SD-WAN и DNA в помощ на администратора: особености на архитектурите и практиката

Стойка, която можете да видите в нашата лаборатория, ако искате.

SD-WAN и SD-Access са два различни нови проприетарни подхода за изграждане на мрежи. В бъдеще те трябва да се слеят в една надстройка мрежа, но за сега само се приближават. Логиката е следната: взимаме мрежата от 90-те години и налагаме върху нея всички необходими патчи и функции, без да чакаме, докато след още 10 години това стане нов стандарт с отворен код.

SD-WAN е патч за SDN на разпределени корпоративни мрежи. Транспортът е отделен, контролът е отделен, затова контролът се опростява.

Плюсовете — всички комуникационни канали се използват активно, включително резервния. Има маршрутизация на пакети до приложенията: кое, през кой канал и с какъв приоритет. Оптимизирана процедура за разгръщане на нови точки: вместо налагане на конфигурация — само указания за адреса на сървъра на Cisco в голямото интернет пространство, в ЦОД на КРОК или на клиента, откъдето идват конфигурациите специално за вашата мрежа.

SD-Access (DNA) е автоматизация на управлението на локалната мрежа: конфигурация от една точка, инструменти с настройки, удобни интерфейси. Всъщност се изгражда друга мрежа с друг транспорт на ниво протоколи над вашата, и на границите на периметъра се осигурява съвместимост със старите мрежи.

С това също ще се справим по-долу.

Сега малко демонстрации на тестовите стендове в нашата лаборатория, как изглежда и работи.

Нека започнем със SD-WAN. Основни възможности:

• Оптимизиране на разгръщането на нови точки (ZTP) — предпоставка е, че вие по някакъв начин предоставяте на устройството адреса на сървъра с настройките. Устройството се свързва с него, получава конфигурация, прилага я и се включва в вашия контролен панел. Така се осигурява Zero-Touch Provisioning (ZTP). За да разположите крайно устройство, на мрежовия инженер не му се налага да отива на място. Важното е на мястото правилно да включите устройството и да свържете всички кабели, след което оборудването само ще се свърже със системата. Конфигурациите могат да бъдат заредени чрез DNS запитвания в облака на доставчика от прикрепен USB носител, или можете да отворите хипервръзка от лаптоп, свързан към устройството по Wi-Fi или Ethernet.
• Упростете рутинното администриране на мрежата — конфигурация от шаблони, глобални политики, централизирано настраиваемо за пет клонове или 5000. Всичко от едно място. За да няма дълъг път — много удобна опция за автоматично възстановяване на предишната конфигурация.
• Управление на трафика на ниво приложения — осигуряване на качество и постоянно обновление на приложените сигнатури. Политиките се настройват и прилагат централизирано (не е нужно да пишете и обновявате маршрутизаторните карти за всеки рутер, както преди). Видно е кой, къде и какво изпраща.
• Сегментация на мрежата. Независими изолирани VPN над цялата инфраструктура — всяка с собствена маршрутизация. По подразбиране трафикът между тях е затворен, може да се отворят достъпи само за определени видове трафик в разбираеми узли в мрежата, например, пропускайки всичко през голям защитен стенд или прокси.
• Видимост на историята на качеството на работа на мрежата — как работят приложенията и каналите. Много полезно за анализ и корекция на ситуацията, преди да започнат да постъпват оплаквания от потребители за нестабилна работа на приложенията.
• Видимост по каналите — заслужават ли своите пари, реално ли на обекта ви идват двама различни оператори, или те всъщност преминават през една и съща мрежа и деградират/падат едновременно.
• Видимост за облачни приложения и насочване на трафика чрез определени канали на базата на него (Cloud Onramp).
• Едно устройство съдържа рутер и защитна стена (по-точно, NGFW). По-малко устройства — по-евтино да се разшири нов клон.

Компоненти и архитектура на решенията SD-WAN.

Крайните устройства — WAN рутери, които могат да бъдат хардуерни и виртуални.

