Ще отсече ли Cisco SD-WAN клона, на който седи DMVPN?

От август 2017 г., когато компания Cisco придоби Viptela, основната предлагаема технология за организация на разпределени корпоративни мрежи стана Cisco SD-WAN. През последните 3 години технологията SD-WAN премина през множество изменения, както качествени, така и количествени. Така значително разшириха функционалните възможности и се появи поддръжка на класическите маршрутизатори от серии Cisco ISR 1000, ISR 4000, ASR 1000 и виртуалния CSR 1000v. В същото време много клиенти и партньори на Cisco продължават да задават въпроса – в какво се изразяват разликите между Cisco SD-WAN и вече познатите подходи, базирани на технологии като Cisco DMVPN и Cisco Performance Routing и колко важни са тези разлики?

Тук веднага трябва да направим уточнението, че до появата на SD-WAN в портфолиото на Cisco, DMVPN, съвместно с PfR, бяха ключова част от архитектурата на Cisco IWAN (Intelligent WAN), която от своя страна представляваше предшественик на пълноценната SD-WAN технология. При общото сходство, както в самите решавани задачи, така и в начините за тяхното решаване, IWAN никога не получи необходимото за SD-WAN ниво на автоматизация, гъвкавост и мащабируемост и с времето развитието на IWAN значително намаля. В същото време самите технологии-компоненти на IWAN не изчезнаха и много клиенти продължават да ги използват успешно, включително на съвременното оборудване. В крайна сметка се създаде интересна ситуация – едно и също оборудване на Cisco позволява да се избере най-подходящата технология за изграждане на WAN (класическа, DMVPN+PfR или SD-WAN) в съответствие с изискванията и очакванията на клиентите.

Статията не предполага подробно разглеждане на всички особености на технологиите Cisco SD-WAN и DMVPN (в съвместно или без Performance Routing) — за това има огромно количество налични документи и материали. Основната задача е да се опитаме да оценим ключовите разлики между тези технологии. Но все пак, преди да преминем към обсъждането на тези разлики, кратко да напомним за самите технологии.

Какво представлява Cisco DMVPN и за какво е необходим?

Cisco DMVPN решава проблема с динамично (=масштабируемо) свързване на мрежата на отдалечения клон с мрежата на централния офис на предприятието, използвайки произволни типове комуникационни канали, включително Интернет (= с криптиране на комуникационния канал). Технически това се реализира чрез създаване на виртуализирана наложена мрежа от клас L3 VPN в режим точка — много точки (point-to-multipoint) с логическа топология тип „Звезда“ (Hub-n-Spoke). За това DMVPN използва комбинация от следните технологии:

• IP маршрутизиране
• Multipoint GRE тунели (mGRE)
• Next Hop Resolution Protocol (NHRP)
• IPSec Crypto профили

Какви са основните предимства на Cisco DMVPN в сравнение с класическата маршрутизация, използваща MPLS VPN канали?

• За изграждане на междусловна мрежа могат да се използват всички комуникационни канали - подходящо е всичко, което може да осигури IP свързаност между клоновете, като същевременно трафикът ще бъде шифрован (където е необходимо) и балансиран (където е възможно)
• Автоматично се създава напълно свързана топология между клоновете. При това между централния и отдалечения клон - статични тунели, а между отдалечените клонове - динамични тунели по заявка (при наличие на трафик)
• На рутерите на централния и отдалечения клон конфигурацията е идентична до IP адреси интерфейсите. Благодарение на използването на mGRE, няма нужда от индивидуално конфигуриране на десетки, стотици или дори хиляди тунели. Следствие от това е достойна мащабируемост при добро проектиране.

Какво представлява Cisco Performance Routing и защо е необходим?

При използване на DMVPN в междусловната мрежа остава нерешен един изключително важен въпрос - как динамично да се оцени състоянието на всеки от DMVPN тунелите по отношение на изискванията на критичния за нашата организация трафик и отново на базата на такава оценка динамично да се вземе решение за през маршрутизиране? Факт е, че DMVPN в тази част се различава малко от класическата маршрутизация - най-доброто, което може да се направи, е да се настроят механизмите за QoS, които да позволят приоритизиране на трафика в изходящата посока, но не могат да вземат предвид състоянието на целия маршрут в даден момент.

