हमने मास्को कार्यालय में हुआवेई पर एक नया नेटवर्क कैसे डिजाइन और कार्यान्वित किया, भाग 1

आज मैं आपको बताऊंगा कि हमारी कंपनी के लिए एक नया आंतरिक नेटवर्क बनाने का विचार कैसे आया और इसे कैसे लागू किया गया। प्रबंधन की स्थिति यह है कि आपको अपने लिए भी वही पूर्ण प्रोजेक्ट करने की ज़रूरत है जो क्लाइंट के लिए है। यदि हम इसे अपने लिए अच्छा करते हैं, तो हम ग्राहक को आमंत्रित कर सकते हैं और दिखा सकते हैं कि जो हम उन्हें देते हैं वह कितनी अच्छी तरह काम करता है और काम करता है। इसलिए, हमने पूर्ण उत्पादन चक्र का उपयोग करते हुए, मास्को कार्यालय के लिए एक नए नेटवर्क की अवधारणा के विकास पर बहुत गहनता से विचार किया: विभागीय आवश्यकताओं का विश्लेषण → तकनीकी समाधान का चयन → डिजाइन → कार्यान्वयन → परीक्षण। तो चलिए शुरू करते हैं.

एक तकनीकी समाधान का चयन: उत्परिवर्ती अभयारण्य

एक जटिल स्वचालित प्रणाली पर काम करने की प्रक्रिया वर्तमान में GOST 34.601-90 "स्वचालित सिस्टम" में सबसे अच्छी तरह वर्णित है। सृजन के चरण”, इसलिए हमने इसके अनुसार काम किया। और पहले से ही आवश्यकताओं के निर्माण और अवधारणा के विकास के चरणों में, हमें पहली कठिनाइयों का सामना करना पड़ा। विभिन्न प्रोफ़ाइलों के संगठन - बैंक, बीमा कंपनियाँ, सॉफ़्टवेयर डेवलपर, आदि - अपने कार्यों और मानकों के लिए, उन्हें कुछ प्रकार के नेटवर्क की आवश्यकता होती है, जिनकी विशिष्टताएँ स्पष्ट और मानकीकृत होती हैं। हालाँकि, यह हमारे साथ काम नहीं करेगा।

क्यों?

जेट इन्फोसिस्टम्स एक बड़ी विविधीकृत आईटी कंपनी है। साथ ही, हमारा आंतरिक सहायता विभाग छोटा (लेकिन गौरवान्वित) है, यह बुनियादी सेवाओं और प्रणालियों की कार्यक्षमता सुनिश्चित करता है। कंपनी में कई डिवीजन शामिल हैं जो अलग-अलग कार्य करते हैं: ये कई शक्तिशाली आउटसोर्सिंग टीमें हैं, और बिजनेस सिस्टम के इन-हाउस डेवलपर्स, और सूचना सुरक्षा, और कंप्यूटिंग सिस्टम के आर्किटेक्ट हैं - सामान्य तौर पर, जो कोई भी हो। तदनुसार, उनके कार्य, प्रणालियाँ और सुरक्षा नीतियाँ भी भिन्न-भिन्न हैं। जैसा कि अपेक्षित था, आवश्यकताओं के विश्लेषण और मानकीकरण की प्रक्रिया में कठिनाइयाँ पैदा हुईं।

उदाहरण के लिए, यहां विकास विभाग है: इसके कर्मचारी बड़ी संख्या में ग्राहकों के लिए कोड लिखते हैं और परीक्षण करते हैं। अक्सर परीक्षण वातावरण को शीघ्रता से व्यवस्थित करने की आवश्यकता होती है, और स्पष्ट रूप से कहें तो, प्रत्येक परियोजना के लिए आवश्यकताओं को तैयार करना, संसाधनों का अनुरोध करना और सभी आंतरिक नियमों के अनुसार एक अलग परीक्षण वातावरण बनाना हमेशा संभव नहीं होता है। यह अजीब स्थितियों को जन्म देता है: एक दिन आपके विनम्र सेवक ने डेवलपर्स के कमरे में देखा और टेबल के नीचे 20 डेस्कटॉप का एक ठीक से काम करने वाला Hadoop क्लस्टर पाया, जो बेवजह एक सामान्य नेटवर्क से जुड़ा था। मुझे नहीं लगता कि यह स्पष्ट करने लायक है कि कंपनी के आईटी विभाग को इसके अस्तित्व के बारे में पता नहीं था। यह परिस्थिति, कई अन्य लोगों की तरह, इस तथ्य के लिए जिम्मेदार थी कि परियोजना के विकास के दौरान, "उत्परिवर्ती रिजर्व" शब्द का जन्म हुआ, जो लंबे समय से पीड़ित कार्यालय बुनियादी ढांचे की स्थिति का वर्णन करता है।

