потрогать. Суть - разделить плоскость управления (кто решает, куда идёт пакет) и плоскость передачи данных (кто физически пересылает). Управление переезжает на централизованный контроллер, коммутаторы становятся управляемыми исполнителями.

Протокол OpenFlow - один из основных способов общения между контроллером и коммутаторами. Cisco Nexus в последних прошивках его поддерживает, есть и open source контроллеры типа OpenDaylight, вышедшего в мае.

VMware зашла с другой стороны: NSX - это оверлейная сеть поверх физической инфраструктуры. Виртуальные коммутаторы, маршрутизаторы и файрволы живут в гипервизоре, физическая сеть остаётся тупым транспортом. Технология пришла из покупки Nicira в 2012 году.

NSX Preview: что видно

VMware даёт preview NSX для vSphere. Концептуально понятно: каждый ESXi-хост получает локальный распределённый маршрутизатор, NSX Manager управляет политиками централизованно, трафик между VM в одном дата-центре не выходит на физические коммутаторы выше уровня доступа.

Несколько вещей, которые зацепили:

• Микросегментация. Файрвольные правила можно навесить прямо на виртуальный порт VM - не на периметр, не на VLAN, а на конкретную машину. Это меняет модель: «запрети всё, разреши нужное» работает на уровне отдельной VM без дополнительного железа.
• Изоляция без VLAN. Отдельные L2-сети для разных клиентов или окружений без раздачи отдельных VLAN на всё железо. Трафик идёт через VXLAN-туннели внутри хостов. Для multi-tenant это принципиально упрощает жизнь.
• Скорость изменений. Добавить правило или изолировать VM - операция на секунды через API или UI, а не тикет на изменение конфигурации коммутатора.

Это звучит хорошо. Но NSX - это отдельный продукт с отдельным лицензированием. Поверх имеющейся лицензии на vSphere Enterprise Plus он не идёт - это другая строка в бюджете. Цену VMware не афишировала, но по общению с партнёрами понятно, что дёшево не будет.

OpenFlow на Nexus: другая история

Cisco двигается параллельным путём. На Nexus 3000/9000 можно включить OpenFlow, поднять контроллер и начать программировать таблицы потоков. Это не оверлей - это изменение логики самого физического коммутатора.

Мы прогнали несколько сценариев в лабе с Nexus 3048 и open source контроллером. Механика работает: контроллер устанавливает flow entries, трафик идёт по ним. Можно реализовать динамическую балансировку, изоляцию потоков, мониторинг на уровне Flow.

Нюанс - поддержка OpenFlow на Nexus пока не полная. Часть OpenFlow 1.3 не реализована, vendor-specific расширения нужны для части сценариев, документация в режиме «для тех, кто уже знает». Это не продукт для внедрения - это платформа для людей, которые готовы строить решение сами.

Почему порог входа высок

Обе технологии требуют менять операционную модель, а не просто добавить оборудование.

Сетевые инженеры, которые всю жизнь работали с CLI Cisco - они понимают STP, OSPF, BGP, знают как трассировать проблему. В SDN-модели troubleshooting выглядит иначе: надо идти в контроллер, смотреть flow tables, разбираться с оверлеями. Это другая квалификация, другие инструменты.

Плюс интеграция: NSX садится на vSphere, и это хорошо если весь датацентр на VMware. Но если рядом Hyper-V, bare-metal серверы, сетевое оборудование без поддержки VXLAN - граница интеграции начинает требовать ручного управления там, где хочется автоматики.

OpenFlow-подход чище с точки зрения стандартов, но требует контроллер, который надо администрировать, и чёткого понимания что именно ты хочешь запрограммировать в сети.

Что мы с этим делаем

Ни NSX, ни OpenFlow-пилот в продакшн клиентских сред в ближайшие месяцы не идут. Не потому что технология плохая - она интересная и направление понятно. Но внедрение требует подготовки: понять операционную модель, обучить людей, разобраться с лицензированием NSX, оценить что делать с гибридными средами.

Фиксируем к рассмотрению в начале следующего года - к тому моменту NSX должен выйти из preview, Cisco уточнит roadmap по OpenFlow на Nexus, и будет понятнее где это реально применить, а не просто поиграть в лабе.

Клиенту ответили честно: подождать, но следить.