Kas Cisco SD-WAN lõikab läbi DMVPN-i tugiposti?

Alates 2017. aasta augustist, mil Cisco omandas ettevõtte Viptela, on organisatsiooni jaotatud ettevõttevõrkude peamiseks tehnoloogiaks saanud Cisco SD-WAN. Viimase kolme aasta jooksul on SD-WAN tehnoloogia läbi teinud palju muutusi nii kvaliteedi kui ka kvantiteedi osas. Oluliselt on laienenud funktsionaalsused ja lisandunud tugi traditsioonilistele marsruuteritele seeriatest Cisco ISR 1000, ISR 4000, ASR 1000 ja virtuaalne CSR 1000v. Samas küsivad paljud Cisco kliendid ja partnerid endiselt, et milles seisnevad Cisco SD-WAN erinevused juba harjunud lähenemistest, mis põhinevad sellistel tehnoloogiatel nagu Cisco DMVPN ja Cisco Performance Routing ja kui oluline on need erinevused?

Siin tuleks kohe mainida, et enne SD-WAN ilmumist Cisco portfelli koostasid DMVPN koos PfR olulise osa Cisco IWAN (Intelligent WAN) arhitektuurist, mis omakorda esindas täisfunktsionaalsete SD-WAN-tehnoloogiate eelkäijat. Ühiste ülesannete ja lahendusmeetodite sarnasuse juures ei saavutanud IWAN vajalikku automatiseerimise, paindlikkuse ja skaleeritavuse taset nagu SD-WAN, mis viis IWANi arengu aja jooksul märkimisväärse vähenemiseni. Samas ei ole IWANi komponente kuhugi kadunud ja paljud kliendid jätkavad nende edukat kasutamist, sealhulgas tänapäevases seadmetes. Lõpptulemusena on tekkinud huvitav olukord – sama Cisco varustus võimaldab valida kõige sobivama WAN-tehnoloogia (klassikaline, DMVPN+PfR või SD-WAN) vastavalt klientide nõudmistele ja ootustele.

Artikkel ei kavatse üksikasjalikult käsitleda kõiki Cisco SD-WAN ja DMVPN (ühiselt või ilma Performance Routinguta) tehnoloogiate funktsioone – selle jaoks on saadaval tohutult palju dokumente ja materjale. Peamine ülesanne on proovida hinnata nende tehnoloogiate võtmeerinevusi. Kuid enne, kui liigume nende erinevuste arutamise juurde, meenutame lühidalt neid tehnoloogiaid.

Mis on Cisco DMVPN ja milleks seda vajatakse?

Cisco DMVPN lahendab dünaamilise (=skaaleeritava) ühenduse loomise ülesande kaugfiliaalide võrgu ja ettevõtte keskoffice'i võrgu vahel, kasutades erinevaid sidekanaleid, sealhulgas Internetti (= kanali krüpteerimisega). Tehniliselt saavutatakse see L3 klassi virtualiseeritud overlay võrgu loomisega. VPN punkt - mitme punkti (point-to-multipoint) režiimis, mille loogiline topoloogia on tüüpi „Täht“ (Hub-n-Spoke). Selleks kasutab DMVPN järgmiste tehnoloogiate kombinatsiooni:

• IP marsruutimine
• Mitme punkti GRE tunnelid (mGRE)
• Next Hop Resolution Protocol (NHRP)
• IPSec Crypto profiilid

Millised on põhieelised Cisco DMVPN-i võrreldes klassikalise marsruutimisega MPLS VPN-kanalite kasutamisel?

• Vahefiliaalide võrgu loomiseks on võimalik kasutada kõiki sidekanaleid – sobib kõik, mis suudab tagada IP-ühenduse filiaalide vahel, samas kui liiklus krüpteeritakse (vajadusel) ja jaotatakse (võimaluse korral) tasakaalustatult.
• Automaatselt moodustatakse täielikult ühendatud topoloogia filiaalide vahel. Samas on kesk- ja kaugfiliaalide vahel staatilised tunnelid ning kaugfiliaalide vahel dünaamilised tunnelid vastavalt vajadusele (liiklus olemasolu korral).
• Keskse ja kauge filiaali ruuteritel on ühtne konfiguratsioon, mis ulatub kuni IP-aadresse liidesteni. mGRE kasutamine kõrvaldab vajaduse individuaalse seadistuse järele kümnete, sadade või isegi tuhandete tunnelite jaoks. Seega on korraliku kujundusega saavutatud õige skaleeritavus.

Mis on Cisco Performance Routing ja miks see on vajalik?

DMVPN kasutamisel on ettevõtetevahelises võrgus avatuks jäänud üks äärmiselt oluline küsimus – kuidas hinnata dünaamiliselt iga DMVPN tunneli seisundit kriitilise meie organisatsiooni liikluse nõuete täitmise osas ning kuidas selle hindamise põhjal dünaamiliselt ümber suunamiseks otsuseid langetada? Asi on selles, et DMVPN selles osas erineb vähesel määral klassikalisest marsruutimisest – parim, mida saab teha, on seadistada QoS mehhanismid, mis võimaldavad liiklust prioriseerida väljaminevas suunas, kuid mitte mingil juhul ei suuda arvesse võtta kogu marsruudi seisundit mingil hetkel.