या यहाँ एक और उदाहरण है. समय-समय पर, एक विभाग के भीतर एक परीक्षण बेंच स्थापित की जाती है। जीरा और कॉन्फ्लुएंस का यही मामला था, जिनका उपयोग सॉफ्टवेयर डेवलपमेंट सेंटर द्वारा कुछ परियोजनाओं में सीमित सीमा तक किया गया था। कुछ समय बाद, अन्य विभागों ने इन उपयोगी संसाधनों के बारे में सीखा, उनका मूल्यांकन किया और 2018 के अंत में, जीरा और कॉन्फ्लुएंस "स्थानीय प्रोग्रामर के खिलौने" की स्थिति से "कंपनी संसाधनों" की स्थिति में चले गए। अब एक मालिक को इन प्रणालियों को सौंपा जाना चाहिए, एसएलए, पहुंच/सूचना सुरक्षा नीतियां, बैकअप नीतियां, निगरानी, ​​समस्याओं को ठीक करने के लिए रूटिंग अनुरोधों के नियमों को परिभाषित किया जाना चाहिए - सामान्य तौर पर, एक पूर्ण सूचना प्रणाली की सभी विशेषताएं मौजूद होनी चाहिए .
हमारा प्रत्येक प्रभाग एक इनक्यूबेटर भी है जो अपने उत्पाद स्वयं उगाता है। उनमें से कुछ विकास चरण में मर जाते हैं, कुछ का उपयोग हम परियोजनाओं पर काम करते समय करते हैं, जबकि अन्य जड़ें जमा लेते हैं और प्रतिकृति समाधान बन जाते हैं जिन्हें हम स्वयं उपयोग करना शुरू करते हैं और ग्राहकों को बेचते हैं। ऐसी प्रत्येक प्रणाली के लिए, अपना स्वयं का नेटवर्क वातावरण रखना वांछनीय है, जहां यह अन्य प्रणालियों के साथ हस्तक्षेप किए बिना विकसित होगा, और कुछ बिंदु पर कंपनी के बुनियादी ढांचे में एकीकृत किया जा सकता है।

विकास के अलावा, हमारे पास बहुत बड़ा है सेवा केंद्र 500 से अधिक कर्मचारियों के साथ, प्रत्येक ग्राहक के लिए टीमों का गठन किया गया। वे नेटवर्क और अन्य प्रणालियों को बनाए रखने, दूरस्थ निगरानी, ​​दावों को हल करने आदि में शामिल हैं। यानी एससी का बुनियादी ढांचा वास्तव में उस ग्राहक का बुनियादी ढांचा है जिसके साथ वे वर्तमान में काम कर रहे हैं। नेटवर्क के इस अनुभाग के साथ काम करने की ख़ासियत यह है कि हमारी कंपनी के लिए उनके वर्कस्टेशन आंशिक रूप से बाहरी और आंशिक रूप से आंतरिक हैं। इसलिए, एससी के लिए हमने निम्नलिखित दृष्टिकोण लागू किया - कंपनी इन विभागों के कार्यस्थानों को बाहरी कनेक्शन (शाखाओं और दूरस्थ उपयोगकर्ताओं के अनुरूप) के रूप में मानते हुए, संबंधित विभाग को नेटवर्क और अन्य संसाधन प्रदान करती है।

राजमार्ग डिज़ाइन: हम ऑपरेटर हैं (आश्चर्य)

सभी नुकसानों का आकलन करने के बाद, हमें एहसास हुआ कि हमें एक कार्यालय के भीतर एक दूरसंचार ऑपरेटर का नेटवर्क मिल रहा है, और हमने तदनुसार कार्य करना शुरू कर दिया।

हमने एक कोर नेटवर्क बनाया जिसकी मदद से किसी भी आंतरिक और भविष्य में बाहरी उपभोक्ता को आवश्यक सेवा प्रदान की जाती है: एल2 वीपीएन, एल3 वीपीएन या नियमित एल3 रूटिंग। कुछ विभागों को सुरक्षित इंटरनेट एक्सेस की आवश्यकता होती है, जबकि अन्य को फ़ायरवॉल के बिना स्वच्छ एक्सेस की आवश्यकता होती है, लेकिन साथ ही हमारे कॉर्पोरेट संसाधनों और कोर नेटवर्क को उनके ट्रैफ़िक से सुरक्षित रखने की आवश्यकता होती है।

