目录

混合云的基础架构

Hybrid Cloud 需要解决 3 个核心技术问题：

1. 多云网络：提供 Private Cloud 和 Public Cloud 之间的互联网络。
2. 多云管理：提供一致性的操作界面。
3. 应用（数据）迁移：提供应用迁移、扩展、弹性伸缩的能力。

其中，多云网络是 Hybrid Cloud 建设的首要基础。

混合云管理

Private Cloud 和 Public Cloud 都有专属的服务门户，而且彼此对资源的 API 定义肯定也各不相同。例如：Public Cloud 通常采用预付费的方式，只要帐户里的费用足够，就可以继续开通和使用相应的云服务；而 Private Cloud 通常采用审批的方式，虽然也会计费但不需要支付，只需要走完相应的资源申请与审批流程，就可以使用相应的云服务。

Hybrid Cloud CMP（云管理平台）首先需要解决的就是服务门户界面、资源状态监控界面的统一，运营运维人员可以在同一个的 Dashboard 完成各种 Workflows（工作流），例如：资产管理、自服务管理、资源调度管理、配额计费管理等，继而实现对云资源的统一申请、统一审批、统一监控、统一计费。

这样才能大幅度降低用户跨平台切换带来的复杂运维工作量，让用户跨平台的资源使用与监控更加方便。

• 统一门户：管理员门户提供资源管理和运维管理的统一界面，对云资源进行统一管理和维护，包括虚拟资源和物理资源的统一管理。自服务门户提供用户订购云服务，并对已有的虚拟化资产进行管理，包括虚拟资源的使用和释放等。

• 统一云管理：为满足成本、按需、隐私、合规、避免供应商锁定等目的，企业常常会采用多个公有云或私有云，这会造成基础设施资 源池多样化，还要面临同时管理物理机、虚拟化等异构资源环境。因此， 如何更好地管理多云平台是混合云的关键能力之一。

• 资源管理：将物理上分散的资源构建成逻辑上统一的云资源池，进行计算、存储及网络资源统一管理和监控。

• 运维管理：对所有数据中心的资源进行统一运维，提供集中的告警、日志分析等故障定位手段，提供性能、报表、仪表盘等监控方式。

• 服务运营管理：将云资源包装成服务，提供基于服务目录的端到端服务开通、服务监控、服务计量等一系列服务运营支撑能力。

混合云网络

跨 Multi-Cloud 之间的网络连接质量，依旧是企业采用 Hybrid Cloud 面临的首要问题。

混合云网络负责 Multi-Cloud 之间的网络互联。包括 VPN、专线、VPC 等技术，将 Private Cloud VPC 和 Public Cloud VPC 尽可能无缝地连接到一起。

据《混合云白皮书（2019）》提供的数据，VPN 和专线是应用较为广泛的混合云平台间的网络连接方式。在企业混合云平台间网络连接方式的调查中，采用 VPN 实现混合云平台间网络连接的企业占比最高，达到 37.2%；其次，30.7% 的企业通过专线实现混合云平台间的网络连接。根据访谈，VPN 和专线是目前市场上的两种主流网络连接方式，中小企业倾向于采购 VPN，而业务量较大的企业则通常选择专线实现网络连接。其他受关注的网络连接方式还包括：SD-WAN（12.1%）和自建网络（3.4%）等。

1. 机房通：在混合云架构下，机房底层基础设施已经不再像传统架构那样与云平台脱离，而是被云管平台统一纳管。当监控到某列机柜用电量过大时，可以在云管平台上将负载实例调度到低负载的机柜列；当整个机房的用电量达到峰值时，可以通过 GSLB（全局负载均衡）之类的工具将外部流量分流到其他机房或者公共云上。这种调度能力必须建立在基础设施数字化的基础上，例如，阿里云飞天天基系统就是其中的开创者。天基是业界领先的智慧数据中心管理平台，可以实现机架、供电、风电冷却等设备的对接，这些基础设施被当成一个个的元数据，与服务器、网络设备等资源一起被云平台统一编排和统一计算，从而实现机房的数字化互通。

