本文由腾讯技术团队peter分享,原题“腾讯网关tgw架构演进之路”,下文进行了排版和内容优化等。
tgw全称tencent gateway,是一套实现多网统一接入,支持自动负载均衡的系统, 是公司有10 年历史的网关,因此tgw也被称为公司公网的桥头堡。
本文从腾讯公网tgw网关系统的应用场景、背景需求讲起,重点解析了从山海1.0架构到山海2.0架构需要解决的问题和架构规划与设计实现,以及对于未来tgw山海网关的发展和演进方向。
技术交流:
- 移动端im开发入门文章:《》
- 开源im框架源码:()
(本文已同步发布于:)
本文是专题系列文章的第11篇,总目录如下:
- 《》
- 《》
- 《》
- 《》
- 《》
- 《》
- 《》
- 《》
- 《》
- 《》
- 《》(* 本文)
tgw全称tencent gateway,是一套实现多网统一接入、支持自动负载均衡的系统, 是公司有10 年历史的网关,因此tgw也被称为公司公网的桥头堡。它对外连接了各大运营商并支撑公有云上eip、clb等产品功能,对内提供了公网网络的接入功能,如为游戏、微信等业务提供公网接入服务。
tgw主要有两大产品:
- 1)弹性eip(比如购买一台虚拟机cvm或是一个nat实例后,通过eip连通外网);
- 2)四层clb。
四层clb一般分为内网clb和外网clb:
- 1)内网clb是在vpc内创建一个clb实例,把多个cvm服务挂在了内网clb上,为后端rs提供负载均衡的能力;
- 2)外网clb面对的是公网侧负载均衡的需求。
当在内部部署clb集群时,可分为ipv4或者ipv6两大类,根据物理网络类型又细分为bgp和三网两类。三网指这些ip地址是静态的,不像bgp一样能够在多个运营商之间同时进行广播。
以上就是四层tgw产品及功能,山海网关在原有产品基础上做了网络架构方面的演进。
具体介绍下eip和clb两个产品。
过去clb和eip使用不同的ip地址池,导致资源池上的隔离问题。使得我们无法把eip地址绑定到公有云clb实例上。
例如:一个创业公司最初只购买一台虚拟机并挂载一个公网eip来提供服务。随着用户量的增长,如果想将这个eip地址迁移到一个公网clb实例上,在原有架构下是无法实现这种迁移的。
此外:eip和clb部署在每个机房,因此在每个机房都需要建立eip出口。但是各个机房的公网出口之间缺无法相互容灾。
所以这种情形下,我们确定了产品的目标:
- 1)希望将所有公网出口整合到一到两个机房之内,以避免重复建设,节省成本;
- 2)通过将出口集中,我们可以将对应的网关服务器也进行集中,进而提高设备的利用率;
- 3)通过这样的布局可实现跨机房的容灾方案。
因此:最早的region eip(reip)计划应运而生。
以北京这类大型region为例的:我们将eip专区建设到位于两个城市的超核机房。这两个机房通常会放置物理网络的交换设备,并为各自设立了一个reip专区。在reip专区内部署region eip集群。为了实现跨az容灾,两个机房的集群之间借助大小网段实现互相备份容灾的能力。一旦其中一个机房的集群发生故障或出现网络问题,另一个机房的集群可以立即承担起容灾任务。
同时:因为新的region eip的网络架构跟原来的网络架构不一样,通过网络架构升级以及机型升级,我们能够把单台region eip的性能做到原有单台eip性能的5倍。这样我们通过容量的提升进一步提升了设备利用率,在完成全量region eip后,设备数量会从3000 台缩减至700 台。同时原有的clb集群还保留在各个机房不变,这些clb集群的外网接入能力由region eip承担。
5.1概述
公网clb最早是有公网接入能力的。引入到region eip之后,当初设想是公网clb不再演进,尽量让存量用户迁移到另外一种形式,上层是region eip,下层是内网clb。用户先买一个内网clb,如果需要对公网提供服务就再买一个弹性eip,把eip跟内网clb绑定在一起,提供clb公网的能力,替代原有的公网clb,这是最早公网clb的替代方案。
两个方案的区别是:原有公网clb,用户仅看到一个clb实例。新的模式下,用户看到的是两个实例:一个eip 一个内网clb,两个实例都可以独立运营管理。这就是我们最早的两层架构设想,想把公网clb跟外网解耦。
但是,真正去跟用户或产品交流时,这个想法遇到了比较大的挑战:
1)用户体验的改变:以前公网clb用户看到是一个实例,但是现在用户看到两个实例,必然会给用户带来一些适配工作。比如用户进行创建、管理实例时,api不一样了。以前使用通过自动化脚本创建公网clb实例的,现在脚本还要改变去适配新的api。
2)用户习惯改变:以前用户习惯在一个实例下,点击页面,就能够查看流量、链接数等监控信息。现在eip流量需要到reip查看,而链接数还需在clb产品上看。
3)存量客户无法迁移:原来客户买的公网clb实例,是无法直接无感知迁移到内网clb reip这种新形式的。
在这些挑战下,这个替代方案没能真正落地。结合用户的要求,我们最终跟产品定下的策略是:公网clb保持不变。原有的公网clb继续保留,同时如果用户新增的公网clb需求,也要继续支持。
5.2公网clb模型
那么,公网clb到底怎么演变?
