SD-WAN и DNA в помощ на администратора: характеристики на архитектурата и практика

Стойка, която можете да пипнете в нашата лаборатория, ако желаете.

SD-WAN и SD-Access са два различни нови патентовани подхода за изграждане на мрежи. В бъдеще те трябва да се слеят в една насложена мрежа, но засега те просто се доближават. Логиката е следната: ние вземаме мрежа от 1990-те години на миналия век и внедряваме всички необходими пачове и функции върху нея, без да чакаме тя да стане нов отворен стандарт след още 10 години.

SD-WAN е SDN кръпка към разпределени корпоративни мрежи. Транспортът е отделен, контролът е отделен, така че контролът е опростен.

Плюсове - всички комуникационни канали се използват активно, включително резервния. Има маршрутизиране на пакети към приложения: какво, през кой канал и с какъв приоритет. Опростена процедура за внедряване на нови точки: вместо да пускате конфигурация, просто посочете адреса на сървъра на Cisco в големия интернет, центъра за данни на КРОК или клиента, откъдето се вземат конфигурациите специално за вашата мрежа.

SD-Access (DNA) е автоматизация на управлението на локалната мрежа: конфигурация от една точка, съветници, удобни интерфейси. Всъщност друга мрежа е изградена с различен транспорт на ниво протокол над вашата и съвместимостта с по-стари мрежи е осигурена на границите на периметъра.

Ще разгледаме и това по-долу.

Сега малко демонстрации на тестови стендове в нашата лаборатория, как изглежда и работи.

Да започнем с SD-WAN. Основните функции:

• Опростяване на разполагането на нови точки (ZTP) - предполага се, че по някакъв начин захранвате точката с адреса на сървъра с настройки. Точката чука върху него, получава конфигурацията, навива я и се включва в контролния панел. Това гарантира Zero-Touch Provisioning (ZTP). За да разположи крайна точка, мрежовият инженер не трябва да пътува до мястото. Основното нещо е да включите правилно устройството на място и да свържете всички кабели към него, след което оборудването автоматично ще се свърже към системата. Можете да изтеглите конфигурации чрез DNS заявки в облака на доставчика от свързано USB устройство или можете да отворите хипервръзка от лаптоп, свързан към устройството чрез Wi-Fi или Ethernet.
• Опростяване на рутинната мрежова администрация - конфигурация от шаблони, глобални политики, централно конфигурирани за поне пет клона, най-малко 5. Всичко от едно място. За да избегнете дълго пътуване, има много удобна опция за автоматично връщане към предишната конфигурация.
• Управление на трафика на ниво приложение—осигуряване на качествени и непрекъснати актуализации на сигнатурата на приложението. Политиките се конфигурират и пускат централно (няма нужда да пишете и актуализирате карти на маршрута за всеки рутер, както преди). Можете да видите кой какво изпраща, къде и какво.
• Сегментиране на мрежата. Независими изолирани VPN мрежи върху цялата инфраструктура - всяка със собствено маршрутизиране. По подразбиране трафикът между тях е затворен; можете да отворите достъп само до разбираеми типове трафик в разбираеми мрежови възли, например, преминавайки всичко през голяма защитна стена или прокси.
• Видимост на историята на качеството на мрежата - как се изпълняват приложенията и каналите. Много полезно за анализиране и коригиране на ситуацията дори преди потребителите да започнат да получават оплаквания за нестабилна работа на приложенията.
• Видимост между каналите - струват ли си парите, действително ли два различни оператора идват на вашия сайт или всъщност преминават през една и съща мрежа и се влошават/падат по едно и също време.
• Видимост за облачни приложения и управление на трафика през определени канали въз основа на нея (Cloud Onramp).
• Една част от хардуера съдържа рутер и защитна стена (по-точно NGFW). По-малко хардуер означава, че е по-евтино да отворите нов клон.

Компоненти и архитектура на SD-WAN решения

Крайните устройства са WAN рутери, които могат да бъдат хардуерни или виртуални.

