SD-WAN и DNA в помощ на администратора: особености на архитектурите и практика

Стенд, който можете да докоснете в нашата лаборатория, ако желаете.

SD-WAN и SD-Access са два различни нови проприетарни подхода към изграждането на мрежи. В бъдеще те трябва да се слеят в една оверлейна мрежа, но за сега само се приближават. Логиката е следната: взимате мрежа от 90-те години и налагате всички необходими пачове и функции, без да чакате, докато това стане нов стандарт след 10 години.

SD-WAN е пач на SDN за разпределени корпоративни мрежи. Транспортът е отделно, контролът е отделно, затова контролът се опростява.

Предимствата са, че всички комуникационни канали се използват активно, включително резервния. Има маршрутизация на пакетите до приложенията: какво, през кой канал и с какъв приоритет. Процедурата за разгръщане на нови точки е опростена: вместо да прилагате конфигурация, просто указвате адреса на Cisco сървъра в голямото интернет пространство, ЦОД на КРОК или клиента, откъдето се получават конфигурациите точно за вашата мрежа.

SD-Access (DNA) е автоматизация на управлението на локалната мрежа: конфигурация от една точка, асистенти, удобни интерфейси. Всъщност се изгражда друга мрежа с различен транспорт на ниво протоколи над вашата, и на границите на периметъра се осигурява съвместимост със стари мрежи.

С това ще се запознаем по-долу.

Сега малко демонстрации на тестовите стендове в нашата лаборатория, как изглеждат и работят.

Да започнем с SD-WAN. Основни възможности:

• Опростяване на внедряването на нови точки (ZTP) — предвижда се, че по някакъв начин подавате на точката адреса на сървъра с настройките. Точката се свързва с него, получава конфигурация, прилага я и се включва във вашата контролна панел. Така се осигурява Zero-Touch Provisioning (ZTP). За да разгръщате крайно устройство, на мрежовия инженер не се налага да посещава площадката. Главното е на място правилно да включите устройството и да свържете всички кабели, след това оборудването само ще се свърже с системата. Конфигурации могат да бъдат заредени чрез DNS запитвания в облака на доставчика от свързан USB-накопител, или можете да отворите хипервръзка от лаптоп, свързан с устройството по Wi-Fi или Ethernet.
• Улеснено рутинното администриране на мрежата – конфигурация от шаблони, глобални политики, настраиваеми централизирано за пет филиала или 5000. Всичко от едно място. За да няма дълго пътуване – много удобна опция за автоматично възстановяване към предишната конфигурация.
• Управление на трафика на ниво приложения – осигуряване на качество и постоянна актуализация на сигнатурите на приложенията. Политиките се настройват и прилагат централизирано (не е нужно да се пишат и актуализират маршрутизиращи карти за всеки рутер, както преди). Видно е, кой, къде и какво изпраща.
• Сегментация на мрежата. Независими изолирани VPN над цялата инфраструктура – всяка със своя маршрутизация. По подразбиране трафикът между тях е затворен, достъпите могат да се отворят само за разбираеми видове трафик в познати възли на мрежата, например, пропускайки всичко през голям защитен стена или прокси.
• Видимост на историята на качеството на работата на мрежата – как работят приложенията и каналите. Много полезно за анализ и корекция на ситуацията, преди потребителите да започнат да подават оплаквания за нестабилна работа на приложенията.
• Видимост по каналите – заслужават ли парите си, реално ли при вас идват двама различни оператори или те фактически минават през една и съща мрежа и деградират/падат едновременно.
• Видимост за облачни приложения и управление на трафика чрез различни канали на базата на тях (Cloud Onramp).
• Едно устройство съдържа в себе си рутер и защитна стена (по-точно, NGFW). По-малко устройства – по-евтино разгръщане на нов филиал.

Компоненти и архитектура на SD-WAN решения.

Крайните устройства – WAN рутери, които могат да бъдат хардуерни или виртуални.

