SD-WAN ja DNA abiks adminile: arhitektuuride omadused ja praktika

Seinale, mida saab puudutada meie laboris, kui soovite.

SD-WAN ja SD-Access on kaks erinevat uut patenteeritud lähenemist võrkude loomisele. Tulevikus peaksid need sulanduma ühte overlay-võrku, kuid praegu on nad alles lähenemas. Loogika on selline: võtame 1990. aastate võrgud ja kasutame neile kõiki vajalikke plaastrite ja funktsioonide kihtimist, mitte oodates, kuni see kümne aasta pärast muutub uuteks avatud standarditeks.

SD-WAN on SDN-i plaastriks jaotatud ettevõttevõrkudele. Transport on eraldi, kontroll on eraldi, seega on kontroll lihtsam.

Eelised — kõik sidekanalid on aktiivselt kasutuses, sealhulgas varus. Paketirouting rakendusteni: mis läheb, läbi millise kanali ja millise prioriteediga. Uute punktide juurutamise lihtsustatud protseduur: konfi lisamise asemel tuleb ainult märkida Cisco serveri aadress, suurtesse andmekeskustesse KROK või kliendi juures, kust saadakse konfit täpselt teie võrgu jaoks.

SD-Access (DNA) on lokaalse võrgu haldamise automatiseerimine: konfiguratsioon ühest kohast, wizard'id, mugavad liidesed. Tegelikult luuakse teine võrk teise transpordiga protokollide tasemel teie peale, ja piiriülese ühilduvuse tagamiseks vanade võrkudega.

Sellega tegeleme allpool.

Nüüd natuke demonstration'it testseintel meie laboris, kuidas see välja näeb ja töötab.

Alustame SD-WANist. Peamised võimed:

• Uute punktide juurutamise lihtsustamine (ZTP) — eeldatakse, et te edastate punktile serveri aadressi koos seadistustega. Punkt pöördub selle poole, saab konfi, rakendab selle ja lülitub teie juhtpaneeli. Nii tagatakse Zero-Touch Provisioning (ZTP). Lõppseadme juurutamiseks ei pea võrgutehniline insener kohapeale sõitma. Peamine on, et seadme kohaselt õigesti sisse lülitad ja kõik kaablid ühendad, seejärel ühildub varustus ise süsteemiga. Konfiguraate saab laadida läbi DNS-päringute pilve müüja juures ühendatud USB-mälupulgalt, või avada hüperlinki sülearvutist, mis on seadmele Wi-Fi või Etherneti kaudu ühendatud.
• Võrgu haldamise lihtsustamine — konfigureerimine šabloonide põhjal, globaalsete poliitikate seadistamine, mida saab keskselt hallata isegi viies haru või 5 000. Kõik ühest kohast. Et pikk teekond välja jätta — väga mugav automaatse tagasipöördumise valik eelneva konfiguratsiooni juurde.
• Rakendustasandi liikluse juhtimine — kvaliteedi tagamine ja rakenduste allkirjade pidev värskendamine. Poliitikad seadistatakse ja rakendatakse keskselt (ei pea kirjutama ega värskendama marsruutimarte iga ruuteri jaoks, nagu varem). Näha, kes, kuhu ja mida saadab.
• Võrgu segmenteerimine. Iseseisvad isoleeritud VPN-id kogu infrastruktuuri ulatuses — igaühel oma marsruutimine. Vaikimisi on nende vahel liiklus suletud, juurdepääsud saab avada ainult arusaadavatele liiklustüüpidele arusaadavates võrgu sõlmedes, näiteks lastes kõik läbi suure tulemüüride või proksi.
• Võrgu töö kvaliteedi ajaloo nähtavus — kuidas rakendused ja kanalid töötasid. Väga kasulik olukorra analüüsimiseks ja parandamiseks enne, kui kasutajatelt hakkavad kaebused rakenduste ebastabiilsuse kohta saabuma.
• Kanalite nähtavus — kas need on oma raha väärt, kas objektile tuleb tõeliselt kaks erinevat operaatorit või lähevad nad tegelikult läbi ühe ja sama võrgustiku ning langevad samaaegselt.
• Nähtavus pilverakendustele ja liikluse juhtimine läbi selle või teise kanali põhjal (Cloud Onramp).
• Ühes seadmes on sisseehitatud ruuter ja tulemüür (täpsemalt, NGFW). Vähem seadmeid — odavam uue haru käivitamine.

SD-WAN lahenduste komponendid ja arhitektuur.

Lõppseadmed — WAN-ruuterid, mis võivad olla nii riistvaralised kui ka virtuaalsed.

