Schneidet Cisco SD-WAN den Ast ab, auf dem DMVPN sitzt?

Seit August 2017, als Cisco das Unternehmen Viptela übernommen hat, ist die Haupttechnologie zur Organisation verteilter Unternehmensnetzwerke Cisco SD-WAN. In den letzten 3 Jahren hat sich die SD-WAN-Technologie in qualitativ und quantitativ vielerlei Hinsicht verändert. Die Funktionalitäten wurden erheblich erweitert und die Unterstützung auf klassischen Routern der Serien Cisco ISR 1000, ISR 4000, ASR 1000 und dem virtuellen CSR 1000v. Gleichzeitig stellen sich viele Kunden und Partner von Cisco die Frage – worin die Unterschiede zwischen Cisco SD-WAN und den bereits gewohnten Ansätzen auf Basis solcher Technologien wie Cisco DMVPN und Cisco Performance Routing liegen und wie wichtig diese Unterschiede sind?

Hier sei sofort angemerkt, dass bis zur Einführung von SD-WAN in das Portfolio von Cisco DMVPN zusammen mit PfR einen wesentlichen Bestandteil der Architektur Cisco IWAN (Intelligent WAN), die wiederum den Vorgänger einer vollwertigen SD-WAN-Technologie darstellte. Trotz der allgemeinen Ähnlichkeit in den zu lösenden Aufgaben sowie den Lösungsansätzen erhielt IWAN nicht das erforderliche Maß an Automatisierung, Flexibilität und Skalierbarkeit für SD-WAN, und im Laufe der Zeit wurde die Entwicklung von IWAN erheblich zurückgefahren. Gleichzeitig verschwanden die grundlegenden Technologien von IWAN nicht, und viele Kunden verwenden sie weiterhin erfolgreich, auch auf modernster Hardware. Infolgedessen entstand eine interessante Situation – dieselbe Cisco-Hardware ermöglicht es, die am besten geeignete Technologie zum Aufbau des WAN (klassisch, DMVPN+PfR oder SD-WAN) gemäß den Anforderungen und Erwartungen der Kunden auszuwählen.

Der Artikel hat nicht zum Ziel, alle Besonderheiten der Technologien Cisco SD-WAN und DMVPN (gemeinsam oder ohne Performance Routing) detailliert zu behandeln – dafür gibt es eine riesige Menge an verfügbaren Dokumenten und Materialien. Die Hauptaufgabe besteht darin, die wesentlichen Unterschiede dieser Technologien zu bewerten. Aber bevor wir zu der Diskussion dieser Unterschiede übergehen, wollen wir kurz die Technologien selbst in Erinnerung rufen.

Was ist Cisco DMVPN und wozu wird es benötigt?

Cisco DMVPN löst das Problem der dynamischen (=skalierbaren) Verbindung eines Remote-Standorts mit dem Netzwerk des zentralen Unternehmensbüros unter Verwendung beliebiger Arten von Kommunikationskanälen, einschließlich Internet (= mit Verschlüsselung des Kommunikationskanals). Technisch geschieht dies durch die Schaffung eines virtualisierten Layer-3-Overlay-Netzwerks. VPN im Punkt-zu-Mehrpunkt-Modus (point-to-multipoint) mit einer logischen Topologie vom Typ „Stern“ (Hub-n-Spoke). Dazu nutzt DMVPN eine Kombination der folgenden Technologien:

• IP-Routing
• Multipoint GRE-Tunnel (mGRE)
• Next Hop Resolution Protocol (NHRP)
• IPSec-Krypto-Profile

Was sind die Hauptvorteile von Cisco DMVPN im Vergleich zur klassischen Routing-Methoden mit MPLS VPN-Kanälen?

• Für die Erstellung eines interoffice Netzwerks können beliebige Kommunikationskanäle genutzt werden – alles, was IP-Konnektivität zwischen den Zweigstellen ermöglicht, ist geeignet, wobei der Datenverkehr gegebenenfalls verschlüsselt und wo möglich ausgewogen wird.
• Es wird automatisch eine voll verbundene Topologie zwischen den Zweigstellen gebildet. Dabei bestehen zwischen der zentralen und der Remote-Zweigstelle statische Tunnel, während zwischen den entfernten Zweigstellen dynamische Tunnel bedarfsorientiert (bei vorhandenem Verkehr) eingerichtet werden.
• Die Router der zentralen und der entfernten Zweigstelle haben eine einheitliche Konfiguration bis hin zu IP-Adressen den Schnittstellen. Durch den Einsatz von mGRE entfällt die Notwendigkeit der individuellen Konfiguration von Dutzenden, Hunderten oder sogar Tausenden von Tunneln. Dies führt zu einer angemessenen Skalierbarkeit bei ordnungsgemäßer Gestaltung.

Was ist Cisco Performance Routing und wozu dient es?

Beim Einsatz von DMVPN in einem interoffice Netzwerk bleibt eine äußerst wichtige Frage ungelöst – wie kann der Zustand jedes DMVPN-Tunnels dynamisch bewertet werden hinsichtlich der Erfüllung der Anforderungen an kritischen Verkehr für unsere Organisation, und basierend auf dieser Bewertung dynamisch Entscheidungen über die Neuroutierung getroffen werden? Das Problem ist, dass sich DMVPN in diesem Bereich nur geringfügig von klassischem Routing unterscheidet – das Beste, was man machen kann, ist den QoS-Mechanismus zu konfigurieren, der es ermöglicht, den Verkehr in ausgehender Richtung zu priorisieren, aber nicht in der Lage ist, den Zustand des gesamten Pfades zu einem bestimmten Zeitpunkt zu berücksichtigen.

