SD-WAN und DNA zur Unterstützung des Administrators: Merkmale der Architekturen und Best Practices.

Ein Stand, den man bei uns im Labor anfassen kann, wenn man möchte.

SD-WAN und SD-Access sind zwei unterschiedliche neue proprietäre Ansätze zur Netzwerkbildung. In der Zukunft sollen sie sich zu einem einheitlichen Overlay-Netzwerk zusammenschließen, kommen sich aber bisher nur näher. Die Logik ist folgende: Wir nehmen ein Netzwerk aus den 1990er Jahren und fügen alle nötigen Patches und Features hinzu, ohne darauf zu warten, dass dies in 10 Jahren ein neues offenes Standard wird.

SD-WAN ist ein Patch für SDN bei verteilten Unternehmensnetzwerken. Transport und Kontrolle sind getrennt, was die Kontrolle vereinfacht.

Vorteile: Alle Kommunikationskanäle werden aktiv genutzt, einschließlich des Backup-Kanals. Es gibt eine Paketweiterleitung zu den Anwendungen: was, über welchen Kanal und mit welcher Priorität. Vereinfachtes Verfahren zur Bereitstellung neuer Standorte: Statt Konfigurationen zu installieren, gibt man nur die Adresse des Cisco-Servers im großen Internet, im Datacenter von KROK oder beim Kunden an, von wo die Konfigurationen speziell für Ihr Netzwerk stammen.

SD-Access (DNA) ist die Automatisierung des lokalen Netzwerkmanagements: Konfiguration von einem Punkt aus, Assistenten und benutzerfreundliche Schnittstellen. Tatsächlich wird ein anderes Netzwerk mit einem anderen Transport auf Protokollebene über Ihrem aufgebaut, und an den Perimetergrenzen wird die Kompatibilität mit alten Netzwerken gewährleistet.

Damit werden wir uns auch unten befassen.

Jetzt ein paar Demonstrationen auf Testständen in unserem Labor, wie das aussieht und funktioniert.

Beginnen wir mit SD-WAN. Hauptfunktionen:

• Vereinfachung des Deployments neuer Standorte (ZTP) – es wird vorausgesetzt, dass Sie auf irgendeine Weise der Station die Adresse des Servers mit den Einstellungen zuführen. Die Station kontaktiert ihn, erhält die Konfiguration, installiert sie und wird in Ihr Kontrollpanel integriert. Damit wird Zero-Touch Provisioning (ZTP) gewährleistet. Um ein Endgerät bereitzustellen, muss der Netzwerkingenieur nicht vor Ort sein. Das Wichtigste ist, das Gerät am Standort richtig anzuschließen und alle Kabel zu verbinden; das Gerät verbindet sich selbstständig mit dem System. Konfigurationen können durch DNS-Anfragen in der Cloud des Anbieters von einem angeschlossenen USB-Stick geladen werden, oder Sie können einen Hyperlink von einem Laptop, der über WLAN oder Ethernet mit dem Gerät verbunden ist, öffnen.
• Vereinfachung der täglichen Netzwerkadministration – Konfiguration aus Vorlagen, globale Richtlinien, zentral anpassbar für sowohl fünf Filialen als auch 5.000. Alles aus einem zentralen Ort. Damit es keinen langen Weg gibt – eine äußerst praktische Option zur automatischen Rückkehr zur vorherigen Konfiguration.
• Traffic-Management auf Anwendungsebene – Gewährleistung der Qualität und ständige Aktualisierung von Anwendungssignaturen. Richtlinien werden zentral konfiguriert und angewendet (es ist nicht mehr nötig, Routenpläne für jeden Router zu schreiben und zu aktualisieren, wie früher). Sichtbar ist, wer, wohin und was sendet.
• Netzwerksegmentierung. Unabhängige isolierte VPNs über die gesamte Infrastruktur – jede mit ihrer eigenen Routing. Standardmäßig ist der Verkehr zwischen ihnen blockiert, Zugänge können nur für verständliche Verkehrsarten an klar bestimmten Knotenpunkten im Netzwerk geöffnet werden, beispielsweise indem alles durch eine große Firewall oder einen Proxy geleitet wird.
• Einblick in die Historie der Netzwerkqualität – wie Anwendungen und Kanäle funktioniert haben. Sehr nützlich zur Analyse und Behebung von Problemen, noch bevor die Benutzer beginnen, sich über instabile Anwendungserlebnisse zu beschweren.
• Sichtbarkeit der Kanäle – lohnt es sich, die Kosten zu betrachten? Kommen tatsächlich zwei verschiedene Anbieter zu Ihnen, oder laufen sie in Wirklichkeit über dasselbe Netzwerk und fallen gleichzeitig aus?
• Sichtbarkeit für Cloud-Anwendungen und Steering-Traffic durch verschiedene Kanäle auf dieser Basis (Cloud Onramp).
• Ein Gerät enthält sowohl einen Router als auch eine Firewall (genauer gesagt, NGFW). Weniger Hardware bedeutet geringere Kosten beim Einarbeiten neuer Standorte.

