Инфраструктура, ориентирана към приложението. Мрежова архитектура на бъдещето – от спекулации към действие

През последните няколко години Cisco активно промотира нова архитектура за изграждане на мрежа за пренос на данни в центъра за данни - Инфраструктура, ориентирана към приложението (или ACI). Някои вече са запознати с него. А някои дори успяха да го внедрят в своите предприятия, включително в Русия. Въпреки това, за повечето ИТ специалисти и ИТ мениджъри ACI все още е или неясен акроним, или просто размисъл за бъдещето.
В тази статия ще се опитаме да доближим това бъдеще. За да направим това, ще говорим за основните архитектурни компоненти на ACI и също така ще илюстрираме как може да се използва на практика. Освен това в близко бъдеще ще организираме визуална демонстрация на ACI, за която всеки заинтересован IT специалист може да се запише.

Можете да научите повече за новата мрежова архитектура в Санкт Петербург през май 2019 г. Всички подробности са вътре връзка. Регистрирай се!

праистория
Традиционният и най-популярен модел за изграждане на мрежа е йерархичен модел на три нива: ядро ​​-> разпределение (агрегиране) -> достъп. В продължение на много години този модел беше стандарт, производителите произвеждаха различни мрежови устройства с подходяща функционалност за него.
Преди това, когато информационните технологии бяха нещо като необходим (и, честно казано, не винаги желан) придатък към бизнеса, този модел беше удобен, много статичен и надежден. Сега обаче, когато ИТ е един от двигателите на развитието на бизнеса, а в много случаи и на самия бизнес, статичността на този модел започна да създава големи проблеми.

Съвременният бизнес генерира голям брой различни комплексни изисквания към мрежовата инфраструктура. Успехът на бизнеса зависи пряко от времето на изпълнение на тези изисквания. Забавянето при такива условия е недопустимо, а класическият модел на мрежово изграждане често не позволява своевременно задоволяване на всички нужди на бизнеса.

Например, появата на ново сложно бизнес приложение изисква мрежовите администратори да извършват голям брой подобни рутинни операции на голям брой различни мрежови устройства на различни нива. Освен че отнема време, това увеличава и риска от грешка, което може да доведе до сериозен престой на ИТ услугите и в резултат на това финансови загуби.

Коренът на проблема дори не е самите срокове или сложността на изискванията. Факт е, че тези изисквания трябва да бъдат „преведени“ от езика на бизнес приложенията на езика на мрежовата инфраструктура. Както знаете, всеки превод винаги е частична загуба на смисъл. Когато собственикът на приложението говори за логиката на своето приложение, мрежовият администратор разбира набор от VLAN, списъци за достъп на десетки устройства, които трябва да бъдат поддържани, актуализирани и документирани.

Натрупаният опит и постоянната комуникация с клиентите позволиха на Cisco да проектира и внедри нови принципи за изграждане на мрежа за предаване на данни в център за данни, които отговарят на съвременните тенденции и се основават преди всичко на логиката на бизнес приложенията. Оттук и името – Application Centric Infrastructure.

ACI архитектура.
Най-правилно е ACI архитектурата да се разглежда не от физическата, а от логическата страна. Базира се на модел на автоматизирани политики, чиито обекти на най-високо ниво могат да бъдат разделени на следните компоненти:

1. Мрежа, базирана на комутатори Nexus.
2. APIC контролен клъстер;
3. Профили на приложенията;

Нека разгледаме всяко ниво по-подробно - и ще преминем от просто към сложно.

Мрежа, базирана на комутатори Nexus
Мрежата във фабрика на ACI е подобна на традиционния йерархичен модел, но е много по-лесна за изграждане. За организиране на мрежата се използва моделът Leaf-Spine, който се превърна в общоприет подход за внедряване на мрежи от следващо поколение. Този модел се състои от две нива: гръбначен стълб и съответно лист.

Нивото на гръбначния стълб е отговорно само за представянето. Общата производителност на превключвателите Spine е равна на производителността на цялата тъкан, така че на това ниво трябва да се използват превключватели с 40G или по-високи портове.
Spine превключватели се свързват с всички превключватели на следващото ниво: Leaf превключватели, към които са свързани крайните хостове. Основната роля на Leaf комутаторите е капацитетът на портовете.

По този начин проблемите с мащабирането се разрешават лесно: ако трябва да увеличим пропускателната способност на тъканта, добавяме превключватели Spine, а ако трябва да увеличим капацитета на порта, добавяме Leaf.
И за двете нива се използват комутатори от серията Cisco Nexus 9000, които за Cisco са основният инструмент за изграждане на мрежи от центрове за данни, независимо от тяхната архитектура. За слоя Spine се използват превключватели Nexus 9300 или Nexus 9500, а за Leaf само Nexus 9300.
Моделната гама от превключватели Nexus, които се използват във фабриката на ACI, е показана на фигурата по-долу.