Was tun, wenn der Kanal teilweise und nicht vollständig degradiert – wie kann man das erkennen und bewerten? DMVPN kann das nicht von sich aus. Angesichts der Tatsache, dass die Kanäle, die die Niederlassungen verbinden, durch vollkommen unterschiedliche Telekommunikationsanbieter verlaufen können und dabei völlig verschiedene Technologien nutzen, wird diese Aufgabe äußerst komplex. Hier kommt die Technologie Cisco Performance Routing ins Spiel, die bis dahin bereits mehrere Entwicklungsstufen durchlaufen hat.

Die Aufgabe von Cisco Performance Routing (im Folgenden PfR) besteht darin, den Zustand der Verkehrsrouten (Tunnel) anhand von Schlüsselmetriken zu messen, die für Netzwerkapplikationen wichtig sind – Latenz, Latenzvariationen (Jitter) und Paketverlust (in Prozent). Zusätzlich kann die genutzte Bandbreite gemessen werden. Diese Messungen erfolgen möglichst nahe am Echtzeit (sofern dies möglich und sinnvoll ist), und die Ergebnisse dieser Messungen ermöglichen es dem Router, der PfR nutzt, dynamische Entscheidungen über die Notwendigkeit von Änderungen bei der Routenführung bestimmter Verkehrsarten zu treffen.

Die Aufgabe der Kombination von DMVPN/PfR kann somit kurz wie folgt zusammengefasst werden:

• Ermöglichen, dass der Kunde in seinem WAN-Netz beliebige Kommunikationskanäle nutzen kann
• Sicherstellen der bestmöglichen Qualität wichtiger Applikationen über diese Kanäle

Was ist Cisco SD-WAN?

Cisco SD-WAN ist eine Technologie, die den SDN-Ansatz zur Erstellung und Verwaltung des WAN-Netzes einer Organisation nutzt. Dies bedeutet insbesondere den Einsatz sogenannter Controller (Softwareelemente), die eine zentrale Orchestrierung und automatisierte Konfiguration aller Komponenten der Lösung gewährleisten. Im Gegensatz zum klassischen SDN (im Clean Slate-Stil) verwendet Cisco SD-WAN mehrere Arten von Controllern, von denen jeder seine eigene Rolle spielt – dies wurde absichtlich so gestaltet, um eine bessere Skalierbarkeit und Geo-Redundanz zu gewährleisten.

Im Falle von SD-WAN bleibt die Aufgabe, beliebige Kanäle zu nutzen und die Funktionalität von Geschäftsanwendungen sicherzustellen, bestehen, jedoch werden die Anforderungen an Automatisierung, Skalierung, Sicherheit und Flexibilität eines solchen Netzwerks erweitert.

Diskussion der Unterschiede

Wenn wir nun beginnen, die Unterschiede dieser Technologien zu analysieren, fallen sie in eine der Kategorien:

• Architektonische Unterschiede – wie sind die Funktionen auf verschiedene Komponenten der Lösung verteilt, wie ist die Interaktion dieser Komponenten organisiert und wie wirkt sich das auf die Möglichkeiten und Flexibilität der Technologie aus?
• Funktionale Möglichkeiten – was kann eine Technologie, das eine andere nicht kann? Ist das wirklich so wichtig?

Was sind die architektonischen Unterschiede und wie wichtig sind sie wirklich?

In jeder der genannten Technologien gibt es viele „bewegliche Teile“, deren Rollen und Interaktionsprinzipien untereinander variieren. Die durchdachten Prinzipien beeinflussen maßgeblich die Skalierbarkeit, Fehlertoleranz und Gesamteffizienz der Lösung.

Betrachten wir die verschiedenen Aspekte der Architektur näher:

Data-plane – der Teil der Lösung, der für die Übertragung des Benutzerverkehrs zwischen Quelle und Empfänger verantwortlich ist. In DMVPN und SD-WAN wird dies im Wesentlichen auf den Routern über Multipoint GRE-Tunnel gleich umgesetzt. Der Unterschied liegt darin, wodurch die erforderliche Parameterkonfiguration dieser Tunnel erfolgt:

• in DMVPN/PfR – es handelt sich um eine ausschliesslich zweistufige Hierarchie von Knoten mit einer Topologie vom Typ „Stern“ oder Hub-n-Spoke. Eine statische Konfiguration des Hubs und eine statische Bindung des Spokes an den Hub sowie die Interaktion über das NHRP-Protokoll zur Bildung der Data-Plane-Konnektivität sind erforderlich. Folglich wird die Änderung am Hub erheblich erschwert, beispielsweise im Zusammenhang mit der Änderung/Anbindung neuer WAN-Kanäle oder der Anpassung bestehender Parameter.
• in SD-WAN – ist ein vollständig dynamisches Modell zur Entdeckung der Parameter der eingerichteten Tunnel, das sich auf das Control-Plane (Protokoll OMP) und das Orchestrierungs-Plane (Interaktion mit dem Controller vBond für die Aufgaben der Controllererkennung und NAT-Traversal) stützt. Dabei können die überlagerten Topologien beliebig sein, einschließlich hierarchischer. Innerhalb der etablierten überlagerten Topologie der Tunnel ist eine flexible Konfiguration der logischen Topologie in jedem einzelnen VPN (VRF) möglich.

Control-plane – die Funktionen des Austauschs, der Filterung und der Modifikation von Routing- und anderen Informationen zwischen den Komponenten der Lösung.