Komponenten und Architektur von SD-WAN-Lösungen.

Endgeräte – WAN-Router, die sowohl in physischer als auch in virtueller Form vorkommen.

Orchestratoren – Werkzeuge zur Netzwerkverwaltung. Sie konfigurieren die Einstellungen der Endgeräte, die Routing-Richtlinien für den Datenverkehr und die Sicherheitsfunktionen. Es entstehen Konfigurationen, die automatisch über das Kontrollnetz an die Knoten gesendet werden. Gleichzeitig überwacht der Orchestrator das Netzwerk und führt Monitoring durch – Verfügbarkeit von Geräten, Ports, Kommunikationskanälen und Auslastung der Schnittstellen.

Analysetools. Sie erstellen Berichte basierend auf Daten, die von den Endgeräten gesammelt werden: Historie der Kanalqualität, Netzwerkanwendungen, Verfügbarkeit von Knoten usw.

Controller sind verantwortlich für die Durchsetzung der Routing-Richtlinien im Netzwerk. Ihrem nächsten Analogon in traditionellen Netzwerken könnte man den BGP Route Reflector ansehen. Globale Richtlinien, die der Administrator im Orchestrator konfiguriert, führen dazu, dass die Controller ihre Routingtabellen anpassen und aktualisierte Informationen an die Endgeräte senden.

Was die IT-Abteilung von SD-WAN erhält:

1. Der Backup-Kanal wird ständig genutzt (nicht inaktiv). Es wird günstiger, da man sich zwei weniger leistungsstarke Kanäle leisten kann.
2. Automatisches Umschalten des Anwendungstraffics zwischen den Kanälen.
3. Administratorzeit: Man kann das Netzwerk global ausbauen, anstatt bei jedem Gerät mit Konfigurationen zu arbeiten.
4. Schnelligkeit beim Hochlaufen neuer Standorte. Diese ist deutlich höher.
5. Weniger Ausfallzeiten während des Austauschs verstorbener Geräte.
6. Schnelle Neukonfiguration des Netzwerks für neue Dienste.

Was das Geschäft von SD-WAN erhält:

1. Garantierte Funktionalität von Geschäftsanwendungen in einem verteilten Netzwerk, auch über offene Internetkanäle. Es geht um Vorhersehbarkeit im Geschäft.
2. Schnelle Unterstützung neuer Geschäftsapplikationen im gesamten verteilten Netzwerk, unabhängig von der Anzahl der Standorte. Das ist Geschwindigkeit für das Geschäft.
3. Schnelle und sichere Verbindung von Filialen an beliebigen entfernten Standorten unter Verwendung aller Verbindungstechnologien (Internet gibt es überall, aber dedizierte Leitungen und VPNs nicht). Das ist Flexibilität für das Geschäft bei der Standortwahl.
4. Das kann ein Projekt mit Lieferung und Inbetriebnahme sein, oder es kann ein Service
   mit monatlichen Zahlungen von einem IT-Unternehmen, einem Telekommunikationsanbieter oder einem Cloud-Anbieter. Wie es am besten passt.

Die Vorteile von SD-WAN können völlig unterschiedlich sein. Ein Kunde sagte uns zum Beispiel, dass von der Geschäftsführung der Wunsch geäußert wurde, eine direkte Linie mit allen Mitarbeitern eines tausendköpfigen Unternehmens einzurichten und Inhalte bereitzustellen.