Оркестратори — средство за управление на мрежата. На тях се настройват параметрите на крайните устройства, политиките за маршрутизиране на трафика, функционалността на сигурността. Получават се конфигурации, които автоматично се изпращат през мрежата за контрол на узлите. Паралелно, оркестраторът слуша мрежата и извършва мониторинг — достъпност на устройства, портове, комуникационни канали, натоварване на интерфейсите.

Средства за аналитика. Създават отчети на базата на данни, събирани от крайните устройства: история на качеството на работа на каналите, мрежовите приложения, наличността на узлите и т.н.

Контролерите отговарят за прилагането на политики за маршрутизация на трафика в мрежата. Най-близкият им аналог в традиционните мрежи е BGP Route Reflector. Глобалните политики, които администраторът конфигурира в оркестратора, водят до промяна на състава на маршрутните им таблици и разпространение на актуализирана информация към крайните устройства.

Какво получава ИТ-службата от SD-WAN:

1. Резервният канал постоянно се използва (не е неизползван). Става по-евтино, тъй като може да се позволи два по-малко натоварени канала.
2. Автоматично превключване на трафика на приложения между каналите.
3. Времето на администратора: може да се развива глобално мрежата, а не да се обикалят всички устройства с конфигурации.
4. Скорост на откриване на нови филиали. Тя е значително по-висока.
5. По-малко престои по време на смяна на нефункциониращо оборудване.
6. Бързо преконфигуриране на мрежата за нови услуги.

Какво получава бизнесът от SD-WAN:

1. Гарантирано функциониране на бизнес приложенията в разпределената мрежа, включително през отворени интернет канали. Това е свързано с предсказуемостта на бизнеса.
2. Мгновена поддръжка на нови бизнес приложения в цялата разпределена мрежа, независимо от броя на филиалите. Това е свързано със скоростта на бизнеса.
3. Бързо и безопасно свързване на филиали в всякакви отдалечени локации, използвайки всякакви технологии за свързване (Интернет има навсякъде, докато специализирани линии и VPN — не). Това е свързано с гъвкавостта на бизнеса при избора на местоположение.
4. Това може да бъде проект с доставка и пускане в експлоатация, а може и да бъде услуга
   с месечни плащания от ИТ компания, телекомуникационен оператор или облачен оператор. Кому както е удобно.

Ползите за бизнеса от SD-WAN могат да бъдат абсолютно различни, например, един клиент ни каза, че от висшето ръководство е постъпил искане за провеждане на пряка линия с всички служители на многотысячна компания и възможността за доставка на съдържание.

За нас това беше "военна операция". В онзи момент вече решавахме задачата за модернизация на КСПД. А когато разберем, че трябва принципно да се занимаем с реновация на оборудването, а технологичният стек е напреднал, защо да се занимаваме с реновация на същите технологии и услуги, ако можем да направим крачка напред.

SD-WAN се инсталира на място от екип от специалисти. Това е важно за отдалечени клонове, където просто може да няма адекватен администратор. Изпращате по пощата, казвате: «Свържете кабел 1 в кутия 1, кабел 2 — в кутия 2, и не го обърквайте! Не го обърквайте, #@$@%!». И ако не стане объркване, устройството само се свързва с централния сървър, взима и прилага своите конфигурации, и този офис става част от защитената мрежа на компанията. Приятно е, когато не е нужно да ходите и лесно можете да обосновете разходите в бюджета.

Ето схемата на стенда:

Няколко примера за настройка:

Политиката — глобални правила за управление на трафика. Редактиране на политиката.

Активация на политиката за управление на трафика.

Масова настройка на основните параметри на устройствата (IP адреси, DHCP пулове).

Скрийншотове на мониторинга на производителността на приложенията

За облачни приложения.

Подробно за Office365.

За on-prem приложения. За съжаление, на нашия стенд не успяхме да намерим приложения с грешки (FEC Recovery rate навсякъде на нула).

Допълнително — производителността на каналите за предаване на данни.

Кои устройства се поддържат на SD-WAN

1. Хардуерни платформи:

• Маршрутизатори Cisco vEdge (предишно наименование — Viptela vEdge), работещи под управление на ОС Viptela.
• Маршрутизатори Integrated Services Router (ISR) серии 1 000 и 4 000, работещи под управление на IOS XE SD-WAN.
• Маршрутизатор Aggregation Services Router (ASR) серия 1 000, работещ под управление на IOS XE SD-WAN.