Ja mis juhtub, kui kanal osaliselt degradeerub, mitte täielikult – kuidas seda avastada ja hinnata? DMVPN ei suuda seda iseseisvalt teha. Arvestades, et filiaalide vahelised kanalid võivad kulgeda täiesti erinevate sideoperaatorite kaudu, kasutades täiesti erinevaid tehnoloogiaid, muutub see ülesanne äärmiselt keeruliseks. Just siin tuleb appi Cisco Performance Routing tehnoloogia, mis oli sel ajal juba mitmeid arenguetappe läbinud.

Cisco Performance Routing (edaspidi PfR) eesmärk on mõõta liikluse edasiviimiseks kasutatavate teede (tunnelite) seisundit, tuginedes võtmemeetmetele, mis on olulised võrgu rakenduste jaoks – latentsus, latentsuse variatsioon (jitter) ja pakettide kadumine (protsentides). Lisaks võib mõõta ka kasutatavat ribalaiust. Need mõõtmised toimuvad võimalikult reaalajas (nii kaugele kui see võimalik ja põhjendatud) ning nende mõõtmiste tulemused võimaldavad PfR-i kasutaval ruuteril dünaamiliselt otsustada, kas on vajalik muuta teatud tüüpi liikluse marsruuti.

Seega võib DMVPN/PfR kombinatsiooni ülesande lühidalt kokku võtta järgmisega:

• Lubage, et klient kasutab WAN-võrgus kõiki suhtluskanaleid
• Tagada oluliste rakenduste võimalikult kõrge kvaliteet nendel kanalitel

Mis on Cisco SD-WAN?

Cisco SD-WAN on tehnoloogia, mis kasutab SDN lähenemist organisatsiooni WAN-võrgu loomisel ja haldamisel. See tähendab eelkõige nn kontrollerite (tarkvara elementide) kasutamist, mis tagavad kõigi lahenduse komponentide tsentraliseeritud orkestreerimise ja automatiseeritud seadistamise. Erinevalt klassikalisest SDN-ist (Clean Slate tüüpi) kasutab Cisco SD-WAN kohe mitmeid erinevaid kontrollerite tüüpe, millest igaühel on oma roll – see on tehtud selge eesmärgiga tagada parem skaleeritavus ja geograhiline reservimine.

SD-WAN-i puhul jääb ülesanne kasutada kõiki kanalitüüpe ja tagada ärrakenduste töö, kuid samas laienevad nõudmised sellise võrgu automatiseerimise, skaleeritavuse, turvalisuse ja paindlikkuse suhtes.

Erinevuste arutelu

Kui nüüd hakata analüüsima nende tehnoloogiate erinevusi, langevad need ühte järgmistest kategooriatest:

• Arhitektuuri eripärad – kuidas on jagatudfunktsioonid erinevatesse lahenduse komponentidesse, kuidas on korraldatud nende komponentide vaheline koostöö ja kuidas see mõjutab tehnoloogia võimalusi ja paindlikkust?
• Funktsionaalsed võimalused – mida suudab üks tehnoloogia, mida teine ei suuda? Kas see on tõeliselt oluline?

Millistes arhitektuurilistes erinevustes see seisneb ja kas need on tõeliselt olulised?

Igas nimetatud tehnoloogias on palju „liikuvad osi”, millel on erinevad rollid ja koostöö põhimõtted. Kuidas need põhimõtted on läbi mõeldud, mõjutab lahenduse skaleeritavust, talitlushäirete taluvust ja üldist efektiivsust.

Vaatame arhitektuuri erinevaid aspekte lähemalt:

Andmeplaan – lahenduse osa, mis vastutab kasutaja liikluse edastamise eest allika ja sihtkoha vahel. DMVPN ja SD-WAN rakendatakse põhimõtteliselt samamoodi mitme punktiga GRE tunnelite baasil marsruutijatel. Erinevus seisneb selles, kui palju aruandeparameetreid nende tunnelite jaoks luuakse:

• ühes DMVPN/PfR — see on rang, kus on kaks taset node'ide hierarhiast, mille topoloogia on tüüpi „Täht” või Hub-n-Spoke. Hub'i staatiline seadistus ja Spoke'i staatiline sidumine Hub'iga on kohustuslikud, samuti interaktsioon NHRP protokolli kaudu, et luua data-plane'i seos. Selle tulemusena on Hub'i muudatused oluliselt keerulisemad, mis on seotud näiteks uute WAN-kanalite muutmise või ühendamisega või olemasolevate parameetrite muutmisega.
• ühes SD-WAN on täielikult dünaamiline mudel installeeritud tunnelite parameetrite avastamiseks, tuginedes control-plane'ile (OMP protokoll) ja orchestration-plane'ile (interaktsioon vBond kontrolleriga kontrollerite avastamise ja NAT läbimise ülesannete jaoks). Samal ajal võivad seostatavad topoloogiad olla erinevad, sealhulgas hierarhiilised. Seoses seatud tunnelite seostatava topoloogiaga on igas eraldi VPN (VRF) paindlik seadistus võimalike loogiliste topoloogiate jaoks.

