Funkcion\u00e1lis lehet\u0151s\u00e9gek \u2013 mit tud adni egy technol\u00f3gia, amit egy m\u00e1sik nem? Val\u00f3ban fontos ez?<\/li>\n<\/ul>\n<\/p>\n
Mik a tervez\u00e9si k\u00fcl\u00f6nbs\u00e9gek, \u00e9s mennyire fontosak ezek?<\/h3>\n \nMinden eml\u00edtett technol\u00f3gia m\u00f6g\u00f6tt sz\u00e1mos \"mozg\u00f3 r\u00e9sz\" \u00e1ll, amelyek k\u00fcl\u00f6nb\u00f6z\u0151 szerepet j\u00e1tszanak, \u00e9s a k\u00f6lcs\u00f6nhat\u00e1suk elvei elt\u00e9rnek egym\u00e1st\u00f3l. Att\u00f3l f\u00fcgg\u0151en, hogy mennyire megfontoltak ezek az elvek, a megold\u00e1s sk\u00e1l\u00e1zhat\u00f3s\u00e1ga, hibamentess\u00e9ge \u00e9s \u00e1ltal\u00e1nos hat\u00e9konys\u00e1ga k\u00f6zvetlen\u00fcl kapcsol\u00f3dik. <\/p>\n
Vizsg\u00e1ljuk meg r\u00e9szletesebben az architekt\u00fara k\u00fcl\u00f6nb\u00f6z\u0151 aspektusait:<\/p>\n
Adatfokk<\/b> \u2013 a megold\u00e1s azon r\u00e9sze, amely a felhaszn\u00e1l\u00f3i forgalom \u00e1tvitel\u00e9\u00e9rt felel\u0151s a forr\u00e1s \u00e9s a c\u00edmzett k\u00f6z\u00f6tt. A DMVPN \u00e9s SD-WAN alapvet\u0151en hasonl\u00f3an val\u00f3sul meg a Multipoint GRE alagutakon alapul\u00f3\u8def\u7531\u5668kon. A k\u00fcl\u00f6nbs\u00e9g abban rejlik, hogy mi k\u00e9pezi a sz\u00fcks\u00e9ges alag\u00fatparam\u00e9terek k\u00e9szlet\u00e9t:<\/p>\n\nbe. DMVPN\/PfR<\/b> \u2013 ez kiz\u00e1r\u00f3lag egy k\u00e9tszint\u0171 hierarchia, amely \u00abCsillag\u00bb vagy Hub-n-Spoke t\u00edpus\u00fa topol\u00f3gi\u00e1t k\u00f6vet. A hub \u00e1llom\u00e1s statikus be\u00e1ll\u00edt\u00e1sa \u00e9s a spoke \u00e1llom\u00e1s statikus hozz\u00e1rendel\u00e9se a hubhoz k\u00f6telez\u0151, valamint a data-plane \u00f6sszekapcsol\u00e1s\u00e1nak l\u00e9trehoz\u00e1s\u00e1hoz az NHRP protokollon kereszt\u00fcl t\u00f6rt\u00e9n\u0151 k\u00f6lcs\u00f6nhat\u00e1s. Ennek k\u00f6vetkezt\u00e9ben jelent\u0151sen megnehez\u00fclnek a hubon v\u00e9gzett m\u00f3dos\u00edt\u00e1sok<\/b>, p\u00e9ld\u00e1ul \u00faj WAN-csatorn\u00e1k m\u00f3dos\u00edt\u00e1sa\/csatlakoztat\u00e1sa vagy a megl\u00e9v\u0151 param\u00e9terek v\u00e1ltoz\u00e1sa.<\/li>\nbe. SD-WAN<\/b> \u2013 ez egy teljesen dinamikus modell a telep\u00edtett alagutak param\u00e9tereinek felfedez\u00e9s\u00e9re, amely a control-plane (OMP protokoll) \u00e9s az orchestration-plane (kapcsolat a kontroller vBond kontrollerekkel a kontroller felfedez\u00e9s\u00e9nek \u00e9s NAT traversali feladatainak ell\u00e1t\u00e1s\u00e1ra) t\u00e1mogat\u00e1s\u00e1val m\u0171k\u00f6dik. Ek\u00f6zben b\u00e1rmilyen, ak\u00e1r hierarchikus topol\u00f3gia is be\u00e1ll\u00edthat\u00f3. Az alag\u00fattal rendelkez\u0151 telep\u00edtett topol\u00f3gi\u00e1n bel\u00fcl rugalmas logikai topol\u00f3giai be\u00e1ll\u00edt\u00e1sra van lehet\u0151s\u00e9g minden egyes VPN(VRF)-ben.<\/li>\n<\/ul>\n Control-plane<\/b> \u2013 a megold\u00e1s komponensei k\u00f6z\u00f6tti inform\u00e1ci\u00f3cser\u00e9\u00e9rt, sz\u0171r\u00e9s\u00e9rt \u00e9s a routing \u00e9s egy\u00e9b inform\u00e1ci\u00f3k m\u00f3dos\u00edt\u00e1s\u00e1\u00e9rt felel\u0151s funkci\u00f3k. <\/p>\n\nbe. DMVPN\/PfR<\/b> \u2013 kiz\u00e1r\u00f3lag a hub \u00e9s spoke\u8def\u7531\u5668ek k\u00f6z\u00f6tt v\u00e9gzik. A spoke-ek k\u00f6z\u00f6tti k\u00f6zvetlen routing inform\u00e1ci\u00f3csere lehetetlen. Ennek k\u00f6vetkezm\u00e9nyek\u00e9nt a control-plane \u00e9s a data-plane m\u0171k\u00f6d\u00e9s\u00e9hez akt\u00edv hub sz\u00fcks\u00e9ges.