И какво да направим, ако каналът се деградира частично, а не напълно – как да го открием и оценим? DMVPN сам по себе си не може да го направи. С оглед на това, че каналите, свързващи клоновете, могат да преминават през съвсем различни телекомуникационни оператори, използващи съвсем различни технологии, задачата става изключително неочевидна. И тук на помощ идва технологията Cisco Performance Routing, която по това време вече е преминала през няколко етапа на развитие.

Задачата на Cisco Performance Routing (по-нататък PfR) е да измерва състоянието на маршрутите (тунелите) за преминаване на трафика на базата на ключови метрики, важни за мрежовите приложения – забавяне, вариация на забавянето (джитър) и загуба на пакети (в проценти). Освен това може да се измерва използваната честотна лента. Тези измервания се извършват максимално близо до реалното време (колкото по възможно и оправдано) и резултатът от тези измервания позволява на маршрутизатора, използващ PfR, динамично да взема решения относно необходимостта от промяна на маршрутизацията на определен тип трафик.

Така задачата за комбинацията DMVPN/PfR може да бъде кратко характеризирана по следния начин:

• Да позволи на клиента да използва произволни канали за връзка в WAN мрежата
• Да осигури максимално възможно качество на важните приложения на тези канали

Какво е Cisco SD-WAN?

Cisco SD-WAN е технология, която използва подхода SDN за изграждане и експлоатация на WAN мрежата на организацията. Това в частност означава използването на т.нар. контролери (програмни елементи), които осигуряват централизирана оркестрация и автоматизирано конфигуриране на всички компоненти на решението. В отличие от каноничното SDN (в стил Clean Slate), в Cisco SD-WAN се използват множество типове контролери, всеки от които изпълнява своята роля – това е направено преднамерено с цел осигуряване на по-добра мащабируемост и гео-резервиране.

В случая на SD-WAN задачата за използване на произволни типове канали и осигуряване на работата на бизнес приложения остава, но изискванията за автоматизация, мащабируемост, сигурност и гъвкавост на такава мрежа се разширяват.

Обсъждане на разликите

Ако сега започнем да анализираме различията между тези технологии, те ще попаднат в една от категориите:

• Архитектурни различия – как са разпределени функциите между различните компоненти на решението, как е организирано взаимодействието на тези компоненти и как това влияе на възможностите и гъвкавостта на технологията?
• Функционални възможности – какво може една технология, което друга не може? И толкова ли е важно?

В какво се изразяват архитектурните различия и толкова ли са важни?

Във всяка от посочените технологии има множество „движещи се части“, при които ролята и принципите на взаимодействие се различават. От това, колко добре са замислени тези принципи, зависи мащабируемостта, отказоустойчивостта и общата ефективност на решението.

Нека разгледаме различните аспекти на архитектурата по-подробно:

Data-plane – част от решението, отговорна за предаването на потребителския трафик между източника и получателя. В DMVPN и SD-WAN се реализира почти по един и същи начин на самите маршрутизатори, базирани на Multipoint GRE тунели. Разликата е в това, как се формира необходимият набор от параметри за тези тунели:

• в DMVPN/PfR – това е изключително двуслойна йерархия на възли с топология тип „Звезда“ или Hub-n-Spoke. Задължителна е статичната конфигурация на Hub и статичното свързване на Spoke към Hub, също така взаимодействието по протокол NHRP за формиране на data-plane свързаност. В резултат на това, значително са затруднени промените на Hub, свързани, например, с промените/подключването на нови WAN-канали или промяна на параметрите на съществуващите.
• в SD-WAN – това е напълно динамична модел на откритие на параметрите на установените тунели, с опора на control-plane (протокол OMP) и orchestration-plane (взаимодействие с контролера vBond за задачи по откритие на контролери и NAT traversal). В същото време наложените топологии могат да бъдат всякакви, включително йерархични. В рамките на установената наложена топология на тунелите, е възможна гъвкава настройка на логичната топология в всеки отделен VPN(VRF).

