Application Centric Infrastructure. Архитектурата на мрежата на бъдещето — от разисквания до действие.

През последните няколко години Cisco активно промотира новата архитектура за изграждане на мрежи за предаване на данни в ЦОД — Application Centric Infrastructure (или ACI). Някои вече я познават. А други дори са успели да я внедрят в своите предприятия, включително и в Русия. Въпреки това за повечето ИТ специалисти и ИТ ръководители ACI остава или неразбираема абревиатура, или просто разсъждение за бъдещето.
В тази статия ще се опитаме да приближим това бъдеще. За тази цел ще разкажем за основните архитектурни компоненти на ACI, а също така ще илюстрираме начина на нейното приложение на практика. Освен това в близко бъдеще ще организираме наочна демонстрация на работата на ACI, за която всеки заинтересован ИТ специалист може да се запише.

Можете да научите повече за новата архитектура на изграждане на мрежи в Санкт Петербург през май 2019 година. Всички подробности – на връзката. Запишете се!

Предистория
Традиционната и най-популярна модел на изграждане на мрежи е трислойната йерархична модел: ядро -> разпределение (агрегация) -> достъп. През много години този модел беше еталон, по който производителите произвеждаха различни мрежови устройства с съответстваща функционалност.
Предишно, когато информационните технологии бяха необходимост (и, честно казано, не винаги желан) придатък към бизнеса, този модел беше удобен, доста статичен и надежден. Но в момента, когато ИТ са един от двигателите на развитието на бизнеса, а в много случаи и самият бизнес, статичността на този модел е започнала да причинява значителни проблеми.

Съвременният бизнес генерира голямо количество разнообразни и сложни изисквания към мрежовата инфраструктура. Успешността на бизнеса пряко зависи от сроковете за изпълнение на тези изисквания. Забавянето в такива условия е недопустимо, а класическият модел на изграждане на мрежи често не позволява своевременно удовлетворяване на всички бизнес нужди.

Например, появата на ново, сложено бизнес приложение изисква от мрежовите администратори да извършат множество рутинни операции на различни мрежови устройства на различни нива. Освен че отнема много време, това повишава риска от грешки, които могат да доведат до сериозни прекъсвания на ИТ услугите и, в резултат, до финансови загуби.

Коренът на проблема не са самите срокове или сложността на изискванията. Проблемът е, че тези изисквания трябва да се 'преведат' от езика на бизнес приложенията на езика на мрежовата инфраструктура. Както е известно, всяко превеждане е свързано с частична загуба на смисъл. Когато собственикът на приложение говори за логиката на работата на своето приложение, мрежовият администратор разбира набор от VLAN-ове, Access list-и на десетки устройства, които трябва да се поддържат, актуализират и документират.

Събраните опити и постоянната комуникация с клиентите позволиха на Cisco да проектира и внедри нови принципи за изграждане на мрежата за пренос на данни в центровете за обработка на данни, които отговарят на съвременните тенденции и съществуват преди всичко на логиката на бизнес приложенията. Затова и наименованието — Application Centric Infrastructure.

Архитектурата ACI.
Архитектурата ACI следва да се разглежда не от физическа, а от логическа страна. Тя е основана на модела на автоматизирани политики, чиито обекти на върха на ниво могат да бъдат разделени на следните компоненти:

1. Мрежа на базата на комутатори Nexus.
2. Клъстер на контролерите APIC;
3. Профили на приложенията;

Ще разгледаме всеки слой по-подробно — като преминаваме от простото към сложното.

Мрежа на базата на комутатори Nexus
Мрежата в ACI фабрика прилича на традиционен йерархичен модел, но се изгражда значително по-лесно. За организиране на мрежата се използва моделът Leaf-Spine, който е общоприет подход за реализиране на мрежи от ново поколение. Този модел се състои от два нива: Spine и Leaf, съответно.

Нивото Spine отговаря само за производителността. Общата производителност на Spine комутаторите е равна на производителността на цялата фабрика, затова на това ниво следва да се използват комутатори с портове 40G или по-високи.
Spine комутатори се свързват с всички следващи нива комутатори: Leaf комутатори, към които се свързват крайни хостове. Основната роля на Leaf комутаторите е портова капацитет.

Така лесно се решават въпросите за мащабируемост: ако ни трябва да увеличим пропускната способност на фабриката, добавяме Spine комутатори, а ако ни трябва да увеличим портовия капацитет – Leaf.
За двете нива се използват комутатори от серията Cisco Nexus 9000, които за Cisco са основният инструмент за изграждане на мрежи в ЦОД, независимо от тяхната архитектура. За нивото Spine се използват комутатори Nexus 9300 или Nexus 9500, а за Leaf само Nexus 9300.
Моделният ред комутатори Nexus, използвани в ACI фабриката, е представен на изображението по-долу.

Клъстер контролери APIC (Application Policy Infrastructure Controller)
APIC контролерите представляват специализирани физически сървъри, като за малки внедрения може да се използва клъстер от един физически APIC контролер и два виртуални.
Контролерите APIC изпълняват функции за управление и мониторинг. Важно е, че контролерите никога не участват в предаването на данни, т.е. дори ако всички контролери в клъстера излязат от строя, това абсолютно няма да повлияе на стабилността на работата на мрежата. Също така трябва да се подчертае, че чрез APIC администратора управлява абсолютно всички физически и логически ресурси на фабриката и за да направи каквито и да е промени, не е необходимо да се свързва с конкретно устройство, тъй като в ACI се използва единна точка на управление.