Control-plane on vahetuse, filtreerimise ja marsruudi ning muude andmete modifitseerimise funktsioonide komplekt, mis toimub lahenduse komponentide vahel.

• ühes DMVPN/PfR toimub ainult Hub ja Spoke ruuteri vahel. Otsene marsruudiinfo vahetamine Spoke'ide vahel on võimatu. Selle tulemusena, ilma toimivat Hub'i, control-plane ja data-plane ei saa toimida, mis seab Hub'ile täiendavad kõrge kättesaadavuse nõudmised, mida mitte alati on võimalik täita.
• ühes SD-WAN – control-plane ei toimu kunagi otse ruutite vahel – suhtlemine toimub OMP protokolli alusel ja peab toimuma läbi eraldi spetsialiseeritud vSmart kontrolleri, mis tagab koormuse tasakaalustamise, georeserveerimise ja tsentraliseeritud signaalikoormuse haldamise. OMP protokoli teine omadus on selle märkimisväärne vastupidavus kaotustele ja sõltumatus kontrolleritega sidekanali kiirusest (mõistlikes piirides, muidugi). See võimaldab edukalt paigutada SD-WAN kontrollerid avalikesse või erakliimadesse Interneti kaudu.

Policy-plane – lahenduse osa, mis vastutab liiklusjuhtimise poliitikate määratlemise, levitamise ja rakendamise eest jaotatud võrgus.

• DMVPN – on tegelikult piiratud kvaliteedikindluse (QoS) poliitikate poolt, mis seadistatakse individuaalselt igas ruuteris läbi CLI või Prime Infrastructure'i mallide.
• DMVPN/PfR – PfR poliitikaid hallatakse kesksete Master Controller (MC) ruuterite kaudu CLI kaudu ning levitatakse automaatselt harukontoritesse. Selleks kasutatakse samu poliitikate edastuskaid nagu data-plane'i jaoks. Pole võimalik eraldada poliitikate, marsruudiinfot ja kasutajate andmeid. Poliitikate levitamine eeldab IP-ühenduse olemasolu Hub'i ja Spoke'i vahel. Samuti saab MC funktsiooni vajadusel kombineerida DMVPN ruuteriga. Prime Infrastructure mallide kasutamine poliitikate keskseks loomiseks on võimalik (aga mitte kohustuslik). Tähtis omadus on see, et poliitika luuakse globaalselt ühtlaselt kogu võrgus – erakliendipoliitikaid individuaalsete segmentide jaoks ei toetata..
• SD-WAN – liiklus- ja teenuse kvaliteedi haldustavad poliitikad määratakse tsentraalselt Cisco vManage graafilise kasutajaliidese kaudu, mis on saadaval ka interneti kaudu (vajadusel). Need edastatakse signaalikanalite kaudu otse või kaudselt vSmart kontrollerite kaudu (sõltuvalt poliitika tüübist). Need ei sõltu andmeplaadi ühenduvusest marsruuterite vahel, kuna nad kasutavad kõiki saadaolevaid teid liikluse edastamiseks kontrolleri ja marsruuteri vahel.

  Erinevates võrgusegmentides on võimalik paindlikult moodustada erinevaid poliitikaid – poliitika rakendamise sfäär määratakse paljude unikaalsete identifikaatoritega, mis on ette nähtud lahenduses – filiaali number, rakenduse tüüp, liikluse liikumise suund jne.

Orkestreerimisplatvorm – mehhanismid, mis võimaldavad komponentidel üksteist dünaamiliselt avastada, seadistada ja koordineerida järgnevat suhtlemist.

• ühes DMVPN/PfR Routeerite omavaheline tuvastamine põhineb Hub-seadmete staatilisel konfiguratsioonil ja vastaval Spoke-seadmete seadistusel. Dünaamiline tuvastamine toimub ainult Spoke'i puhul, mis edastab oma ühenduse parameetrid Hub-seadmestikule, mis on omakorda eelnevalt Spoke'i konfiguratsiooni lisatud. Ilma IP-ühenduse olemasoluta Spoke'i ja vähemalt ühe Hub'i vahel ei ole võimalik moodustada ei andme- ega juhtimisplaani.
• ühes SD-WAN Lahenduse komponentide orkestreerimine toimub vBond kontrolleri abil, millega on igal komponendil (maruuterid ja vManage/vSmart kontrollerid) eelnevalt IP-ühendus loodud.

  Alguses ei tea komponendid üksteise ühendusparameetritest - selleks on vajalik vahendajana toimiv orkestreerija vBond. Üldine põhimõte on järgmine: iga komponent algfaasis kuulab (automaatsete või staatiliste meetoditega) ainult vBond'i ühendusparameetreid, seejärel edastab vBond maruuterile vManage ja vSmart kontrollerite (enne avastatud) teavet, mis võimaldab automaatset signaalide seadistamist.