<\/b>, ami tov\u00e1bbi magas rendelkez\u00e9sre \u00e1ll\u00f3s\u00e1gi k\u00f6vetelm\u00e9nyeket t\u00e1maszt a Hub-bal szemben, amelyek nem mindig teljes\u00edthet\u0151k.<\/li>\nbe. SD-WAN<\/b> \u2013 a control-plane soha nem val\u00f3sul meg k\u00f6zvetlen\u00fcl a routerek k\u00f6z\u00f6tt \u2013 az interakci\u00f3 az OMP protokoll alapj\u00e1n t\u00f6rt\u00e9nik, \u00e9s k\u00f6telez\u0151en egy k\u00fcl\u00f6n, speci\u00e1lis t\u00edpus\u00fa vSmart vez\u00e9rl\u0151n kereszt\u00fcl val\u00f3sul meg, amely lehet\u0151v\u00e9 teszi a terhel\u00e9seloszt\u00e1st, a f\u00f6ldrajzi tartal\u00e9ktervez\u00e9st \u00e9s a k\u00f6zpontos\u00edtott vez\u00e9rl\u00e9st a jelz\u00e9si forgalomban. Az OMP protokoll m\u00e1sik saj\u00e1toss\u00e1ga a jelent\u0151s vesztes\u00e9gekkel szembeni ellen\u00e1ll\u00f3s\u00e1ga \u00e9s a vez\u00e9rl\u0151kkel val\u00f3 kapcsolat sebess\u00e9g\u00e9t\u0151l val\u00f3 f\u00fcggetlens\u00e9ge (\u00e9sszer\u0171 hat\u00e1rokon bel\u00fcl, term\u00e9szetesen). Ez lehet\u0151v\u00e9 teszi a SD-WAN vez\u00e9rl\u0151k elhelyez\u00e9s\u00e9t nyilv\u00e1nos vagy mag\u00e1n felh\u0151kben interneten val\u00f3 hozz\u00e1f\u00e9r\u00e9ssel.<\/li>\n<\/ul>\n Policy-plane<\/b> \u2013 a megold\u00e1s azon r\u00e9sze, amely a forgalomkezel\u00e9si politik\u00e1k meghat\u00e1roz\u00e1s\u00e1\u00e9rt, terjeszt\u00e9s\u00e9\u00e9rt \u00e9s alkalmaz\u00e1s\u00e1\u00e9rt felel\u0151s egy elosztott h\u00e1l\u00f3zaton.<\/p>\n\nDMVPN <\/b>\u2013 a min\u0151s\u00e9gbiztos\u00edt\u00e1si (QoS) politik\u00e1k \u00e1ltal gyakorlatilag korl\u00e1tozott, amelyeket egyedileg \u00e1ll\u00edtanak be minden routeren CLI-n vagy Prime Infrastructure sablonok r\u00e9v\u00e9n.<\/li>\nDMVPN\/PfR<\/b> \u2013 a PfR politik\u00e1k k\u00f6zponti routeren, a Master Controller-en (MC) kereszt\u00fcl j\u00f6nnek l\u00e9tre CLI-n, majd automatikusan eloszt\u00e1sra ker\u00fclnek a fi\u00f3k MC-hez. Ebben az esetben a politik\u00e1k terjeszt\u00e9s\u00e9re ugyanezeket az \u00e1tviteli utakat haszn\u00e1lj\u00e1k, mint a data-plane-n\u00e9l. Nincs lehet\u0151s\u00e9g a politik\u00e1k, \u00fatvonalinform\u00e1ci\u00f3k \u00e9s felhaszn\u00e1l\u00f3i adatok cser\u00e9j\u00e9nek sz\u00e9tv\u00e1laszt\u00e1s\u00e1ra. A politik\u00e1k terjeszt\u00e9se megk\u00f6veteli az IP-kapcsolat megl\u00e9t\u00e9t a Hub \u00e9s Spoke k\u00f6z\u00f6tt. Ebben az esetben az MC funkci\u00f3 sz\u00fcks\u00e9g eset\u00e9n \u00f6sszevonhat\u00f3 a DMVPN routerrel. Lehet\u0151s\u00e9g van (de nem k\u00f6telez\u0151) Prime Infrastructure sablonok haszn\u00e1lat\u00e1ra a politik\u00e1k k\u00f6zpontos\u00edtott kialak\u00edt\u00e1s\u00e1hoz. Fontos jellemz\u0151 \u2013 a politika glob\u00e1lisan, egys\u00e9gesen alakul ki az eg\u00e9sz h\u00e1l\u00f3zaton \u2013 egy\u00e9ni politik\u00e1k a k\u00fcl\u00f6n szegmensek sz\u00e1m\u00e1ra nem t\u00e1mogatottak.