SD-WAN und DNA zur Unterstützung des Administrators: Architekturmerkmale und Praxis

Den Stand, den man in unserem Labor anfassen kann, wenn man möchte.

SD-WAN und SD-Access sind zwei verschiedene neue proprietäre Ansätze zum Aufbau von Netzwerken. In Zukunft sollten sie sich zu einem Overlay-Netz verbinden, aber bisher nähern sie sich nur an. Die Logik lautet: Wir nehmen ein Netzwerk aus den 1990er Jahren und spielen alle notwendigen Patches und Funktionen darauf, ohne auf den nächsten neuen offenen Standard zu warten.

SD-WAN ist ein Patch für SDN zu verteilten Unternehmensnetzwerken. Transport und Steuerung sind getrennt, daher wird die Steuerung vereinfacht.

Die Vorteile – alle Kommunikationskanäle werden aktiv genutzt, einschließlich der Backup-Kanäle. Es gibt eine Paketrouting zu Anwendungen: was, über welchen Kanal und mit welcher Priorität. Die vereinfachte Bereitstellung neuer Punkte: anstelle des Aufspielens einer Konfiguration ist nur die Angabe der Adresse des Cisco-Servers im großen Internet, im CROC-Rechenzentrum oder beim Kunden erforderlich, von wo die Konfigurationen für Ihr Netzwerk stammen.

SD-Access (DNA) ist die Automatisierung des Managements eines lokalen Netzwerks: Konfiguration von einem Punkt, Wizards, benutzerfreundliche Schnittstellen. Tatsächlich wird ein anderes Netzwerk mit einem anderen Transport auf Protokollebene über Ihrem aufgebaut, und an den Grenzflächen zum Perimeter wird die Kompatibilität zu alten Netzwerken sichergestellt.

Damit werden wir uns weiter unten befassen.

Jetzt ein paar Demonstrationen an den Testständen in unserem Labor, wie das aussieht und funktioniert.

Beginnen wir mit SD-WAN. Die Hauptfunktionen:

• Vereinfachung der Bereitstellung neuer Punkte (ZTP) – es wird angenommen, dass Sie der Einheit irgendwie die Adresse des Servers mit den Einstellungen zuführen. Die Einheit meldet sich bei ihm, erhält die Konfiguration, spielt sie auf und verbindet sich mit Ihrem Dashboard. So wird Zero-Touch Provisioning (ZTP) gewährleistet. Um ein Endgerät bereitzustellen, muss der Netzwerkingenieur nicht vor Ort sein. Das Wichtigste ist, das Gerät am Standort richtig einzuschalten und alle Kabel anzuschließen; dann verbindet sich die Hardware selbst mit dem System. Konfigurationen können über DNS-Anfragen in der Cloud des Anbieters von einem angeschlossenen USB-Speicher geladen werden, oder Sie können einen Hyperlink von einem Laptop öffnen, der über WLAN oder Ethernet mit dem Gerät verbunden ist.
• Vereinfachung der routinemäßigen Netzwerkadministration — Konfiguration aus Vorlagen, globale Richtlinien, zentral anpassbar, egal ob für fünf Filialen oder 5.000. Alles von einem einzigen Ort aus. Um lange Wege zu vermeiden — eine sehr praktische Option für die automatische Rückkehr zur vorherigen Konfiguration.
• Traffic-Management auf Anwendungsebene — Sicherstellung der Qualität und kontinuierliche Aktualisierung der Anwendungssignaturen. Richtlinien werden zentral eingerichtet und angewendet (es ist nicht mehr notwendig, Routenpläne für jeden Router zu schreiben und zu aktualisieren, wie früher). Man sieht, wer wohin und was sendet.
• Netzwerksegmentierung. Unabhängige isolierte VPNs über die gesamte Infrastruktur — jede mit ihrer eigenen Routing. Standardmäßig ist der Traffic zwischen ihnen gesperrt, Zugänge können nur für bekannte Traffic-Arten in definierten Netzwerkpunkten geöffnet werden, zum Beispiel alles über eine große Firewall oder einen Proxy weiterzuleiten.
• Sichtbarkeit der Geschichte der Netzwerkqualität — wie Anwendungen und Kanäle funktioniert haben. Sehr nützlich für die Analyse und Behebung von Problemen, noch bevor Beschwerden von Nutzern über instabile Anwendungsfunktionen eintreffen.
• Sichtbarkeit über die Kanäle — sind sie ihr Geld wert, kommen tatsächlich zwei verschiedene Anbieter am Standort zu Ihnen, oder gehen sie tatsächlich über dasselbe Netzwerk und degradieren/ausfallen gleichzeitig.
• Sichtbarkeit für Cloud-Anwendungen und Steuerung des Traffics über bestimmte Kanäle basierend darauf (Cloud Onramp).
• Ein Gerät enthält einen Router und eine Firewall (genauer gesagt, NGFW). Weniger Geräte — günstiger, um eine neue Filiale einzurichten.