Orkestratoorid — võrgu haldamise vahend. Nendel seadistatakse lõppseadmete parameetrid, liikluse marsruutimise poliitikad, turvafunktsioonid. Saavad konfigureeritud failid, mis saadetakse automaatselt üle kontrollvõrgu sõlmedesse. Samal ajal kuulab orkestratoor võrgus ja teeb jälgimist — seadmete, portide, sidekanalite kättesaadavust, liideste koormust.

Analüüsivahendid. Koostavad aruandeid lõppseadmest kogutud andmete põhjal: kanalite töö kvaliteedi ajalugu, võrgu rakendused, sõlmede kättesaadavus jne.

Kontrollerid vastutavad liikluse suunamisreeglite rakendamise eest võrgus. Nende lähim analoog traditsioonilistes võrkudes on BGP Route Reflector. Globaalne poliitika, mille administraator seadistab orkestratsioonis, paneb kontrollerid muutma oma marsruudilauad ning saatma uuendatud teavet lõppseadmetele.

Mida saab IT-teenus SD-WAN-ilt:

1. Varuühendus on pidevalt kasutuses (ei seisa). See osutub odavamaks, kuna on võimalik lubada kaks vähem võimsat ühendust.
2. Rakenduste liikluse automaatne üleviimine kanalite vahel.
3. Aja kokkuhoid administraatorilt: saab globaalset võrku arendada, mitte ei pea igas seadmes konfiguratsioonidega ringi liikuma.
4. Uute filiaalide käivitamise kiirus. See on oluliselt kõrgem.
5. Vähem seisakuid sureva varustuse asendamise ajal.
6. Kiire võrgu ümberkonfigureerimine uute teenuste toetamiseks.

Mida saab äri SD-WAN-ilt:

1. Kohandatud äri rakenduste garanteeritud toimimine jaotatud võrgus, sealhulgas avatud internetiühenduste kaudu. See toob kaasa äri prognoositavuse.
2. Tööstuse uute rakenduste kohene toimetamine kogu jaotatud võrgus olenemata filiaalide arvust. See toob kaasa äri kiirus.
3. Kiire ja turvaline filiaalide ühendamine igasugustes kaugkohtades, kasutades igasuguseid ühendustehnoloogiaid (internet on kõikjal, kuid eraliinid ja VPN-id ei pruugi olla). See toob kaasa äri paindlikkuse asukoha valimisel.
4. See võib olla projekt, mis sisaldab varustuse tarnimist ja seadistamist, või teenus
   kuukontode kohustustega IT-ettevõtte, sideoperaatori või pilveoperaatori poolt. Kuidas kellelegi sobib.

Äri kasu SD-WAN-ist võib olla täiesti erinev, näiteks ütles üks klient, et tippjuhtkonnalt tuli soov korraldada otseülekanne kõigiga, kes töötavad tuhat inimest hõlmavas ettevõttes, ja sisu edastamise võimalus.

Meie jaoks oli see nagu 'sõjaline operatsioon'. Sel hetkel lahendasime juba KSPD moderniseerimise ülesannet. Ja kui me mõistame, et põhimõtteliselt on meil vaja varustuse uuendamisega tegeleda ning tehnoloogiline tase on edasi läinud, miks tegeleme sama tehnoloogia ja teenuste uuendamisega, kui saame astuda veel kaugemale.

SD-WAN seadmeinstallimise teeb kergemaks ainelise meeskonna töö. See on oluline kaugfiliálide jaoks, kus võib lihtsalt mitte olla normaalset administraatorit. Saadate posti teel, ütlete: „Kaabel 1 ühendage karbiga 1, kaabel 2 – karbiga 2 ja ärge segage! Ärge segage, #@$@%!“. Kui seal ei segata, siis seade ühendub ise keskserveriga, haarab ja rakendab oma seadistused ning sellest kontorist saab osa ettevõtte kaitstud võrgust. Tore on, kui ei pea sõitma ja kergesti saab eelarves põhjendada.

Siin on seadme skeem:

Natuke näiteid seadistamisest:

Poliitika – globaalne reeglistik liikluse haldamiseks. Poliitika redigeerimine.

Liikluse haldamise poliitika aktiveerimine.

Seadmete peamiste parameetrite massiline seadistamine (IP-aadressid, DHCP basseinid).

Rakenduste töö efektiivsuse jälgimise ekraanipildid

Pilve rakenduste jaoks.

Detsembri jaoks Office365.

On-prem rakenduste jaoks. Kahjuks ei leidnud meie seadmel rakendusi, kus oleks vigu (FEC Recovery rate kõikjal null).

Lisaks – andmeedastuse kanalite efektiivsus.

Millised seadmed on SD-WAN-iga ühilduvad

1. Riistvaraplatvormid:

• Cisco vEdge ruuterid (varasem nimi – Viptela vEdge), töötavad Viptela operatsioonisüsteemi all.
• Integrated Services Router (ISR) seeria 1 000 ja 4 000 ruuterid, mis töötavad IOS XE SD-WAN operatsioonisüsteemi all.
• Aggregation Services Router (ASR) seeria 1 000 ruuter, mis töötab IOS XE SD-WAN operatsioonisüsteemi all.