Оркестратори – средства за управление на мрежата. На тях се настройват параметрите на крайните устройства, политики за маршрутизиране на трафика, функционалност за сигурност. Получават се конфигурации, които автоматично се изпращат през мрежовия контрол към възлите. Паралелно оркестраторът наблюдава мрежата и прави мониторинг – наличност на устройства, портове, комуникационни канали, натоварване на интерфейси.

Аналитични средства. Създават отчети на база данни, събирани от крайните устройства: история на качеството на работа на каналите, мрежовите приложения, наличност на възли и т.н.

Контролерите отговарят за прилагането на политики за маршрутизиране на трафика в мрежата. Най-близкият им аналог в традиционните мрежи е BGP Route Reflector. Глобалните политики, които администраторът настройва в оркестратора, водят до промяна на съдържанието на таблиците за маршрутизиране на контролерите, които разпространяват актуализирана информация на крайни устройства.

Какво получава ИТ услугата от SD-WAN:

1. Резервният канал се използва постоянно (не е в застой). По-евтино е, тъй като можете да позволите два по-малко мащабни канала.
2. Автоматично пренасочване на трафика на приложенията между каналите.
3. Време на администратора: можете глобално да развивате мрежата, а не да се бавите с всяко устройство с конфигурации.
4. Скорост на изграждане на нови филиали. Тя е значително по-висока.
5. По-малко време на простои при смяна на изключително оборудване.
6. Бързо преконфигуриране на мрежата за нови услуги.

Какво получава бизнесът от SD-WAN:

1. Гарантирана работа на бизнес приложенията в разпределената мрежа, също така и през отворени интернет канали. Това е свързано с предсказуемостта на бизнеса.
2. Моментална поддръжка на нови бизнес приложения в цялата разпределена мрежа, независимо от броя на филиалите. Това е свързано със скоростта на бизнеса.
3. Бързо и безопасно свързване на филиалите в всякакви отдалечени локации, използвайки всякакви технологии за свързване (Интернет е навсякъде, но частните линии и VPN не са). Това е свързано с гъвкавостта на бизнеса при избора на местоположение.
4. Това може да бъде проект с доставка и пускове, или може да бъде услуга
   с месечни плащания от ИТ компания, телекомуникационен оператор или облачен оператор. Както е удобно.

Ползите за бизнеса от SD-WAN могат да бъдат абсолютно различни, например един клиент ни каза, че от топ мениджъра е постъпило искане за провеждане на директна линия с всички служители на многотысячна компания и възможност за доставка на съдържание.

За нас това беше "военна операция". В този момент вече се занимавахме с задачата за модернизация на КСПД. А когато разберем, че трябва по принцип да се занимаваме с реновация на оборудването, а технологичният стек е изостанал, защо да се занимаваме с реновация на същите технологии и услуги, ако можем да направим крачка напред.

SD-WAN на място се инсталира от екипи. Това е важно за дистанционни клонове, където просто може да няма нормален администратор. Изпращате по пощата, казвате: „Кабел 1 да се включи в кутия 1, кабел 2 — в кутия 2, и не ги бъркайте! Не ги бъркайте, #@$@%!“. И ако там не ги объркат, устройството само се свързва с централния сървър, взима и прилага своите конфигурации и този офис става част от защитената мрежа на компанията. Приятно е, когато не е нужно да се пътува и лесно да се обосновава в бюджета.

А ето схема на стенда:

Някои примери за настройка:

Политика — глобални правила за управление на трафика. Редактиране на политиката.

Активация на политиката за управление на трафика.

Масова настройка на основни параметри на устройствата (IP адреси, DHCP пулове).

Скрииншоти от мониторинг на производителността на приложенията

За облачни приложения.

В детайли за Office365.

За on-prem приложения. За съжаление, на нашия стенд не успяхме да намерим приложения с грешки (FEC Recovery rate навсякъде на нула).

Допълнително — производителността на каналите за предаване на данни.

Кои устройства се поддържат на SD-WAN

1. Хардуерни платформи:

• Рутери Cisco vEdge (преди известни като Viptela vEdge), работещи под управление на OS Viptela.
• Рутери Integrated Services Router (ISR) серии 1 000 и 4 000, работещи под управление на IOS XE SD-WAN.
• Рутер Aggregation Services Router (ASR) серия 1 000, работещ под управление на IOS XE SD-WAN.