Komponenten und Architektur von SD-WAN-Lösungen

Endgeräte — WAN-Router, die sowohl hardware- als auch virtuell sein können.

Orchestratoren — Netzwerkmanagementmittel. Hier werden die Parameter der Endgeräte, die Routing-Richtlinien für den Traffic und die Sicherheitsfunktionen konfiguriert. Es entstehen Konfigurationen, die automatisch über das Kontrollnetz an die Knoten gesendet werden. Parallel hört der Orchestrator das Netzwerk und überwacht es — die Verfügbarkeit von Geräten, Ports, Kommunikationskanälen, die Auslastung der Schnittstellen.

Analysetools. Erstellen Berichte basierend auf Daten, die von den Endgeräten gesammelt werden: Geschichte der Qualitätsarbeit von Kanälen, Netzwerk Anwendungen, Verfügbarkeit der Knoten usw.

Controller sind verantwortlich für die Anwendung von Richtlinien zur Traffic-Routing im Netzwerk. Ihr nächster Analogon in traditionellen Netzwerken ist der BGP Route Reflector. Globale Richtlinien, die der Administrator im Orchestrator einstellt, führen dazu, dass die Controller ihre Routing-Tabellen anpassen und aktualisierte Informationen an die Endgeräte senden.

Was der IT-Service von SD-WAN erhält:

1. Der Backup-Kanal wird ständig genutzt (bleibt nicht untätig). Es wird günstiger, da man sich zwei weniger leistungsstarke Kanäle leisten kann.
2. Automatisches Umschalten des Anwendungstraffics zwischen Kanälen.
3. Zeit des Administrators: das Netzwerk kann global ausgebaut werden, anstatt an jedem Gerät mit Konfigurationen zu arbeiten.
4. Schnelligkeit beim Aufbau neuer Filialen. Sie ist deutlich höher.
5. Weniger Ausfälle während des Austauschs defekter Geräte.
6. Schnelle Neukonfiguration des Netzwerks für neue Dienste.

Was das Unternehmen von SD-WAN erhält:

1. Garantierter Betrieb von Geschäftsanwendungen im verteilten Netzwerk, auch über offene Internetverbindungen. Das betrifft die Vorhersehbarkeit des Geschäfts.
2. Sofortige Unterstützung neuer Geschäftsanwendungen im gesamten verteilten Netzwerk, unabhängig von der Anzahl der Filialen. Das betrifft die Geschwindigkeit des Geschäfts.
3. Schneller und sicherer Anschluss von Filialen an jedem entfernten Standort unter Verwendung beliebiger Verbindungstechnologien (Internet gibt es überall, dedizierte Leitungen und VPN nicht). Das betrifft die Flexibilität des Geschäfts bei der Standortwahl.
4. Das kann ein Projekt mit Lieferung und Inbetriebnahme sein, oder ein Service
   mit monatlichen Zahlungen von der IT-Firma, dem Telekommunikationsanbieter oder dem Cloud-Anbieter. Je nach Belieben.

Die Vorteile für das Unternehmen durch SD-WAN können ganz unterschiedlich sein, beispielsweise hat ein Kunde uns gesagt, dass von einem Top-Manager die Anfrage kam, eine Direktleitung mit allen Mitarbeitern eines mehrtausendköpfigen Unternehmens zu organisieren und Inhalte bereitzustellen.