2. Virtuaalsed platvormid:

• Cloud Services Router (CSR) 1 000v ruuter, mis töötab IOS XE SD-WAN operatsioonisüsteemi all.
• vEdge Cloud Router, mis töötab Viptela operatsioonisüsteemi all.

Virtuaalseid platvorme saab kasutada Cisco x86 arvutusplatvormidel, näiteks Enterprise Network Compute System (ENCS) seeria 5 000, Unified Computing System (UCS) ja Cloud Services Platform (CSP) seeria 5 000. Virtuaalsed platvormid võivad samuti töötada igasugustel x86 seadmetel, mis kasutavad hüperviisut, nagu KVM või VMware ESi.

Kuidas seadme seadistamine toimub

Protokollitud seadmete loend allalaaditakse kas Cisco nutikonto kaudu või laaditakse üles CSV-failina. Proovin hiljem rohkem ekraanipilte hankida, praegu pole meil uusi seadmeid paigaldamiseks.

Sammud, mille kaudu seade läbib paigaldamise protsessis.

Kuidas seadme seadistamine toimub / seadistuse saatmise meetod

Registreerime seadmed Smart Accountis.

Saame laadida CSV-faili või ükshaaval:

Täidame seadme parameetrid:

Järgmisena sünkroniseerime vManage'is andmed Smart Account'iga. Seade ilmub nimekirja:

Käivitage allalaadimismenüüs seadme vastas Generate Bootstrap Configuration
ja saame algse konfiguratsiooni:

See konfigureerimine tuleb seadmele edastada. Lihtsaim viis on ühendada seadmega USB-mälupulk, kus on salvestatud fail nimega ciscosd-wan.cfg. Seade otsib laadimise ajal seda faili.

Saades algse konfiguratsiooni, saab seade ühenduda orkestriga ja saada sealt täieliku konfiguratsiooni.

Vaatame SD-Accessi (DNA)

SD-Access lihtsustab portide ja juurdepääsude seadistamist kasutajate ühendamiseks. Seda tehakse abivahendite kaudu. Portide parameetrid määratakse rühmadele «Administraatorid», «Raamatupidamine», «Printerid» ja mitte VLAN-ide ja IP-alaneti järgi. See vähendab inimfaktoriga seotud vigu. Näiteks kui ettevõttel on palju filiaale Venemaal ja keskne kontor on ülekoormatud, võimaldab SD-Access lahendada rohkem ülesandeid just kohapeal. Näiteks samad probleemide lahendamise ülesanded.

IB jaoks on oluline, et SD-Access eeldab selget kasutajate ja seadmete grupiti eristamist ning poliitikate määratlemist nende vahel, autoriseerimist igasuguste klientide võrku ühendamisel ja «juurdepääsuõiguste» tagamist kogu võrgus. Sellise lähenemisega on haldamine palju lihtsam.

Uute kontorite käivitamisprotsess on ka lihtsustatud tänu Plug-and-Play-agentidele lülitites. Ei ole vaja joosta ristmete juurde koos konsooliga, ega isegi kohapeal käia.

Siin on seadistamise näidised:

Üldine staatus.

Juhtumid, mida peaks haldur vaatama.

Automaatne soovitus, mida konfiguratsioonides muuta.

SD-WANi ja SD-Accessi integreerimise plaan

Olen kuulnud, et Cisco-l on sellised plaanid — SD-WAN ja SD-Access. See peaks oluliselt vähendama raskusi territoriaalselt jaotatud ja kohalike KSPD-de haldamisel.

vManage (SD-WAN orkestrator) haldab API kaudu DNA Center'i (SD-Accessi kontroller).

Mikro- ja makrosegmentatsiooni poliitikad kaardistatakse järgmiselt:

Pakettide tasemel näeb see välja järgmiselt:

Kuidas ja mida selle kohta mõeldakse

Meie tegeleme SD-WAN-iga alates 2016. aastast eraldi laboris, kus testime erinevaid lahendusi ja vajadusi jaemüügis, pankades, transpordis ja tööstuses.

Suhtleme väga palju reaalsete klientidega.

Võin öelda, et jaemüük testib juba kindlalt SD-WAN-i, mõned teevad seda tarnijatega (enamasti Cisco'ga), kuid on ka neid, kes proovivad probleemi ise lahendada: kirjutavad oma tarkvaraversioonid, mille funktsionaalsus sarnaneb SD-WAN-iga.