• in DMVPN/PfR – erfolgt ausschließlich zwischen den Routern Hub und Spoke. Ein direkter Austausch von Routing-Informationen zwischen Spoke ist nicht möglich. Folglich kann das Control-plane und Data-plane ohne einen funktionierenden Hub nicht arbeiten., was zusätzliche Anforderungen an die Hochverfügbarkeit für den Hub stellt, die nicht immer erfüllt werden können.
• in SD-WAN – der Steuerungsbereich wird niemals direkt zwischen Routern realisiert – die Interaktion erfolgt auf Basis des OMP-Protokolls und muss unbedingt über einen speziellen Typ von vSmart-Controller erfolgen, was die Möglichkeit der Lastverteilung, geo-redundanten Sicherung und zentralen Verwaltung der Signallast gewährleistet. Ein weiteres Merkmal des OMP-Protokolls ist seine erhebliche Widerstandsfähigkeit gegen Verluste und Unabhängigkeit von der Übertragungsgeschwindigkeit des Kommunikationskanals zu den Controllern (innerhalb vernünftiger Grenzen, versteht sich). Das ermöglicht mit ebenso großem Erfolg die Bereitstellung von SD-WAN-Controllern in öffentlichen oder privaten Clouds mit Zugriff über das Internet.

Policy-Bereich – der Teil der Lösung, der für die Bestimmung, Verbreitung und Anwendung von Verkehrsteuerungsrichtlinien im verteilten Netzwerk verantwortlich ist.

• DMVPN – ist tatsächlich auf die individuell an jedem Router über die CLI oder Vorlagen der Prime Infrastructure einstellbaren QoS-Richtlinien beschränkt.
• DMVPN/PfR – PfR-Richtlinien werden auf dem zentralisierten Router Master Controller (MC) über die CLI erstellt und anschließend automatisch auf die Zweig-MCs verteilt. Dabei werden die gleichen Übertragungswege für die Richtlinien wie für die Datenebene verwendet. Eine separate Kommunikation der Richtlinien, Routinginformationen und Benutzerdaten ist nicht möglich. Die Verbreitung der Richtlinien setzt die notwendige IP-Konnektivität zwischen Hub und Spoke voraus. Dabei kann die Funktion des MC bei Bedarf mit einem DMVPN-Router kombiniert werden. Die Verwendung von Vorlagen der Prime Infrastructure für die zentralisierte Erstellung von Richtlinien ist möglich (aber nicht erforderlich). Eine wichtige Besonderheit ist, dass die Richtlinie global für das gesamte Netzwerk einheitlich erstellt wird – individuelle Richtlinien für einzelne Segmente werden nicht unterstützt.
• SD-WAN – Die Richtlinien für das Traffic-Management und die Servicequalität werden zentral über die grafische Schnittstelle Cisco vManage festgelegt, die auch über das Internet zugänglich ist (wenn erforderlich). Sie werden entweder über Signalkanäle direkt oder indirekt über vSmart-Controller verteilt (abhängig von der Art der Richtlinie). Sie sind nicht von der Data-Plane-Konnektivität zwischen Routern abhängig, da sie alle verfügbaren Übertragungswege zwischen Controller und Router nutzen.

  Für verschiedene Netzwerksegmente ist eine flexible Erstellung unterschiedlicher Richtlinien möglich – der Anwendungsbereich der Richtlinie wird durch eine Vielzahl einzigartiger Identifikatoren definiert, die in der Lösung vorgesehen sind – Filialnummer, Anwendungsart, Verkehrsrichtung usw.

Orchestrierungs-Ebene – Mechanismen, die es Komponenten ermöglichen, sich dynamisch zu entdecken, sich einzurichten und die nachfolgende Interaktion zu koordinieren.

• in DMVPN/PfR Die gegenseitige Entdeckung durch Router basiert auf einer statischen Konfiguration der Hub-Geräte und der entsprechenden Einrichtung der Spoke-Geräte. Die dynamische Entdeckung erfolgt nur für Spoke, das seine Verbindungsparameter an das Hub-Gerät meldet, das zuvor in die Konfiguration des Spoke aufgenommen wurde. Ohne IP-Konnektivität zwischen dem Spoke und mindestens einem Hub ist es unmöglich, sowohl eine Data-Plane- als auch eine Control-Plane-Verbindung herzustellen.
• in SD-WAN Die Orchestrierung der Komponenten der Lösung erfolgt unter Verwendung des Controllers vBond, mit dem jeder Komponente (Router und Controller vManage/vSmart) zuvor eine IP-Konnektivität hergestellt werden muss.

  Ursprünglich wissen die Komponenten nicht über die Verbindungsparameter des anderen Bescheid – hierzu benötigen sie einen Vermittler, den Orchestrator vBond. Das allgemeine Prinzip ist folgendes – jede Komponente ermittelt in der Anfangsphase (automatisch oder statisch) nur die Verbindungsparameter zu vBond, anschließend informiert vBond den Router über die bisher entdeckten vManage- und vSmart-Controller, was die automatische Herstellung aller erforderlichen Signalkonfigurationen ermöglicht.

  Der nächste Schritt besteht darin, dass der neue Router über OMP-Austausch mit dem vSmart-Controller Informationen über andere Router im Netzwerk erhält. Auf diese Weise kann der Router, der anfangs keinerlei Kenntnisse über die Netzwerkkonfiguration hat, vollständig automatisch die Controller erkennen und sich mit ihnen verbinden und anschließend ebenfalls automatisch die Vernetzung mit anderen Routern erkennen und herstellen. Dabei sind die Verbindungsparameter aller Komponenten zu Beginn unbekannt und können sich im Zuge des Betriebs ändern.

