3月14日，騰訊云推出私有網絡VPC三大獨家功能：彈性網卡、廣播&組播、專線NAT網關。上述三項功能均為騰訊云自主研發(fā)，取得多項技術突破：彈性網卡作為云主機網絡能力的一項重大突破，真正助力金融政企客戶實現內網、外網、傳輸網的三網隔離；廣播&組播極大提升私有網絡中的多點投遞效率。而專線NAT網關解決了服務專線互聯中的IP沖突、內網IP屏蔽等痛點問題。
3項獨家功能在安全和靈活性上開創(chuàng)了全新的行業(yè)標準，進一步豐富騰訊云私有網絡的軟件定義網絡、NAT網關、跨地域互聯等核心功能矩陣，標志騰訊云成為國內私有網絡技術最為領先的云服務商。
使用彈性網卡的云主機
更靈活更安全
騰訊云在私有網絡云主機上率先推出的彈性網卡服務，可提供多網卡綁定、網卡靈活遷移、單網卡多IP綁定、網卡獨立路由轉發(fā)等4大領先服務，最多支持綁定8個網卡、30個內網IP。
企業(yè)可使用該功能實現更加安全、靈活的網絡架構設計。簡單來說，使用彈性網卡的企業(yè)一方面可以利用多網卡搭建內網、外網、傳輸網三網隔離的網絡解決方案，一方面可以利用云主機彈性網卡靈活遷移能力，搭建基于keepalived主備容災的高可用組件。
使用彈性網卡的云主機與普通云主機相比，功能差異對比如下：
業(yè)內首發(fā)廣播&組播
極大降低網絡負載
騰訊云是首個在私有網絡中加入廣播&組播功能的云服務商，屬于業(yè)界創(chuàng)新。廣播&組播是傳統網絡中比較成熟的技術，但在公有云行業(yè)，這兩項特性之前沒有成熟的技術方案。騰訊云將廣播&組播的使用靈活性與VPC的網絡隔離性結合起來，形成了高安全性和可靠性的私有網絡內的廣播&組播產品。
在此之前，原來在云服務中提供的單播是一對一的通信方式，而廣播&組播是一對多的通信方式，通過單點到多點的高效數據傳送，可以為企業(yè)極大節(jié)約網絡帶寬、降低網絡負載。具體而言，如果使用單播技術，一個主機只能使用單播協議向n個主機發(fā)送相同的數據，發(fā)送主機需要分別向n個主機發(fā)送，共發(fā)送n次?，F在，一個主機用廣播&組播協議向n個主機發(fā)送相同的數據時，只要發(fā)送1次，數據由網絡中的路由器和交換機逐級進行復制并發(fā)送給各個接收方，既節(jié)省服務器資源也節(jié)省網絡主干的帶寬資源。
廣播&組播有效降低服務器網絡負載的特性，尤其適用于金融和游戲行業(yè)的業(yè)務場景。在金融狀態(tài)監(jiān)視中，如需獲取股票價格等實時數據，券商可通過騰訊云廣播技術，對海量用戶組實時發(fā)送交易數據，有效降低網絡負載。而在游戲領域，多人游戲作為一種帶討論組能力的簡單分布式交互場景，對帶寬和時延的要求都比較高，通過騰訊云組播技術，可快速實現網絡中點到多點的高效數據傳送。目前已有多家游戲和金融客戶在使用廣播&組播的服務。
獨家提供專線NAT網關
重點解決專線互聯3大痛點
專線NAT網關是騰訊云首推的網絡地址轉換一站式解決方案，可很好的解決混合云網絡互通過程中出現的IP沖突、內網IP屏蔽、自定義對外服務端口等3大痛點問題。
在實際業(yè)務中，金融客戶對專線互聯鏈路可用性要求高，同時對接第三方個數多，經常會出現IP地址沖突等問題。如果使用傳統的方式，由于網絡地址轉換場景較多，傳統物理路由器標準的SNAT、DNAT方式配置管理起來十分復雜。對此，騰訊云自主研發(fā)的專線NAT網關對各種IP地址沖突場景進行抽象總結，采用了更加直觀的本端IP、對端IP一一映射可解決地址轉換管理的問題。其中，深圳前海大數金融服務有限公司通過騰訊云專線NAT網關，輕松實現了專線內外的地址轉換。
私有網絡相較于傳統的基礎網絡，靈活性和安全性更高，正在成為越來越多金融、政企等行業(yè)的主流選擇。在實際的應用中，企業(yè)正在將騰訊云私有網絡廣泛應用于安全隔離性高的業(yè)務、托管多層web應用、彈性混合云部署等業(yè)務場景。
