将应用工作负载迁移到公有云
简介
各行各业的企业和组织正在将应用迁移到IaaS公有云提供商，或在其平台上部署新应用，以提高敏捷性、缩短上市时间，并采用灵活的按用量付费模式。无论这些应用用于创收还是承载关键业务，都必须提供同样出色的用户体验，包括相关的可用性、性能和安全服务。然而，云数据中心的固有设计、各云提供商的应用交付和安全能力，以及整体可见性和控制力不足，都带来了需要解决的挑战，其中包括确定哪些工作负载适合上云。
这些挑战可能导致定制云实施进展缓慢且成本高昂，限制云供应商的选择和迁移灵活性，并增加出现安全漏洞的风险。本文将探讨应用成功迁移到公有云时需要考虑的关键因素和已知阻碍，并说明部署F5® BIG-IP®应用和安全服务为何是成功迁移的关键要素。这些服务可通过主流云IaaS提供商提供，并支持灵活的许可模式。
云采用障碍
将应用迁移到公有云面临的挑战
尽管我们都认可公有云的优势，但应用在面向多租户设计的公有云IaaS提供商数据中心内运行，与在企业私有数据中心内运行存在显著差异。公有云提供商在设计数据中心和网络时会考虑大规模扩展需求，并通过虚拟化、商品化和标准化来降低成本。两者的网络控制程度不同，对L2功能（例如组播、802.1q VLAN标记等）的访问会受到限制，而且每个应用可能只能获得一个面向公网的IP地址。增加计算容量时，通常会横向扩展多个小型实例，而不是通过高性能专用硬件进行纵向扩展，这会直接影响特定组件或节点上的状态保持。
适合迁移到云端的应用工作负载
虽然理想目标是将应用“直接迁移”到公有云，但有些应用可能需要更改设计或彻底重构架构后才能迁移。关键在于确定哪些应用应迁移到公有云，以及需要进行哪些更改。决定迁移哪些应用时，应考虑以下问题和标准：
- 应用是否已实现虚拟化，并且能否在云服务提供商的基础设施上运行？
- 云提供商是否符合贵组织严格的数据保护政策？
- 您的应用需要什么级别的服务级别协议？云提供商提供哪种正常运行时间保证或高可用性功能？
- 您的网络和管理要求是什么？能否在云环境中复制这些要求？
应用和安全问题
无论部署在何处，每个应用都需要应用服务和安全服务。各云提供商用于保障可用性、性能和安全性的工具集与服务，在功能和管理方式上各不相同，还可能产生需要纳入考量的额外成本。要根据具体需求学习和配置这些新服务，需要投入时间，并开展测试和培训。在采用多云提供商策略时，这可能导致难以承受的切换成本，进而造成云供应商锁定。更重要的是，视具体应用需求而定，这些服务可能无法满足要求，也可能无法提供与当前所用服务相同的功能。这会限制企业选择云提供商的灵活性，并增加云迁移的风险和复杂性。主要面临三项挑战：
1. 安全
90%的组织存在安全方面的担忧
确保公有云中的应用安全，是大多数组织最关注的问题。抵御复杂的L3–7混合安全威胁至关重要。这类威胁将多种大流量DDoS攻击与应用层攻击（OWASP十大安全风险、跨站脚本、SQL注入等）结合在一起。使用云提供商的基础安全工具时，还需考虑访问策略和应用安全策略不一致的问题。这可能会扩大攻击面，并暴露与用户访问权限配置和取消配置相关的漏洞，恶意行为者的访问权限尤其值得关注。组织需要能够在私有数据中心和云环境中复制并实施一致且经过验证的安全策略和访问控制。
2. 可用性
超越基本负载均衡的高级流量管理通常用于业务关键型应用和大型企业应用。虽然云提供商可能会提供基本负载均衡服务，但还需考虑是否需要支持HTTP/HTTPS和TCP以外的协议。基本运行状况检查以及基于哈希和轮询的负载均衡算法是否足够？通常还需要处理应用数据，这就需要完整的L7代理功能，例如URL检查和重写。
云提供商如何保障其基础设施的正常运行时间和韧性？大型提供商通常将基础设施可用性目标设为99.95%，这可能低于您的要求。更重要的是，必须了解相关风险，并设法减轻中断造成的影响。部分提供商在多个地理区域设有冗余数据中心和站点，以便在发生自然灾害等重大故障时维持可用性。要利用这种冗余能力，需要进行周密规划，并考虑具体实施细节、延迟以及故障转移和恢复时间。