2. Виртуални платформи:

• Маршрутизатор Cloud Services Router (CSR) 1 000v, работещ под управление на IOS XE SD-WAN.
• Маршрутизатор vEdge Cloud Router, работещ под управление на ОС Viptela.

Виртуалните платформи могат да бъдат разгръщани на изчислителни платформи Cisco x86, например, Enterprise Network Compute System (ENCS) серия 5 000, Unified Computing System (UCS) и Cloud Services Platform (CSP) серия 5 000. Виртуалните платформи могат също така да работят на всяко устройство x86, използващо хипервизор, такъв като KVM или VMware ESi.

Как се инсталира ново устройство

Списъкът с лицензирани устройства за разгръщане се изтегля или от смарт акаунта в Cisco, или се зарежда CSV файл. Повече скриншотове ще се опитам да извлека по-късно, в момента нямаме нови устройства за разгръщане.

Последователността на стъпките, през които преминава устройството при разгръщане.

Как се инсталира ново устройство/метод за доставяне на конфигурацията

Регистрираме устройствата в Smart Account.

Можете да качите CSV файл, или по единствено:

Попълваме параметрите на устройството:

След това в vManage синхронизирайте данните със Smart Account. Устройството се появява в списъка:

В падащото меню до устройството натискаме Generate Bootstrap Configuration
и получаваме начален конфиг:

Този конфиг трябва да се предостави на устройството. Най-простият начин е да свържете USB флашка с файл, запазен под името ciscosd-wan.cfg. При зареждане устройството ще търси този файл.

След получаване на началния конфиг, устройството ще може да се свърже с оркестратора и да получи от там пълна конфигурация.

Нека погледнем на SD-Access (DNA)

SD-Access опростява настройката на портовете и правата за достъп, за да свърже потребителите. Това става с помощта на уизарди. Параметрите на портовете се задават в зависимост от групите «Администратори», «Бухгалтери», «Принтери», а не по VLAN и IP подсет. Това минимизира грешките, свързани с човешкия фактор. Например, ако компанията има много клонове в Русия, а централният офис е натоварен, SD-Access позволява да се решават повече задачи именно на място. Например, същите задачи по отстраняване на проблеми.

За ИБ е важно, че SD-Access предполага ясно разделение на потребителите и устройствата на групи и определяне на политики за взаимодействие между тях, авторизация при всяко клиентско свързване към мрежата и осигуряване на «права на достъп» в цялата мрежа. Следвайки такъв подход, администрирането става много по-лесно.

Процесът на стартиране за нови офиси също е опростен благодарение на Plug-and-Play агенти в комутаторите. Не е нужно да обикаляте с конзола между кръстосаните мрежи, нито да излизате на място.

Ето примери за настройка:

Общ статус.

Инциденти, които администраторът трябва да прегледа.

Автоматични препоръки за промени в конфигурацията.

План за интеграция на SD-WAN със SD-Access

Чух, че Циско планира SD-WAN и SD-Access. Това трябва значително да намали проблемите при управлението на териториално разпределени и локални КСПД.

vManage (оркестратор SD-WAN) се управлява чрез API с DNA Center (контролер на SD-Access).

Политиките за микро- и макросегментация се мапват по следния начин:

На ниво пакети всичко изглежда така:

Кои и какво мислят по този въпрос

Занимаваме се с SD-WAN от 2016 година в отделна лаборатория, където тестваме различни варианти на решения за нуждите на търговията, банковия сектор, транспорта и индустрията.

Много често общуваме с реални клиенти.

Мога да кажа, че търговията вече уверено тества SD-WAN, като някои го правят с доставчици (най-често с Cisco), но има и такива, които се опитват да решат въпроса самостоятелно: пишат своя версия на софтуера, по функционалност наподобяваща SD-WAN.