  Järgmise sammuna saad uue ruuteri teavet ülejäänud võrgu ruuterite kohta vSmarti kontrolleriga OMP-vahetuse kaudu. Nii saab ruuter, olles algselt teadmata võrgu parameetreid, täieliku automaatse avastamise ja ühendamise kontrolleritega ning seejärel ka automaatse avastamise ja ühenduse loomise ülejäänud ruuteritega. Samuti on kõigi komponentide ühendamise parameetrid alguses teadmata ja võivad kasutamise käigus muutuda.

Halduse tasand – lahuse osa, mis tagab tsentraliseeritud juhtimise ja jälgimise.

• DMVPN/PfR – spetsiaalset halduse tasandi lahendust ei ole ette nähtud. Põhitehnoloogiate automatiseerimiseks ja jälgimiseks saab kasutada selliseid tooteid nagu Cisco Prime Infrastructure. Igal ruuteril on CLI käsurea kaudu haldamise võimalus. Integreerimist väliste süsteemidega läbi API ei ole ette nähtud.
• SD-WAN – kogu tavapärane suhtlemine ja jälgimine toimub keskustatud kaudu vManage kontrolleri graafilise liidese kaudu. Kõik lahenduse võimalused, välja arvatud erandid, on seadistamiseks saadaval vManage'is, samuti täielikult dokumenteeritud REST API teegi kaudu.

  Kõik SD-WAN võrgu seadistused vManage'is põhinevad kahel peamiselt konstruktsioonil – seadmete mallide (Device Template) loomine ja poliitikate loomine, mis määratleb võrgu tööloogika ja liiklusprotsessimise. Samuti valib vManage, edastades administraatori koostatud poliitika, automaatselt, milliseid muudatusi ja millistel individuaalsetel seadmetel/kontrolleritel tuleb teha, mis suurendab märkimisväärselt lahenduse tõhusust ja skaleeritavust.

  vManage'i liidese kaudu on saadaval mitte ainult Cisco SD-WAN lahenduse seadistamine, vaid ka kõikide lahenduse komponentide põhjalik jälgimine, sealhulgas eraldi tunnelite hetkeseisud ja erinevate rakenduste kasutamise statistika DPI analüüsi põhjal.

  Keskendudes suhtluse tsentraliseerimisele, on kõigil komponentidel (kontrollerid ja ruuterid) ka täielikult funktsionaalne CLI (kommando rea liides), mis on vajalik rakendusetapis või hädaolukordades kohaliku diagnostika jaoks. Tavalistes oludes (kui komponentide vahel on signaalikanal) on ruuterites käsurea liides saadaval vaid diagnostikaks ja ei ole kergesti muudetav, mis tagab nii kohaliku turvalisuse kui ka ainulaadse muudatuste allika sellises võrgus – vManage.

Integreeritud turvalisus – see ei tähenda ainult kasutajaandmete kaitset avatud kanalite kaudu, vaid ka kogu WAN-võrgu üldist turvalisust valitud tehnoloogia alusel.

• ühes DMVPN/PfR on ette nähtud kasutaja andmete ja signaalprotokollide krüptimise võimalus. Teatud marsruuterimudelite kasutamisel on saadaval ka tulemüürifunktsioonid koos liiklusinspektsiooniga, IPS/IDS. On võimalik haruvõrkude segmenteerimine VRF-i kasutamisega. Kontrollprotokollide (ühe teguri) autentimine on võimalik.

  Sel juhul loetakse eemalolev marsruuter vaikimisi võrgu usaldusväärseks elemendiks – st ei eelda ega arvesta individuaalsete seadmete füüsilise kompromiteerimise juhtumeid ega võimalust nendele volitamata juurdepääsuks, ei ole kahte tegurit autentimise komponente lahenduses, mis geograafiliselt jaotatud võrgus võib kanda tõsiseid täiendavaid riske.

• ühes SD-WAN DMVPN-i sarnasel on kasutusvõimalus kasutajate andmete krüptimiseks, kuid oluliselt laiendatud võrgu turvafunktsioonide ja L3/VRF segmentatsiooniga (MSE, IPS/IDS, URL-filterimine, DNS-filterimine, AMP/TG, SASE, TLS/SSL proksid jne). Krüpteerimise võtmete vahetus toimub tõhusamalt vSmart kontrollere kaudu (mitte otseselt), eelnevalt määratud signalisikanalite kaudu, mis on kaitstud DTLS/TLS krüptimisega, mis põhineb turv Sertifikaatidel. See omakorda tagab sellise vahetuse turvalisuse ja tagab lahenduse parema skaleeritavuse isegi kuni kümnete tuhandete seadmeteni ühes võrgus.