3. 性能和可扩展性
最终用户体验和工作效率仍然至关重要，并取决于应用迁移到云端后的性能。数据中心与用户之间的距离可能更远，这意味着最终用户与应用之间的延迟会增加，从而影响性能。缓存、压缩和TCP优化等常用方法可能无法使用。此外，还需要确保将用户定向到距离最近的位置。
迁移到公有云的一个主要原因，是能够根据预定义的阈值灵活地按需分配资源，以应对计划内和计划外的需求激增。对于预计会出现短期容量激增或需求大幅波动的应用，暂时迁移到公有云提供商可能更为合适。
可见性不足和策略不一致
如果应用和安全服务及策略无法随应用从数据中心迁移到云端，就需要针对每家云提供商进行定制实施。组织需要深入了解应用性能、安全状况以及用户对应用的访问情况，以确定何时应将工作负载从一个位置迁移到另一个位置。这需要全面掌握用户与应用的交互，以及所有部署基础设施中的用户体验。如果每个应用和每家提供商的策略都存在蔓延、差异和复杂性，再加上缺乏统一的可见性，可能会导致运营支出（OPEX）增加、服务交付速度下降和客户体验受损。
F5如何助力云迁移成功
用于交付应用和安全服务的BIG-IP平台
要应对上述挑战，需要采用先进且可编程的应用交付服务，覆盖私有数据中心和云提供商，从而提高业务灵活性，并助力云迁移取得成功。组织需要一个统一平台，以便在各种应用环境中，以一致的方式为现有应用和新的云原生应用交付和管理应用服务及相关策略。
F5 BIG-IP虚拟版（VE）提供广泛的智能应用和网络服务，包括加速、优化、智能流量管理（本地和全局）、DNS、高级应用访问和网络安全。这些服务可作为应用堆栈的一部分实现全面集成和自动配置。作为硬件和虚拟应用交付控制器（ADC）市场的重要参与者，F5的这些服务很可能已部署在您的数据中心，现在还可通过F5云许可计划从主流云提供商处获取。
F5安全服务
BIG-IP VE提供智能、全面的L3–7安全服务，在保护云应用的同时，不会牺牲控制力、灵活性和可见性。这些服务可补充各云提供商提供的功能，并针对各种DDoS攻击向量、零日威胁、多层Web应用攻击、数据窃取和泄露提供纵深防御。针对每个应用调整和配置防火墙规则与策略所投入的工作和专业知识，可在云提供商的环境中继续利用和复用。
F5采用全面感知用户、设备、环境、应用和网络上下文的身份与访问管理架构，为跨数据中心和云环境的应用访问提供身份联合和单点登录。同时，通过基于上下文的安全差异化访问控制、防范Web恶意软件和持续性威胁，以及全面的端点设备检查，维护应用安全和数据完整性。
在整个IT基础设施中实施一致的安全防护并提供持续保护，是保护云环境的关键因素。
可用性和性能
BIG-IP高级本地流量管理服务支持静态和动态负载均衡，可消除单点故障；支持HTTP/TCP以外的多种协议（例如HTTP2.0、SPDY和UDP）；并能深入理解应用。作为全应用代理，BIG-IP平台支持通过内容交换实现多路复用，从而缓解外部IP数量有限的问题。该平台还可跟踪服务器组中各服务器的动态性能水平，并提供深度运行状况监控和连接状态管理。
BIG-IP应用交付优化服务可以缩短应用响应时间，最大限度减少延迟，并减少完成移动设备Web请求所需的数据往返次数。
BIG-IP平台提供DNS和全局服务器负载均衡服务，可根据应用体验和灾难恢复（DR）/故障转移策略，将用户定向到最近的云数据中心。这些策略会综合考虑用户距离、地理位置、网络状况和应用可用性。该平台采用多种全局负载均衡方法，并针对每个应用和用户进行智能监控。F5还提供DNS DDoS防护，阻止访问恶意IP，并使用DNSSEC保护响应。此外，与某些云提供商的计费方式不同，DNS查询和运行状况检查不按使用量计费，避免在遭受DNS DDoS攻击时产生高额费用。
