第15期 2021/09/30
落地云原生，你需要這樣一個基礎架構
萬丈高樓平地起，只有基樁打得深、基石打得牢，樓房才能蓋得更高、更穩當。數字化轉型何嘗不是如此——頂層再形形色色的系統應用，最終也離不開底層基礎架構的依托。只不過，這個底座必須要因需而變、因時而變，而不是打一處“樁”，蓋一棟“樓”。
拿眼下非常流行的云原生應用來說，如果還把它們構建于集中式、復雜化的傳統基礎架構之上，那就相當于“舊瓶裝新酒”，不小心就是“瓶碎酒撒”，白忙活一場。
對此，F5 Networks 高級解決方案架構師林靜在日前接受至頂網記者采訪時表示，云原生應用靈活、敏捷、簡化等獨有的特點，對企業IT架構提出了諸多新的要求，主要體現在三個方面：第一，IT服務能力的可編排化。由于IT服務被抽象成了各種原子服務，這對企業在基于事件的自動化、運維數據能力挖掘上都提出了更高的要求；第二，IT架構扁平化。底層網絡體系中融入了越來越多的可組裝架構，這會弱化以往以網絡為中心的思想，平臺的能力會變得越來越重要；第三，IT人才混合化。人才條線不再以明顯的網絡、系統等為邊界，技術混合型人才在IT架構平臺化的場景中將被日益強化。
F5 Networks 高級解決方案架構師 林靜
“這意味著，企業需要使用新的技術，使用云原生的標準、微服務、容器等，來構建現代應用架構，從而適配當前迫切的需求。”林靜強調。而在這個過程中，F5已經深耕應用網絡多年，要幫助企業構建一個能夠滿足數字化轉型需要，支撐其云原生應用落地的基礎架構，應該說駕輕就熟。
三個立足點，一個大平臺
從F5的角度進行分解，具體來說，其在云原生的背景下更關注三個方面：一是如何把傳統的基礎設施轉型成可編程的模式，讓架構更具彈性和可擴展性；二是如何基于微服務、容器等全新的技術構建現代化的服務架構；三是對二者進行融合。
針對第一點，我們看到，F5過去在傳統基礎設施中的著力點主要是從數據中心入口的邊界，到數據中心服務的認證、后臺應用的負載均衡，再到應用服務的發布和策略管控，所有的產品和服務都圍繞應用展開。現在，F5只要賦予承載這些服務的平臺可編程的能力，并把這樣的能力釋放給上層，就能很好滿足企業在應用靈活調用等方面的需求。
“首先，在基礎設施層，我們對F5底層的服務資源和硬件資源進行了租戶化，并提供Ansible、Terrafrom等自動化的編排工具，幫助企業通過接口實現快速的資源調配；在抽象層，利用DO和AS3進行業務部署，利用F5OS-API幫助用戶適配底層資源的劃分等等。”林靜解釋道。
針對第二點，企業往往會從構建可組裝架構著手，也就是搭建自己的私有云，或者直接使用公有云服務。為了融入這一全新的現代云原生架構，F5為自己引入了很多全新的能力——比如，通過收購NGINX，提升包括服務網格和PaaS入口等在內的能力，真正滲透到云原生之中；通過收購Volterra，構建從公有云、私有云到邊緣的統一的云原生平臺交互能力；通過收購Threat Stack，進一步補足云原生體系下的全棧安全能力。
“舉例來說，在運行方面，我們可以通過NGINX標準的APP Server和Unit，提供多語言的運營服務器，并在Kubernetes這個體系下提供標準的Kubernetes Ingress controller；其次，在Kubernetes，我們還會提供NGINX Service Proxy這樣的容器化層的代理，以及NGINX提供的API管理，幫助企業進行API的全生命周期管理。”據林靜介紹，除了PaaS層，F5還提供很多SaaS服務，涉及安全、分析與洞察、智能DNS等多種應用。
而針對傳統架構與現代應用架構的融合，F5認為，關鍵在于兩種不同架構之間的協作。對此，F5還創造性地提出了“內云原生應用服務”和“外云原生應用服務”的概念。前者指的是圍繞容器、Kubernetes等技術場景的服務能力；后者指的是在以上這些常規服務下，提供更多的對外能力，比如把內部的應用服務與外部API進行對接和管理。
“在數據中心的邊界，從安全到合規運營，我們以前都是虛機的視角，以網格為核心來看待數據中心。但是新的PaaS體系下，所有的IP都具有非常高的動態性，要實現實時監測，安全策略和規范就會受到挑戰，因此，傳統基礎架構和PaaS之間必須進行整合。”林靜強調。