  Kõik signalisikanalid (kontroller-kontroller, kontroller-ruuter) on samuti kaitstud põhinedes DTLS/TLS-le. Ruuteritel on tootmisel kehtivad turv сертификatid, millel on võimalus asendada/uuendada. Kahefaktoriline autentimine saavutatakse kahes tingimuses, mis peavad olema täidetud, et ruuter/kontroller saaks SD-WAN-võrgus toimida:

  • Kehtiv turv sertifikaat
  • Iga seadme komponent, mille administraator lisab, on selgelt ja teadlikult lubatud seadmete mustas nimekirjas.

SD-WAN ja DMVPN/PfR funktsionaalsed erinevused

Rääkides funktsionaalsetest erinevustest, tasub märkida, et paljuski põhinevad need arhitektuurilistel – ei ole saladus, et lahenduse arhitektuuri kujundamisel lähtuvad arendajad eeldatavatest võimalustest, mida nad soovivad saada. Vaatame kahe tehnoloogia olulisemaid erinevusi.

AppQ (Rakenduste Kvaliteet) – ärirakenduste liikluse kvaliteedi tagamise funktsioonid

Arutatavate tehnoloogiate peamine fookus on kasutajakogemuse võimalikult suure parendamise suunal äritootete rakendustes hajutatud võrgus. See on eriti oluline olukordades, kus osa infrastruktuurist ei ole IT juhtimise all või ei taga isegi andmete edastamise edukust.

DMVPN ei paku selliseid mehhanisme. Parim, mida klassikalises DMVPN-võrgus teha saab, on väljuva liikluse klassifitseerimine rakenduste järgi ja selle prioriseerimine WAN-kanali suunas edastamisel. DMVPN tunnel valitakse sellisel juhul ainult selle kättesaadavuse ja marsruutimisprotokollide töö tulemuste põhjal. Samuti ei arvestata teed/tunnelit ja selle võimalikku osalist degradeerumist olulisemate mõõdikute – viivituse, viivitusvariatsiooni (jitter) ja kaotuste (%) – osas, mis on võrgurakenduste jaoks olulised. Seetõttu pole mõtet otse võrrelda klassikalist DMVPN SD-WAN-iga AppQ probleemide lahendamisel – DMVPN ei saa seda ülesannet lahendada. Kui konteksti lisandub tehnoloogia Cisco Performance Routing (PfR), muutub olukord ja võrrelda Cisco SD-WAN-iga on mõistlikum.

Enne kui liigume erinevuste arutamise juurde, räägime lühidalt, milles tehnoloogiad sarnanevad. Nii et mõlemad tehnoloogiad:

• omavad mehhanismi, mis võimaldab dünaamiliselt hinnata iga paigaldatud tunnelit teatud meetrikate lõikes – vähemalt viivitust, viivituse variatsiooni ja paketikaotust (%)
• kasutavad kindlat tööriistade komplekti reeglite (poliitikate) loomiseks, levitamiseks ja rakendamiseks, arvestades oluliste mõõtmismeetrite tulemusi tunnelite seisukorrast.
• klassifitseerivad rakenduste liiklust OSI mudeli L3-L4 (DSCP) tasemel või L7 rakenduste allkirjade põhjal, kasutades ruuteri sisseehitatud DPI mehhanisme.
• võimaldavad oluliste rakenduste jaoks määrata lubatavad meetrikate piirmäärad, vaike liiklusülekande reeglid ja liikluse ümbersuunamise reeglid piirmäärade ületamisel.
• GRE/IPSec liikluse kapseldamisel kasutatakse juba tööstuses kehtestatud mehhanismi sisemise DSCP märgistuse edastamiseks väljapoole GRE/IPSec paketi pealkirja, mis võimaldab sünkroniseerida QoS poliitikaid organisatsiooni ja sideteenuse osutaja vahel (olemasoleva SLA korral).

Kuidas erinevad SD-WAN ja DMVPN/PfR vahemeetodi hindamise mehhanismid?

DMVPN/PfR

• Tunnel'i seisundi standardsete mõõdikute hindamiseks kasutatakse nii aktiivseid kui ka passiivseid tarkvarasensoreid (Probes). Aktiivsed põhinevad kasutaja liikluses, passiivsed emuleerivad sellist liiklust (kui see puudub).
• Ajastite ja degradeerumisavastuse tingimuste peenhäälestamine puudub – algoritm on fikseeritud.
• Lisaks on saadaval läbilaskevõime mõõtmine väljuvas suunas. See lisab DMVPNi/PfR-i liikluse haldamisse täiendavat paindlikkust.
• Samas tuginevad mõned PfR mehhanismid, kui mõõdikud ületatakse, tagasisidepõhisele teabele, kasutades spetsiaalseid TCA (Threshold Crossing Alert) sõnumeid, mis peavad olema saadetud liikluse vastuvõtjalt allika suunas, mis omakorda eeldab, et mõõdetud kanalite seisund peab olema vähemalt piisav, et edastada selliseid TCA-sõnumeid. See ei ole enamasti probleem, kuid seda ei saa ilmselgelt garanteerida.