<\/b>.<\/li>\nSD-WAN<\/b> A forgalomkezel\u00e9si \u00e9s szolg\u00e1ltat\u00e1smin\u0151s\u00e9gi politik\u00e1k k\u00f6zpontilag, a Cisco vManage grafikus fel\u00fclet\u00e9n kereszt\u00fcl hat\u00e1rozhat\u00f3k meg, amely az interneten kereszt\u00fcl is el\u00e9rhet\u0151 (sz\u00fcks\u00e9g eset\u00e9n). K\u00f6zvetlen\u00fcl vagy k\u00f6zvetve a vSmart vez\u00e9rl\u0151k\u00f6n kereszt\u00fcl terjesztik (a politika t\u00edpus\u00e1t\u00f3l f\u00fcgg\u0151en). Nem f\u00fcggenek a routerek k\u00f6z\u00f6tti data-plane kapcsol\u00f3d\u00e1st\u00f3l, mivel a vez\u00e9rl\u0151 \u00e9s a router k\u00f6z\u00f6tti forgalom\u00e1tviteli utakat haszn\u00e1lj\u00e1k.\n A k\u00fcl\u00f6nb\u00f6z\u0151 h\u00e1l\u00f3zati szegmensek sz\u00e1m\u00e1ra rugalmas politik\u00e1k kialak\u00edt\u00e1sa lehets\u00e9ges \u2013 a politika alkalmaz\u00e1si k\u00f6re sz\u00e1mos egyedi azonos\u00edt\u00f3 \u00e1ltal meghat\u00e1rozott, bele\u00e9rtve a fi\u00f3k sz\u00e1m\u00e1t, az alkalmaz\u00e1s t\u00edpus\u00e1t, a forgalom ir\u00e1ny\u00e1t stb.\n<\/li>\n<\/ul>\n
Orchestration-plane<\/b> \u2013 olyan mechanizmusok, amelyek lehet\u0151v\u00e9 teszik a komponensek sz\u00e1m\u00e1ra, hogy dinamikusan felfedezz\u00e9k egym\u00e1st, be\u00e1ll\u00edts\u00e1k \u00e9s koordin\u00e1lj\u00e1k a tov\u00e1bbi k\u00f6lcs\u00f6nhat\u00e1st.<\/p>\n\nbe. DMVPN\/PfR<\/b> A routerek k\u00f6lcs\u00f6n\u00f6s felfedez\u00e9se a Hub eszk\u00f6z\u00f6k statikus konfigur\u00e1ci\u00f3j\u00e1n \u00e9s a Spoke eszk\u00f6z\u00f6k megfelel\u0151 be\u00e1ll\u00edt\u00e1s\u00e1n alapul. Dinamikus felfedez\u00e9s csak a Spoke eset\u00e9ben t\u00f6rt\u00e9nik, amely t\u00e1j\u00e9koztatja a Hub eszk\u00f6zt a csatlakoz\u00e1si param\u00e9tereir\u0151l, ami el\u0151re konfigur\u00e1lva van a Spoke konfigur\u00e1ci\u00f3j\u00e1ban. IP-kapcsolat n\u00e9lk\u00fcl a Spoke \u00e9s legal\u00e1bb egy Hub k\u00f6z\u00f6tt nem lehet l\u00e9trehozni sem data-plane-t, sem control-plane-t.<\/b><\/li>\nbe. SD-WAN<\/b> A megold\u00e1s komponenseinek orkestr\u00e1ci\u00f3ja a vBond vez\u00e9rl\u0151 haszn\u00e1lat\u00e1val t\u00f6rt\u00e9nik, amelyhez minden komponensnek (routereknek \u00e9s vManage\/vSmart vez\u00e9rl\u0151knek) el\u0151zetesen IP-kapcsolatot kell l\u00e9trehozniuk.\n Kezdetben a komponensek nem ismerik egym\u00e1s csatlakoz\u00e1si param\u00e9tereit \u2013 ehhez sz\u00fcks\u00e9g\u00fck van egy k\u00f6zvet\u00edt\u0151 orkestr\u00e1torra, a vBond-ra. Az alapelv a k\u00f6vetkez\u0151: minden komponens a kezdeti f\u00e1zisban csak a vBond-hoz val\u00f3 csatlakoz\u00e1si param\u00e9tereket ismeri meg (automatikusan vagy statikusan), majd a vBond t\u00e1j\u00e9koztatja a routert a vManage \u00e9s vSmart vez\u00e9rl\u0151kr\u0151l (amelyeket kor\u00e1bban felfedeztek), ami lehet\u0151v\u00e9 teszi az \u00f6sszes sz\u00fcks\u00e9ges jelz\u00e9si kapcsolat automatikus l\u00e9trehoz\u00e1s\u00e1t. <\/p>\n