Всички или по един или друг начин искат да достигнат до централизирано управление на целия зоопарк от оборудване. Това е една точка за администриране за нестандартни инсталации и стандартни за различни доставчици и технологии. Важно е да се минимизира ръчната работа, тъй като това, първо, намалява риска от човешки фактор при настройката на оборудването, а второ, освобождава ресурси на ИТ отдела за решаване на други задачи. Обикновено разбирането за необходимостта идва от много дългите цикли за обновление в цялата страна. А, примерно, ако търговията продава алкохол, то ѝ е нужна постоянна свързаност за продажби. Обновлението или простоят през деня пряко се отразява на приходите.

В момента в търговията определено е формирано разбиране за какви задачи ИТ ще използва SD-WAN:

1. Бързо разгръщане (често е нужно на LTE до появата на кабелен доставчик, често е необходимо новата точка да бъде настроена от администратора в града по ГПХ, а след това центърът просто да наблюдава и конфигурира).
2. Централизирано управление, свързаност за чуждестранни обекти.
3. Намаляване на разходите за телекомуникации.
4. Различни допълнителни услуги (функции DPI дават възможност за приоритетно предаване на трафика от важни приложения, например касовите).
5. Работа с каналите автоматично, а не ръчно.

И има още проверка за спазване на изискванията — много хора говорят за нея, но никой не я възприема като проблем. Поддържането на това, че всичко работи коректно също отговаря на тази парадигма. Много смятат, че в тази посока ще се движи целия пазар на мрежови технологии.

Банките, според мен, в момента тестват SD-WAN основно като нова технологична функция. Те чакат края на поддръжката на предишните поколения оборудване и едва тогава ще започнат да се променят. Банковият сектор има собствена, специфична атмосфера по отношение на комуникационните канали, затова текущото състояние на индустрията не им носи особен стрес. Проблемите по-скоро се крият в други аспекти.

В сравнение с руския пазар, в Европа SD-WAN се внедрява активно. Там каналите за връзка са по-скъпи и затова европейските компании принасят собствените си технологии в руските подразделения. В Русия обаче има известна стабилност, защото цените на каналите (дори когато регионът е 25 пъти по-скъп от централната част) изглеждат напълно приемливи и не предизвикват въпроси. Година след година бюджетът за канали за комуникация се планира безусловно.

Ето пример от световната практика, когато една компания успя да спести време и пари благодарение на SD-WAN с Cisco.

Има такава компания — National Instruments. В определен момент те осъзнаха, че глобалната им компютърна мрежа, която е била "получена" след обединяването на 88 обекта по света, не е ефективна. Освен това на компанията не й достигаше пропускна способност и производителност на ГВС. Нямаше баланс между непрекъснатия растеж на компанията и ограничения ИТ бюджет.

SD-WAN помогна на National Instruments да намали разходите си за MPLS с 25% (спестяване от 450 000 долара през 2018 г.), разширявайки пропускната способност с 3 075%.

След внедряването на SD-WAN компанията получи интелигентна софтуерно определена мрежа и централизирано управление на политиките, за да автоматизира оптимизацията на трафика и производителността на приложенията. Тук — подробен случай.

Ето тук наистина невероятен случай на преместването на S7 в друг офис, когато първоначално всичко започна трудно, но интересно — трябваше да се преработят 1,5 хиляди порта. Но след това нещата тръгнаха наопаки и в крайна сметка администраторите се оказаха последните, които понасят всички закъснения преди крайния срок.

На английски:

• American Banker: Fifth Third инвестира в 5-годишно обновление на мрежата с SD-WAN .
• Строеж на успеха на Cloud SD-WAN в Koch.
• Пътешествието на McKesson с SD-WAN към спестявания .
• SD-WAN Retail PoC & Сегментация: Gap Stores.
• Ето глобално изследване на Cisco по мрежовите тенденции в света.

На руски:

• На CNews.
• Как внедрихме SD-Access и защо това стана необходимо.
• Мрежова фабрика за ЦОД Cisco ACI — в помощ на администратора.
• Устойчив канал на базата на софтуерно определени мрежи SD-WAN: решаваме проблемите с избора на маршрути.
• Моя поща, ако имате въпроси или искате да тествате задачите си на нашата сцена, — mkazakov@croc.ru.

Източник: habr.com