Control-plane – функции за обмен, филтриране и модификация на маршрутна и друга информация между компонентите на решението.

• в DMVPN/PfR – се извършва само между маршрутизаторите Hub и Spoke. Прекия обмен на маршрутна информация между Spoke е невъзможен. В резултат на това, без действуващ Hub, control-plane и data-plane не могат да функционират, което налага допълнителни изисквания за висока наличност на Hub, които не винаги могат да бъдат изпълнени.
• в SD-WAN – контролният план никога не се осъществява директно между рутерите – взаимодействието става на базата на протокола OMP и задължително се осъществява чрез специализиран тип контролер vSmart, което предоставя възможност за баланс, гео-резервиране и централизирано управление на сигнало товара. Друга особеност на OMP протокола е значителната му устойчивост на загуби и независимост от скоростта на комуникационния канал с контролерите (в разумни граници, разбира се). Това позволява успешно разполагане на контролерите SD-WAN в публични или частни облаци с достъп през Интернет.

Policy-plane – част от решението, отговаряща за определянето, разпространението и прилагането на правила за управление на трафика в разпределената мрежа.

• DMVPN – всъщност е ограничено от политиките за качество на услугите (QoS), настроени индивидуално на всеки рутер чрез CLI или шаблони Prime Infrastructure.
• DMVPN/PfR – политиките PfR се формират на централизирания рутер Master Controller (MC) чрез CLI и след това автоматично се разпространяват към филиалните MC. Паралелно се използват същите пътища за предаване на политиките, както и за data-plane. Няма възможности за разпределение на обмена на политики, маршрутна информация и потребителски данни. Разпространението на политиките предполага задължителна IP свързаност между Hub и Spoke. При това функцията на MC може, ако е необходимо, да се съчетае с маршрутизатор DMVPN. Възможно (но не е задължително) е използването на шаблони Prime Infrastructure за централизирано формиране на политики. Важна особеност – политиката се формира глобално на цялата мрежа по един и същи начин – индивидуалните политики за отделни сегменти не се поддържат.
• SD-WAN – политиките за управление трафика и качество на услугите се определят централизирано чрез графичния интерфейс Cisco vManage, достъпен в това число и през Интернет (при необходимост). Разпространяват се по сигнални канали директно или чрез контролерите vSmart (в зависимост от типа политика). Не зависят от свързаността на data-plane между маршрутизаторите, тъй като използват всички налични пътища за предаване на трафика между контролера и маршрутизатора.

  За различни сегменти на мрежата е възможно гъвкаво формирование на различни политики – сферата на приложение на политиката се определя от множество уникални идентификатори, предвидени в решението – номер на клон, тип приложение, направление на движението на трафика и т.н.

Orchestration-plane – механизми, позволяващи на компонентите динамично да откриват един друг, да се настройват и координират последващото взаимодействие.

• в DMVPN/PfR взаимното откритие между маршрутизаторите се основава на статичната конфигурация на Hub устройствата и съответната настройка на Spoke устройствата. Динамичното откритие се случва само за Spoke, който съобщава за своите параметри на свързване на Hub устройството, което от своя страна е предварително внесено в конфигурацията на Spoke. Без IP-свързаност между Spoke и поне един Hub е невъзможно да се формира нито data-plane, нито control-plane.
• в SD-WAN оркестрацията на компонентите на решението се извършва с помощта на контролера vBond, с който всеки компонент (маршрутизатори и контролери vManage/vSmart) трябва предварително да установи IP-свързаност.

  Първоначално компонентите не знаят параметрите на свързването си – за това им е необходим посредник-оркестратор vBond. Общият принцип е следният – всеки компонент в начален етап узнава (автоматично или статично) само параметрите на свързването с vBond, след което vBond съобщава на маршрутизатора за контролерите vManage и vSmart (откритите по-рано), което прави възможно автоматичното установяване на всички необходими сигнални връзки.