我们的初衷并不是把公网clb这个产品摒弃掉,而是要收敛公网入口。所以我们针对这个初始需求,提出了上面这个两级架构模型。
首先:用reip将公网流量先引进来,再将这个流量通过隧道报文的形式转发给原有的公网clb集群,这样公网clb不需要原有外网接入的能力,不需要再跟外网打交道,可以演变成只在机房内部的集群;同时因为公网clb的流量都会经过reip,reip自然也就是公网clb的流量入口。从而达到我们最初收敛公网入口的目的。这样的架构升级,可实现用户无感知。架构升级切换过程中,用户在访问公网clb,不会出现卡顿或者重连的现象。
这个架构模型也有一定的局限性的。公网clb实例只能承载公网的流量,无法像上文提到的两层rerp clb那样,内外网随时进行转化。reip clb实例中的clb既承载内网侧clb的流量,又承载公网侧clb的流量。
借助这个两级架构模型,我们能够把公网clb保留下来,并且通过reip把公网入口收敛。
进一步思考并完善,我们提出了下面的想法:跟产品进行解耦。
以前我们一个地区上线公网clb产品,底层就要搭建有一个公网clb的集群去支持。用户需要内网clb服务,就要对应搭建个内网clb的集群。底层集群类型跟产品是强耦合,有ipv4/ipv6, 公网/内网、bgp/三网组合出的多个产品形态。
这种模式在小地域部署,因为产品业务的流量小,集群利用率低,就会造成很大的成本压力。
为了应对这种小带宽低成本的诉求,我们将clb reip的模型进一步抽象,引入山海架构:我们只建设clb和reip两类集群。通过这两类集群上的不同实例组合,满足多个产品形态的要求。从而实现产品形态和底层物理网络集群类型解耦。
解耦合的方式是:clb和reip通过不同的实例类型,组合出不同的产品形态。
山海架构在tgw内部做闭环,不涉及到产品侧和用户侧的改动。整个过程升级,对产品侧不做任何接口上的更新。因为产品侧的api接口保持不变,对用户侧就可以做到完全无感知。在产品侧保持不变,就需要我们在内部管控,识别接入用户实例是哪种形态的产品,拆分成不同形式的clb和reip的实例。其他的相关功能的比如流量统计、限速等模块也都要适配不同的产品形态,通过模块的适配,做到山海架构对上层产品侧应用的透明。
山海架构1.0归纳起来有两个重点:收敛公网入口和集群类型归一。
1)reip:部署在城核机房,同时承载的是clb和reip两类产品的公网流量。之前eip,在物理网络上有bgp 三网、v4/v6等多种集群类型。reip借助vlan的隔离支持,把所有的网络类型都集中到一种reip集群上来,我们称之为全通集群。在物理网络层面实现网络类型的归一, 然后再通过软件层的适配,实现reip支持多通类型的网络接入能力。
2)clb:在山海两级架构下,reip集群处理公网侧的各种场景组合,clb集群通过隧道与reip处理公网流量。之前一个机房如果要把所有的产品能力支持起来,大概有7种集群类型。现在clb集群可以用一种集群类型来支持所有的产品的公网clb产品,以及内网clb产品的能力。我们把三网 bgp以及内外网还有v4v6等集群类型都用一种类型来支持,山海架构完全落地后,开区的最小服务器数量可以降低到8台服务器,来承载所有的eip和clb产品需求。
归纳起来一句话:对于用户来说,产品形态没有改变,用户使用习惯也没有改变。而在底层,我们把集群类型收敛到一个clb集群和一个reip集群上。