A k\u00f6vetkez\u0151 l\u00e9p\u00e9sben az \u00faj router az OMP-cser\u00e9n kereszt\u00fcl t\u00e1j\u00e9koz\u00f3dik a t\u00f6bbi routerr\u0151l a h\u00e1l\u00f3zatban a vSmart vez\u00e9rl\u0151t\u0151l. \u00cdgy a router, amely kezdetben semmit sem tud a h\u00e1l\u00f3zat param\u00e9tereir\u0151l, k\u00e9pes teljesen automatikusan felfedezni \u00e9s csatlakozni a vez\u00e9rl\u0151kh\u00f6z, majd szint\u00e9n automatikusan felfedezni \u00e9s kialak\u00edtani a kapcsolatot a t\u00f6bbi routerrel. E k\u00f6zben a csatlakoz\u00e1sok param\u00e9terei minden komponens eset\u00e9ben kezdetben ismeretlenek, \u00e9s a m\u0171k\u00f6d\u00e9s sor\u00e1n v\u00e1ltozhatnak.\n<\/li>\n<\/ul>\n
Menedszment s\u00edk<\/b> \u2013 a megold\u00e1s azon r\u00e9sze, amely k\u00f6zpontos\u00edtott kezel\u00e9st \u00e9s figyel\u00e9st biztos\u00edt.<\/p>\n\nDMVPN\/PfR<\/b> \u2013 szpecializ\u00e1lt menedzsment s\u00edk megold\u00e1s nem \u00e1ll rendelkez\u00e9sre. Alapvet\u0151 automatiz\u00e1l\u00e1s \u00e9s figyel\u00e9s c\u00e9lj\u00e1ra haszn\u00e1lhat\u00f3k olyan term\u00e9kek, mint a Cisco Prime Infrastructure. Minden router lehet\u0151s\u00e9get biztos\u00edt parancssoros kezel\u00e9sre (CLI). Integr\u00e1ci\u00f3k k\u00fcls\u0151 rendszerekkel API-n kereszt\u00fcl nem \u00e1llnak rendelkez\u00e9sre.<\/b><\/li>\nSD-WAN<\/b> \u2013 minden szok\u00e1sos interakci\u00f3 \u00e9s figyel\u00e9s k\u00f6zpontos\u00edtva, a vManage vez\u00e9rl\u0151 grafikus fel\u00fclet\u00e9n kereszt\u00fcl t\u00f6rt\u00e9nik. A megold\u00e1s minden lehet\u0151s\u00e9ge, kiv\u00e9tel n\u00e9lk\u00fcl, el\u00e9rhet\u0151 a vManage-en kereszt\u00fcl, valamint egy teljesen dokument\u00e1lt REST API interf\u00e9sz k\u00f6nyvt\u00e1ron kereszt\u00fcl.\n A vManage-ben tal\u00e1lhat\u00f3 SD-WAN h\u00e1l\u00f3zat \u00f6sszes be\u00e1ll\u00edt\u00e1sa k\u00e9t alapvet\u0151 konstruktra vonatkozik \u2013 az eszk\u00f6zmint\u00e1k (Device Template) l\u00e9trehoz\u00e1s\u00e1ra \u00e9s a politik\u00e1k kialak\u00edt\u00e1s\u00e1ra, amelyek meghat\u00e1rozz\u00e1k a h\u00e1l\u00f3zat m\u0171k\u00f6d\u00e9s\u00e9t \u00e9s a forgalomkezel\u00e9s logik\u00e1j\u00e1t. A vManage, az adminisztr\u00e1tor \u00e1ltal meghat\u00e1rozott politik\u00e1t k\u00f6zvet\u00edtve, automatikusan kiv\u00e1lasztja, hogy milyen v\u00e1ltoztat\u00e1sokra \u00e9s mely egyes eszk\u00f6z\u00f6k\/v\u00e9delem eset\u00e9ben van sz\u00fcks\u00e9g, ami jelent\u0151sen n\u00f6veli a megold\u00e1s hat\u00e9konys\u00e1g\u00e1t \u00e9s sk\u00e1l\u00e1zhat\u00f3s\u00e1g\u00e1t.<\/p>\n
A vManage fel\u00fclet\u00e9n nemcsak a Cisco SD-WAN megold\u00e1s be\u00e1ll\u00edt\u00e1sa \u00e9rhet\u0151 el, hanem az \u00f6sszes komponens \u00e1llapot\u00e1nak teljes k\u00f6r\u0171 figyel\u00e9se is, bele\u00e9rtve az egyes alagutak aktu\u00e1lis metrik\u00e1inak \u00e1llapot\u00e1t \u00e9s k\u00fcl\u00f6nb\u00f6z\u0151 alkalmaz\u00e1sok DPI elemz\u00e9sen alapul\u00f3 haszn\u00e1lati statisztik\u00e1j\u00e1t.<\/p>\n