Management-Ebene – der Teil der Lösung, der eine zentrale Verwaltung und Überwachung ermöglicht.

• DMVPN/PfR – eine spezialisierte Lösung für die Management-Ebene ist nicht vorgesehen. Für grundlegende Automatisierung und Überwachung kann die Verwendung von Produkten wie Cisco Prime Infrastructure erfolgen. Jeder Router kann über die Kommandozeile CLI verwaltet werden. Integrationen mit externen Systemen über API sind nicht vorgesehen.
• SD-WAN – alle regulären Interaktionen und die Überwachung erfolgen zentral über die grafische Benutzeroberfläche des Controllers vManage. Alle Funktionen der Lösung sind ohne Ausnahme über vManage einstellbar, ebenso wie über eine vollständig dokumentierte REST API-Bibliothek.

  Alle Konfigurationen des SD-WAN-Netzwerks in vManage beruhen auf zwei Hauptkonstrukten – der Erstellung von Gerätetemplates (Device Template) und der Formulierung von Richtlinien, die die Arbeitslogik des Netzwerks und die Verarbeitung des Datenverkehrs bestimmen. Dabei wählt vManage, basierend auf der vom Administrator festgelegten Richtlinie, automatisch aus, welche Änderungen an welchen einzelnen Geräten/Controllern vorgenommen werden müssen, was die Effizienz und Skalierbarkeit der Lösung erheblich steigert.

  Über die Benutzeroberfläche von vManage ist nicht nur die Konfiguration der Cisco SD-WAN-Lösung zugänglich, sondern auch eine umfassende Überwachung des Zustands aller Komponenten der Lösung, bis hin zum aktuellen Zustand der Metriken einzelner Tunnel und der Nutzung verschiedener Anwendungen auf Basis von DPI-Analysen.

  Trotz der Zentralisierung der Interaktion verfügen alle Komponenten (Controller und Router) über eine voll funktionsfähige CLI-Befehlszeile, die in der Implementierungsphase oder im Falle einer Notlage für lokale Diagnosen erforderlich ist. Im Normalbetrieb (bei vorhandener Signalisierungsverbindung zwischen den Komponenten) ist die Befehlszeile auf den Routern nur für Diagnosen verfügbar und nicht für lokale Änderungen zugänglich, was die lokale Sicherheit garantiert und die Änderungen in einem solchen Netzwerk – vManage – als einzige Quelle definiert.

Integrierte Sicherheit – hier geht es nicht nur um den Schutz der Benutzerdaten bei der Übertragung über offene Kanäle, sondern auch um die allgemeine Sicherheit des WAN-Netzes, basierend auf der gewählten Technologie.

• in DMVPN/PfR Es besteht die Möglichkeit, Benutzerdaten und Signalisierungsprotokolle zu verschlüsseln. Bei Verwendung bestimmter Modelle von Routern sind zusätzlich Funktionen der Firewall mit Traffic-Inspektion, IPS/IDS verfügbar. Es gibt die Möglichkeit, Filialnetzwerke mit VRF zu segmentieren. Außerdem gibt es Möglichkeiten zur Authentifizierung (einfaktorige) von Kontrollprotokollen.

  Hierbei wird der entfernte Router standardmäßig als vertrauenswürdiges Element des Netzwerks betrachtet – d.h. es werden keine Fälle physischer Kompromittierung einzelner Geräte und die Möglichkeit unbefugten Zugriffs darauf berücksichtigt, und es gibt keine Zwei-Faktor-Authentifizierung der Lösungskomponenten, was in einem geografisch verteilten Netzwerk serious additional risks.

• in SD-WAN Analog zum DMVPN besteht die Möglichkeit, Benutzerdaten zu verschlüsseln, jedoch mit erheblich erweiterten Funktionen der Netzwerksicherheit und L3/VRF-Segmentierung (MC, IPS/IDS, URL-Filterung, DNS-Filterung, AMP/TG, SASE, TLS/SSL-Proxy usw.). Der Austausch von Verschlüsselungsschlüsseln erfolgt dabei effizienter über vSmart-Controller (und nicht direkt) über zuvor etablierte Signalisierungskanäle, die durch DTLS/TLS-Verschlüsselung auf der Grundlage von Sicherheitszertifikaten geschützt sind. Dies garantiert die Sicherheit eines solchen Austauschs und ermöglicht eine bessere Skalierbarkeit der Lösung bis hin zu Zehntausenden von Geräten in einem Netzwerk.

  Alle Signalverbindungen (Controller-Controller, Controller-Router) sind ebenfalls auf der Grundlage von DTLS/TLS geschützt. Router werden bei der Herstellung mit Sicherheitszertifikaten ausgestattet, die ein Ersetzen/Verlängern ermöglichen. Die Zwei-Faktor-Authentifizierung wird durch die verpflichtende und gleichzeitige Erfüllung von zwei Bedingungen für die Funktionsfähigkeit des Routers/Controllers im SD-WAN-Netzwerk erreicht:

  • Gültiges Sicherheitszertifikat
  • Eindeutige und bewusste Aufnahme jedes Komponenten durch den Administrator in die „weiße“ Liste der genehmigten Geräte.

Funktionale Unterschiede zwischen SD-WAN und DMVPN/PfR

Im Hinblick auf die Diskussion der funktionalen Unterschiede ist anzumerken, dass viele davon eine Fortsetzung der architektonischen Unterschiede darstellen – es ist kein Geheimnis, dass die Entwickler bei der Gestaltung der Architektur eines Lösungskonzepts von den Möglichkeiten ausgehen, die sie letztendlich erhalten möchten. Lassen Sie uns die bedeutendsten Unterschiede zwischen diesen beiden Technologien betrachten.