在山海架构演进中,有许多技术点,本文选取限速技术进行分享。
首先region eip支持三网。以前bgp跟三网分开独立支持,山海网关统一用region eip支持。region eip本身的网络架构分成两个机房,每个机房放4台tgw设备,每个eip只会走左边或者右边。一个eip进来的流量经过上面这层交换机时,经过了ecmp分流,然后分到了4台设备上。这样对每个eip其实是采用了分布式限速。
限速有两个要求:
- 1)精确性,限速上下浮动要小,要限得准;
- 2)要有容灾能力。
限速最极端的精准就是把它放到单点上去做限速,但是单点限速就会面临单点故障和容灾的问题。在x86服务器上,使用的是分布式限速,一个eip均分到4台服务器上,每五秒钟做一次流量的的汇总统计,通过流量比例计算将这个eip的带宽配额,重新分配并分发到4台设备上,以此来实现集群上的限速。在单台设备上,也是没隔一段时间,就重新计算配额并分配到每个cpu核上,我们目前用的是300毫秒周期。
需要说明的是:在限速的实现上,业务有多重实现方式,我们了解到有的实现的是静态分配,比如120兆的带宽,4台设备,我们每台设备分40m(三分之一)的带宽。1/3而不是1/4的带宽,目的是防止某一台设备断了之后,用户总带宽不达标,影响用户体验。在单台设备上限速,也有另外一种实现方式,大小桶。比如限速1m的带宽,那么每个核第一次取回100k或者200k配额。后续报文处理时候,先消耗上次取回的配额,如果带宽配额消耗光了,再重新取。周期调整跟大小桶这两种实现方式各有优缺点。从资源消耗来说,300毫秒周期的资源消耗相对会更少一些,两者大概有10%左右的性能偏差。
限速上另一诉求:小带宽的限速的精准限速。
大带宽比如100兆,分到每个核上相对富裕。小带宽如一m带宽,一秒钟100k字节等,分到四台机器再分到几十个核上,每个核都可能不到一个大报,这时候再去做精准限速就会非常困难,因为既然要提前分配资源,资源那么少,分配到单核上,可能一个包都过不去,但凡有一个报文过去了,又可能超了。所以在小带宽限速时,我们把它退化成类似于单点限速的模式。由于入方向带宽最小也是100兆,因此保持原有的分布式限速不变。只对出方向小带宽,使用单点限速。方案是这样的:
每台reip有自己一个独享的内网地址,只有这台服务器故障时候,这个地址的流量才被分发到其他三台服务器。
入方向流量被分到四台reip服务器后,reip处理完通过tunnel转发给母机。隧道的外层源地址,只使用其中一台reip服务器的独享的ip地址。每个外网ip地址在挂载到集群下管理时候,就确定下来了。
母机在接受到网关发过去的流量,解析外层报文地址,并记录在本地会话表里,我们称之为母机的自学习能力。当母机侧转发出方向报文时,就只会使用本地学习并记录的外层地址去封装隧道。这样出方向的流量,就回到单台tgw设备上,实现了单点限速。
独享的内网地址本身是有容灾能力:
- 1)当其服务器故障了,流量就被分散到集群其他服务器,放弃单点限速;
- 2)当服务器被修复上线后,又可以重新变成精准的单点限速。
这样保证小带宽精准限速的同时,又避免了单点故障。
在限速过程中,还有一个问题,因为clb集群原来的限速是在clb集群上自己做的,引入山海之后,reip上有限速能力,那么公网clb的限速要不要挪到reip上?