  На следващата стъпка новият маршрутизатор ще научи за другите маршрутизатори в мрежата чрез OMP обмен с контролера vSmart. По този начин маршрутизатор, който първоначално не знае нищо за параметрите на мрежата, е способен напълно автоматично да открие и свърже с контролерите, а след това също така автоматично да открие и установи свързаност с другите маршрутизатори. В същото време параметрите на свързванията на всички компоненти първоначално не са известни и по време на експлоатацията могат да се променят.

Управляваща платформа – част от решението, която осигурява централизирано управление и мониторинг.

• DMVPN/PfR – специализирано решение за управляваща платформа не е предвидено. За основна автоматизация и мониторинг е възможно да се използват продукти като Cisco Prime Infrastructure. Всеки маршрутизатор предлага управление чрез интерфейс на командния ред CLI. Интеграции с външни системи чрез API не са предвидени.
• SD-WAN – всичките стандартни взаимодействия и мониторинг се извършват централизирано чрез графичния интерфейс на контролера vManage. Всички функции на решението без изключение са достъпни за настройка чрез vManage, както и чрез напълно документирана библиотека на REST API.

  Всички настройки на SD-WAN мрежата в vManage се състоят от два основни конструкта – формулиране на шаблони за устройства (Device Template) и формулиране на политика, която определя логиката за работа на мрежата и обработката на трафика. При това vManage, транслирайки формулираната от администратора политика, автоматично избира какви промени да се направят и на кои индивидуални устройства/контролери, което значително повишава ефективността и мащабируемостта на решението.

  Чрез интерфейса vManage е достъпно не само настройването на решението Cisco SD-WAN, но и пълноценен мониторинг на състоянието на всички компоненти на решението, включително текущото състояние на метрики на отделни тунели и статистика за използването на различни приложения на базата на DPI анализ.

  Въпреки централизацията на взаимодействието, всички компоненти (контролери и маршрутизатори) имат също така напълно функционален CLI, който е необходим на етапа на внедряване или в случай на извънредна ситуация за локална диагностика. В нормален режим (при наличие на сигнален канал между компонентите) на маршрутизаторите CLI е наличен само за диагностика и не е достъпен за локални промени, което гарантира локална безопасност и единствен източник на промени в такава мрежа – vManage.

Интегрирана сигурност – тук става въпрос не само за защита на потребителските данни при предаване по открити канали, но и за общата защита на WAN мрежата, базирана на избраната технология.

• в DMVPN/PfR предвидена е възможност за криптиране на потребителските данни и сигнални протоколи. При използване на определени модели маршрутизатори допълнително са налични функции за междусетова защита с инспекция на трафика, IPS/IDS. Съществува възможност за сегментация на клоновите мрежи с помощта на VRF. Има възможност за удостоверяване (еднофакторно) на контролни протоколи.

  При това отдалеченият маршрутизатор по подразбиране се счита за доверен елемент на мрежата – т.е. не се предвиждат и не се отчитат случаи на физическа компрометация на отделни устройства и възможност за несанкциониран достъп до тях, няма двуфакторна автентикация на компонентите на решението, което в случай на географски разпределена мрежа може да носи сериозни допълнителни рискове.

• в SD-WAN по аналогия с DMVPN е предвидена възможност за криптиране на потребителските данни, но с значително разширени функции за мрежова сигурност и L3/VRF сегментация (MSS, IPS/IDS, URL филтриране, DNS филтриране, AMP/TG, SASE, TLS/SSL прокси и т.н.). При това обменът на криптиране на ключове се извършва по-ефективно чрез vSmart контролери (а не директно), по предварително зададени сигнални канали, защитени с DTLS/TLS криптиране, основано на сертификати за безопасност. Което от своя страна гарантира безопасността на такъв обмен и осигурява по-добра мащабируемост на решението до десетки хиляди устройства в една мрежа.

  Всички сигнални връзки (контролер-контролер, контролер-рутер) също са защитени на базата на DTLS/TLS. Рутерите се доставят с сертификати за сигурност при производството с възможност за замяна/подновяване. Двуфакторната автентикация се постига чрез задължителното и едновременни изпълнение на две условия за функционирането на рутера/контролера в SD-WAN мрежа:

  • Валиден сертификат за сигурност
  • Явно и осъзнато добавяне от администратора на всеки компонент в "белия" списък на разрешените устройства.