APIC (Application Policy Infrastructure Controller) Контролен клъстер
APIC контролерите са специализирани физически сървъри, докато за малки реализации е възможно да се използва клъстер от един физически APIC контролер и два виртуални.
APIC контролерите осигуряват функции за контрол и наблюдение. Важното е, че контролерите никога не участват в преноса на данни, тоест дори ако всички контролери на клъстера се повредят, това изобщо няма да повлияе на стабилността на мрежата. Трябва също така да се отбележи, че с помощта на APIC администраторът управлява абсолютно всички физически и логически ресурси на фабриката и за да се направят промени, вече не е необходимо да се свързвате с конкретно устройство, тъй като ACI използва единична контролна точка.

Сега да преминем към един от основните компоненти на ACI – профилите на приложенията.
Мрежов профил на приложението е логическата основа на ACI. Именно профилите на приложенията определят политиките за взаимодействие между всички мрежови сегменти и описват самите мрежови сегменти. ANP ви позволява да се абстрахирате от физическия слой и всъщност да си представите как трябва да организирате взаимодействието между различните мрежови сегменти от гледна точка на приложението.

Профилът на приложението се състои от групи за свързване (групи крайни точки - EPG). Групата за свързване е логическа група от хостове (виртуални машини, физически сървъри, контейнери и т.н.), които се намират в един и същ защитен сегмент (не мрежа, а сигурност). Крайните хостове, които принадлежат към определен EPG, могат да бъдат определени по голям брой критерии. Обикновено се използват следните:

• Физически порт
• Логически порт (група портове на виртуалния комутатор)
• VLAN ID или VXLAN
• IP адрес или IP подмрежа
• Атрибути на сървъра (име, местоположение, версия на ОС и др.)

За взаимодействието на различни EPG е предоставен обект, наречен договори. Договорът определя връзката между различните EPG. С други думи, договорът определя каква услуга предоставя едно EPG на друго EPG. Например, ние създаваме договор, който позволява на трафика да тече през HTTPS протокола. След това се свързваме с този договор, например, EPG Web (група уеб сървъри) и EPG App (група сървъри за приложения), след което тези две терминални групи могат да обменят трафик чрез HTTPS протокола.

Фигурата по-долу описва пример за настройка на комуникация между различни EPG чрез договори в рамките на един и същи ANP.

Може да има произволен брой профили на приложения в една ACI фабрика. В допълнение, договорите не са обвързани с конкретен профил на приложение; те могат (и трябва) да се използват за свързване на EPG в различни ANP.

Всъщност всяко приложение, което изисква мрежа под една или друга форма, се описва със собствен профил. Например диаграмата по-горе показва стандартната архитектура на трислойно приложение, състоящо се от N брой външни сървъри за достъп (Web), сървъри за приложения (App) и DBMS сървъри (DB), и също така описва правилата за взаимодействие между тях. В традиционната мрежова инфраструктура това би бил набор от правила, написани на различните устройства в инфраструктурата. В ACI архитектурата ние описваме тези правила в рамките на един профил на приложение. ACI, използвайки профил на приложение, прави много по-лесно създаването на голям брой настройки на различни устройства, като ги групира в един профил.
Картината по-долу показва по-реалистичен пример. Профил на приложение на Microsoft Exchange, направен от множество EPG и договори.

Централното управление, автоматизацията и наблюдението са едно от основните предимства на ACI. ACI Factory облекчава администраторите от досадната работа по създаване на голям брой правила за различни комутатори, рутери и защитни стени (докато класическият метод за ръчно конфигуриране е разрешен и може да се използва). Настройките за профили на приложения и други ACI обекти се прилагат автоматично в цялата ACI структура. Дори когато физически превключвате сървъри към други портове на комутаторите на тъканта, няма нужда да дублирате настройки от стари комутатори към нови и да изчиствате ненужните правила. Въз основа на критериите за членство в EPG на хоста, фабриката ще направи тези настройки автоматично и автоматично ще изчисти неизползваните правила.
Интегрираните политики за сигурност на ACI се изпълняват като бели списъци, което означава, че това, което не е изрично разрешено, е забранено по подразбиране. Заедно с автоматичното актуализиране на конфигурациите на мрежовото оборудване (премахване на „забравени“ неизползвани правила и разрешения), този подход значително повишава общото ниво на мрежова сигурност и стеснява повърхността на потенциална атака.

ACI ви позволява да организирате мрежово взаимодействие не само на виртуални машини и контейнери, но и на физически сървъри, хардуерни защитни стени и мрежово оборудване на трети страни, което прави ACI уникално решение в момента.
Новият подход на Cisco за изграждане на мрежа за данни, базирана на логиката на приложенията, не се отнася само до автоматизация, сигурност и централизирано управление. Това е и модерна хоризонтално мащабируема мрежа, която отговаря на всички изисквания на съвременния бизнес.
Внедряването на мрежова инфраструктура, базирана на ACI, позволява на всички отдели на предприятието да говорят на един език. Администраторът се ръководи само от логиката на приложението, която описва необходимите правила и връзки. Освен от логиката на приложението, от него се ръководят собствениците и разработчиците на приложението, службата за информационна сигурност, икономистите и собствениците на фирми.

По този начин Cisco прилага на практика концепцията за мрежа от центрове за данни от следващо поколение. Искате ли да видите това сами? Заповядайте на демонстрацията Инфраструктура, ориентирана към приложението в Санкт Петербург и да работят с мрежата от центрове за данни на бъдещето сега.
Можете да се регистрирате за събитието по ссылке.

Източник: www.habr.com