AppQ (Application Quality) – Funktionen zur Gewährleistung der Qualität der Übertragung von Geschäftsanwendungen

Die Kernfunktionen der betrachteten Technologien zielen darauf ab, das Benutzererlebnis bei der Nutzung von geschäftskritischen Anwendungen in einem verteilten Netzwerk so weit wie möglich zu verbessern. Dies ist besonders wichtig, wenn ein Teil der Infrastruktur nicht von der IT kontrolliert wird oder sogar keine erfolgreiche Datenübertragung garantiert.

DMVPN bietet solche Mechanismen nicht selbst an. Das Beste, was in einem klassischen DMVPN-Netzwerk gemacht werden kann, ist, den ausgehenden Datenverkehr nach Anwendungen zu klassifizieren und ihn bei der Übertragung in Richtung WAN-Kanal zu priorisieren. Die Wahl des DMVPN-Tunnels hängt in diesem Fall nur von seiner Verfügbarkeit und dem Ergebnis der Routing-Protokolle ab. Dabei wird jedoch der End-to-End-Zustand des Pfades/Tunnels und seine mögliche teilweise Verschlechterung in Bezug auf Schlüsselmetriken, die für Netzwerkapplikationen bedeutend sind – wie Verzögerung, Verzögerungsvariabilität (Jitter) und Verluste (%) – nicht berücksichtigt. Daher macht ein direkter Vergleich von klassischem DMVPN mit SD-WAN hinsichtlich der Lösung von AppQ-Aufgaben keinen Sinn – DMVPN kann diese Aufgabe nicht lösen. Mit der Hinzunahme der Technologie Cisco Performance Routing (PfR) verändert sich die Situation, und der Vergleich mit Cisco SD-WAN wird sinnvoller.

Bevor wir die Unterschiede besprechen, kurz zu den Gemeinsamkeiten der Technologien. Also, beide Technologien:

• verfügen über einen Mechanismus, der es ermöglicht, den Zustand jedes installierten Tunnels dynamisch in Bezug auf bestimmte Metriken zu bewerten – mindestens Latenz, Latenzvariation und Paketverlust (%).
• verwenden eine bestimmte Werkzeugauswahl zur Bildung, Verbreitung und Anwendung von Regeln (Politiken) zur Verkehrssteuerung unter Berücksichtigung der Ergebnisse der Messung des Zustands der Schlüsselmetrik der Tunnel.
• klassifizieren den Anwendungsverkehr auf den Ebenen L3-L4 (DSCP) des OSI-Modells oder anhand von L7-Signaturen von Anwendungen unter Verwendung der im Router integrierten DPI-Mechanismen.
• ermöglichen es für bedeutende Anwendungen, zulässige Schwellenwerte für die Metriken, die Standardübertragungsregeln für den Datenverkehr und die Regeln zur Neurouting des Datenverkehrs bei Überschreitung der Schwellenwerte zu definieren.
• bei der Kapselung des Datenverkehrs in GRE/IPSec verwenden sie einen etablierten Branchenmechanismus, um die interne DSCP-Markierung in den äußeren GRE/IPSec-Paketheader zu übertragen, was es ermöglicht, die QoS-Politiken der Organisation und des Telekommunikationsanbieters (bei Vorliegen eines entsprechenden SLA) zu synchronisieren.

Wie unterscheiden sich die Mechanismen zur Bewertung der End-to-End-Metriken von SD-WAN und DMVPN/PfR?

DMVPN/PfR

• Zur Bewertung der standardmäßigen Tunnelzustandsmetriken kommen sowohl aktive als auch passive Software-Sensoren (Probes) zum Einsatz. Aktive basieren auf Benutzerdatenverkehr, passive simulieren solchen Verkehr (bei dessen Abwesenheit).
• Eine feine Abstimmung der Timer und Bedingungen zur Erkennung von Leistungsverschlechterungen fehlt – der Algorithmus ist festgelegt.
• Zusätzlich steht die Messung der in ausgehender Richtung verwendeten Bandbreite zur Verfügung. Das verleiht DMVPN/PfR zusätzliche Flexibilität bei der Verkehrssteuerung.
• Dabei verlassen sich einige PfR-Mechanismen bei Überschreiten der Metriken auf eine rückläufige Signalisierung in Form spezieller TCA (Threshold Crossing Alert)-Nachrichten, die vom Empfänger des Datenverkehrs in Richtung des Quellen gesendet werden müssen, was wiederum vorschreibt, dass die Zustände der gemessenen Kanäle mindestens ausreichend sein müssen, um solche TCA-Nachrichten zu übermitteln. Dies ist in den meisten Fällen kein Problem, kann aber offensichtlich nicht garantiert werden.

SD-WAN

• Für die durchgehende Bewertung der Standardmetriken des Tunnelzustands wird das BFD-Protokoll im Echo-Modus verwendet. Dabei ist kein spezielles Feedback in Form von TCA oder ähnlichen Nachrichten erforderlich – die Isolierung der Ausfall-Domänen wird eingehalten. Außerdem ist das Vorhandensein von Benutzerdatenverkehr zur Bewertung des Tunnelzustands nicht notwendig.
• Es besteht die Möglichkeit, die BFD-Timer feinzustellen, um die Auslösegeschwindigkeit und die Sensitivität des Algorithmus gegenüber der Verschlechterung des Kommunikationskanals von mehreren Sekunden bis zu Minuten zu regulieren.