Für uns war das eine "Militäroperation". Zu diesem Zeitpunkt beschäftigten wir uns bereits mit der Aufgabe, die Effizienz zu modernisieren. Und wenn wir verstehen, dass wir grundsätzlich die Renovierung von Equipment angehen müssen, während der technologische Stack fortgeschritten ist, warum sollten wir uns dann mit der Renovierung der gleichen Technologien und Dienstleistungen beschäftigen, wenn wir einen Schritt weiter gehen können?

SD-WAN wird vor Ort von EniKeev-Technikern installiert. Dies ist wichtig für entfernte Niederlassungen, in denen möglicherweise kein ordentlicher Administrator verfügbar ist. Sie senden die Anleitung per Post und sagen: „Kabel 1 in Anschluss 1, Kabel 2 in Anschluss 2, und bitte nicht verwechseln! Nicht verwechseln, #@$@%!“. Wenn dort nichts durcheinandergebracht wird, verbindet sich das Gerät selbstständig mit dem zentralen Server, holt seine Konfigurationen ab und wendet sie an, wodurch dieses Büro Teil des sicheren Unternehmensnetzwerks wird. Es ist angenehm, wenn man nicht reisen muss und dies leicht im Budget rechtfertigen kann.

Hier ist der Standplanschema:

Einige Beispiele für die Einrichtung:

Policy – globale Regeln zur Verwaltung des Datenverkehrs. Bearbeitung der Policy.

Aktivierung der Datenverkehrsmanagement-Policy.

Masseneinstellung der grundlegenden Geräteeinstellungen (IP-Adressen, DHCP-Pools).

Screenshots der Anwendungsleistungsüberwachung

Für Cloud-Anwendungen.

Detailliert für Office365.

Für On-Premise-Anwendungen. Leider konnten wir auf unserem Stand keine Anwendungen mit Fehlern finden (FEC Recovery-Rate überall bei null).

Zusätzlich – Leistung der Datenübertragungskanäle.

Welche Hardware wird von SD-WAN unterstützt?

1. Hardware-Plattformen:

• Cisco vEdge-Router (früher bekannt als Viptela vEdge), die mit dem Viptela-Betriebssystem arbeiten.
• Integrated Services Router (ISR) der Serien 1 000 und 4 000, die mit IOS XE SD-WAN betrieben werden.
• Aggregation Services Router (ASR) der Serie 1 000, der mit IOS XE SD-WAN arbeitet.

2. Virtuelle Plattformen:

• Cloud Services Router (CSR) 1 000v, der mit IOS XE SD-WAN arbeitet.
• vEdge Cloud Router, der mit dem Viptela-Betriebssystem arbeitet.

Virtuelle Plattformen können auf Cisco x86-Computing-Plattformen, wie dem Enterprise Network Compute System (ENCS) der Serie 5 000, dem Unified Computing System (UCS) und der Cloud Services Platform (CSP) der Serie 5 000, bereitgestellt werden. Virtuelle Plattformen können auch auf jedem x86-Gerät betrieben werden, das einen Hypervisor wie KVM oder VMware ESi verwendet.

Wie ein neues Gerät bereitgestellt wird

Die Liste der lizenzierten Geräte für die Bereitstellung wird entweder von einem Smart-Konto bei Cisco heruntergeladen oder als CSV-Datei hochgeladen. Ich werde versuchen, mehr Screenshots später zu besorgen; momentan haben wir keine neuen Geräte zur Bereitstellung.

Die Reihenfolge der Schritte, die ein Gerät während der Bereitstellung durchläuft.

Wie ein neues Gerät bereitgestellt wird / Methode zur Bereitstellung der Konfiguration

Geräte im Smart Account aktivieren.

Es kann eine CSV-Datei hochgeladen werden, oder einzeln:

Geräteparameter ausfüllen:

Anschließend synchronisieren wir die Daten im vManage mit dem Smart Account. Das Gerät erscheint in der Liste:

Im Dropdown-Menü neben dem Gerät klicken wir auf Generate Bootstrap Configuration
und erhalten die anfängliche Konfiguration:

Diese Konfiguration muss dem Gerät übergeben werden. Der einfachste Weg ist, einen USB-Stick mit der gespeicherten Datei namens ciscosd-wan.cfg an das Gerät anzuschließen. Beim Booten sucht das Gerät nach dieser Datei.