2. Виртуални платформи:

• Рутер Cloud Services Router (CSR) 1 000v, работещ под управление на IOS XE SD-WAN.
• Рутер vEdge Cloud Router, работещ под управление на OS Viptela.

Виртуалните платформи могат да се разгръщат на изчислителни платформи Cisco x86, например, Enterprise Network Compute System (ENCS) серия 5 000, Unified Computing System (UCS) и Cloud Services Platform (CSP) серия 5 000. Виртуалните платформи могат също да работят на всяко устройство x86, използващо хипервизор, такъв като KVM или VMware ESi.

Как се инсталира ново устройство

Списъкът с лицензирани устройства за разгръщане се изтегля или от смарт-акаунта в Cisco, или се зарежда CSV файл. Повече скрииншоти ще се опитам да намеря по-късно, в момента нямаме нови устройства за разгръщане.

Последователността на стъпките, през които преминава устройството при разгръщане.

Как се инсталира ново устройство/начин за доставка на конфигурация

Регистрираме устройствата в Smart Account.

Можете да качите CSV файл или един по един:

Попълваме параметрите на устройството:

След това в vManage синхронизираме данните със Smart Account. Устройството се появява в списъка:

В падащото меню срещу устройството натискаме Generate Bootstrap Configuration
и получаваме началния конфиг:

Този конфиг трябва да бъде подаден на устройството. Най-лесният начин е да свържете USB устройство с запазения файл с име ciscosd-wan.cfg. При стартиране устройството ще търси този файл.

След получаване на началния конфиг, устройството може да се свърже с оркестратора и да получи оттам пълната конфигурация.

Гледаме на SD-Access (DNA)

SD-Access улеснява настройването на портовете и правата за достъп за свързване на потребителите. Това става с помощта на асистенти. Параметрите на портовете се задават свързани с групи 'Администратори', 'Счетоводство', 'Принтери', а не с VLAN и IP подмрежи. Това минимизира грешките, свързани с човешкия фактор. Например, ако компанията има много клонове в Русия, а централният офис е пренатоварен, SD-Access позволява решаване на повече задачи именно на места. Например, същите задачи по отстраняване на проблеми.

За ИТ сигурността е важно, че SD-Access предвижда ясно разделение на потребителите и устройствата на групи и определяне на политики за взаимодействие между тях, удостоверяване при всяко клиентско свързване към мрежата и осигуряване на 'права за достъп' в цялата мрежа. Ако следвате такъв подход, администрирането става много по-лесно.

Процесът на стартиране за нови офиси също е опростен благодарение на Plug-and-Play агентите в превключвателите. Няма нужда да обикаляте по кросовите с конзола, а дори и да отивате на обекта.

Ето примери за настройка:

Общ статус.

Инциденти, които администраторът трябва да прегледа.

Автоматични препоръки какво да промените в конфигите.

План за интеграция на SD-WAN със SD-Access

Чух, че Циско има такива планове - SD-WAN и SD-Access. Това трябва значително да намали проблемите при управлението на териториално разпределени и локални КСПД.

vManage (оркестратор SD-WAN) се управлява през API с DNA Center (контролер на SD-Access).

Политиките за микро- и макросегментация се мапват по следния начин:

На ниво пакети всичко изглежда така:

Кой и какво мисли по този въпрос

Занимаваме се със SD-WAN от 2016 година в отделна лаборатория, където тестваме различни варианти на решения, адаптирани за нуждите на търговията на дребно, банките, транспорта и индустрията.

Имаме много взаимодействия с реални клиенти.

Мога да кажа, че търговията на дребно вече уверено тества SD-WAN, като някои от тях го правят с доставчици (най-често с Cisco), но има и тези, които се опитват да решат въпроса самостоятелно: пишат своя версия на софтуер, наподобяваща SD-WAN по функционалност.

