深度用云 网络先行云网络卓越架构设计

深度用云网络先行云网络卓越架构设计 常 磊 阿里云智能集团资深产品解决方案架构师2 0 2 4 /0 9/1 9 为什么网络需要卓越架构 云网络卓越架构五大支柱 The Five Pillars of the Well-Architected Framework 稳定-同地域多可用区部署设计 单地域多可用区部署+SLB多活架构，快速构建同城双活网络 方案设计 业务场景 ⚫应用双活/灾备：业务系统多可用区(AZ，AvailableZone)部署，避免单可用区内网络故障，提升系统服务连续性 ✓IP地址规划：考虑到未来扩展，选择一个足够大的CIDR，为未来业务发展预留足够的空间，推荐使用/16掩码，同时要避免跟现有网络地址冲突 ✓多可用区规划：考虑到容灾诉求，至少 需 要 双 可 用 区 规 划vSwitch部 署ECS ⚫业务入口灾备：业务入口的负载均衡需要支持同城灾备，避免单机房网络故障 ✓负载均衡规划：利用SLB产品多活能力，加载不同可用区的ECS构建应用池，解决应用单节点问题 稳定-跨地域容灾网络设计 全局流量管理GTM+DNS，实现业务跨地域灾备多活，提升服务连续性 业务场景 •应用多活/灾备：业务多地域部署，避免单地域网络故障，提升服务连续性 •访问优化：业务多地域就近部署，提升用户访问体验 •多中心部署：业务同城双可用区部署，跨地域容灾多活部署•数据双向实时同步：CEN和TR构建全局一张网，支持DTS跨地域数据同步•服务可用性实时探测：GTM健康检测探测服务可用性，服务一旦不可用快速切换至双活节点，实现两地三中心应用级容灾 基于GTM和DNS构建了应用的访问入口异地灾备多活，基于CEN和TR实现了跨地域内网数据的实时同步，大幅提升了业务的连续性 安全-东西向流量安全设计 使用TR转发路由器多路由表能力+云防火墙，构建企业内网的安全服务链 业务场景 ✓多平面的安全隔离：安全VPC绑定TR的Trust路由表，业务VPC绑定TR的Untrust路由表，通过该路由表引流至安全VPC；待云防火墙进行检测和观察后，放通可信的访问流量，实现内网东西向安全隔离； ⚫内网安全威胁防控：内网间通信流量较大，一旦攻击者突破Internet边界防御后，对内网安全造成较大安全威胁 ⚫内部安全管控要求：企业内的部分重要业务数据相对敏感，不可随意访问，需增加不同层级的安全访问控制 ✓全流量可视：TR和VPC均可通过Flowlog将业务流量以流日志形式进行记录输出，结合云防火墙实现定期流量审计、回溯 ⚫审计、回溯：企业需要针对网络安全进行定期的审计、回溯，满足网络安全自查及合规的要求。 基于TR多路由表建立Trust和Untrust等路由表，隔离企业内网东西向访问流量，并通过云防火墙进行异常检测、阻断、观察及放行，来实现企业东西向流量的安全防护 性能-最短路径低时延设计 将云上资源按可用区对齐，设计端到端最短时延方案 业务场景 ⚫游戏行业：时延敏感类游戏，需要低延迟的公网网络和跨地域网络，保证玩家最好的体验 ✓低时延公网：将EIP、共享带宽、网元SLB和ECS同一可用区部署，避免可用区之间绕行，保证公网接入的最低时延 ⚫金融交易类行业：时延敏感类金融交易行业，需要极低时延、稳定的公网与跨地域网络，保障交易顺畅 ✓低时延跨地域网络：SRTE能力保障铂金带宽跨地域走最短路径，时延稳定可控 ⚫其他对延迟要求极致的业务场景 区域化部署，同可用区内EIP、ECS等资源对齐，CEN铂金带宽实现跨地域互通，打造极致的游戏玩家体验 可观测-网络巡检 从稳定、安全、性能、成本维度，发现网络潜在的风险，并提供优化建议，帮助客户提升架构健壮性 优化建议 自服务-通过IaC自动化部署 将符合云网络卓越架构的方案IaC化，通过Terraform实现快速交付 IaC(Infrastructure as Code)for卓越架构设计示例 IaC能力更新 卓越架构IaCModule：专线构建混合云/多云网络（"hybrid-cloud-network"） 100%适配TerraForm 云网络核心产品100%接入Terraform 2.标准化交付 •架构标准化•代码标准化 3.扩展性强 从单产品的IaC能力，提升到场景级 云网络卓越架构白皮书和TFModule正式发布 云网络卓越架构白皮书Well-ArchitectedFramework 卓越架构TerraForm Module 谢谢Thank You