2. 网络通：网络互通是一切资源联结的基础，主要包括外部系统与云平台的互通，以及混合云各平台之间的互通。物理底层可以通过城域网、专线、裸光纤等方式实现链路互通，协议上层可以借助云接入网关、高速通道或 VPN 网关等产品来实现数据互通，从而满足公共云与专有云的网络互通。在连通性上，混合云架构相比传统架构的一大优势是 SDWAN 能力和核心骨干能力，借助云厂商遍布世界各地的数据中心，可以实现多分支的快速接入，成本比对接传统运营商更低。

3. 数据通：在业务层面，数据互通是指使用阿里云提供的多种企业级数据同步工具，实现公共云与专有云的数据全量同步、增量同步、备份恢复等。在管控层面，数据互通是指管控平台通过统一 API 来调度各个云实例，实现多云纳管，例如阿里云的 ASCM 平台，可以通过统一管控对接飞天敏捷标准版、飞天企业版，以及纳管 VMware、ZStack 等平台，实现管控数据的互通。

4. 应用通：对于传统烟囱式应用，从开发语言到底层的硬件，甚至是机房、机架，都有特别的要求，垂直捆绑导致各系统之间相互独立，变成一个个孤岛。在上云过程中，通过使用云平台提供的从 IaaS 到 SaaS 全面覆盖的产品能力，可以逐步提升应用的跨平台兼容能力，并通过阿里云的 DevOps 平台、虚拟机迁移等工具，实现同一业务集群内、不同集群间、跨云平台的应用互通，以及业务快速迁移与部署。

5. 管理通：管理通是指云管控平台的互通，基于开放 API 所提供的自动化管理能力，如云资源管理、编排、告警、监控、账单统一管理等，最终实现通过混合云管理平台管理所有混合云资源，包括公共云资源、专有云资源和私有云资源。比如阿里云的 API 网关产品所提供的混合云 API 集中管理功能，可以自助构建 VPC 与 VPC 之间、VPC 与本地数据中心之间的集中式 API 管理中心。

网络连接不够稳定是企业应用混合云面临的首要问题。调查发现，43.1% 的企业认为网络连接不够稳定是其应用混合云面临的主要挑战， 与 2017 年相比提高了 8.2%；

混合云安全

由于 IT 安全边界的延伸，Hybrid Cloud 的安全复杂度要高于 Single Cloud，因此对安全的设计也提出了更高的要求。

通常的，由于各厂商的安全产品能力不一致，因此混合云需要统一的安全管理中心，对混合云环境进行统一下发安全策略并及时感知多云的安全事件。

Private Cloud 的安全设备一般部署在 IDC 的边界，而且面向 Internet 的防护能力受出口限制。要提高带宽和安全能力，需要采购更高型号的安全设备，以及花费高昂的成本来增加链路带宽。而 Hybrid Cloud 的双互联网入口组网模式，则需要 2 套安全防护平台，在管理和配置上无法实现联动。

• 网络和传输安全：

  • 通过安全域划分、虚拟防火墙、VxLAN 等 SDN 进行网络隔离，避免不同平面的网络间相互影响；
  • 通过 HTTPS 等安全通信协议、SSL/TLS 等安全加密协议保证传输安全；
  • 通过 VPN/IPSec，VPN/MPLS 等安全连接方式保证网络连接的可靠性；
  • 通过安全组、防火墙、IPD/IDS 等保证边界安全，同时对进出各类网络行为进行安全审计；
  • 通过对通信的网络流量进行实时监控，针对 DDoS、Web 攻 击进行防御，实现对流量型攻击和应用层攻击的全面防护。

• 数据和应用安全：

  • 在存储、备份和传输过程中应该对数据进行加密，防止数据被篡改、窃听或者伪造；
  • 通过数字签名、时间戳等密码技术保证数据完整性，并在检测到完整性被破坏时采取必要的恢复措施；使
  • 用安全接口和权限控制等手段对数据访问权限进行管理，从而避免敏感数据的泄露。