Функционални различия между SD-WAN и DMVPN/PfR

При преминаването към обсъждане на функционалните различия, е нужно да се отбележи, че много от тях са продължение на архитектурните – не е тайна, че при формирането на архитектурата на решението, разработчиците се ръководят от възможностите, които искат да получат в крайна сметка. Нека да разгледаме най-значимите различия между двете технологии.

AppQ (Качество на приложението) – функции за осигуряване на качеството на предаване на трафика на бизнес приложения

Ключовите функции на разглежданите технологии са насочени към това да се подобри колкото е възможно потребителският опит при използването на бизнес-критични приложения в разпределена мрежа. Това е особено важно в условия, когато част от инфраструктурата не се контролира от ИТ или дори не гарантира успешна предаване на данни.

DMVPN сам по себе си не предоставя такива механизми. Най-доброто, което може да се направи в класическа DMVPN мрежа, е да се класифицира изходящият трафик по приложения и да се приоритизира при предаването му към WAN канала. Изборът на DMVPN тунел в този случай зависи само от неговата наличност и от резултата на routing протоколите. В същото време, никак не се взема предвид цялостното състояние на маршрута/тунела и неговата възможна частична деградация по отношение на ключови метрики, значими за мрежовите приложения – закъснение, вариация на закъснението (джитър) и загуби (%). Поради това директното сравнение на класическия DMVPN с SD-WAN относно решаването на AppQ задачи губи всякакъв смисъл – DMVPN не може да реши този проблем. С добавянето на технологията Cisco Performance Routing (PfR) контекстът се променя и сравнението с Cisco SD-WAN става по-целесъобразно.

Преди да преминем към обсъждане на разликите, накратко за това, в които технологии са сходни. Така че, и двете технологии:

• разполагат с механизъм, който позволява динамично оценяване на състоянието на всеки инсталиран тунел по определени метрики – най-малкото, закъснение, вариация на закъснението и загуба на пакети (%)
• използват определен набор от инструменти за формиране, разпространение и прилагане на правила (политики) за управление на трафика, вземайки под внимание резултата от измерването на състоянието на ключовите метрики на тунелите.
• класифицират трафика на приложения на нива L3-L4 (DSCP) на OSI модела или по L7 сигнатури на приложения на базата на вградени в маршрутизатора DPI механизми.
• позволяват за значими приложения да определят допустимите прагови стойности на метриките, правила за предаване на трафика по подразбиране, правила за ребалансиране на трафика при превишаване на праговите стойности.
• при инкапсулацията на трафика в GRE/IPSec използват вече утвърден механизм в индустрията за пренос на вътрешната DSCP маркировка към външния GRE/IPSec заглавен пакет, което позволява синхронизиране на QoS политиките на организацията и оператора (при наличието на съответно SLA).

Как се различават механизмите за оценка на крайни метрики SD-WAN и DMVPN/PfR?

DMVPN/PfR

• За оценка на стандартните метрики на състоянието на тунела се използват както активни, така и пасивни софтуерни сензори (Probes). Активните – на базата на потребителски трафик, пасивните имитират такъв трафик (при негово отсъствие).
• Фината настройка на таймерите и условията за откриване на деградация отсъства – алгоритъмът е фиксиран.
• Допълнително е налично измерване на използваната пропусквателна способност в изходяща посока. Това добавя допълнителна гъвкавост за управление на трафика с DMVPN/PfR.
• При това, някои механизми на PfR при превишаване на метриките разчитат на обратна сигнализация във вид на специални TCA (Threshold Crossing Alert) съобщения, които трябва да идват от получателя на трафика към източника, което от своя страна предполага, че състоянията на измерваните канали трябва да бъдат поне достатъчни за предаване на такива TCA-съобщения. Това в повечето случаи не е проблем, но очевидно не може да бъде гарантирано.