Сега да преминем към един от основните компоненти на ACI – профили на приложения.
Профил на приложение (Application Network Profile) е логичната основа на ACI. Именно профилите на приложения определят политиките за взаимодействие между всички мрежови сегменти и описват самите мрежови сегменти. ANP позволява да се абстрахираме от физическото ниво и по същество да представим как трябва да се организира взаимодействието между различни мрежови сегменти от гледна точка на приложението.

Профилът на приложението се състои от групи свързвания (End-point groups – EPG). Групата свързвания е логическа група на хостове (виртуални машини, физически сървъри, контейнери и т.н.), които са в един и същ сегмент на безопасност (не мрежа, а именно безопасност). Конечните хостове, които принадлежат на дадена EPG, могат да бъдат определяни по много критерии. Обикновено се използват следните:

• Физически порт
• Логически порт (порт-група на виртуален комутатор)
• VLAN ID или VXLAN
• IP-адрес или IP-подмрежа
• Атрибути на сървъра (име, местоположение, версия на ОС и т.н.)

За взаимодействие между различни EPG е предвидено съществуването на нещо, което се нарича контракти. Контрактът определя отношенията между различни EPG. С други думи, контрактът определя каква услуга предоставя едната EPG на другата EPG. Например, създаваме контракт, който позволява трафикът да преминава по протокол HTTPS. След това свързваме с този контракт, например, EPG Web (група уеб-сървъри) и EPG App (група сървъри на приложения), след което тези две терминални групи могат да обменят трафик по протокол HTTPS.

На изображението по-долу е описан пример за настройка на връзката между различни EPG чрез контракти в рамките на един ANP.

Може да има произволен брой профили на приложения в рамките на ACI-фабриката. Освен това контрактите не са свързани с конкретен профил на приложение, те могат (и трябва) да се използват за свързване на EPG в различни ANP.

По същество, всяко приложение, за което в една или друга форма е нужна мрежа, се описва с негов собствен профил. Например, на схемата по-горе е показана стандартната архитектура на трислойно приложение, състоящо се от N на брой сървъри за външен достъп (Web), сървъри на приложения (App) и сървъри на СУБД (DB), както и правилата за взаимодействие между тях. В традиционната мрежова инфраструктура това би било набор от правила, описани на различни устройства в инфраструктурата. В архитектурата на ACI, ние описваме тези правила в рамките на един профил на приложение. ACI, с помощта на профила на приложението, позволява значително да се опрости създаването на многобройни настройки на различни устройства, обединявайки ги всички в единен профил.
На изображението по-долу е показан по-жив пример. Профил на приложението Microsoft Exchange, съставен от няколко EPG и контракти.

Централното управление, автоматизация и мониторинг са едно от ключовите предимства на ACI. ACI фабриката освобождава администраторите от рутинната работа по създаването на голям брой правила на различни комутатори, маршрутизатори и междусетеви екрани (като в същото време класическият ръчен метод на настройка е разрешен и може да бъде използван). Настройките на профилите на приложенията и другите обекти ACI автоматично се прилагат в цялата ACI фабрика. Дори при физическо превключване на сървърите в други портове на комутаторите във фабриката, не е необходимо да се дублират настройки от старите комутатори на новите и да се чистят ненужните правила. Въз основа на критериите за принадлежност на хоста към EPG, фабриката ще извърши тези настройки автоматично и автоматично ще почисти неизползваните правила.
Интегрираните политики за сигурност на ACI са реализирани на принципа на белите списъци, тоест всичко, което не е изрично разрешено, по подразбиране е забранено. В комбинация с автоматичната актуализация на конфигурациите на мрежовото оборудване (премахване на "забравени" неизползвани правила и разрешения) този подход значително повишава общото ниво на сигурност в мрежата и стеснява повърхността на потенциалната атака.

ACI позволява организирането на мрежово взаимодействие не само на виртуални машини и контейнери, но и на физически сървъри, хардуерни МСЕ и мрежово оборудване на трети производители, което прави ACI уникално решение в текущия момент.
Новият подход на компанията Cisco към изграждането на мрежата за предаване на данни на базата на логиката на приложенията е не само автоматизация, сигурност и централно управление. Това е също така и съвременна хъризонтално мащабируема мрежа, отговаряща на всички изисквания на съвременния бизнес.
Реализацията на мрежовата инфраструктура на базата на ACI позволява на всички подразделения на предприятието да говорят на един и същ език. Администраторът се ръководи само от логиката на работата на приложението, в което са описани необходимите правила и връзки. Също както и логиката на работата на приложението, се ръководят собственикът и разработчиците на приложението, службата за информационна сигурност, икономистите и собствениците на бизнеса.

По този начин компанията Cisco на практика реализира концепцията за ново поколение центрове за данни. Искате ли да се уверите сами? Елате на демонстрация Application Centric Infrastructure в Санкт Петербург и работете с мрежата на бъдещето на ЦОД още сега.
Записването за събитието е възможно на линка.

Източник: habr.com