B\u00e1r a kommunik\u00e1ci\u00f3 centraliz\u00e1lt, minden komponens (v\u00e9gpontok \u00e9s routerek) teljes funkci\u00f3s parancssori fel\u00fclettel (CLI) rendelkezik, amely sz\u00fcks\u00e9ges a bevezet\u00e9si szakaszban vagy rendk\u00edv\u00fcli helyzetekben, helyi diagnosztik\u00e1ra. Norm\u00e1l \u00fczemm\u00f3dban (amikor jelz\u00e9si csatorna \u00e1ll rendelkez\u00e9sre a komponensek k\u00f6z\u00f6tt) a routereken a parancssor csak diagnosztikai c\u00e9lokra el\u00e9rhet\u0151, \u00e9s nem lehet helyben v\u00e1ltoztat\u00e1sokat eszk\u00f6z\u00f6lni, ami garant\u00e1lja a helyi biztons\u00e1got \u00e9s a v\u00e1ltoz\u00e1sok egyetlen forr\u00e1s\u00e1t az ilyen h\u00e1l\u00f3zatok eset\u00e9ben \u2013 vManage.<\/li>\n<\/ul>\n
\nIntegr\u00e1lt biztons\u00e1g<\/b> \u2013 ez nemcsak a felhaszn\u00e1l\u00f3i adatok v\u00e9delm\u00e9r\u0151l sz\u00f3l az ny\u00edlt csatorn\u00e1kon t\u00f6rt\u00e9n\u0151 \u00e1tvitel sor\u00e1n, hanem a v\u00e1lasztott technol\u00f3gi\u00e1n alapul\u00f3 WAN-h\u00e1l\u00f3zat \u00e1ltal\u00e1nos v\u00e9detts\u00e9g\u00e9r\u0151l is.<\/p>\n\nbe. DMVPN\/PfR<\/b> Biztos\u00edtott a felhaszn\u00e1l\u00f3i adatok \u00e9s a jelprotokollok titkos\u00edt\u00e1sa. Bizonyos routermodellek haszn\u00e1lata eset\u00e9n a t\u0171zfal funkci\u00f3i, forgalomfigyel\u0151 rendszer (IPS\/IDS) is rendelkez\u00e9sre \u00e1llnak. Lehet\u0151s\u00e9g van a telephelyi h\u00e1l\u00f3zatok szegment\u00e1l\u00e1s\u00e1ra VRF haszn\u00e1lat\u00e1val. Van lehet\u0151s\u00e9g a vez\u00e9rl\u0151 protokollok hiteles\u00edt\u00e9s\u00e9re (egyfaktoros).\n Ez\u00e9rt a t\u00e1voli router alap\u00e9rtelmez\u00e9s szerint a h\u00e1l\u00f3zat bizalmas elem\u00e9nek sz\u00e1m\u00edt \u2013 azaz nem sz\u00e1molnak \u00e9s nem is veszik figyelembe a fizikai kompromitt\u00e1l\u00e1s eset\u00e9t, valamint a jogosulatlan hozz\u00e1f\u00e9r\u00e9s lehet\u0151s\u00e9g\u00e9t. Nincs k\u00e9tt\u00e9nyez\u0151s azonos\u00edt\u00e1s a megold\u00e1s komponensei k\u00f6z\u00f6tt, ami egy f\u00f6ldrajzilag elosztott h\u00e1l\u00f3zat eset\u00e9n s\u00falyos tov\u00e1bbi kock\u00e1zatokat jelenthet.<\/b> <\/li>\nbe. SD-WAN<\/b> A DMVPN anal\u00f3gi\u00e1j\u00e1nak megfelel\u0151en biztos\u00edtott a felhaszn\u00e1l\u00f3i adatok titkos\u00edt\u00e1sa, azonban jelent\u0151sen kiterjesztett h\u00e1l\u00f3zatbiztons\u00e1gi funkci\u00f3kkal \u00e9s L3\/VRF szegment\u00e1l\u00e1ssal (MSS, IPS\/IDS, URL-sz\u0171r\u00e9s, DNS-sz\u0171r\u00e9s, AMP\/TG, SASE, TLS\/SSL proxy stb.). A titkos\u00edt\u00e1si kulcsok cser\u00e9je hat\u00e9konyabban t\u00f6rt\u00e9nik a vSmart vez\u00e9rl\u0151k\u00f6n kereszt\u00fcl (nem k\u00f6zvetlen\u00fcl), el\u0151re meg\u00e1llap\u00edtott, DTLS\/TLS titkos\u00edt\u00e1ssal v\u00e9dett jelcsatorn\u00e1kon, amelyek biztos\u00edtj\u00e1k a biztons\u00e1gos cser\u00e9t \u00e9s a megold\u00e1s jobb sk\u00e1l\u00e1zhat\u00f3s\u00e1g\u00e1t ak\u00e1r t\u00f6bb t\u00edzezer eszk\u00f6z egy h\u00e1l\u00f3zatban.\n Minden jelz\u0151 kapcsolat (vez\u00e9rl\u0151-vez\u00e9rl\u0151, vez\u00e9rl\u0151-ir\u00e1ny\u00edt\u00f3) szint\u00e9n DTLS\/TLS alap\u00fa v\u00e9delemmel rendelkezik. Az ir\u00e1ny\u00edt\u00f3k gy\u00e1rt\u00e1skor biztons\u00e1gi tan\u00fas\u00edtv\u00e1nyokkal vannak ell\u00e1tva, amelyeket cser\u00e9lni vagy meg\u00faj\u00edtani lehet. A k\u00e9tt\u00e9nyez\u0151s azonos\u00edt\u00e1s el\u00e9r\u00e9se \u00e9rdek\u00e9ben k\u00f6telez\u0151 \u00e9s egyidej\u0171leg teljes\u00edteni kell k\u00e9t felt\u00e9telt ahhoz, hogy az ir\u00e1ny\u00edt\u00f3\/vez\u00e9rl\u0151 m\u0171k\u00f6d\u00e9se SD-WAN h\u00e1l\u00f3zatban lehets\u00e9ges legyen:<\/p>\n