Nach Erhalt der anfänglichen Konfiguration kann das Gerät den Orchestrator kontaktieren und eine vollständige Konfiguration erhalten.

Betrachten wir SD-Access (DNA)

SD-Access vereinfacht die Einrichtung von Ports und Zugriffsrechten für die Benutzeranbindung. Dies geschieht mit Hilfe von Assistenten. Die Portparameter werden gruppenbasiert für "Administratoren", "Buchhaltung", "Drucker" festgelegt, anstatt nach VLAN und IP-Subnetzen. Dies minimiert menschliche Fehler. Wenn zum Beispiel ein Unternehmen viele Niederlassungen in Russland hat und das Hauptbüro überlastet ist, ermöglicht SD-Access, mehr Aufgaben vor Ort zu lösen. Zum Beispiel die gleichen Aufgaben bei der Fehlersuche.

Für die IT-Sicherheit ist es wichtig, dass SD-Access eine klare Trennung von Benutzern und Geräten in Gruppen vorsieht und die Richtlinien für deren Interaktion definiert, die Authentifizierung bei jeder Client-Verbindung zum Netzwerk ermöglicht und "Zugriffsrechte" im gesamten Netzwerk gewährleistet. Bei einem solchen Ansatz wird die Verwaltung erheblich einfacher.

Der Startup-Prozess für neue Büros ist ebenfalls dank der Plug-and-Play-Agenten in den Switches vereinfacht. Es ist nicht erforderlich, sich mit einer Konsole in die Verkabelung zu begeben oder vor Ort zu erscheinen.

Hier sind Beispiele für die Konfiguration:

Allgemeiner Status.

Vorfälle, die der Administrator überprüfen sollte.

Automatische Empfehlungen, was in den Konfigurationen geändert werden sollte.

Plan zur Integration von SD-WAN mit SD-Access

Ich habe gehört, dass Cisco solche Pläne hat – SD-WAN und SD-Access. Das sollte die Verwaltung von geografisch verteilten und lokalen ECs erheblich erleichtern.

vManage (SD-WAN-Orchestrator) wird über die API mit dem DNA Center (SD-Access-Controller) verwaltet.

Die Richtlinien für Mikro- und Makrosegmentierung werden wie folgt abgebildet:

Auf Paketebene sieht es so aus:

Was denkt jeder darüber?

Seit 2016 beschäftigen wir uns mit SD-WAN in einem eigenen Labor, wo wir verschiedene Lösungsansätze für den Einzelhandel, Banken, Transport und Industrie testen.

Wir stehen in regem Austausch mit realen Kunden.

Ich kann sagen, dass der Einzelhandel bereits sicher SD-WAN testet, wobei einige dies häufig mit Anbietern wie Cisco tun, es aber auch solche gibt, die versuchen, das Problem selbst zu lösen: sie entwickeln ihre eigene Softwareversion, die in ihrer Funktionalität SD-WAN ähnelt.

Alle streben irgendwann ein zentrales Management für die Vielzahl an Geräten an. Das ist ein zentraler Verwaltungspunkt für maßgeschneiderte Installationen sowie für Standardlösungen verschiedener Anbieter und Technologien. Es ist wichtig, die manuelle Arbeit zu minimieren, da dies erstens das Risiko menschlicher Fehler bei der Gerätekonfiguration verringert und zweitens die IT-Ressourcen für andere Aufgaben freisetzt. Meistens wird das Bewusstsein für diese Notwendigkeit durch die sehr langen Aktualisierungszyklen im gesamten Land geweckt. Wenn beispielsweise der Einzelhandel mit Alkohol handelt, benötigt er eine ständige Verbindung für den Verkauf. Updates oder Ausfälle während des Tages haben direkte Auswirkungen auf die Einnahmen.