SD-WAN

• За цялостната оценка на стандартните метрики на състоянието на тунела се използва протоколът BFD в режим echo. При това не е необходима специална обратна връзка под формата на TCA или подобни съобщения - спазва се изолацията на отказните домейни. Също така не е необходимо присъствието на потребителски трафик за оценка на състоянието на тунела.
• Има възможност за прецизна настройка на таймерите BFD за регулиране на скоростта на задействие и чувствителността на алгоритъма към деградация на комуникационния канал от няколко секунди до минути.

  

• Към момента на написване на статията, във всеки тунел е предвидена само една BFD сесия. Потенциално това създава по-малка грануларност при анализа на състоянието на тунела. В действителност това може да бъде ограничение само в случай на използване на WAN свързване на базата на MPLS L2/L3 VPN със съгласувано QoS SLA - ако DSCP маркировката на трафика BFD (след инкапсулация в IPSec/GRE) съвпадне с високо приоритетната опашка в мрежата на оператора, това може да повлияе на точността и скоростта на откритие на деградацията за трафика с нисък приоритет. Възможно е също така да бъде променена по подразбиране маркировката BFD, за да се намали рискът от възникване на подобни ситуации. В следващите версии на софтуера Cisco SD-WAN се очаква появата на по-фина настройка на BFD, както и възможност за стартиране на множество BFD сесии в рамките на един тунел с индивидуални DSCP стойности (за различни приложения).
• BFD също така позволява оценка на максималния размер на пакета, който може да бъде предаван по даден тунел без фрагментация. Това позволява на SD-WAN динамично да настройва параметри като MTU и TCP MSS Adjust, за да maximize ефективно използва наличната пропускателна способност на всеки канал.
• В SD-WAN е налична и опция за синхронизиране на QoS с операторите на свързване не само на базата на L3 DSCP полето, но и на базата на L2 CoS стойности, които могат автоматично да бъдат генерирани в филиалната мрежа от специализирани устройства - например, IP телефони.

Какви са различията в възможностите, начините на определяне и прилагане на AppQ политиките?

Политики DMVPN/PfR:

• Определят се на маршрутизатора(-ите) на централния филиал (ЦФ) чрез командния ред CLI или шаблони за конфигурации CLI. Създаването на CLI шаблони изисква подготовка и познаване на синтаксиса на политиките.

  

• Определят се глобално без възможност за индивидуална настройка/промяна според изискванията на отделните сегменти на мрежата.
• Интерактивното формирование на политики в графичен интерфейс не е предвидено.
• Проследяване на промените, наследяване, създаване на множество версии на политики за бързо превключване не е предвидено.
• Разпространяват се автоматично на рутерите на отдалечените клонове. При това се използват същите комуникационни канали, както за предаване на потребителски данни. При отсъствие на комуникационен канал между централния и отдалечения клон, разпространението/промяната на политиките е невъзможно.
• Прилагат се на всеки рутер и при необходимост модифицират резултата на стандартните маршрутизиращи протоколи, притежавайки по-висок приоритет.
• За случаи, при които всички WAN-канали на клона изпитват значителни загуби на трафик, механизми за компенсация не са предвидени.

SD-WAN политики:

• Определят се в графичния интерфейс vManage чрез интерактивен майстор-шаблон.
• Подкрепят създаването на множество политики, копиране, наследяване, превключване между политиките в реално време.
• Подкрепят индивидуална настройка на политиката за различни сегменти (клонове) на мрежата.
• Разпространяват се, използвайки всеки наличен сигнален канал между контролера и рутера и/или vSmart – не зависят пряко от свързаността на data-plane между рутерите. При това, разбира се, е необходима IP-свързаност между самия рутер и контролерите.

  

• За случаи, при които всички налични канали на клона изпитват значителни загуби на данни, надвишаващи допустимите прагова стойности за критични приложения, е възможно да се използват допълнителни механизми, повишаващи надеждността на предаване:
  • FEC (Корекция на грешки при предаване) – използва специален алгоритъм за излишно кодиране. При предаване на критичен трафик по канали със значителен процент загуби, FEC може да бъде автоматично активиран и позволява при необходимост да се възстанови изгубената част от данните. При това се увеличава леко използваната честотна лента, но значително се повишава надеждността.