Оркестраторите са инструмент за управление на мрежата. Те са конфигурирани с параметри на крайното устройство, политики за маршрутизиране на трафика и функционалност за сигурност. Получените конфигурации се изпращат автоматично през контролната мрежа до възлите. Успоредно с това оркестраторът слуша мрежата и следи наличността на устройства, портове, комуникационни канали и зареждане на интерфейса.

Инструменти за анализ. Те правят отчети въз основа на данни, събрани от крайни устройства: история на качеството на каналите, мрежови приложения, наличност на възли и др.

Контролерите са отговорни за прилагането на политики за маршрутизиране на трафика към мрежата. Най-близкият им аналог в традиционните мрежи може да се счита за BGP Route Reflector. Глобалните политики, които администраторът конфигурира в оркестратора, карат контролерите да променят състава на своите таблици за маршрутизиране и да изпращат актуализирана информация до крайните устройства.

Какво получава ИТ услугата от SD-WAN:

1. Резервният канал се използва постоянно (не се използва). Излиза по-евтино, защото можете да си позволите два канала с по-малка дебелина.
2. Автоматично превключване на трафика на приложението между каналите.
3. Време за администратор: можете да развиете мрежата глобално, вместо да обхождате всеки хардуер с конфигурации.
4. Скорост на отглеждане на нови клони. Тя е много по-висока.
5. По-малко време на престой при подмяна на мъртво оборудване.
6. Бързо преконфигурирайте мрежата за нови услуги.

Какво получава един бизнес от SD-WAN:

1. Гарантирана работа на бизнес приложения в разпределена мрежа, включително чрез отворени интернет канали. Става дума за бизнес предвидимост.
2. Незабавна поддръжка за нови бизнес приложения в цялата разпределена мрежа, независимо от броя на клоновете. Става въпрос за скоростта на бизнеса.
3. Бързо и сигурно свързване на клонове на всякакви отдалечени места, използващи всякакви технологии за свързване (Интернет е навсякъде, но наетите линии и VPN не са). Тук става въпрос за гъвкавост на бизнеса при избора на местоположение.
4. Това може да е проект с доставка и въвеждане в експлоатация или услуга
   с месечни плащания от IT компания, телеком оператор или облачен оператор. Което ви е удобно.

Бизнес ползите от SD-WAN могат да бъдат напълно различни, например, един клиент ни каза, че топ мениджър е получил заявка за директна линия с всички служители на многохилядна компания и възможността да доставя съдържание.

За нас това беше „военна операция“. В този момент вече решавахме проблема с модернизацията на ЦСПД. И когато разбираме, че по принцип трябва да се ангажираме с обновяването на оборудването и технологичният пакет е напреднал, защо трябва да се ангажираме с обновяването на същите технологии и услуги, ако можем да направим крачка напред.

SD-WAN е инсталиран на място от Enikey. Това е важно за отдалечени клонове, където може просто да няма нормален администратор. Изпратете по пощата, кажете: „Включете кабел 1 в кутия 1, кабел 2 в кутия 2 и не ги бъркайте! Не се бъркайте, #@$@%!“ И ако не го объркат, самото устройство комуникира с централния сървър, взима и прилага неговите конфигурации и този офис става част от защитената мрежа на компанията. Хубаво е, когато не се налага да пътувате и е лесно да го оправдаете в бюджета си.

Ето схема на стойката:

Някои примери за конфигурация:

Политика – глобални правила за управление на трафика. Редактиране на политика.

Активирайте правилата за контрол на трафика.

Масова конфигурация на основните параметри на устройството (IP адреси, DHCP пулове).

Екранни снимки на мониторинг на производителността на приложението

За облачни приложения.

Подробности за Office365.

За on-prem приложения. За съжаление, не успяхме да намерим приложения с грешки на нашия щанд (FEC Recovery rate е нула навсякъде).

Допълнително - производителност на каналите за предаване на данни.

Какъв хардуер се поддържа от SD-WAN

1. Хардуерни платформи:

• Маршрутизатори Cisco vEdge (по-рано Viptela vEdge), работещи с Viptela OS.
• 1 и 000 серия рутери с интегрирани услуги (ISR), работещи с IOS XE SD-WAN.
• Рутер за услуги за агрегиране (ASR) серия 1, работещ с IOS XE SD-WAN.