借助F5实现云端可扩展性
云爆发等操作可让企业按需扩展应用资源，并仅为应对偶发峰值而临时使用的资源付费。要有效实现云爆发，需要使用BIG-IP本地流量管理、全局服务器负载均衡服务和BIG-IQ云编排，以自动执行一系列紧密协调且对最终用户透明的操作：
- 达到预设阈值时，将在云中预置并部署资源。
- 新的应用服务器资源会自动添加到资源池中。
- 用户将被重定向到云中的应用资源。
- 当应用负载降至预设阈值以下时，将取消配置云基础设施资源，并将所有连接重定向回数据中心。
可见性、控制和一致的策略
F5 iApps®模板可帮助企业在几分钟内部署支持其应用所需的应用交付服务。iApps模板可为每个应用定义流量管理、加密、防火墙和性能优化等服务的配置与策略。iApps和内联分析可提供对应用的全面控制和可见性，从而确保一致性并提高故障排除效率。
此外，F5 iRules®脚本语言（即F5的流量脚本接口）支持以编程方式分析、操控和检测应用流量，从而实现定制，并快速响应零日威胁、网络状况和业务需求。iApps和iRules具备可移植性，可支持应用在同一云提供商内部以及不同云提供商之间迁移。
管理、自动化和编排
集成公有环境与私有环境之间的管理工具和连接，可在两种环境间打造无缝体验，实现数据中心环境的透明扩展，并避免形成管理孤岛。
F5解决方案将集成式自动化应用交付功能引入云提供商环境，可快速缩短应用网络服务的配置和部署时间。具体实现方式包括：
- 将企业数据中心集成到第三方云管理工具中。
- 应用交付服务的自动化配置。
- 通过编排缩短部署时间。
- 通过REST API实现可扩展性和出色的灵活性。
BIG-IQ®是F5的智能管理和编排平台，提供开放的可编程框架，用于管理跨私有云和公有云部署的物理及虚拟BIG-IP解决方案。无论底层基础设施如何，BIG-IQ都能帮助组织快速、一致且可重复地部署和管理应用及安全服务。此外，BIG-IQ还可通过REST API和云连接器与主流云编排引擎及云提供商集成或连接。
BIG-IQ提供iApps生命周期管理，可简化并自动执行应用交付服务的快速配置。IT组织可以定义可用应用交付服务目录，其中包括定制服务或多层服务，供管理员和应用经理根据需要快速选择。
灵活的许可模式
BIG-IP虚拟版提供Good-Better-Best捆绑包，可采用按用量计费（按小时、按天或按月）、年度订阅、自带许可证（BYOL）和批量许可订阅模式。对于测试和开发阶段的预生产工作负载，或临时云突发和扩展用例，F5提供灵活的按需使用型用量许可（使用后仅按实际用量付费）。
年度订阅非常适合流量稳定的生产工作负载。自带许可证（BYOL）非常适合混合云环境，可将私有数据中心现有的BIG-IP VE许可证直接迁移到公有云。批量许可订阅（VLS）专为需要大量虚拟应用和安全服务的企业而设计。VLS为1年期和3年期订阅提供优惠价格，其中包括高级支持和软件更新。
结论
过去几年，公有云服务的采用率呈指数级增长。许多IT初创企业和一些成熟的媒体公司甚至已将全部业务部署在公有IaaS云提供商的环境中，并取得了显著成效。随着企业着手规划将更多关键应用迁移到云端，使用BIG-IP平台交付应用所带来的成熟优势也可轻松扩展至云应用工作负载。这有助于解决企业客户采用公有云时面临的诸多挑战和顾虑，包括在所有应用基础设施中保持一致的安全性。
F5云迁移解决方案利用F5的BIG-IP应用服务和BIG-IQ产品，无论应用位于何处，都能为其提供关键的可用性、性能和安全保障。借助主流云市场提供的灵活许可模式，企业可以规划、分阶段实施这些服务，并将其部署到公有云。F5帮助企业和组织在保持可见性、安全性和控制力的同时，更有信心地将工作负载迁移到单云和多云环境。
发布于2015年5月7日