針對此次發(fā)布，InfoQ也對騰訊云技術團隊進行了專訪，幫助大家進一步了解三大私有網絡獨家功能的研發(fā)背景、研發(fā)過程等相關內容。
InfoQ：可以談談三大私有網絡獨家功能的研發(fā)背景，基于什么樣的因素來研發(fā)的，研發(fā)過程是什么樣的？
騰訊云技術團隊：
彈性網卡研發(fā)背景主要目標群體是金融云客戶，金融云對網絡隔離性要求較高，不同網絡的流量類型不同，希望分布在不同網絡并配置不同的安全策略，實現多網隔離，這是我們做彈性網卡的初衷。當然彈性網卡帶來的網絡遷移能力也可以幫助客戶搭建基于Keepalived的高可用組件，或者在騰訊云服務器上部署自己的Docker服務。彈性網卡的研發(fā)過程對平臺整體的管理流程帶來比較大的挑戰(zhàn)，很多內部的管理對象、流程設計都有較大挑戰(zhàn)。為了完整的實現功能，我們將需求分解為多個迭代：a）后臺功能API支持， b）單網卡多IP， c）綁定&解綁彈性網卡。后面還會對網卡的創(chuàng)建綁定流程進行自動化優(yōu)化。
廣播和組播是傳統網絡中比較成熟的技術，在心跳保持、消息訂閱等應用領域相對單播有其特有的優(yōu)勢。多個金融和游戲行業(yè)用戶向我們表達了在網絡基礎設施層面支持組播和廣播的需求，便于應用無縫的上云。在公有云行業(yè)，這兩項特性之前沒有成熟的技術方案，挑戰(zhàn)也是巨大的。我們通過深入思考，將組播和廣播的使用靈活性與VPC的網絡隔離性結合起來，形成了高安全性和可靠性的VPC內組播和廣播產品。在這個產品的研發(fā)過程中，我們探索了VPC產品架構中不少全新的領域，比如高效的報文多路復制網關、與動態(tài)網絡協議聯動的路由自動學習與更新等。
專線NAT網關是隨著騰訊云發(fā)展金融行業(yè)云的關鍵需求之一。金融云客戶對專線互聯鏈路可用性要求高，同時對接第三方個數多，經常會出現IP地址沖突等問題，專線NAT網關就是對各種IP地址沖突場景進行抽象總結后研發(fā)出的產品。這個產品研發(fā)過程很長，由于網絡地址轉換場景較多，按照傳統物理路由器標準的SNAT、DNAT方式配置管理起來十分復雜。我們采用了更加直觀的本端IP、對端IP一一映射來解決地址轉換管理的問題。底層集群上面我們采用了NFV集群化設計思路，各個租戶的專線NAT網關邏輯隔離，不會因為網絡配置錯誤而相互影響，減少了傳統路由器中配置地址轉換策略的網絡變更風險。
InfoQ：騰訊云在租戶間安全模型設置上，采用“完全”強制隔離還是可“配置”隔離？
騰訊云技術團隊：
騰訊云的內網環(huán)境分為基礎網絡和私有網絡兩種，無論是基礎網絡還是私有網絡，多租戶之間都采用了完全隔離的網絡安全策略，無論用戶如何配置安全組都會保證網絡間的安全隔離。但在私有網絡環(huán)境，用戶可以使用對等連接和其他租戶的私有網絡VPC建立PEER，通過合理的配置路由表、安全組和網絡ACL功能可以兼顧跨賬戶內網互聯及網絡安全。但是跨賬戶的對等互聯申請需要在對端賬號同意并配置路由策略后方可生效。
InfoQ：彈性網卡支持綁定8個網卡、30個內網IP，實現三網隔離，是不是就完全能保證各個租戶的安全性了？
騰訊云技術團隊：
從技術角度來講，公有云的云主機都是在母機上進行的虛擬化，虛擬網卡也是在母機中虛擬化出來的。如果用戶突破了KVM虛擬化的安全屏障，還是有可能入侵至綁定有彈性網卡的云服務器的。但是相比普通不支持彈性網卡的云主機來說，每個網卡獨立的路由策略及ACL策略支持，讓綁定多網卡的云主機安全性有了很大提高。
InfoQ：三大私有網絡獨家功能可以抵擋什么樣的黑客攻擊？抵擋多大的攻擊量？
騰訊云技術團隊：
騰訊云大部分的防黑客功能都是在外網層面就進行掃描和狙擊的，很少有黑客可以直接滲透至騰訊云內網展開黑客行為。在DDos攻擊能力防護上，騰訊云大禹分布式DDos服務可以承接1Tbps以上的流量攻擊。
責任編輯：王剛
神經貓3天破億書寫游戲神話 騰訊云CDN優(yōu)勢凸顯