\n\u00c9rv\u00e9nyes biztons\u00e1gi tan\u00fas\u00edtv\u00e1ny<\/li>\n Az adminisztr\u00e1tor tudatos \u00e9s kifejezett hozz\u00e1j\u00e1rul\u00e1sa az egyes komponensek \"feh\u00e9r list\u00e1ra\" \u00e1ll\u00edt\u00e1s\u00e1hoz.<\/li>\n<\/ul>\n\n<\/li>\n<\/ul>\n
Funkcion\u00e1lis elt\u00e9r\u00e9sek az SD-WAN \u00e9s a DMVPN\/PfR k\u00f6z\u00f6tt<\/h2>\n \nA funkcion\u00e1lis elt\u00e9r\u00e9sek megvitat\u00e1sakor fontos megjegyezni, hogy sokuk az architektur\u00e1lis elt\u00e9r\u00e9sek folytat\u00e1s\u00e1nak tekinthet\u0151 \u2013 nem titok, hogy a megold\u00e1s architekt\u00far\u00e1j\u00e1nak kialak\u00edt\u00e1sakor a fejleszt\u0151k azt a lehet\u0151s\u00e9get tartj\u00e1k szem el\u0151tt, amelyeket v\u00e9gs\u0151 soron el szeretn\u00e9nek \u00e9rni. Vizsg\u00e1ljuk meg a k\u00e9t technol\u00f3gia legfontosabb k\u00fcl\u00f6nbs\u00e9geit.<\/p>\n
AppQ (Application Quality) \u2013 az \u00fczleti alkalmaz\u00e1sok forgalm\u00e1nak min\u0151s\u00e9g\u00e9nek biztos\u00edt\u00e1sa \u00e9rdek\u00e9ben tett funkci\u00f3k<\/h3>\n \nA megfontolt technol\u00f3gi\u00e1k kulcsfontoss\u00e1g\u00fa funkci\u00f3i az \u00fczleti szempontb\u00f3l kritikus alkalmaz\u00e1sok felhaszn\u00e1l\u00f3i \u00e9lm\u00e9ny\u00e9nek jav\u00edt\u00e1s\u00e1ra ir\u00e1nyulnak egy elosztott h\u00e1l\u00f3zatban. Ez k\u00fcl\u00f6n\u00f6sen fontos, ha az infrastrukt\u00fara egy r\u00e9sze nem ellen\u0151rz\u00f6tt IT \u00e1ltal, vagy ak\u00e1r nem garant\u00e1lja az adatok sikeres tov\u00e1bb\u00edt\u00e1s\u00e1t.<\/p>\n
A DMVPN \u00f6nmag\u00e1ban nem biztos\u00edt ilyen mechanizmusokat. A klasszikus DMVPN h\u00e1l\u00f3zatban a legjobb, amit tehet\u00fcnk, az az, hogy az outgoing forgalmat alkalmaz\u00e1sok szerint oszt\u00e1lyozzuk \u00e9s priorit\u00e1st adunk neki a WAN-csatorn\u00e1ra t\u00f6rt\u00e9n\u0151 tov\u00e1bb\u00edt\u00e1s sor\u00e1n. A DMVPN alag\u00fat v\u00e1laszt\u00e1sa ebben az esetben csak annak el\u00e9rhet\u0151s\u00e9g\u00e9n \u00e9s a routing protokollok teljes\u00edtm\u00e9ny\u00e9n m\u00falik. Ez nem veszi figyelembe az \u00fat\/alag\u00fat \u00e1tj\u00e1rhat\u00f3s\u00e1g\u00e1t \u00e9s annak esetleges r\u00e9szleges roml\u00e1s\u00e1t a h\u00e1l\u00f3zati alkalmaz\u00e1sok \u2013 k\u00e9s\u00e9s, k\u00e9s\u00e9s variabilit\u00e1s (jitter) \u00e9s vesztes\u00e9g (%) szempontj\u00e1b\u00f3l. Ez\u00e9rt a klasszikus DMVPN \u00e9s az SD-WAN k\u00f6zvetlen \u00f6sszehasonl\u00edt\u00e1sa az AppQ probl\u00e9m\u00e1k megold\u00e1s\u00e1ban teljesen \u00e9rtelmetlen \u2013 a DMVPN nem tudja ezt a feladatot megoldani. Ha pedig a Cisco Performance Routing (PfR) technol\u00f3gia is felmer\u00fcl, a helyzet megv\u00e1ltozik, \u00e9s az \u00f6sszehasonl\u00edt\u00e1s a Cisco SD-WAN-nal \u00e9sszer\u0171bb\u00e9 v\u00e1lik. <\/p>\n