  

• Zum Zeitpunkt des Schreibens des Artikels ist in jedem Tunnel nur eine BFD-Sitzung vorgesehen. Dies kann potenziell eine geringere Granularität bei der Analyse des Tunnelzustands schaffen. In der Praxis könnte dies nur bei der Verwendung einer WAN-Verbindung auf Basis von MPLS L2/L3 VPN mit vereinbartem QoS SLA zur Einschränkung werden – wenn das DSCP-Tagging des BFD-Verkehrs (nach der Kapselung in IPSec/GRE) mit einer hochpriorisierten Warteschlange im Netzwerk des Telekommunikationsanbieters übereinstimmt, kann dies die Genauigkeit und Geschwindigkeit der Erkennung von Verschlechterungen bei niedrigpriorisiertem Verkehr beeinflussen. Dabei gibt es die Möglichkeit, das standardmäßige BFD-Tagging zu ändern, um das Risiko ähnlicher Situationen zu verringern. In zukünftigen Versionen der Cisco SD-WAN-Software wird eine feinere Einstellung von BFD sowie die Möglichkeit erwartet, mehrere BFD-Sitzungen innerhalb eines einzelnen Tunnels mit individuellen DSCP-Werten (für verschiedene Anwendungen) zu starten.
• BFD ermöglicht es zudem, die maximale Paketgröße zu bewerten, die ohne Fragmentierung über einen bestimmten Tunnel übertragen werden kann. Dies ermöglicht SD-WAN, solche Parameter wie MTU und TCP MSS Adjust dynamisch zu konfigurieren, um die verfügbare Bandbreite an jedem Kanal optimal zu nutzen.
• Im SD-WAN steht auch die Option zur Synchronisierung von QoS mit den Telekommunikationsanbietern zur Verfügung, nicht nur basierend auf dem L3 DSCP-Feld, sondern auch basierend auf den L2 CoS-Werten, die in den Filialnetzwerken automatisch von spezialisierten Geräten, wie beispielsweise IP-Telefonen, erstellt werden können.

Wie unterscheiden sich die Möglichkeiten, Methoden zur Bestimmung und Anwendung von AppQ-Richtlinien?

DMVPN/PfR-Richtlinien:

• Diese werden an den zentralen Filialrouter(n) (ZFR) über die CLI-Befehlszeile oder CLI-Vorlagendateien konfiguriert. Die Erstellung von CLI-Vorlagen erfordert Vorarbeit und Kenntnisse des Syntax der Richtlinien.

  

• Werden global festgelegt ohne Möglichkeit der individuellen Anpassung/Änderung an die Anforderungen einzelner Netzsegmente.
• Die interaktive Erstellung von Richtlinien in der grafischen Benutzeroberfläche ist nicht vorgesehen.
• Die Nachverfolgung von Änderungen, Vererbung und die Erstellung mehrerer Versionen von Richtlinien für einen schnellen Wechsel sind nicht vorgesehen.
• Werden automatisch auf Router in entfernten Niederlassungen verteilt. Dabei werden die gleichen Kommunikationskanäle verwendet wie für die Übertragung von Benutzerdaten. Bei Fehlen einer Kommunikationsverbindung zwischen der Zentrale und der entfernten Niederlassung ist die Verbreitung/Änderung von Richtlinien nicht möglich.
• Werden auf jedem Router angewendet und modifizieren bei Bedarf das Ergebnis der Standard-Routingprotokolle, indem sie eine höhere Priorität haben.
• Für Fälle, in denen alle WAN-Kanäle der Niederlassung erhebliche Verkehrsverluste aufweisen, sind keine Kompensationsmechanismen vorgesehen.

SD-WAN-Richtlinien:

• Werden über die grafische Benutzeroberfläche vManage durch einen interaktiven Vorlagenassistenten festgelegt.
• Unterstützen die Erstellung mehrerer Richtlinien, das Kopieren, die Vererbung und den Wechsel zwischen Richtlinien in Echtzeit.
• Unterstützen die individuelle Anpassung von Richtlinien für verschiedene Segmente (Niederlassungen) des Netzwerks.
• Werden unter Verwendung von jedem verfügbaren Signalkanal zwischen Controller und Router und/oder vSmart verbreitet – sie sind nicht direkt von der Datenebene der Router abhängig. Dabei ist natürlich eine IP-Konnektivität zwischen dem Router und den Controllern erforderlich.

  

• Für Fälle, in denen alle verfügbaren Kanäle der Niederlassung erhebliche Datenverluste aufweisen, die die zulässigen Schwellenwerte für kritische Anwendungen überschreiten, ist die Verwendung zusätzlicher Mechanismen zur Verbesserung der Übertragungszuverlässigkeit möglich:
  • FEC (Forward Error Correction) – verwendet einen speziellen Algorithmus zur Redundanzkodierung. Bei der Übertragung kritischer Daten über Kanäle mit einem erheblichen Verlustprozentsatz kann FEC automatisch aktiviert werden und ermöglicht es gegebenenfalls, die verlorenen Daten wiederherzustellen. Dabei wird zwar die genutzte Bandbreite geringfügig erhöht, jedoch wird die Zuverlässigkeit erheblich gesteigert.