SD-WAN

• Tunnel'i olekute standardsete mõõdikute hindamiseks kasutatakse BFD protokolli echo-režiimis. Sel juhul ei ole vaja erilist tagasisidet nagu TCA või sarnased teated – rike domeenide isoleeritus on säilinud. Tunnel'i oleku hindamiseks ei ole samuti vajalik kasutajate liiklus.
• On võimalik BFD ajastajate täpset seadistamist, et reguleerida reageerimise kiirus ja algoritmi tundlikkust sidekanali halvenemisele paarist sekundist kuni minutiteni.

  

• Artikli kirjutamise hetkel on igas tunnelis ette nähtud ainult üks BFD seanss. Potentsiaalselt loob see analüüsi seisundi tunneli kohta madalama granulaarsuse. Tegelikult võib see muutuda piiranguks ainult MPLS L2/L3 VPN-i WAN-ühenduse kasutamisel, millel on kooskõlastatud QoS SLA — kui BFD liiklus (pärast IPSec/GRE kapseldamist) DSCP-märgistamine vastab operaatori kõrge prioriteedi järjekorrale, võib see mõjutada madala prioriteediga liikluse delegeerimise täpsust ja kiirus. Samuti on võimalus muuta vaikimisi BFD märgistust, et vähendada sarnaste olukordade tekkimise ohtu. Järgmistes Cisco SD-WAN tarkvaraversioonides oodatakse BFD täiendavat kohandamist, samuti mitme BFD seansi käivitamise võimalust ühes tunnelis, kus on individuaalsed DSCP-väärtused (erinevate rakenduste jaoks).
• BFD võimaldab lisaks hinnata maksimaalse paketi suurust, mida on võimalik edastada erinevate tunnelite kaudu ilma fragmenteerimiseta. See võimaldab SD-WAN-il dünaamiliselt kohandada selliseid parameetreid nagu MTU ja TCP MSS Adjust, et maksimaalselt efektiivselt kasutada iga kanali saadaval olevat ribalaiust.
• SD-WAN-is on saadaval ka QoS-i sünkroniseerimise valik sideoperaatoritega mitte ainult L3 DSCP välja põhjal, vaid ka L2 CoS väärtuste põhjal, mis võivad automaatselt moodustuda filiaalis spetsialiseeritud seadmete — näiteks IP-telefonide — abil.

Kuidas erinevad AppQ poliitikate määratlemise ja rakendamise võimalused?

DMVPN/PfR poliitikad:

• Määratakse keskfiliaali (ЦФ) marsruuteris(te) CLI käsurea või CLI konfiguratsioonimallide kaudu. CLI mallide koostamine nõuab ettevalmistust ja poliitikate süntaksiga tutvumist.

  

• Määratakse globaalselt ilma võimaluseta individuaalselt kohandada/muuta vastavalt teatud võrgu segmentide nõudmistele.
• Interaktiivne poliitikate loomine graafilises liideses ei ole ette nähtud.
• Muudatuste jälgimine, pärandamine, mitme poliitika versiooni loomine kiireks vahetuseks ei ole toetatud.
• Levitatakse automaatselt eemalolevate filiaalide ruuteritele. Kasutatakse samu sidekanaleid, mis on mõeldud kasutajate andmete edastamiseks. Kui keskmise ja eemaloleva filiaali vahel pole sidekanalit, ei ole poliitikate levitamine/muutmine võimalik.
• Rakendatakse igas ruuteris ja vajadusel kohandavad nad standardsete marsruutimisprotokollide tulemusi, omades kõrgemat prioriteeti.
• Juhtudel, kui kõik filiaali WAN-kanalid kogevad märkimisväärseid andmekadu, kompensatsioonimehhanisme ei ole ette nähtud..

SD-WAN poliitikad:

• Määratakse vManage'i graafilises liideses interaktiivse mallimeisteri kaudu.
• Toetavad mitme poliitika loomist, kopeerimist, pärandamist ja reaalajas poliitikate vahel vahetamist.
• Toetavad poliitikate kohandamist erinevate võrgu segmentide (filiaalide) jaoks.
• Levitavad, kasutades ühtegi olemasolevat signaalikanalit juhendi ja ruuteri ja/või vSmart vahel – ei sõltu otseselt data-plane ühenduvusest ruuterite vahel. Samas nõutakse loomulikult IP-ühenduvust ruuteri ja juhendite vahel.

  

• Kui kõik saadaval olevad harukaubad kogevad märkimisväärseid andmekadusid, mis ületavad lubatud lävendid kriitiliste rakenduste jaoks, võib kasutada täiendavaid mehhanisme, mis suurendavad edastamise usaldusväärsust:
  • FEC (Eesliitevea Parandamine) kasutab erilist ülemäärase koodimise algoritmi. Kui kriitilise liikluse edastamisel kogevad kanalid märkimisväärset kadusid, võib FEC automaatselt aktiveerida ja võimaldab vajadusel kadunud andmete osa taastada. Sellega suureneb veidi kasutatav ribalaius, kuid usaldusväärsus tõuseb märgatavalt.