Der Einzelhandel hat mittlerweile ein klares Verständnis dafür, für welche Aufgaben IT SD-WAN nutzen wird:

1. Schnelle Bereitstellung (oft benötigt bei LTE, bis der Kabelanbieter kommt; häufig erforderlich, damit ein neuer Standort vom Administrator in der Stadt im Rahmen eines GPX eingerichtet werden kann und das Zentralsystem dann nur überwacht und konfiguriert).
2. Zentralisierte Verwaltung, Kommunikation für ausländische Standorte.
3. Kostenreduzierung im Telekommunikationsbereich.
4. Verschiedene Zusatzdienste (DPI-Funktionen ermöglichen die priorisierte Übertragung von Traffic wichtiger Anwendungen wie Kassensystemen).
5. Automatische Kanalverwaltung, nicht händisch.

Und es gibt auch Compliance-Überprüfungen – viele sprechen darüber, aber niemand betrachtet es als Problem. Die Sicherstellung, dass alles korrekt funktioniert, wird ebenfalls in diesem Paradigma gut umgesetzt. Viele glauben, dass sich der gesamte Markt für Netzwerktechnologien in diese Richtung entwickeln wird.

Meiner Meinung nach testen Banken SD-WAN derzeit eher als neue technische Funktion. Sie warten auf das Ende der Unterstützung früherer Generationen von Geräten und werden erst dann Änderungen vornehmen. Banken haben generell eine besondere Atmosphäre bei den Kommunikationskanälen, deshalb beunruhigt sie der aktuelle Zustand der Branche nicht besonders. Die Probleme liegen eher in anderen Bereichen.

Im Gegensatz zum russischen Markt wird SD-WAN in Europa aktiv implementiert. Dort sind die Kommunikationskanäle teurer, und deshalb bringen europäische Unternehmen ihren Technologie-Stack in die russischen Niederlassungen. In Russland gibt es dagegen eine gewisse Stabilität, da die Kosten für die Kanäle (selbst wenn die Region 25-mal teurer ist als das Zentrum) durchaus akzeptabel erscheinen und keine Fragen aufwerfen. Jahr für Jahr wird ohne Ausnahme Budget für die Kommunikationskanäle eingeplant.

Hier ist ein Beispiel aus der globalen Praxis, bei dem ein Unternehmen durch SD-WAN von Cisco Zeit und Geld gespart hat.

Es gibt eine Firma – National Instruments. Irgendwann erkannten sie, dass das globale Netzwerk, das durch die Zusammenführung von 88 Standorten weltweit entstand, ineffizient war. Darüber hinaus fehlte es der Firma an Bandbreite und Leistung des WAN. Es gab kein Gleichgewicht zwischen dem kontinuierlichen Wachstum des Unternehmens und dem begrenzten IT-Budget.

SD-WAN half National Instruments, die MPLS-Kosten um 25 % (Einsparungen von 450.000 USD im Jahr 2018) zu senken und die Bandbreite um 3.075 % zu erhöhen.

Durch die Implementierung von SD-WAN erhielt das Unternehmen ein intelligentes, softwaredefiniertes Netzwerk und eine zentralisierte Verwaltung der Richtlinien, um den Datenverkehr und die Anwendungsleistung automatisch zu optimieren. Hier ist — detaillierter Fall.

Hier kann ein absolut verrückter Umzug von S7 in ein anderes Büro, als es zuerst mühsam, aber interessant begann – es mussten 1.500 Ports umgebaut werden. Doch dann ging einiges schief und letztlich waren die Administratoren die Letzten, die unmittelbar vor der Frist mit den aufgelaufenen Verzögerungen konfrontiert wurden.

Mehr auf Englisch lesen:

• American Banker: Fifth Third investiert in 5-Jahres-Netzwerkerneuerung mit SD-WAN .
• Erfolgsgeschichte von Cloud SD-WAN bei Koch.
• McKessons SD-WAN-Reise zu Kosteneinsparungen .
• SD-WAN Einzelhandel PoC & Segmentierung: Gap Stores.
• Aber globale Cisco-Studie zu Netzwerktrends weltweit.

Auf Russisch:

• Auf CNews.
• Wie wir SD-Access implementiert haben und warum es notwendig war.
• Netzwerktechnologie für das Rechenzentrum Cisco ACI – eine Unterstützung für Administratoren.
• Zuverlässiger Kanal auf Basis von software-definierten Netzwerken SD-WAN: Lösung von Routing-Problemen.
• Meine E-Mail, falls Sie Fragen haben oder Ihre Aufgaben an unserem Stand testen möchten, — mkazakov@croc.ru.

Quelle: habr.com