हमने अनौपचारिक रूप से प्रत्येक प्रभाग के साथ "एक एसएलए का निष्कर्ष निकाला"। इसके अनुसार, उत्पन्न होने वाली सभी घटनाओं को एक निश्चित, पूर्व-सहमत अवधि के भीतर समाप्त किया जाना चाहिए। अपने नेटवर्क के लिए कंपनी की आवश्यकताएँ सख्त हो गईं। टेलीफोन और ईमेल विफलता की स्थिति में किसी घटना पर अधिकतम प्रतिक्रिया समय 5 मिनट था। सामान्य विफलताओं के दौरान नेटवर्क कार्यक्षमता को पुनर्स्थापित करने का समय एक मिनट से अधिक नहीं है।

चूँकि हमारे पास एक कैरियर-ग्रेड नेटवर्क है, आप केवल नियमों के अनुसार ही इससे जुड़ सकते हैं। सेवा इकाइयाँ नीतियाँ निर्धारित करती हैं और सेवाएँ प्रदान करती हैं। उन्हें विशिष्ट सर्वर, वर्चुअल मशीन और वर्कस्टेशन के कनेक्शन के बारे में जानकारी की भी आवश्यकता नहीं है। लेकिन साथ ही, सुरक्षा तंत्र की भी आवश्यकता है, क्योंकि एक भी कनेक्शन नेटवर्क को अक्षम नहीं करना चाहिए। यदि कोई लूप गलती से बन जाता है, तो अन्य उपयोगकर्ताओं को इस पर ध्यान नहीं देना चाहिए, यानी नेटवर्क से पर्याप्त प्रतिक्रिया आवश्यक है। कोई भी टेलीकॉम ऑपरेटर अपने कोर नेटवर्क के भीतर समान प्रतीत होने वाली जटिल समस्याओं को लगातार हल करता रहता है। यह विभिन्न आवश्यकताओं और ट्रैफ़िक वाले कई ग्राहकों को सेवा प्रदान करता है। साथ ही, विभिन्न ग्राहकों को दूसरों के ट्रैफ़िक से असुविधा का अनुभव नहीं होना चाहिए।
घर पर, हमने इस समस्या को निम्नलिखित तरीके से हल किया: हमने IS-IS प्रोटोकॉल का उपयोग करके पूर्ण अतिरेक के साथ एक बैकबोन L3 नेटवर्क बनाया। प्रौद्योगिकी के आधार पर कोर के शीर्ष पर एक ओवरले नेटवर्क बनाया गया था ईवीपीएन/वीएक्सएलएएन, एक रूटिंग प्रोटोकॉल का उपयोग करते हुए एमपी-बीजीपी. रूटिंग प्रोटोकॉल के अभिसरण को तेज करने के लिए, बीएफडी तकनीक का उपयोग किया गया था।

नेटवर्क संरचना

परीक्षणों में, इस योजना ने खुद को उत्कृष्ट दिखाया - जब कोई चैनल या स्विच डिस्कनेक्ट हो जाता है, तो अभिसरण समय 0.1-0.2 एस से अधिक नहीं होता है, न्यूनतम पैकेट खो जाते हैं (अक्सर कोई नहीं), टीसीपी सत्र फटे नहीं होते हैं, टेलीफोन पर बातचीत होती है बाधित नहीं हैं.

अंडरले परत - रूटिंग

ओवरले परत - रूटिंग

VXLAN लाइसेंस वाले Huawei CE6870 स्विच का उपयोग वितरण स्विच के रूप में किया गया था। इस डिवाइस में एक इष्टतम मूल्य/गुणवत्ता अनुपात है, जो आपको ग्राहकों को 10 Gbit/s की गति से कनेक्ट करने की अनुमति देता है, और उपयोग किए गए ट्रांसीवर के आधार पर, 40-100 Gbit/s की गति से बैकबोन से कनेक्ट करने की अनुमति देता है।

हुआवेई CE6870 स्विच

Huawei CE8850 स्विच का उपयोग कोर स्विच के रूप में किया गया था। लक्ष्य यातायात को शीघ्रता और विश्वसनीय ढंग से प्रसारित करना है। वितरण स्विच को छोड़कर कोई भी उपकरण उनसे जुड़ा नहीं है, वे VXLAN के बारे में कुछ भी नहीं जानते हैं, इसलिए 32 40/100 Gbps पोर्ट वाला एक मॉडल चुना गया, एक बुनियादी लाइसेंस के साथ जो L3 रूटिंग और IS-IS और MP-BGP के लिए समर्थन प्रदान करता है प्रोटोकॉल.