Miel\u0151tt \u00e1tt\u00e9rn\u00e9nk a k\u00fcl\u00f6nbs\u00e9gek megbesz\u00e9l\u00e9s\u00e9re, r\u00f6viden n\u00e9zz\u00fck meg, miben hasonl\u00edtanak a technol\u00f3gi\u00e1k. Teh\u00e1t mindk\u00e9t technol\u00f3gia:<\/p>\n
\nrendelkezik egy mechanizmussal, amely lehet\u0151v\u00e9 teszi a telep\u00edtett alag\u00fat \u00e1llapot\u00e1nak dinamikus \u00e9rt\u00e9kel\u00e9s\u00e9t meghat\u00e1rozott metrik\u00e1k \u2013 legal\u00e1bbis a k\u00e9sleltet\u00e9s, a k\u00e9sleltet\u00e9s vari\u00e1l\u00f3d\u00e1sa \u00e9s a csomagvesztes\u00e9g (%) \u2013 alapj\u00e1n.<\/li>\n haszn\u00e1l egy bizonyos eszk\u00f6zk\u00e9szletet a forgalomir\u00e1ny\u00edt\u00e1si szab\u00e1lyok (politik\u00e1k) l\u00e9trehoz\u00e1s\u00e1hoz, terjeszt\u00e9s\u00e9hez \u00e9s alkalmaz\u00e1s\u00e1hoz, figyelembe v\u00e9ve a kulcsfontoss\u00e1g\u00fa alagutak \u00e1llapot\u00e1nak m\u00e9r\u00e9sekor kapott eredm\u00e9nyeket.<\/li>\n kategoriz\u00e1lja az alkalmaz\u00e1sok forgalm\u00e1t az OSI modell L3-L4 (DSCP) szintein vagy L7 alkalmaz\u00e1smint\u00e1zatok alapj\u00e1n, a routerbe integr\u00e1lt DPI mechanizmusok seg\u00edts\u00e9g\u00e9vel.<\/li>\n lehet\u0151v\u00e9 teszi a jelent\u0151s alkalmaz\u00e1sok sz\u00e1m\u00e1ra a megengedett metrik\u00e1k k\u00fcsz\u00f6b\u00e9rt\u00e9keinek meghat\u00e1roz\u00e1s\u00e1t, az alap\u00e9rtelmezett forgalom\u00e1tviteli szab\u00e1lyokat, valamint a forgalom \u00e1tir\u00e1ny\u00edt\u00e1si szab\u00e1lyait a k\u00fcsz\u00f6b\u00e9rt\u00e9kek meghalad\u00e1sakor.<\/li>\n a GRE\/IPSec forgalom kapszul\u00e1z\u00e1s\u00e1n\u00e1l m\u00e1r az ipar\u00e1gban elterjedt mechanizmust alkalmaznak, amely lehet\u0151v\u00e9 teszi a bels\u0151 DSCP c\u00edmk\u00e9k \u00e1tvitel\u00e9t a k\u00fcls\u0151 GRE\/IPSEC csomagfejl\u00e9cbe, \u00edgy szinkroniz\u00e1lja a QoS politik\u00e1kat a szervezet \u00e9s a szolg\u00e1ltat\u00f3 k\u00f6z\u00f6tt (megfelel\u0151 SLA eset\u00e9n).<\/li>\n<\/ul>\n\n
Hogyan k\u00fcl\u00f6nb\u00f6znek a SD-WAN \u00e9s a DMVPN\/PfR \u00e1tfog\u00f3 metrik\u00e1inak \u00e9rt\u00e9kel\u00e9si mechanizmusai?<\/h3>\n \nDMVPN\/PfR <\/b><\/p>\n\nA szok\u00e1sos alag\u00fat \u00e1llapotmetrik\u00e1k \u00e9rt\u00e9kel\u00e9s\u00e9re akt\u00edv \u00e9s passz\u00edv szoftver\u00e9rz\u00e9kel\u0151k (Probes) egyar\u00e1nt haszn\u00e1lhat\u00f3k. Az akt\u00edvak a felhaszn\u00e1l\u00f3i forgalom alapj\u00e1n m\u0171k\u00f6dnek, a passz\u00edvak pedig ennek a forgalomnak a szimul\u00e1l\u00e1s\u00e1val m\u0171k\u00f6dnek (ha az hi\u00e1nyzik). <\/li>\n A degrad\u00e1ci\u00f3 felfedez\u00e9s\u00e9nek finomhangol\u00e1sa nem \u00e1ll rendelkez\u00e9sre \u2013 az algoritmus r\u00f6gz\u00edtett.<\/li>\n Tov\u00e1bb\u00e1 el\u00e9rhet\u0151 a kimen\u0151 ir\u00e1nyban haszn\u00e1lt s\u00e1vsz\u00e9less\u00e9g m\u00e9r\u00e9se. Ez hozz\u00e1adja a DMVPN\/PfR ir\u00e1ny\u00edt\u00e1si forgalom rugalmass\u00e1g\u00e1t.