    

  • Duplikation von Datenströmen Zusätzlich zur FEC kann die Politik eine automatische Dublette des Traffics ausgewählter Anwendungen vorsehen, falls ein noch gravierenderer Verlustgrad auftritt, der nicht durch FEC ausgeglichen werden kann. In diesem Fall werden die ausgewählten Daten über alle Tunnel zum empfangenden Zweig übertragen, gefolgt von der De-Duplizierung (Entfernung überflüssiger Kopien von Paketen). Dieser Mechanismus erhöht die Auslastung der Kanäle erheblich, steigert jedoch auch die Zuverlässigkeit der Übertragung signifikant.

Die Möglichkeiten von Cisco SD-WAN, die in DMVPN/PfR keine direkten Entsprechungen haben

Die Architektur der Cisco SD-WAN-Lösung ermöglicht in bestimmten Fällen Funktionen, deren Implementierung im Rahmen von DMVPN/PfR entweder äußerst schwierig oder aufgrund des erforderlichen Aufwands nicht sinnvoll ist, oder die überhaupt nicht möglich sind. Lassen Sie uns die interessantesten von ihnen betrachten:

Traffic-Engineering (TE)

TE umfasst Mechanismen, die es ermöglichen, den Traffic von dem standardmäßigen Pfad, der durch Routing-Protokolle gebildet wird, abzuleiten. TE wird häufig eingesetzt, um eine hohe Verfügbarkeit von Netzwerkdiensten zu gewährleisten, indem es die Fähigkeit bietet, schnell und/oder im Voraus wichtigen Traffic auf einen alternativen (nicht sich überschneidenden) Übertragungsweg umzuleiten, um eine bessere Dienstqualität oder Geschwindigkeit der Wiederherstellung im Falle eines Ausfalls des Hauptpfades zu gewährleisten.

Die Komplexität der Implementierung von TE liegt darin, dass ein alternativer Pfad im Voraus berechnet und reserviert (überprüft) werden muss. In MPLS-Netzen der Telekommunikationsanbieter wird diese Aufgabe durch Technologien wie MPLS Traffic Engineering mit Erweiterungen zu IGP-Protokollen und dem RSVP-Protokoll gelöst. Auch die Segment Routing-Technologie gewinnt in letzter Zeit zunehmend an Beliebtheit, da sie besser für die zentralisierte Konfiguration und Orchestrierung optimiert ist. In klassischen WAN-Netzen sind diese Technologien in der Regel nicht vorhanden oder beschränken sich auf die Verwendung von hop-by-hop Mechanismen wie Policy-Based Routing (PBR), die in der Lage sind, den Traffic umzuleiten, dies jedoch auf jedem einzelnen Router ohne Berücksichtigung des allgemeinen Netzwerkzustands oder des Ergebnisses von PBR in vorhergehenden oder nachfolgenden Schritten umsetzen. Das Ergebnis dieser Implementierungsvarianten von TE ist wenig erfreulich: MPLS TE wird aufgrund der Komplexität der Konfiguration und des Betriebs in der Regel nur im kritischsten Teil des Netzwerks (Kern) eingesetzt, während PBR auf einzelnen Routern ohne die Möglichkeit verwendet wird, eine einheitliche PBR-Politik für das gesamte Netzwerk zu bilden. Offensichtlich betrifft dies auch Netzwerke auf Basis von DMVPN.

SD-WAN bietet in dieser Hinsicht eine viel elegantere Lösung, die nicht nur leicht einzurichten ist, sondern auch wesentlich besser skalierbar. Dies ist das Ergebnis der verwendeten Architekturen für Control-Plane und Policy-Plane. Die Implementierung der Policy-Plane in SD-WAN ermöglicht es, die TE-Richtlinien zentral festzulegen – welcher Traffic ist wichtig? Für welche VPNs? Durch welche Knoten/Tunnel muss eine alternative Route gebildet werden, oder ist dies im Gegenteil verboten? Die Zentralisierung der Verwaltung der Control-Plane über vSmart-Controller ermöglicht es, die Routing-Ergebnisse zu modifizieren, ohne die Konfiguration einzelner Geräte anpassen zu müssen – Router sehen bereits nur das Ergebnis der Logik, die im vManage-Interface erstellt und zur Anwendung an vSmart übermittelt wurde.

Service-Chaining

Die Bildung von Servicetransportketten ist eine noch arbeitsintensivere Aufgabe in der klassischen Routenplanung als der bereits beschriebene Traffic Engineering-Mechanismus. In diesem Fall ist es erforderlich, nicht nur eine spezielle Route für eine bestimmte Netzwerkapplikation zu erstellen, sondern auch die Möglichkeit zu gewährleisten, den Datenverkehr aus dem Netzwerk an bestimmten (oder an allen) Knoten des SD-WAN-Netzwerks zu leiten, um von einer speziellen Anwendung oder Dienstleistung (z. B. MSE, Lastverteilung, Caching, Verkehrsüberwachung usw.) verarbeitet zu werden. Dabei ist es wichtig, den Zustand dieser externen Dienste zu überwachen, um Situationen des Black-Holing zu vermeiden. Darüber hinaus sind Mechanismen erforderlich, die es ermöglichen, solche einheitlichen externen Dienste an verschiedenen geografischen Standorten zu platzieren, mit der Möglichkeit, dass das Netzwerk automatisch den optimalsten Servicestandort für die Verarbeitung des Verkehrs eines bestimmten Standorts auswählt. Im Fall von Cisco SD-WAN ist dies recht einfach zu erreichen, indem eine entsprechende zentralisierte Richtlinie erstellt wird, die alle Aspekte der Ziel-Servicekette zu einem Ganzen zusammenfügt und die Logik des Data-Planes und Control-Planes nur dort und dann automatisch ändert, wo es notwendig ist.