सबसे नीचे Huawei CE8850 कोर स्विच है

डिज़ाइन चरण में, टीम के भीतर उन तकनीकों के बारे में चर्चा छिड़ गई जिनका उपयोग कोर नेटवर्क नोड्स के लिए दोष-सहिष्णु कनेक्शन को लागू करने के लिए किया जा सकता है। हमारा मॉस्को कार्यालय तीन भवनों में स्थित है, हमारे पास 7 वितरण कक्ष हैं, जिनमें से प्रत्येक में दो Huawei CE6870 वितरण स्विच स्थापित किए गए थे (कई वितरण कक्षों में केवल एक्सेस स्विच स्थापित किए गए थे)। नेटवर्क अवधारणा विकसित करते समय, दो अतिरेक विकल्पों पर विचार किया गया:

• प्रत्येक क्रॉस-कनेक्शन कक्ष में वितरण स्विच को दोष-सहिष्णु स्टैक में समेकित करना। पेशेवर: सादगी और सेटअप में आसानी। नुकसान: नेटवर्क उपकरणों के फर्मवेयर ("मेमोरी लीक" और इसी तरह) में त्रुटियां होने पर पूरे स्टैक की विफलता की संभावना अधिक होती है।
• उपकरणों को वितरण स्विच से जोड़ने के लिए एम-एलएजी और एनीकास्ट गेटवे तकनीक लागू करें।

अंत में, हम दूसरे विकल्प पर सहमत हुए। इसे कॉन्फ़िगर करना कुछ अधिक कठिन है, लेकिन व्यवहार में इसने अपना प्रदर्शन और उच्च विश्वसनीयता दिखाई है।
आइए पहले अंतिम उपकरणों को वितरण स्विच से जोड़ने पर विचार करें:

पार करना

एक एक्सेस स्विच, सर्वर, या कोई अन्य उपकरण जिसके लिए दोष-सहिष्णु कनेक्शन की आवश्यकता होती है, दो वितरण स्विच में शामिल होता है। एम-एलएजी तकनीक डेटा लिंक स्तर पर अतिरेक प्रदान करती है। यह माना जाता है कि दो वितरण स्विच एक उपकरण के रूप में जुड़े उपकरण पर दिखाई देते हैं। अतिरेक और भार संतुलन LACP प्रोटोकॉल का उपयोग करके किया जाता है।

एनीकास्ट गेटवे तकनीक नेटवर्क स्तर पर अतिरेक प्रदान करती है। प्रत्येक वितरण स्विच पर काफी बड़ी संख्या में वीआरएफ कॉन्फ़िगर किए गए हैं (प्रत्येक वीआरएफ अपने स्वयं के उद्देश्यों के लिए है - "नियमित" उपयोगकर्ताओं के लिए अलग से, टेलीफोनी के लिए अलग से, विभिन्न परीक्षण और विकास वातावरणों के लिए अलग से, आदि), और प्रत्येक में वीआरएफ में कई वीएलएएन कॉन्फ़िगर हैं। हमारे नेटवर्क में, वितरण स्विच उनसे जुड़े सभी उपकरणों के लिए डिफ़ॉल्ट गेटवे हैं। वीएलएएन इंटरफेस के अनुरूप आईपी पते दोनों वितरण स्विच के लिए समान हैं। ट्रैफ़िक को निकटतम स्विच के माध्यम से रूट किया जाता है।

अब आइए वितरण स्विच को कर्नेल से जोड़ने पर नज़र डालें:
आईएस-आईएस प्रोटोकॉल का उपयोग करके नेटवर्क स्तर पर दोष सहिष्णुता प्रदान की जाती है। कृपया ध्यान दें कि स्विचों के बीच 3G की गति पर एक अलग L100 संचार लाइन प्रदान की गई है। भौतिक रूप से, यह संचार लाइन एक डायरेक्ट एक्सेस केबल है; इसे Huawei CE6870 स्विच की तस्वीर में दाईं ओर देखा जा सकता है।

एक विकल्प "ईमानदार" पूरी तरह से जुड़े डबल स्टार टोपोलॉजी को व्यवस्थित करना होगा, लेकिन, जैसा कि ऊपर उल्लेख किया गया है, हमारे पास तीन भवनों में 7 क्रॉस-कनेक्ट कमरे हैं। तदनुसार, यदि हमने "डबल स्टार" टोपोलॉजी को चुना होता, तो हमें ठीक दोगुनी "लंबी दूरी" 40G ट्रांसीवर की आवश्यकता होती। यहां बचत बहुत महत्वपूर्ण है.