Für uns war das eine „Militäroperation“. Zu diesem Zeitpunkt haben wir bereits an der Modernisierung der KSPP gearbeitet. Und wenn wir verstehen, dass wir uns grundsätzlich um die Renovierung der Ausrüstung kümmern müssen, und der Technologiestack weiterentwickelt ist, warum sollten wir uns dann mit der Renovierung derselben Technologien und Dienste beschäftigen, wenn wir einen Schritt weiter gehen können.

SD-WAN wird vor Ort von den Technikern installiert. Dies ist wichtig für entfernte Filialen, in denen möglicherweise kein ordentlicher Administrator verfügbar ist. Sie senden es per Post und sagen: „Stecken Sie Kabel 1 in Box 1, Kabel 2 in Box 2 und verwechseln Sie die nicht! Verwechseln Sie sie nicht, #@$@%!“. Und wenn sie dort nicht durcheinander geraten, verbindet sich das Gerät automatisch mit dem zentralen Server, lädt seine Konfigurationen herunter und wendet sie an, sodass dieses Büro Teil des geschützten Netzwerks des Unternehmens wird. Es ist angenehm, wenn man nicht reisen muss und es leicht im Budget rechtfertigen kann.

Hier ist das Standdiagramm:

Einige Beispiele für die Konfiguration:

Richtlinie – globale Regeln zur Verkehrsverwaltung. Bearbeitung der Richtlinie.

Aktivierung der Verkehrsmanagementrichtlinie.

Massenkonfiguration von Haupteinstellungen der Geräte (IP-Adressen, DHCP-Pools).

Screenshots zur Überwachung der Anwendungsleistung

Für Cloud-Anwendungen.

Detailierte Informationen für Office365.

Für On-Premise-Anwendungen. Leider konnten wir auf unserem Stand keine Anwendungen mit Fehlern finden (FEC-Wiederherstellungsrate überall bei null).

Zusätzlich – Leistung der Datentransferkanäle.

Welche Hardware wird von SD-WAN unterstützt

1. Hardwareplattformen:

• Cisco vEdge-Router (früher bekannt als Viptela vEdge), die unter dem Betriebssystem Viptela arbeiten.
• Integrated Services Router (ISR) der Serien 1 000 und 4 000, die unter IOS XE SD-WAN arbeiten.
• Aggregation Services Router (ASR) der Serie 1 000, der unter IOS XE SD-WAN arbeitet.

2. Virtuelle Plattformen:

• Cloud Services Router (CSR) 1 000v, der unter IOS XE SD-WAN arbeitet.
• vEdge Cloud Router, der unter dem Betriebssystem Viptela arbeitet.

Virtuelle Plattformen können auf Cisco x86-Rechenplattformen wie dem Enterprise Network Compute System (ENCS) der Serie 5 000, Unified Computing System (UCS) und Cloud Services Platform (CSP) der Serie 5 000 bereitgestellt werden. Virtuelle Plattformen können auch auf jedem x86-Gerät betrieben werden, das einen Hypervisor wie KVM oder VMware ESi verwendet.

Wie ein neues Gerät bereitgestellt wird

Die Liste der lizenzierten Geräte für die Bereitstellung wird entweder aus dem Smart-Account bei Cisco heruntergeladen oder als CSV-Datei hochgeladen. Ich werde später versuchen, mehr Screenshots zu beschaffen; im Moment haben wir keine neuen Geräte zur Bereitstellung.

Reihenfolge der Schritte, durch die das Gerät bei der Bereitstellung geht.

Wie ein neues Gerät bereitgestellt wird/Methoden zur Bereitstellung der Konfiguration

Geräte im Smart Account anlegen.

Sie können eine CSV-Datei hochladen oder die Daten einzeln eingeben:

Füllen Sie die Parameter des Geräts aus:

Dann synchronisieren wir die Daten im vManage mit dem Smart Account. Das Gerät erscheint in der Liste:

Im Dropdown-Menü neben dem Gerät klicken wir auf 'Generate Bootstrap Configuration'
und erhalten die anfängliche Konfiguration:

Diese Konfiguration muss dem Gerät übergeben werden. Der einfachste Weg ist, einen USB-Stick mit der gespeicherten Datei ciscosd-wan.cfg anzuschließen. Beim Start sucht das Gerät nach dieser Datei.

Nachdem die anfängliche Konfiguration erhalten wurde, kann das Gerät den Orchestrator erreichen und eine vollständige Konfiguration von dort erhalten.