    

  • Дублиране на потоци данни – в допълнение към FEC политиката може да предвижда автоматично дублиране на трафика на избрани приложения в случай на още по-сериозни загуби, които не могат да бъдат компенсирани с помощта на FEC. В този случай избраните данни ще бъдат предавани през всички тунели към филиала получател с последваща де-дубликация (отстраняване на излишните копия на пакетите). Механизмът значително увеличава утилизацията на каналите, но също така значително повишава надеждността на предаването.

Възможностите на Cisco SD-WAN, без пряко аналогични решения в DMVPN/PfR

Архитектурата на решението Cisco SD-WAN в някои случаи позволява получаването на възможности, реализацията на които в рамките на DMVPN/PfR или е изключително трудна, или нецелесъобразна поради необходимите усилия, или изобщо невъзможна. Нека разгледаме най-интересните от тях:

Traffic-Engineering (TE)

TE включва механизми, които позволяват отклоняване на трафика от стандартния маршрут, формиран от протоколите за маршрутизиране. TE често се използва за осигуряване на висока наличност на мрежовите услуги, благодарение на способността бързо и/или предварително да пренасочи важния трафик към алтернативен (непресичащ) маршрут за предаване, с цел осигуряване на по-добро качество на услугата или скорост на възстановяване в случай на забавяне на основния маршрут.

Сложността на реализиране на TE се състои в необходимостта предварително да се изчислят и резервират (проверят) алтернативни маршрути. В MPLS мрежите на операторите, тази задача се решава с помощта на технологии като MPLS Traffic-Engineering с разширения на IGP протоколите и протокола RSVP. През последните години, технологията Segment Routing също набира все по-голяма популярност, тъй като е по-оптимизирана за централизирана настройка и оркестрация. В класическите WAN мрежи тези технологии обикновено не са налични или са сведени до използване на механизми hop-by-hop като Policy-Based Routing (PBR), които могат да отклонят трафика, но это се реализира на всеки рутер поотделно – без да се отчита общото състояние на мрежата или резултата от PBR на предишни или последващи стъпки. Резултатът от прилагането на тези варианти TE е разочароващ – MPLS TE, поради сложността на настройката и експлоатацията, се използва основно само в най-критичната част на мрежата (ядрото), а PBR се прилага на отделни рутери без възможност за формиране на единна PBR политика за цялата мрежа. Очевидно, това важи и за мрежи на базата на DMVPN.

SD-WAN в това отношение предлага много по-елегантно решение, което не само е лесно за настройка, но също така се мащабира значително по-добре. Това е резултат от използваните архитектури control-plane и policy-plane. Реализацията на policy-plane в SD-WAN позволява централизирано определяне на политиката TE – какъв трафик ни интересува? за какви VPN? през кои възли/тунели е необходимо или обратно – забранено е да се формира алтернативен маршрут? От своя страна, централизираното управление на control-plane на базата на vSmart контролери позволява модифициране на резултатите от маршрутизацията, без да е нужно да се правят настройки на отделни устройства – рутерите вече виждат само резултата от логиката, която е била формулирана в интерфейса vManage и предадена за прилагане на vSmart.

Service-chaining (Сервисни вериги)

Сформирането на сервисни вериги е дори по-трудоемка задача в класическата маршрутизация, отколкото описаният механизъм Traffic Engineering. В този случай е необходимо не само да се създаде специален маршрут за определено мрежово приложение, но и да се осигури възможност за извеждане на трафика от мрежата на определени (или на всички) възли в SD-WAN мрежата за обработка от специализирано приложение или услуга (МСЕ, Балансиране, Кеширане, Инспекция на трафика и т.н.). Освен това е необходимо да се контролира състоянието на тези външни услуги, за да се предотвратят ситуации на black-holing, а също така са нужни механизми, позволяващи разполагането на такива еднотипни външни услуги в различни гео-локализации с възможност за автоматичен избор на най-оптималния сервисен възел за обработка на трафика на съответния клон. В случая с Cisco SD-WAN това е сравнително лесно постижимо, като се създаде съответната централизирана политика, която ще „свърже“ всички аспекти на целевата сервисна верига в едно цяло и автоматично ще променя логиката на data-plane и control-plane само там и когато е необходимо.