2. Виртуални платформи:

• Рутер за облачни услуги (CSR) 1v, работещ с IOS XE SD-WAN.
• vEdge Cloud Router, работещ с Viptela OS.

Виртуалните платформи могат да бъдат внедрени на Cisco x86 изчислителни платформи, като Enterprise Network Compute System (ENCS) серия 5, Unified Computing System (UCS) и Cloud Services Platform (CSP) серия 000. Виртуалните платформи могат също да работят на всяко x5 устройство използване на хипервайзор като KVM или VMware ESi.

Как работи ново устройство

Списъкът с лицензирани устройства за внедряване се изтегля или от смарт акаунт на Cisco, или се качва като CSV файл. Ще се опитам да направя още екранни снимки по-късно, в момента нямаме нови устройства за внедряване.

Последователността от стъпки, през които преминава едно устройство, когато е разгърнато.

Как се внедрява нов метод за доставка на устройство/конфигурация

Добавяме устройства към Smart Account.

Можете да изтеглите CSV файл или можете да изтеглите един по един:

Попълнете параметрите на устройството:

След това във vManage синхронизираме данните с интелигентния акаунт. Устройството се появява в списъка:

В падащото меню срещу устройството щракнете върху Generate Bootstrap Configuration
и вземете първоначалната конфигурация:

Тази конфигурация трябва да бъде подадена към устройството. Най-лесният начин е да свържете към устройството флаш устройство със записан файл с име ciscosd-wan.cfg. При зареждане устройството ще търси този файл.

След като получи първоначалната конфигурация, устройството ще може да достигне до оркестратора и да получи пълна конфигурация от там.

Разглеждаме SD-Access (ДНК)

SD-Access улеснява конфигурирането на портове и права за достъп за свързващи потребители. Това се прави с помощта на съветници. Параметрите на порта се задават по отношение на групите „Администратори“, „Счетоводство“, „Принтери“, а не към VLAN и IP подмрежи. Това минимизира човешките грешки. Ако например една компания има много клонове в цяла Русия, но централният офис е претоварен, тогава SD-Access ви позволява да решавате повече проблеми на местно ниво. Например същите проблеми по отношение на отстраняването на неизправности.

За сигурността на информацията е важно SD-Access да включва ясно разделяне на потребители и устройства на групи и дефиниране на политики за взаимодействие между тях, оторизация за всяко клиентско свързване към мрежата и предоставяне на „права за достъп“ в цялата мрежа. Ако следвате този подход, администрирането става много по-лесно.

Процесът на стартиране на нови офиси също е опростен благодарение на агентите Plug-and-Play в комутаторите. Няма нужда да тичате из крос-кънтри с конзола или дори да отидете на сайта изобщо.

Ето примери за конфигурация:

Общо състояние.

Инциденти, които администраторът трябва да прегледа.

Автоматични препоръки какво да промените в конфигурациите.

План за интегриране на SD-WAN с SD-Access

Чух, че Cisco има такива планове - SD-WAN и SD-Access. Това трябва значително да намали хемороидите при управление на географски разпределени и локални CSPD.

vManage (SD-WAN оркестратор) се управлява чрез API от DNA Center (SD-Access контролер).

Политиките за микро- и макросегментиране са картографирани, както следва:

На ниво пакет всичко изглежда така:

Кой мисли за това и какво?

Работим по SD-WAN от 2016 г. в отделна лаборатория, където тестваме различни решения за нуждите на търговията на дребно, банките, транспорта и индустрията.

Общуваме много с реални клиенти.

Мога да кажа, че търговията на дребно вече уверено тества SD-WAN и някои правят това с доставчици (най-често с Cisco), но има и такива, които се опитват да решат проблема сами: те пишат своя собствена версия на софтуер, който е подобен по функционалност на SD-WAN.

