网络虚拟化---横向整合

如果把一个企业网络分隔成多个不同的子网络——它们使用不同的规则和控制，用户就可以充分利用基础网络的虚拟化路由功能，而不是部署多套网络来实现这种隔离机制。

网络虚拟化概念并不是什么新概念，因为多年来，虚拟局域网（VLAN）技术作为基本隔离技术已经广泛应用。当前在交换网络上通过VLAN来区分不同业务网段、配合防火墙等安全产品划分安全区域，是数据中心基本设计内容之一。

出于将多个逻辑网络隔离、整合的需要，VLAN、MPLS-VPN、Multi-VRF技术在路由环境下实现了网络访问的隔离，虚拟化分割的逻辑网络内部有独立的数据通道，终端用户和上层应用均不会感知其它逻辑网络的存在。但在每个逻辑网络内部，仍然存在安全控制需求，对数据中心而言，访问数据流从外部进入数据中心，则表明了数据在不同安全等级的区域之间流转，因此，有必要在网络上提供逻辑网络内的安全策略，而不同逻辑网络的安全策略有各自独立的要求，虚拟化安全技术，将一台安全设备可分割成若干台逻辑安全设备(成为多个实例)，从而很好满足了虚拟化的深度强化安全要求。

如下图所示，虚拟化网络与虚拟化安全的整体结合，通道化设计，构成了完整的数据中心基础网络架构。

当前在交换机中集成防火墙等安全业务线卡已经成为数据中心基础安全实施的一个主流方向，这种架构促进了数据中心网络安全的快速部署、简捷运行。

早期的数据中心网络都是按照双机冗余结构进行设计与部署的，那么，在交换系统IRF2虚拟化环境下，防火墙等安全线卡与两台交换机的关系有所变化。在双机冗余设备中插入多块防火墙模块，通过IRF2对交换机进行了虚拟化整合，则这多块防火墙本质上如同插在一台交换机上。

不同交换机集成安全功能变为一台交换机集成安全功能，安全线卡只面对一台虚拟交换机，一个网络交换单元，给设计上带来了更为方便的地方。

IPS作为线卡集成到交换机，安全检测流量是预先定义并重定向到IPS上的，在一般的双机条件下，两台交换机之间是一种完全松耦合的路由关系，针对不同设备上的IPS无法起到相互备份和负载分担的作用。但是在IRF2架构下集成多块IPS后，各IPS在整个IRF2结构上均被整合，即IPS所在物理端口在IRF2全局可见、可被访问控制流规则所引用，因此，多块IPS线卡集成后，可在方案设计上将其性能叠加起来，如下图所示，多块IPS线卡如同多台IPS独立设备可并行使用。

可以看到，通过虚拟化技术将网络与安全进行融合后的"纵向分割"，可以将网络资源进行更加细致的划分，真正实现了数据中心内部资源的整合和动态调整，提高了数据中心的资源利用率，增加了网络的可靠性。