我们经过多次讨论, 最终还是维持**这个限速在公网clb上不变。
这里有几种场景考量:
1)内外网攻击:如果我们把它放到reip上,这里可以扛住外网的攻击,但同时内网的攻击我们是防不住的,因为公网clb上没有限速后,流量内网的攻击就会先把clb上压过载,导致丢包,影响业务的稳定性。
2)有效流量的准确统计:原有架构下,从公网流量首先到达clb,我们需要检查公网clb上与port对应的服务是否已配置规则并启用。如果没有启用,则将报文直接丢弃且不记录为公网clb的带宽使用量。山海架构下,如果先经过region eip限速,这类无服务访问流量(如恶意攻击和垃圾流量)也将占用限速资源。尽管这部分限速流量会送达至clb集群,但由于缺乏相应凯发k8网页登录的服务支持,它们最终还是将被丢弃。结果导致用户带宽不及预期。比如用户购买10m带宽,实际有效运行的仅有8m流量,而其余2m被无服务流量占用了。
3)多重限速的影响:还有一个这个场景中,当region eip实施带宽限速后,这些流量最终可能进入公网clb。然而,由于clb的规格限制,例如新建连接数或并发连接数已达到上限,部分数据包可能会被丢弃。这些丢失的数据包已经消耗了购买的公网带宽,从而导致用户观察到的公网clb流量带宽未达到预期。因此,我们保留公网clb限速功能不变,仅进行引流调整。
clb产品及reip产品,在使用山海1.0之后的几点优势。
1)clb产品本身支持热迁移,扩容到山海热迁移,不会引起用户的断流,有助于运维做用户产品升级迭代。这方面有个典型案例,比如某台设备坏了或者发现某台设备上有问题,需要把流量迁走的时候,我们可以不用中断用户的流量的。我们了解到,以前有的竞品,因为热迁移做的不是特别完善,在设备出现问题或者是需要升级版本的时候,常选择低峰期做升级。
2)eip在做限速的时候,在出方向时是小带宽,可以做到比较精准的限速。好处是用户做压测或测试的时,带宽不会抖动影响自己的业务的稳定性。
3)高低优先级限速。用户买一些比较小的比如10m带宽或者5m带宽,用来服务本身业务,同时也会ssh或者远程桌面登录eip;因为一起我们是做无差别的限速丢包的话,这样会造成它本身的控制流量,如远程桌面的流量也会被丢包,造成登录的卡顿。用户需要在不超限速的前提下,优先保证远程桌面不卡,然后再提供其他的下载服务。我们把流量根据端口进行区分,比如22端口或者是远程桌面的3389端口的流量,标记为高优先级。在做限速时,只要高优先流量不超限速,就全部放行。当高优先级流量再叠加上低优先级的流量超限速时,把低优先级的流量丢掉,这样ssh访问服务器的时候能够非常顺畅。
4)山海架构上线后,基于vip粒度的调度,可以让调度更加灵活。比如原来一个集群为了节省路由条目,我们按照一个网段发路由,不是每个vip都发路由的。山海两级架构之后,没有了这个限制,就可以按照vip,把clb实例调度到不同clb集群。这样如果用户需要一个特别大规格的vip的时候,我们可用一个集群的能力去扛用户一个vip,从而满足超大规格实例的诉求。当然真实使用产品时,很少有客户把上百g的流量用一个vip来承载。用户出于容灾考虑,通常不会把所有的鸡蛋放到一个篮子里。
9.1概述
如前所述:山海 1.0 主要目标是整合公共网络并将所有公网出口集中在城市核心机房内。至于剩余的 clb 群集,我们会继续将其保存在原有各机房的专区里。这是因为网关设备有其与服务器不同的网络诉求,例如普通服务器不能提供发布动态路由,并通过动态路由引流处理业务流量。
再比如:网关专区的收敛比1:1,而服务器虽然带宽也是100g, 但其收敛比率往往小于1:1。
在这种情况下,我们不能简单地将 clb 网关群集群平移放置到服务器区。因此,clb 网关群集通常在构建每个机房时,预先规划并预留相应的网关专区。机房建设起来后,如业务量小,又会因预留资源空置造成浪费。目前专区闲置机位也是一笔较大的费用。
同时,还有一种临时扩容的需求场景,例如vip大客户,临时会有大流量的转发需求,这时常态运营水位没法满足需要,需要调配设备做集群扩容。如果本机房的设备不够还需要跨机房搬迁,搬迁周期比较长,对我们运营压力会很大。
所以,我们希望通过山海2.0能把专区建设的空置率降下来,同时提升弹性,能够低成本的快速扩缩容。
9.2引流交换机
在山海 2.0里,我们采用了“引流交换机”。在每个机房的建设时,我们可以放置两组共四台引流交换机。
考虑到单个交换机的容量可以达到 1 t 以上,有四台交换机工作,一个机房能够承受大约 4t~ 6t 的流量峰值。这意味着后续无需再额外扩容,一次性的建设和布局就可以满足长期的需求。相比于 clb 群集占用的机位空间,四台交换机所需的机位显著减少。