Способността да се осигури гео-разпределена обработка на трафика на избрани видове приложения в определена последователност на специализирано (но не свързано с мрежата SD-WAN) оборудване – това е, вероятно, най-очевидната демонстрация на предимствата на Cisco SD-WAN спрямо класическите технологии и дори някои алтернативни решения за SD-WAN от други производители.

Какво в крайна сметка?

Очевидно е, че както DMVPN (в комбинация или без Performance Routing), така и Cisco SD-WAN решават в крайна сметка много сходни задачи в отношение на разпределената WAN мрежа на организацията. В същото време значителните архитектурни и функционални различия в технологията Cisco SD-WAN издигат процеса на решаване на тези задачи на друго качествено ниво. В обобщение, може да се отбележат следните значителни различия между технологиите SD-WAN и DMVPN/PfR:

• DMVPN/PfR използват утвърдени технологии за изграждане на наложени VPN мрежи и по отношение на data-plane са сходни с по-съвременната SD-WAN технология. Въпреки това, те имат ограничения по отношение на задължителната статична конфигурация на маршрутизаторите и ограничен избор на топологии, като Hub-n-Spoke. От друга страна, DMVPN/PfR притежава функционални възможности, които все още не са налични в рамките на SD-WAN (става въпрос за per-application BFD).
• В контекста на control-plane технологиите съществуват съществени разлики. С централизирана обработка на сигналните протоколи, SD-WAN позволява значително да се стеснят домените на отказ и да „развърже“ процеса на предаване на потребителски трафик от сигналната комуникация – временното недостъпност на контролерите не влияе на възможността за предаване на потребителски трафик. В същото време временното недостъпност на някой филиал (включително централния) не оказва влияние на възможността на останалите филиали да взаимодействат помежду си и с контролерите.
• Архитектурата за формулиране и прилагане на политики за управление на трафика при SD-WAN надминава тази на DMVPN/PfR – гео-резервирането е реализирано значително по-добре, няма обвързаност с Hub, предоставят се повече възможности за детайлно настройване на политиките, а списъкът с реализируемите сценарии за управление на трафика е значително по-голям.
• Процесът на оркестрация на решението също така е значително различен. DMVPN предполага наличие на предварително известни параметри, които трябва да бъдат отразени в конфигурацията, което в известна степен ограничава гъвкавостта на решението и възможностите за динамични промени. От своя страна, SD-WAN изхожда от парадигмата, че в началния момент на свързване маршрутизаторът „не знае нищо“ за своите контролери, но знае „от кого може да попита“ – това е достатъчно не само за автоматизирано свързване с контролерите, но и за автоматично формиране на напълно свързана data-plane топология, която след това може да бъде гъвкаво настроена/променена чрез политики.
• В частта на централизирано управление, автоматизация и мониторинг SD-WAN очаквано превишава възможностите на DMVPN/PfR, които са резултат от развитието на класическите технологии и в по-голяма степен разчитат на командния ред CLI и използването на NMS системи на базата на шаблони.
• В SD-WAN в сравнение с DMVPN изискванията за сигурност преминаха на ново качествено ниво. Основните принципи – нулево доверие, мащабируемост и двуфакторна автентикация.

От тези несложни заключения може да се създаде неправилно впечатление, че изграждането на мрежа на базата на DMVPN/PfR е загубило актуалността си. Това, разбира се, не е съвсем така. Например, в случаи, когато в мрежата се използва множество остаряли устройства и няма възможност те да бъдат заменени, DMVPN може да позволи обединяването на "стари" и "нови" устройства в единна гео-разпределена мрежа с множество от описаните по-горе предимства.

От друга страна, трябва да помним, че всички актуални корпоративни маршрутизатори Cisco на базата на IOS XE (ISR 1000, ISR 4000, ASR 1000, CSR 1000v) днес поддържат всеки режим на работа – и класическа маршрутизация, и DMVPN, и SD-WAN – изборът се определя от текущите нужди и разбирането, че във всеки момент на същото оборудване може да се започне да се движим към по-напреднала технология.

Източник: habr.com