自動駕駛網絡“上路”

郭濤

第一次聽說“自動駕駛網絡”這個名詞，大約在半年前，當時，瞻博網絡（Juniper Networks）首席執行官Rami Rahim（拉希姆）在一次采訪中表示，Juniper正致力于將具有自主運行能力的網絡付諸實施。用他的話說，可自主運行的網絡就像是自動駕駛的汽車一樣，網絡本身不僅要具備高性能和強大的功能，所有網絡組件都能提供相關的數據和信息，并進行有效的分析，而且可以借助機器學習平臺，更好地了解網絡的狀態，在故障發生前就能提前預知并提供相應的解決辦法，同時網絡還可以實現自動化的配置和安全策略的設定，具有自我調整的能力。

當時聽到這些描述，筆者心里雖然認同這一網絡未來的發展方向，但同時也認為，這可能是幾年后才可能發生的事情。但是僅僅過了半年，筆者在2017年底舉行的全球網絡技術大會（GNTC）上再次從云杉網絡CEO亓亞烜嘴里聽到“自動駕駛網絡”這一說法時，再聯想到Oracle發布18c自治數據庫時提到的”自動駕駛數據庫“的理念，忽然意識到，“自動駕駛網絡”的時代可能在不知不覺間來臨了！

亓亞烜相信，“自動駕駛網絡”會比自動駕駛汽車更早變為現實。

基于“意圖”的交互式網絡

“自動駕駛網絡”是一個形象的比喻，即未來的網絡會更加自動化，一些最基本的網絡配置、功能實現、安全保障完全可以由網絡系統自己實現，自主管理，網絡管理員會被解放出來，將更多精力放在網絡業務規劃上，而不是每天為了消除網絡故障疲于奔命。只要仔細想一想，肯定大家都會認同這一趨勢，關鍵是如何才能實現？

IBNS（Intent-Based Networking System，基于意圖的交互式網絡系統）應運而生。Gartner大約從2016年開始關注IBNS，《Innovation Insight： Intent-Based Networking Systems， Gartner， Feb 7， 2017》定義，IBNS必須具備以下幾種能力：轉譯和驗證、自動安裝、網絡狀態的察覺、精確診斷，以及動態的優化和補救。

IBNS提供了一種搭建和運維網絡的新方法，提升了網絡的可用性和敏捷性。系統可以跨現有的網絡設施進行適合的網絡變更，并且是由網絡自動完成的。IBNS還提供了對網絡基礎設施的生命周期管理，包含設計、安裝、運營和精確診斷。

“IBN與SDN不是一回事。SDN關注的是網絡本身，也就是‘路，而IBN是實現交通控制的紅綠燈。”亓亞烜解釋說，“SDN是實現IBN的基礎。由于SDN的出現，網絡變得更加復雜了，需要更多的策略、管理，這是非常困難的一件事。而IBN的出現，讓SDN網絡的配置、管理和運維變得更加簡捷、方便。在實現SDN之后，IBN是必然選擇。”

IBN的概念是2016年出現的。云杉網絡從一開始就在關注，而且提出了一個更直接的說法——網絡監控一體化。時至今日，SDN已經是數據中心網絡的一種新常態。SDN是從技術的角度出發，而IBN是從用戶業務的角度出發，解決具體的應用問題，包括網絡管理、業務連續性、安全性等。Gartner的數據顯示，采用IBN后，用戶業務部署的速度可以提高10倍，業務中斷減少50%。

“IBN的出現對那些網絡工程師的影響最大，這不僅僅是技術層面的問題，而是人的觀念要徹底改變。”亓亞烜打比方說，“如果有一天，我們不用自己開車，去哪都有人接送，這是一種什么感覺？IBN帶來的改變，網絡工程師要慢慢適應和改變。”