    

  • Andmevoogude dubleerimine – lisaks FEC poliitikale võib automaatne valikute jagamine rakenduste liikluse koopia loomiseks olla ettenähtud veelgi tõsisema kadumise taseme korral, mida FEC-i abil ei suudeta tasakaalustada. Sellisel juhul edastatakse valitud andmed kõiki tunnelite kaudu filiaali saajani koos edasise de-duplication'iga (ülejäänud koopia pakettide eemaldamine). Mehanism suurendab oluliselt kanalite kasutamise efektiivsust, kuid tõstab ka edastamise usaldusväärsust.

Cisco SD-WAN võimed, ilma vahetute analoogideta DMVPN/PfR

Cisco SD-WAN lahenduse arhitektuur võimaldab mõnel juhul saavutada funktsioone, mille rakendamine DMVPN/PfR raames on kas äärmiselt keeruline, või ebaotstarbekas vajalike tööjõukulude tõttu, või on isegi täiesti võimatu. Vaadakem nende kõige huvitavamaid aspekte:

Traffic-Engineering (TE)

TE hõlmab mehhanisme, mis võimaldavad suunata liiklust standardsetelt marsruutimise protokollidelt kõrvale. TE-d kasutatakse sageli, et tagada kõrgem võrguteenuste kättesaadavus, võimaldades kiiresti ja/või ette teada oluline liiklus suunata alternatiivsele (mitteühtivale) edastusteele, et tagada parema teenuse kvaliteedi või taastumise kiirus peamise marsruudi tõrke korral.

TE rakendamise keerukus seisneb vajaduses eelnevalt välja arvutada ja reserveerida (kontrollida) alternatiivne tee. MPLS võrkudes, mida haldavad teenusepakkujad, lahendatakse see probleem selliste tehnoloogiate abil nagu MPLS Traffic Engineering koos IGP protokollide ja RSVP protokollide laiendustega. Viimasel ajal on üha suuremat populaarsust kogumas ka Segment Routing tehnoloogia, mis on paremini optimeeritud tsentraliseeritud seadistamiseks ja orkestreerimiseks. Klassikalistes WAN-värkudes ei ole neid tehnoloogiaid tavaliselt esindatud või on need vähendatud hop-by-hop mehhanismide nagu Policy-Based Routing (PBR) kasutamiseni, mis suudavad suunata liiklust, kuid rakendavad seda eraldi igas marsruutoris - ilma üldise võrgu oleku või PBR-i tulemuste arvestamiseta eelnevatel või järgnevatel sammudel. Nende TE variantide rakendamise lõpptulemus on pettumustvalmistav - MPLS TE keerukuse tõttu seadistamises ja haldamises, kasutatakse tavaliselt ainult kõige kriitilisemas võrguosas (tuum), samas kui PBR-i rakendatakse eraldiseisvates marsruutorites, ilma võimaluseta kujundada mingit ühte PBR poliitikat kogu võrgu ulatuses. Ilmselgelt kehtib see ka DMVPN-põhiste võrkude kohta.

SD-WAN pakub selgesõnaliselt elegantsemat lahendust, mis on mitte ainult hõlpsasti seadistatav, vaid ka oluliselt paremini skaleeritav. See tuleneb kasutatavast control-plane ja policy-plane arhitektuurist. Policy-plane rakendamine SD-WAN-is võimaldab keskselt kindlaks määrata TE-poliitika – milline liiklus on huvitav? Millistele VPN-idele? Milliste sõlmede/tunnelite kaudu on alternatiivsete marsruutide loomine vajalik või keelatud? Samas keskne control-plane haldus vSmart kontrollerite baasil võimaldab muuta marsruutimise tulemusi, ilma et oleks vaja seadistada individuaalseid seadmeid – ruutijad näevad juba ainult tulemusi sellest loogikast, mis on loomisel vManage'i liidese kaudu ja edastatud rakendamiseks vSmartile.

Service-chaining (Teenuse ahelad)

Teenitud teenuseahelate vormimine on klassikalises marsruutimises veelgi töömahukam ülesanne kui juba kirjeldatud Traffic-Engineering'i mehhanism. Selles olukorras on vajalik mitte ainult luua spetsiaalne marsruut teatud võrgu rakenduse jaoks, vaid ka tagada, et liiklus saaks väljuda võrgust teatud (või kõikidel) SD-WAN node'idel, et mingit erirakendust või teenust nagu MSE, laadimine, vahemälu, liikluse kontrollimist jne. töödelda. Samuti peab olema võimalik jälgida nende välist teenuste seisukorda, et vältida black-holing olukordi ning on vajalikud mehhanismid, mis võimaldavad selliseid ühesuguseid välist teenuseid paigutada erinevatesse geograafilistesse asukohtadesse, et võrk saaks automaatselt valida kõige optimaalne teenuse node liikluse töötlemiseks antud filiaali jaoks. Cisco SD-WAN-i puhul on see piisavalt lihtne saavutada, luues vastava keskse poliitika, mis „liibub” kõik sihtrikka teenuseahela aspektid ühtseks ja muudab automaatselt data-plane ja control-plane loogikat ainult seal ja siis, kus see on vajalik.