Всички по един или друг начин искат да стигнат до централизирано управление на целия зоологически парк от оборудване. Това е една точка на администриране за нестандартни инсталации и стандартни решения за различни доставчици и технологии. Важно е да се минимизира ръчната работа, защото това, от една страна, намалява риска от човешки фактор при настройка на оборудването, а от друга страна, освобождава ресурси на ИТ службата за решаване на други задачи. Обикновено разбирането за необходимостта идва от много дългите цикли на обновления в цялата страна. А например, ако търговията на дребно продава алкохол, то й е необходима постоянна връзка за продажби. Обновлението или простоя през деня пряко се отразява на приходите.

В момента в търговията на дребно определено е оформено разбиране за какви задачи ИТ ще използва SD-WAN:

1. Бързо разгръщане (често е необходимо на LTE до появата на кабелния доставчик, често е необходимо новата точка да бъде изградена от администратор в града по ГПХ, а след това центърът просто наблюдава и конфигурира).
2. Централизирано управление, връзка за чуждестранни обекти.
3. Намаляване на разходите за телекомуникации.
4. Различни допълнителни услуги (DPI функции дават възможност за приоритизирано предаване на трафик от важни приложения като касовите).
5. Работа с каналите автоматично, а не ръчно.

И има още проверка за съответствие — много хора говорят за нея, но никой не я възприема като проблем. Поддържането на това, че всичко работи коректно, също попада в тази парадигма и работи нормално. Мнозина смятат, че в тази посока ще се движи целият пазар на мрежови технологии.

Банките, по мое мнение, все още тестват SD-WAN по-скоро като нова технологична функция. Чакат да приключи поддръжката на предишните поколения оборудване и едва тогава ще се променят. В банките изобщо има своя особена атмосфера по каналите за връзка, затова текущото състояние на индустрията не ги притеснява особено. Проблемите по-скоро са на други нива.

В контекста на европейския пазар SD-WAN се внедрява активно. Там цените на каналите за връзка са по-високи, затова европейските компании въвеждат своите стекове в руските си подразделения. В Русия обаче има известна стабилност, тъй като цените на каналите (дори когато регионът е 25 пъти по-скъп от централната част) изглеждат напълно приемливи и не предизвикват въпроси. Година след година бюджетите за канали за връзка се одобряват без question.

Вот пример от световната практика, когато компания спестила време и пари с SD-WAN на Cisco.

Има такава компания — National Instruments. В определен момент те започнаха да осъзнават, че глобалната изчислителна мрежа, „получена“ в резултат на обединението на 88 площадки по целия свят, е била неефективна. Освен това, на компанията не й достигаше пропускната способност и производителността на ГВС. Нямаше баланс между постоянното нарастване на компанията и ограничения IT бюджет.

SD-WAN помогна на National Instruments да намали разходите си за MPLS с 25 % (спестяване от 450 000 долара през 2018 г.), разширявайки пропускната способност с 3 075 %.

В резултат на внедряването на SD-WAN компанията получи интелигентна софтуерно дефинирана мрежа и централизирано управление на политиките, за да автоматично оптимизира трафика и производителността на приложенията. Тук — детайлен кейс.

Ето тук чудесен кейс за преместването на S7 в друг офис, когато първоначално всичко започна тежко, но интересно — налагаше се да се преизготвят 1,5 хиляди портове. Но после нещо не тръгна както трябва и в крайна сметка администраторите се оказаха онези последни пред крайните срокове, върху които се струпват всички натрупани закъснения.

Прочетете повече на английски:

• American Banker: Fifth Third invests in 5-year network upgrade with SD-WAN .
• Building Cloud SD-WAN success at Koch.
• McKesson’s SD-WAN Journey to Cost Savings .
• SD-WAN Retail PoC & Segmentation: Gap Stores.
• А ето глобално изследване на Cisco по мрежовите тенденции в света.

На руски:

• На CNews.
• Как внедрихме SD-Access и защо беше нужно.
• Мрежова фабрика за ЦОДа Cisco ACI — в помощ на администратора.
• Устойчив канал на базата на софтуерно дефинирани мрежи SD-WAN: решаваме проблемите с избора на маршрути.
• Моя поща, ако имате въпроси или искате да тествате задачите си на нашия стенд, — mkazakov@croc.ru.

Източник: habr.com