Schauen wir uns SD-Access (DNA) an

SD-Access vereinfacht die Portkonfiguration und die Zugriffsrechte für die Verbindung von Benutzern. Dies erfolgt über Assistenten. Die Portparameter werden in Bezug auf die Gruppen 'Administratoren', 'Buchhaltung', 'Drucker' festgelegt, und nicht auf VLANs und IP-Subnetze. Dadurch werden Fehler minimiert, die durch den menschlichen Faktor entstehen. Wenn ein Unternehmen beispielsweise viele Filialen in Russland hat, während das Hauptbüro überlastet ist, ermöglicht SD-Access, mehr Aufgaben direkt vor Ort zu lösen, wie etwa Probleme bei der Fehlerbehebung.

Für die IT-Sicherheit ist es wichtig, dass SD-Access eine klare Trennung von Benutzern und Geräten in Gruppen sowie die Festlegung von Interaktionsrichtlinien zwischen ihnen, die Autorisierung bei jeder Client-Verbindung zum Netzwerk und die Gewährleistung von 'Zugriffsrechten' im gesamten Netzwerk vorschreibt. Wenn man sich an diesen Ansatz hält, wird die Administration wesentlich einfacher.

Der Einrichtungsprozess für neue Büros wurde auch durch Plug-and-Play-Agenten in Switches vereinfacht. Es ist nicht mehr nötig, mit einem Konsole durch die Cross-Connects zu laufen oder sogar vor Ort zu fahren.

Hier sind Beispiele für die Konfiguration:

Gesamtstatus.

Vorfälle, die der Administrator überprüfen sollte.

Automatische Empfehlungen, was in den Konfigurationen geändert werden sollte.

Plan zur Integration von SD-WAN mit SD-Access

Ich habe gehört, dass Cisco solche Pläne hat — SD-WAN und SD-Access. Das sollte den Aufwand beim Management von geografisch verteilten und lokalen CSPs erheblich verringern.

vManage (SD-WAN-Orchestrator) wird über die API mit dem DNA Center (SD-Access-Controller) verwaltet.

Die Richtlinien für Mikro- und Makrosegmentierung werden wie folgt festgelegt:

Auf Paketebene sieht es so aus:

Wer und was darüber denkt

Wir beschäftigen uns seit 2016 mit SD-WAN in einem separaten Labor, in dem wir verschiedene Lösungsmöglichkeiten für den Einzelhandel, Banken, Verkehr und Industrie testen.

Wir kommunizieren sehr viel mit realen Kunden.

Ich kann sagen, dass der Einzelhandel bereits selbstbewusst SD-WAN testet, wobei einige dies mit Anbietern tun (häufig mit Cisco), aber es gibt auch solche, die versuchen, das Problem selbst zu lösen: Sie entwickeln ihre eigene Softwareversion, die funktional an SD-WAN erinnert.

Alle wollen irgendwie zu einer zentralisierten Verwaltung des gesamten Geräte-Zoo kommen. Das ist ein zentraler Verwaltungspunkt für nicht standardisierte Installationen und standardisierte für verschiedene Anbieter und Technologien. Es ist wichtig, die manuelle Arbeit zu minimieren, weil dies erstens das Risiko des menschlichen Versagens bei der Konfiguration der Geräte verringert und zweitens die Ressourcen des IT-Teams für andere Aufgaben freisetzt. Normalerweise kommt das Verständnis für die Notwendigkeit aufgrund sehr langer Update-Zyklen im ganzen Land. Wenn zum Beispiel der Einzelhandel Alkohol verkauft, benötigt er ständigen Kontakt für den Verkauf. Ein Update oder Stillstand während des Tages hat direkte Auswirkungen auf den Umsatz.

Aktuell gibt es im Einzelhandel bereits ein klares Verständnis, für welche Aufgaben die IT SD-WAN nutzen wird:

1. Schnelle Bereitstellung (oft nötig auf LTE, bis der Kabelanbieter kommt; oft nötig, damit ein neuer Punkt von einem Administrator in der Stadt im Rahmen von GPH hochgezogen wird, und danach kann das Zentrum einfach beobachten und konfigurieren).
2. Zentralisierte Verwaltung, Verbindung zu ausländischen Standorten.
3. Reduzierung der Telekommunikationskosten.
4. Verschiedene Zusatzdienste (DPI-Funktionen ermöglichen es, den Datenverkehr von wichtigen Anwendungen wie Kassensystemen bevorzugt zu transportieren).
5. Arbeiten mit Kanälen automatisch und nicht manuell.