Võime luua geograafiliselt jaotatud liikluse töötlemise valitud rakenduste jaoks teatud järjestuses spetsialiseeritud (kuid mitte SD-WAN võrguga seotud) riistvaral on võib-olla kõige silmatorkavam näide Cisco SD-WAN eeliste kohta klassikaliste tehnoloogiate ning isegi mõnede teiste tootjate SD-WAN alternatiivide ees.

Mis on lõpptulemus?

On ilmne, et nii DMVPN (koos või ilma Performance Routinguta) kui ka Cisco SD-WAN lahendavad lõpuks väga sarnaseid ülesandeid jaotatud WAN-võrgu suhtes organisatsioonis. Oluline on, et Cisco SD-WAN tehnoloogia arhitektuuri ja funktsionaalsete erinevuste tõttu viiakse nende ülesannete lahendamine teisele kvaliteeditasemele.Kokkuvõttes võib märkida järgmisi olulisi erinevusi SD-WAN ja DMVPN/PfR tehnoloogiate vahel:

• DMVPN/PfR kasutab tuntud tehnoloogiaid kihiliste VPN-võrkude loomiseks ning andmeplaani osas sarnaneb see kaasaegse SD-WAN tehnoloogiaga, kuid sellega on seotud mitmed piirangud, nagu kohustuslik staatiline marsruuterite konfigureerimine ning topoloogiate valik on piiratud Hub-n-Spoke süsteemiga. Kuid DMVPN/PfR-l on mõned funktsionaalsed võimalused, mis ei ole veel SD-WAN-is saadaval (rääkides per-application BFD-st).
• Control-plane tehnoloogiate osas on need põhimõtteliselt erinevad. SD-WAN võimaldab keskse signaaliprotsessimise abil oluliselt vähendada tõrketsoone ja „lahutada” kasutajate liikluse edastamise signaalidest – ajutine kontrollerite kättesaamatus ei mõjuta kasutajate liikluse edastamise võimalust. Samal ajal ei mõjuta mõne haru (sealhulgas keskse) ajutine kättesaamatus teiste harude omavahelist suhtlust ega kontrolleritega suhtlemist.
• SD-WAN-i liiklusjuhtimise poliitikate kujundamise ja rakendamise arhitektuur ületab DMVPN/PfR-i oma mitmekesisuses – geo-reserveerimine on paremini rakendatud, pole keskjaamaga seotust, poliitikate peenhäälestamiseks on rohkem võimalusi ning rakendatavate liiklusjuhtimise stsenaariumite nimekiri on samuti palju ulatuslikum.
• Lahenduse orkestreerimisprotsess on samuti oluliselt erinev. DMVPN eeldab, et konfigureeritud peavad olema eelnevalt teadaolevad parameetrid, mis piirab lahenduse paindlikkust ja dünaamiliste muudatuste võimalusi. SD-WAN lähtub aga paradigmaatilisest seisukohast, et ühenduse algusmomendil „ei tea” ruuter oma kontrollereid, kuid „teab, kelle küsida” – seda piisab mitte ainult automaatseks ühenduse loomiseks kontrollereid, vaid ka täielikult ühendatud andmeplaani topoloogia automaatseks moodustamiseks, mida saab hiljem poliitikate abil paindlikult kohandada/muudatada.
• TSentraliseeritud halduse, automatiseerimise ja jälgimise osas ületab SD-WAN ootuspäraselt DMVPN/PfR võimalusi, mis on klassikaliste tehnoloogiate arengutulemused ja toetuvad enamasti CLI käsureale ning mallidel põhinevatele NMS süsteemidele.
• SD-WAN-is on võrreldes DMVPN-iga ohutusnõuded tõusnud uuele kvaliteeditasemele. Peamised põhimõtted on null usaldus, skaleeritavus ja kahefaktoriline autentimine.

Nendest lihtsatest järeldustest võib luua vale mulje, et DMVPN/PfR-l põhineva võrgu loomine on täna igasuguse aktuaalsuse kaotanud. See ei ole kindlasti täiesti tõsi. Näiteks olukordades, kus võrgus kasutatakse palju vananenud seadmeid ja ei ole võimalust neid asendada, võib DMVPN võimaldada "vanade" ja "uute" seadmete ühendamist ühte geo-jaotatud võrku koos paljude eelpool kirjeldatud eelistega.

Teisest küljest tuleb meeles pidada, et kõik praegused Cisco ettevõtte ruuterid, mis põhinevad IOS XE-l (ISR 1000, ISR 4000, ASR 1000, CSR 1000v), toetavad täna mis tahes töörežiimi – nii klassikalist suunamist, DMVPN-d kui ka SD-WAN-i. valik sõltub praegustest vajadustest ja arusaamast, et samal riistvaral on võimalik liikuda edasi keerukamate tehnoloogiate suunas.

Allikas: habr.com