用戶自發的需求

以前，我們看到的更多情況是，技術的發展驅動應用的變革，而IBN卻打破了常規，因為先有了客戶自發的需求，才促進了IBN的產生和發展。

因為云計算、SDN等的普及，企業的數據中心、網絡的規模越來越大，也越來越復雜，繼續沿用人工管理的方式，既不經濟，也是人自身的能力所難以勝任的。“網絡未來發展的趨勢一定是實現自動化管理。”亓亞烜介紹說，國內的一些證券公司、互聯網公司，甚至大型物流公司都提出了幾乎相同的需求：降低網絡管理的復雜性和成本，更有效地保證業務連續性和安全性。

以前，網絡管理都由企業的網絡管理部門一力承當，而現在要想實現網絡的”多快好省“，僅靠人工是遠遠不夠的。比如一家大型的物流企業，可能有數百個業務同時并發，要對其進行實時的狀態管理，必須依靠網絡的自動化。再比如，現在很多互聯網企業都提供公有云服務，但是經常會有一些用戶因為很基本的網絡配置或功能問題來尋求幫助，而云服務商通常沒有這么多的人力來應對這些問題。怎么辦？唯一途徑就是讓網絡具備自動化解決這些問題的能力。這才是IBN興起的根本原因。

云杉網絡提供基于IBN的服務也有一段時間了，現有的客戶主要來自金融、運營商等行業，其中很多用戶是主動找上門來的。“2011年，SDN剛開始部署時，我們主要還是向國外廠商學習。現在進入IBN時代，中國用戶成了應用的先鋒，其需求之迫切更甚于國外。”亓亞烜表示，“而且對IBN提出需求的更多是傳統企業，而不是像BAT這樣的互聯網企業。國外的市場分析機構也注意到了這些不同于以往的變化。”

IBN當前主要的應用環境包括數據中心基礎網絡、WAN等。美國高速公路安全委員會將自動駕駛分成5個級別，Level 0代表沒有自動駕駛功能，而Level 4表示完全自動駕駛。亓亞烜認為，目前自動駕駛網絡的水平相當于汽車具有增強駕駛功能，差不多是Level 3。

從安全切入

云杉網絡是從網絡安全的角度切入IBN的。英雄所見略同，Juniper為了保證自主運行網絡的安全，也推出了軟件定義安全網絡（SDSN）。“我們主要解決的是安全策略管理方面的問題。”據亓亞烜介紹，云杉網絡只用了半年時間就推出了安全白名單功能。

云杉網絡安全白名單的研發就源于客戶的實際需求。某客戶的生產環境為自研OpenStack云平臺，其安全部門提出了構建能夠實現安全監控的云的訴求。針對云上的業務流量，南北向的安全由傳統的防火墻負擔，而東西向的安全暫時沒有解決方案，所以希望云杉網絡能夠基于白名單方案實現對內網流量的控制。

業務部門負責定義合法的VM池、IP地址、Port等資源組，安全部門根據業務部門的意見決定是否放行該資源組的流量，并由此形成可編輯的策略，保障業務的安全性和網絡的可控性。

安全白名單具體功能實現如下：假設某金融機構有一個手機銀行業務，其業務流是用戶在手機App的操作回傳到數據中心之后，先經過服務端校驗和處理，然后再回寫到數據庫，之后數據庫將變更結果反饋出去，直至用戶手機App。為了安全起見，該金融機構的安全人員只允許手機App的服務端（某些固定的IP或其他自定義的資源）訪問特定數據庫（的指定端口），其他任何資源不允許訪問。這個規則是橫亙在被保護的資源和外部訪問之間的安全門，稱之為白名單系統，就像一些公司的門禁卡，只有本公司員工能開門，對不符合該白名單的訪問系統除了進行阻斷，還要進行報警、記錄日志等相關操作。

毫無疑問，IBN當然會用到人工智能、數據分析，數據的采集和分析是核心，而為了實現對網絡的實時監控，數據分析的性能和效率要進一步提升。現在，我們對人工智能有了越來越清楚的認知，它不是取代人，而是輔助人提高工作的效率。IBN的出現，也是借助人工智能、數據分析，讓網絡自己完成“力所能及”的事情，而人只要做只能由人完成的事情就可以了。IBN會帶來一場革命嗎？與其說革命，不如說它是網絡自然演進的結果。還是那句話，未來，網絡一定是自動化管理的。