VXLAN और Anycast गेटवे प्रौद्योगिकियाँ एक साथ कैसे काम करती हैं, इसके बारे में कुछ शब्द कहने की आवश्यकता है। VXLAN, विवरण में जाए बिना, यूडीपी पैकेट के अंदर ईथरनेट फ्रेम के परिवहन के लिए एक सुरंग है। वितरण स्विच के लूपबैक इंटरफेस का उपयोग VXLAN सुरंग के गंतव्य आईपी पते के रूप में किया जाता है। प्रत्येक क्रॉस-कनेक्शन में समान लूपबैक इंटरफ़ेस पते के साथ दो स्विच होते हैं, इसलिए एक पैकेट उनमें से किसी पर भी पहुंच सकता है, और एक ईथरनेट फ्रेम इससे निकाला जा सकता है।

यदि स्विच को पुनर्प्राप्त फ़्रेम के गंतव्य मैक पते के बारे में पता है, तो फ़्रेम को उसके गंतव्य तक सही ढंग से वितरित किया जाएगा। यह सुनिश्चित करने के लिए कि एक ही क्रॉस-कनेक्ट में स्थापित दोनों वितरण स्विच में एक्सेस स्विच से "आने वाले" सभी मैक पते के बारे में नवीनतम जानकारी है, एम-एलएजी तंत्र मैक एड्रेस टेबल (साथ ही एआरपी) को सिंक्रनाइज़ करने के लिए जिम्मेदार है टेबल) दोनों स्विच एम-एलएजी जोड़े पर।

वितरण स्विच के लूपबैक इंटरफेस के लिए कई मार्गों के अंडरले नेटवर्क में मौजूदगी के कारण ट्रैफ़िक संतुलन हासिल किया जाता है।

इसके बजाय एक निष्कर्ष की

जैसा कि ऊपर उल्लेख किया गया है, परीक्षण और संचालन के दौरान नेटवर्क ने उच्च विश्वसनीयता (सामान्य विफलताओं के लिए पुनर्प्राप्ति समय सैकड़ों मिलीसेकंड से अधिक नहीं है) और अच्छा प्रदर्शन दिखाया - प्रत्येक क्रॉस-कनेक्ट दो 40 Gbit/s चैनलों द्वारा कोर से जुड़ा हुआ है। हमारे नेटवर्क में एक्सेस स्विच स्टैक्ड हैं और दो 10 Gbit/s चैनलों के साथ LACP/M-LAG के माध्यम से वितरण स्विच से जुड़े हुए हैं। एक स्टैक में आमतौर पर 5 पोर्ट वाले 48 स्विच होते हैं, और प्रत्येक क्रॉस-कनेक्ट में 10 एक्सेस स्टैक वितरण से जुड़े होते हैं। इस प्रकार, बैकबोन अधिकतम सैद्धांतिक भार पर भी प्रति उपयोगकर्ता लगभग 30 Mbit/s प्रदान करता है, जो लेखन के समय हमारे सभी व्यावहारिक अनुप्रयोगों के लिए पर्याप्त है।

नेटवर्क आपको L2 और L3 दोनों के माध्यम से किसी भी मनमाने ढंग से जुड़े डिवाइस की जोड़ी को निर्बाध रूप से व्यवस्थित करने की अनुमति देता है, जो ट्रैफ़िक (जो सूचना सुरक्षा सेवा को पसंद है) और फ़ॉल्ट डोमेन (जो ऑपरेशन टीम को पसंद है) का पूर्ण अलगाव प्रदान करता है।

अगले भाग में हम आपको बताएंगे कि हम नए नेटवर्क पर कैसे माइग्रेट हुए। बने रहें!

मैक्सिम क्लोचकोव
नेटवर्क ऑडिट और जटिल परियोजना समूह के वरिष्ठ सलाहकार
नेटवर्क समाधान केंद्र
"जेट इन्फोसिस्टम्स"

स्रोत: www.habr.com