Und es gibt noch die Überprüfung der Compliance – alle reden viel darüber, aber niemand betrachtet es als Problem. Die Gewährleistung, dass alles korrekt funktioniert, passt ebenfalls in dieses Paradigma. Viele glauben, dass der gesamte Markt für Netzwerktechnologien in diese Richtung gehen wird.

Banken testen meiner Meinung nach zurzeit SD-WAN eher als neue technologische Funktion. Sie warten auf das Ende der Unterstützung der vorherigen Generationen von Geräten und werden dann erst Veränderungen vornehmen. Banken haben im Allgemeinen eine ganz besondere Atmosphäre im Bereich Kommunikation, weshalb der aktuelle Zustand der Branche sie nicht wirklich belastet. Die Probleme liegen eher in anderen Bereichen.

Im Gegensatz zum russischen Markt wird SD-WAN in Europa aktiv implementiert. Dort sind die Kommunikationskanäle teurer, und deshalb bringen europäische Unternehmen ihren Technology-Stack in die russischen Niederlassungen. In Russland gibt es jedoch eine gewisse Stabilität, da die Kosten für Kanäle (auch wenn die Region 25 Mal teurer ist als das Zentrum) ganz normal erscheinen und keine Fragen aufwerfen. Jahr für Jahr wird ohne Ausnahme Budget für Kommunikationskanäle eingeplant.

Hier ist ein Beispiel aus der weltweiten Praxis, bei dem ein Unternehmen durch SD-WAN von Cisco Zeit und Geld gespart hat.

Es gibt ein Unternehmen — National Instruments. Zu einem bestimmten Zeitpunkt wurde ihnen klar, dass das globale Netzwerk, das sich aus 88 Standorten weltweit ergab, ineffizient war. Darüber hinaus fehlte dem Unternehmen die Bandbreite und Leistung im Wide Area Network. Es gab kein Gleichgewicht zwischen dem kontinuierlichen Wachstum des Unternehmens und dem begrenzten IT-Budget.

SD-WAN half National Instruments, die MPLS-Kosten um 25 % (Einsparungen von 450.000 USD im Jahr 2018) zu senken und die Bandbreite um 3.075 % zu erweitern.

Nach der Implementierung von SD-WAN erhielt das Unternehmen ein intelligentes, softwaredefiniertes Netzwerk und eine zentrale Verwaltung von Richtlinien, um den Datenverkehr und die Leistung von Anwendungen automatisch zu optimieren. Hier — detaillierter Fallbericht.

Hier können Ein vollkommen verrückter Fall des Umzugs von S7 in ein anderes Büro, bei dem es zunächst schwierig, aber interessant war — es mussten 1.500 Ports umgebaut werden. Doch dann ging etwas schief und letztendlich standen die Administratoren kurz vor der Frist unter Druck, während sich alle angesammelten Verzögerungen auf sie ergossen.

Mehr dazu auf Englisch:

• American Banker: Fifth Third investiert in ein 5-jähriges Netzwerkupgrade mit SD-WAN .
• Cloud SD-WAN-Erfolg bei Koch aufbauen.
• McKessons SD-WAN-Reise zu Kosteneinsparungen .
• SD-WAN Retail PoC & Segmentierung: Gap Stores.
• Hier ist eine globale Cisco-Studie zu den Netzwerktrends weltweit.

Auf Russisch:

• Auf CNews.
• Wie wir SD-Access implementiert haben und warum es notwendig war.
• Das Netzwerk-Framework für das Rechenzentrum Cisco ACI — zur Unterstützung des Administrators.
• Ein stabiler Kanal auf Basis von SD-WAN-Software-defined Networks: Lösungen für Routing-Probleme.
• Meine E-Mail, falls Sie Fragen haben oder Ihre Aufgaben an unserem Stand testen möchten — mkazakov@croc.ru.

Quelle: habr.com