搞定技術挑戰和角色挑戰
如今，F5已經把自己的這一核心思路踐行到對企業客戶的服務過程中去。以某銀行為例：此前，該銀行通過云管理中心驅動了自身PaaS體系的建設，但是，在業務發布的過程中，他們發現所有的發布流程最終都會回到網絡部門的傳統管控模式中來。“這時候就需要兩個部門的配合，而云本身的快速、敏捷等特性就會被大大削弱。”林靜表示。
對此，F5提出了創新性的Hub模式，也就是“一個中心”的模式。具體來說，是在Kubernetes之上單列出一個模擬的空間區域，由網絡團隊統一管理，而業務部門自行發布的所有服務最終都可以通過這個中心區域，借助F5的控制器快速被寫入基礎設施。這樣一來，既降低了業務部門的技術使用門檻，也保留了網絡團隊原來的發布模式，使得兩個部門之間能夠更好地進行協同。其中所用到的解決方案，F5稱為“入口Ingress的解決方案”，即Container Ingress Services。
與之對應，F5還提出了Egress解決方案，主要瞄向的是企業在落地云原生應用過程中的技術和角色挑戰。技術挑戰主要體現在容器的出向流量方面，由于在出向流量過程中，容器的IP地址不斷變化，傳統防火墻無法進行精細調配，這意味著所有控制策略的位置必須能夠對容器進行動態感應；角色挑戰主要體現在不同部門之間的訴求差異，比如業務部門和網絡部門會出現不同的安全訴求，最終該由誰來確定策略標準，這就是非常現實的問題。
為此，F5提供了兩項針對性的解決方案——通過自動化控制器搞定技術難題，通過安全策略差異化分類 ，降低安全落地難度。“也就是說，我們可以把安全策略規則分成三類：一是企業級基礎關鍵策略，如DNS、NTP、審計系統等；二是各個項目的具體策略；三是微服務下，局部單元服務的精細化控制策略，比如，某幾個微服務有獨特的需求，啟動其中某個微服務后是互聯第三方的，因此可以為獨立的微服務單元，配置精細化的條目。林靜向記者解釋，“由于每一層策略的關注者不同，安全角色分離，所以，通過分層的設計，就可以使得傳統的安全人員和現代的組織架構實施者之間進行更好的配合，避免產生低效溝通，幫助企業更高效地實現云原生。”
從技術到人才，發揮F5既有強項
總而言之，從傳統基礎設施服務到上層應用交付，從全中心的應用解決方案，到對應的數字化體驗，F5幾乎把這些能力都覆蓋到了。對于其自身來說，不僅深入到了云原生體系之中，另一方面，也為企業搭起了一個連接傳統架構與云原生架構的橋梁。用林靜的話說，F5已經把云原生視為其戰略規劃中非常重要的一部分。
在此過程中，F5的目標是從基礎架構網絡、應用網絡、安全和應用運行四個方面入手，“幫助企業構建更好的數字體驗的應用”。比如，為企業交付一致性部署、多云的工作負載管理、邊緣應用管理、現代應用安全、應用洞察等多云應用能力；提供平臺級的運維能力、更好的服務代理、服務治理和DevOps等基礎架構組建能力；同時，還要保證包含網絡、主機、應用等層面的全棧安全。
但是，這并不意味著對F5過去的產品進行全盤推翻，而是賦予老技術新能力。“比如，借助于F5 CRS控制器技術，可以把傳統的F5解決方案技術引入到PaaS平臺或者現代體系當中，幫助業務更好、更快地發布。”林靜表示。“再比如，通過AI對數據的洞察，還可以幫助企業提高應用的自適應能力，提升應用的數字體驗，幫助用戶更好地管理混合云及邊緣上的應用，優化并保護應用安全。”
“當然，我們并不只是關注云原生的技術，還會從技術、文化，或者人才等方面進行統一考慮，并且，基于F5對傳統基礎設施的深刻理解，去幫助用戶真正在數據中心的角度下，在每個領域上做好云原生這件事。”林靜總結說，“換句話說，F5正在利用自身對企業和行業深厚的理解，提供越來越現代的、新型的解決方案，這是F5在云原生領域非常大的優勢。”而究其本質，你會發現，無論是通訊管控還是服務管理，這些都是F5原來的強項，只不過是切換到了一個全新的場景中去而已。“所以，對于F5來說，我們從來沒有離開過，而是一直在深耕。”
本文章選自《AI啟示錄》雜志，閱讀更多雜志內容，請掃描下方二維碼