Всеки, по един или друг начин, иска да постигне централизирано управление на целия зоопарк от оборудване. Това е една точка на администриране за нестандартни инсталации и стандартни за различни доставчици и различни технологии. Важно е да се сведе до минимум ръчната работа, тъй като, първо, това намалява риска от човешкия фактор при настройка на оборудването, и второ, освобождава ресурсите на ИТ службата за решаване на други проблеми. Обикновено признаването на необходимостта идва от много дълги цикли на подновяване в цялата страна. И например, ако търговец на дребно продава алкохол, тогава той се нуждае от постоянна комуникация за продажби. Актуализиране или престой през деня пряко засяга приходите.

Сега в търговията на дребно има ясно разбиране за това какви ИТ задачи ще използват SD-WAN:

1. Бързо внедряване (често е необходимо на LTE преди кабелният доставчик да пристигне, често е необходимо новата точка да бъде повдигната от администратора в града чрез GPC, а след това центърът просто изглежда и конфигурира).
2. Централизирано управление, комуникация за чужди обекти.
3. Намаляване на телеком разходите.
4. Различни допълнителни услуги (функциите DPI дават възможност за приоритизиране на доставката на трафик от важни приложения като касови апарати).
5. Работете с канали автоматично, а не ръчно.

А има и проверка за съответствие - всички много говорят за това, но никой не го възприема като проблем. Поддържането, че всичко работи правилно, също работи добре в тази парадигма. Мнозина вярват, че целият пазар на мрежови технологии ще се движи в тази посока.

Банките, IMHO, в момента тестват SD-WAN по-скоро като нова технологична функция. Те чакат края на поддръжката на предишни поколения оборудване и едва тогава ще се сменят. Банките като цяло имат своя специална атмосфера чрез комуникационни канали, така че текущото състояние на индустрията не ги притеснява особено. Проблемите са по-скоро на други равнини.

За разлика от руския пазар, SD-WAN се внедрява активно в Европа. Техните комуникационни канали са по-скъпи и следователно европейските компании пренасят стека си в руските подразделения. В Русия има известна стабилност, тъй като цената на каналите (дори когато регионът е 25 пъти по-скъп от центъра) изглежда съвсем нормален и не повдига въпроси. От година на година има безусловен бюджет за комуникационни канали.

Ето пример от световната практика, когато една компания спести време и пари, използвайки SD-WAN на Cisco.

Има такава компания - National Instruments. В определен момент те започнаха да разбират, че глобалната компютърна мрежа, „получена“ от комбинирането на 88 сайта по целия свят, е неефективна. В допълнение, компанията нямаше капацитет и производителност на битовото си снабдяване с гореща вода. Нямаше баланс между непрекъснатия растеж на компанията и ограничения ИТ бюджет.

SD-WAN помогна на National Instruments да намали разходите за MPLS с 25% (спестени $450 2018 през 3 г.), като същевременно разшири честотната лента с 075%.

В резултат на внедряването на SD-WAN, компанията получи интелигентна софтуерно дефинирана мрежа и централизирано управление на политики за автоматично оптимизиране на трафика и производителността на приложенията. Тук - подробен случай.

Тук абсолютно луд случай на преместване на S7 в друг офис, когато в началото всичко започна трудно, но интересно - беше необходимо да се преработят 1,5 хиляди порта. Но тогава нещо се обърка и в резултат на това админите се оказаха последните преди крайния срок, върху които падат всички натрупани забавяния.

Прочетете повече на английски:

• American Banker: Fifth Third инвестира в 5-годишно надграждане на мрежата със SD-WAN .
• Изграждане на Cloud SD-WAN успех в Koch.
• SD-WAN пътуването на McKesson към спестяване на разходи .
• SD-WAN Retail PoC & сегментиране: Gap Stores.
• Но Глобално проучване на Cisco за мрежовите тенденции в света.

На руски:

• В CNews.
• Как внедрихме SD-Access и защо беше необходим.
• Мрежова структура за Cisco ACI център за данни - в помощ на администратора.
• Стабилен канал, базиран на софтуерно дефинирани SD-WAN мрежи: решаване на проблеми с избора на маршрут.
• Моят имейл, ако имате въпроси или искате да тествате задачите си на нашия щанд, - [имейл защитен].

Източник: www.habr.com