Kõik soovivad mingil määral jõuda keskse haldamiseni kogu seadmete mitmekesisuse osas. See on üks halduspunt, mis sobib mitte-standardsete paigalduste ja erinevate tarnijate ning tehnoloogiate standardsete seadmete jaoks. On oluline vähendada käsitsi tööd, sest see, esiteks, vähendab inimfaktori riski seadmete seadistamisel ja teiseks vabastab IT-resursid teiste ülesannete täitmiseks. Tavaliselt mõistetakse selle vajadust pika uuendustsükli tõttu kogu riigis. Näiteks kui jaemüük müüb alkoholi, siis on tal pidev side müügi jaoks vajalik. Uuendamine või seisak päeval mõjutab otse sissetulekut.

Praegu on jaemüügis selgelt välja kujunenud arusaam, milliseid ülesandeid IT plaanib SD-WAN-i kasutada:

1. Kiire juurutamine (tihti on see vajalik LTE kaudu enne kaabelteenuse osutaja saabumist, sageli on vajalik, et uus punkt tõuseks esindaja poolt linnas, ning siis keskus vaatab ja konfigureerib).
2. Keskne haldamine, side välisobjektide jaoks.
3. Telekommunikatsiooni kulude vähendamine.
4. Erinevad lisateenused (DPI-funktsioonid võimaldavad prioriseerida liiklust olulistest rakendustest nagu kassasüsteem).
5. Töötamine kanalitega automaatselt, mitte käsitsi.

Ja on olemas ka vastavuse kontroll — paljud räägivad sellest, kuid keegi ei peeta seda probleemiks. Kõik ei tööta korrektselt, ka see paradigma toimib normaalselt. Paljud arvavad, et kogu võrgu tehnoloogiate turg hakkab sinna suunas liikuma.

Pangad, arvan, et pangad hetkel testivad SD-WAN-i pigem kui uut tehnoloogia omadust. Oodatakse eelmiste põlvkondade seadmete toe lõppemist ja alles siis hakatakse muutma. Panganduses on üldse oma eriline õhkkond sidekanalite osas, seega praegune olukord valdkonnas neid ei häiri. Probleemid on pigem teistes valdkondades.

Erinevalt Venemaa turust rakendatakse Euroopas SD-WAN-i aktiivselt. Neil on sidekanalid kallimad ja seetõttu toovad Euroopa ettevõtted oma tehnoloogia Venemaa osakondadesse. Venemaal on mingil määral stabiilsus, kuna sidekanalite kulud (isegi kui piirkond on 25 korda kallim kui keskus) näivad täiesti normaalsed ja ei tekita küsimusi. Aastast aastasse eraldatakse sidekanalitele automaatselt eelarve.

Siin on näide globaalsest praktikast, kus ettevõte säästis SD-WAN-i kaudu Ciscolt aega ja raha.

On selline ettevõte nagu National Instruments. Teatud hetkel hakkasid nad mõistma, et ülemaailmne arvutivõrgustik, mis oli saadud 88 asukoha ühendamisel, oli ebaefektiivne. Lisaks puudus ettevõttel läbilaskevõime ja GVS-i jõudlus. Ei olnud tasakaalu ettevõtte pideva kasvu ja piiratud IT-eelarve vahel.

SD-WAN aitas National Instruments vähendada MPLS-i kulusid 25% (450 000 dollari kokkuhoid 2018. aasta lõikes), suurendades läbilaskevõimet 3075% võrra.

SD-WAN-i rakendamise tulemusena sai ettevõte nutika tarkvaraga määratud võrgustiku ja keskse poliitika juhtimise, et automaatselt optimeerida liiklust ja rakenduste jõudlust. Siit — detailne juhtumiuuring.

Siin hämmastav juhtum S7 kolimisest teise büroosse, kui kõik algas raskelt, kuid huvitavalt — oli vaja ümber teha 1,5 tuhat porti. Ja siis läksid asjad valesti ning lõpuks jäid adminnid viimasteks, kellele kõik kuhjunud viivitused langesid enne tähtaega.

Loe rohkem inglise keeles:

• American Banker: Fifth Third investeerib 5-aastasesse võrguuuendusse SD-WAN-iga .
• Cloud SD-WAN edusammude ehitamine Kochis.
• McKessoni SD-WAN-i tee säästude poole .
• SD-WAN-i jaotuse PoC & segmenteerimine: Gap Stores.
• Ja siin on globaalne Cisco uuring maailmas toimuvate võrgutrendide kohta.

Venekeeles:

• CNewsis.
• Kuidas me rakendasime SD-Access'i ja miks see vajalik oli.
• Cisco ACI võrgufabrik andmekeskusele — abi administraatorile.
• Jõuline kanal programmipõhiste SD-WAN-võrkude baasil: lahendame marsruutide valiku probleemid.
• Minu e-post, kui teil on küsimusi või soovite oma ülesandeid meie stendil proovida, on mkazakov@croc.ru.

Allikas: habr.com