我们把原来clb集群对外声明路由的能力放到了引流交换机上,把clb服务器用用通用服务器区的设备来代替。考虑收敛比和容灾,不会把一个集群放到一两个机架上,会相对分散些,更不会把整个机架全部再用成clb集群。这样clb集群不再单独建设网关专区,引流交换机把路由声明发出去,通过隧道跟clb设备转发流量。
9.3山海2.0的变化
我们以内网clb为例,原来一台虚拟机访问clb集群,clb集群把它的流量转到对应的rs。
引入交换机之后,其进出两个方向都会有变化:入方向(访问lb方向),虚拟机的流量先被引流到了引流交换机,交换机把报文做一次封装,然后发送给对应的服务器,进行负载均衡转换。最后处理后的结果,被转发给真正的rs。原来的两跳访问变成了现在的三跳。同样反方向流量返回时,rs的流量先回到引流交换机,然后被分发到对应的ld设备上。ld处理完之后,再把报文直接转到client虚拟机上。借助引流交换机的中转,我们就能够让负载均衡的专区设备的放到普通的服务器区里。
另外:这里的clb服务器,可以跟其他的网关包括母机复用一些相同机型的服务器,当需要扩容时,就可以使用通用服务器。而不像以前clb既有自己独立的机型,又对服务器的物理位置有要求。有了引流交换机跟ld之间是做隧道传输,ld具体的物理位置就没有像原来一样有硬性的要求。这样clb可以通过通用服务器区域,调配服务器。
最后一项是:原有跟reip类似的,clb设备做路由通告时,也是按照网段通告,有引流交换机之后,我们可以在引流交换机上去做细粒度的调度,一个vip或是几个vip放到一个集群。还可以在引流交换机上做更细粒度的调度,如ip port这样的五元组的粒度的调度。
目前网关设备最重要也是最大的一个方向就是做高性能、硬件卸载。依赖硬件来实现高性能的转发。
网关设备分为有状态和无状态两种:
- 1)无状态设备就像ip转换一样,只要依据规则,任何时刻来了报文,转换出来的形式都是固定的;
- 2)有状态设备是需要记录tcp、 udp状态,记录转发到后端设备,当不同的时间转发即使相同的类型的流量,它转发的目的地也不一样,转换的格式也可能不一样。
硬件卸载在有状态和无状态时,基本上用到的设备都是dpu和交换机,用到的介质几乎都是fpga。
fpga和asic本质上是一个东西,无论友商还是我们自己内部研发,更多的是fpga上做功能,并小规模的灰度上线验证,一旦稳定下来,就转化成批量的asic,以此来降低成本。
dpu和交换机在无状态设备上,交换机相对更有优势,因为无状态设备对容量的要求相对小些,像eip网关以及内部无状态的网关大多用交换机形态实现。dpu目前更多的用在母机侧,做有状态类的网络处理。当然, 采用dpu不仅仅局限网络诉求,还有存储安全等其他需求。去年英特尔宣布已不再进行交换机tf芯片的演进迭代,大家对交换机的质疑会增大。
所以,也衍化了另一种方案:在一台额外的服务器中插入 dpu 网卡以实现卸载功能。
但不同方案有不同的优缺点:
1)使用交换机的最大优势在于其强大的交换性能(可达 1t或几个t及更高),可支持很大的接入容量。但是,交换机仅能是一个底座,若要扩展容量仍需依赖 fpga 技术。
2) dpu 的优点则包括成熟的产业链、庞大的产量以及稳定的供应保障;此外,由于 dpu 在母机侧已被广泛验证和采用,许多功能的实现都相对固定。
这是两种方案各自的优缺点。
在两个产品运用负载均衡状态的交换上,业内不同的厂家也有不同的玩法,有的是交换机,有的是dpu。当前,无论是交换机还是 dpu,都依赖fpga(asic)来做大容量的会话管理,同时越来越多的设备或多或少的支持p4。在 x86 上进行编程时,通常选择 dpdk。
相较之下:使用 p4 进行编程的门槛较低。p4 编写一般功能需求的代码非常简单快捷,只需一两周时间即可完成,甚至对于熟练者来说,可以在几个小时就开发出一个小功能。虽然充分发挥硬件的性能,p4类芯片还需要进行很深入细节的研究,但p4还是大大降低了数据面编程的门槛,特别是在高性能转发的需求方面。
另一个特点是:小型化。大家过去比较关注数据中心和海量数据的优化问题,随着业务发展,逐步转向降低运营成本和提高效率的场景,开设小型站点。这类小型站点,是典型的“麻雀虽小,五脏俱全”,希望用尽量少的设备成本来满足各种功能需求。所以我们将设备设计为具有较小规格的产品系列,并在易用性上进行改进,通过集群合并、虚拟机等承担更多的任务负载。这样在业务规模和流量不大,也能以较少的资源应对较高的功能性需求。一旦业务规模扩大,我们可将这些小型站点升级为传统的数据中心级物理设备。
以上未来网关两个主要的方向。
[1]
[2]
[3]
[4]
[5]
[6]
[7]
[8]
[9]
[10]
[11]
)
作者: (点击作者姓名进入github)
出处:
交流:欢迎加入即时通讯开发交流群
讨论:
jack jiang同时是和的作者,可前往下载交流。
本博文
欢迎转载,转载请注明出处(也可前往 找到我)。