• 访问和认证安全：

  • 通过基于密码策略、基于角色的分权分域等方式对访问进行控制，防止非授权或越权访问；
  • 采用随机生成、加密分发、权限认证方式进行密钥的生成、使用和管理，避免因密钥丢失导致的用户无法访问或数据丢失的风险。

• 其他安全：包括但不限于保障主机等基础设施的安全以及通过日志审计等方式对混合云安全进行统一管理。

混合云的技术趋势

云原生促进混合云价值快速释放

在前几年，主流的虚拟化技术还是 VM，其在 “灵巧迁移” 方面表现不佳，一方面阻碍了企业混合云部署的进展，另一方面也没有刺激对网络增强的诉求。

而近年来随着 Container 技术、Kubernetes 容器编排技术和 SDN/SD-WAN 技术的成熟，两者分别解决了 “数据（只需要迁移相对少量的业务数据，而不需要迁移运行环境数据）” 和 “网络（低成本高质量的跨 DC/Cloud 接入）” 的困难。

Container 作为一种不可变基础设施，天然具有 “跨平台迁移、自动伸缩” 的特性，能够有效屏蔽多云间的异构性，实现应用开发、测试、部署环境的标准化。

可见，Container 是一种非常适用于 Hybrid Cloud 环境的计算承载。例如：阿里云的 ACK，在提供标准 K8s 能力的同时，可以通过联邦集群和虚拟节点的方式，将业务快速扩展部署到不同的云平台上。

到 2021 年前后，容器混合云逐渐被实践证明是一种能够规模化商业落地的混合云方式，正逐渐被大型的 ToC 互联网企业接受。

云网深度结合

CSP 能够提供丰富多样的 SaaS 服务和便捷的用户体验，而 ISP 的核心优势在于网络等基础设施。混合云需要结合 CSP 和 ISP 的的优势，进一步实现云网深度结合：

1. 构建云网统一运营系统，提供云网一体化服务。
2. 网络云化重构，提供按需、灵活的云专线能力：对网络云化改造实现从刚性网络向软件可定义的弹性敏捷网络的转型，做到网络资源的集中管控、灵活按需分配，具备面向企业快速提供灵活按需的入云专线的能力。
3. 构建多云连接生态：打通电信网络与各主流云服务商的云网络，为企业客户提供灵活的多云连接需求。运营商与云服务商的合作，实现一点入网，多云可达。
4. AI 赋能，实现智能化的云网融合服务：引入 AI 模型，实现云资源的动态分配、网络流量的智能调优、云网故障的快速定界/自愈。

数据层面打通

不同资源池，多种异构资源场景下数据的统一管理是混合云的一大挑战。

只有在数据层面打通，让数据流动起来，才能更好地发挥混合云的容灾和备份等优势。混合云数据层面打通主要包括 3 个打通：

1. 帐户打通：使用一套帐户管理公有云和私有云，如对接 HR 系统使用同一套账户，或对接 4A 服务器实现账户统一管理。
2. 网络打通：将本地私有云的网络和公有云的网络在二层或者三层上连通起来，实现各种自定义的网络结构。
3. 存储打通：用户的业务数据能够在私有云和公有云之间自由迁移，如虚拟机或容器的镜像能够在不同的云之间迁移、灾备数据能够在不同的云之间备份。

管理一致性

成熟的混合云解决方案需要能够在跨云服务的情况下为用户提 供一致的体验，让用户不必从多个入口分别进行管理。具体包括统一 资源管理、统一运维管理和统一服务管理。

• 统一资源管理：提供统一的计算、存储、网络资源的抽象，支 持镜像和快照的统一管理、租户的统一管理。
• 统一运维管理：提供统一的运维手段监控和维护各个资源池。
• 统一服务管理：将云资源包装成服务，提供基于服务目录的 端到端服务开通、服务监控、服务计量等一系列服务运营支撑能力。