Die Fähigkeit, eine geo-distribuierte Verarbeitung des Datenverkehrs für ausgewählte Arten von Anwendungen in einer bestimmten Reihenfolge auf spezialisierter (aber nicht der SD-WAN selbst zugehöriger) Hardware zu gestalten, ist wohl die anschaulichste Demonstration der Vorteile von Cisco SD-WAN gegenüber klassischen Technologien und sogar einigen alternativen SD-WAN-Lösungen anderer Hersteller.

Was kommt dabei heraus?

Es ist offensichtlich, dass sowohl DMVPN (gemeinsam oder ohne Performance Routing) als auch Cisco SD-WAN letztendlich sehr ähnliche Aufgaben lösen im Bezug auf das verteilte WAN-Netzwerk einer Organisation. Dabei führen signifikante architektonische und funktionale Unterschiede der Cisco SD-WAN-Technologie den Prozess der Lösung dieser Aufgaben auf ein qualitativ höheres Niveau. Zusammenfassend kann man auf folgende wesentliche Unterschiede zwischen den Technologien SD-WAN und DMVPN/PfR hinweisen:

• DMVPN/PfR nutzt insgesamt bewährte Technologien zum Aufbau von virtuellen privaten Netzwerken und weist im Bereich Data-Plane Ähnlichkeiten zur moderneren SD-WAN-Technologie auf, während es jedoch Einschränkungen gibt, wie die zwingende statische Konfiguration von Routern und eine begrenzte Auswahl an Topologien (Hub-n-Spoke). Auf der anderen Seite bietet DMVPN/PfR einige funktionale Möglichkeiten, die in SD-WAN derzeit nicht verfügbar sind (insbesondere per-application BFD).
• Im Bereich der Control-Plane-Technologien unterscheiden sie sich grundlegend. Angesichts der zentralisierten Verarbeitung von Signalisierungsprotokollen ermöglicht SD-WAN unter anderem eine deutliche Verengung der Ausfall-Domänen und „entkoppelt“ den Prozess der Übertragung von Nutzerdatenverkehr von der signalisierenden Interaktion – die temporäre Nichterreichbarkeit von Controllern hat keine Auswirkungen auf die Möglichkeit, den Nutzerdatenverkehr zu übertragen. Gleichzeitig beeinflusst die vorübergehende Nichterreichbarkeit einer Niederlassung (einschließlich der zentralen) nicht die Interaktion der übrigen Niederlassungen untereinander und mit den Controllern.
• Die Architektur zur Bildung und Anwendung von Verkehrsmanagementrichtlinien im Falle von SD-WAN übertrifft die von DMVPN/PfR ebenfalls – Geo-Redundanz ist wesentlich besser umgesetzt, es gibt keine Bindung an ein Hub, mehr Möglichkeiten zur feinen Anpassung von Richtlinien, und die Liste der umsetzbaren Szenarien zur Verkehrslenkung ist ebenfalls deutlich umfangreicher.
• Der Orchestrierungsprozess der Lösung unterscheidet sich ebenfalls erheblich. DMVPN setzt voraus, dass im Voraus bekannte Parameter in irgendeiner Form in der Konfiguration abgebildet werden, was die Flexibilität der Lösung und die Möglichkeit dynamischer Änderungen etwas einschränkt. Im Gegensatz dazu geht SD-WAN von der Paradigme aus, dass der Router zu Beginn der Verbindung „nichts weiß“ über seine Controller, jedoch weiß, „wen er fragen kann“ – dies reicht nicht nur aus, um eine automatische Verbindung zu den Controllern herzustellen, sondern auch zur automatischen Bildung einer vollständig verbundenen Data-Plane-Topologie, die dann flexibel angepasst/änderbar ist durch Richtlinien.
• Im Bereich des zentralisierten Managements, der Automatisierung und der Überwachung übertrifft SD-WAN erwartungsgemäß die Möglichkeiten von DMVPN/PfR, die das Ergebnis der Entwicklung klassischer Technologien sind und weitgehend auf die Eingabeaufforderung CLI und die Anwendung von NMS-Systemen basieren, die auf Vorlagen beruhen.
• Im Vergleich zu DMVPN hat SD-WAN die Sicherheitsanforderungen auf ein neues qualitatives Niveau gehoben. Die Hauptprinzipien sind Nullvertrauen, Skalierbarkeit und Zwei-Faktor-Authentifizierung.

Aus diesen einfachen Schlussfolgerungen könnte der falsche Eindruck entstehen, dass die Erstellung eines Netzwerks auf Basis von DMVPN/PfR heute gänzlich an Relevanz verloren hat. Das ist natürlich nicht ganz richtig. In Fällen, in denen in einem Netzwerk eine Vielzahl von veralteter Hardware verwendet wird und es keine Möglichkeit gibt, diese zu ersetzen, kann DMVPN es ermöglichen, „alte“ und „neue“ Geräte in einem einheitlichen geo-verteilten Netzwerk zu verbinden, das viele der oben beschriebenen Vorteile bietet.

Auf der anderen Seite sollte man nicht vergessen, dass alle aktuellen Cisco-Router für Unternehmen, die auf IOS XE basieren (ISR 1000, ISR 4000, ASR 1000, CSR 1000v), heute jeden Betriebsmodus unterstützen – sowohl klassische Routing-Methoden als auch DMVPN und SD-WAN. Die Wahl hängt von den aktuellen Bedürfnissen ab und dem Verständnis, dass man jederzeit auf derselben Hardware in Richtung fortschrittlicherer Technologien gehen kann.

Quelle: habr.com