<\/li>\n Ugyanakkor a PfR egyes mechanizmusai a metrik\u00e1k t\u00fall\u00e9p\u00e9s\u00e9n\u00e9l visszajelz\u0151 kapcsolatot ig\u00e9nyelnek speci\u00e1lis TCA (Threshold Crossing Alert) \u00fczenetek form\u00e1j\u00e1ban, amelyeknek a forgalom c\u00edmzettj\u00e9t\u0151l kell kiindulniuk a forr\u00e1s fel\u00e9, ami viszont azt felt\u00e9telezi, hogy az \u00e9rt\u00e9kelt csatorn\u00e1k \u00e1llapota legal\u00e1bb elegend\u0151 a TCA \u00fczenetek tov\u00e1bb\u00edt\u00e1s\u00e1hoz. Ez a legt\u00f6bb esetben nem jelent probl\u00e9m\u00e1t, de nyilv\u00e1nval\u00f3an nem garant\u00e1lhat\u00f3. <\/li>\n<\/ul>\n\nSD-WAN <\/b><\/p>\n\nA tunneling protocol, utilized in echo mode, implements BFD for ongoing evaluation of standard tunnel condition metrics. Notably, this achieves isolation of failure domains without the need for specific feedback in the form of TCA or similar messages. Furthermore, user traffic presence is unnecessary to assess tunnel status.<\/li>\n The adjustment of BFD timers allows for fine-tuning of the speed of trigger activation and the algorithm's sensitivity to communication channel degradations, ranging from a few seconds to minutes.\n
At the time of writing, each tunnel supports only one BFD session. This potentially limits granularity in assessing tunnel health. In practice, this may only become a constraint under a WAN connection based on MPLS L2\/L3 VPN with an agreed QoS SLA \u2014 if the DSCP marking of BFD traffic (post-encapsulation in IPSec\/GRE) aligns with a high-priority queue within the service provider network, it may affect the accuracy and speed of degradation detection for lower-priority traffic. However, there is an option to alter the default BFD marking to mitigate the risk of such situations. Upcoming versions of Cisco SD-WAN are expected to allow for more nuanced BFD settings, as well as the capacity to initiate multiple BFD sessions within a single tunnel, each with distinct DSCP values for different applications.<\/li>\n BFD additionally permits the assessment of the maximum packet size that can be transmitted over a given tunnel without fragmentation. This allows SD-WAN to dynamically adjust parameters such as MTU and TCP MSS Adjust to optimize the utilization of available bandwidth on each channel.<\/li>\n SD-WAN also provides an option for synchronizing QoS with service providers not solely based on L3 DSCP fields but also on L2 CoS values, which can be automatically generated in the branch network by specialized devices such as IP phones.<\/li>\n<\/ul>\n<\/p>\n
What are the differences in the capabilities, methods of identification, and application of AppQ policies?<\/h3>\n <\/p>\n
DMVPN\/PfR Policies:<\/h4>\n <\/p>\n
\nThese are defined on the central branch router(s) via CLI command line or CLI configuration templates. The creation of CLI templates requires preparation and knowledge of policy syntax.\n
Glob\u00e1lisan meghat\u00e1rozva an\u00e9lk\u00fcl, hogy egyedi be\u00e1ll\u00edt\u00e1si lehet\u0151s\u00e9gek lenn\u00e9nek a h\u00e1l\u00f3zat egyes szegmenseinek ig\u00e9nyeihez.<\/b><\/li>\nInterakt\u00edv politikai form\u00e1l\u00e1s grafikus fel\u00fcleten nem el\u00e9rhet\u0151.<\/li>\n A v\u00e1ltoz\u00e1sok nyomon k\u00f6vet\u00e9se, \u00f6r\u00f6kl\u00e9s, t\u00f6bb verzi\u00f3 l\u00e9trehoz\u00e1sa a gyors v\u00e1lt\u00e1shoz nem el\u00e9rhet\u0151.<\/li>\n Automatikusan kiterjednek a t\u00e1voli fi\u00f3kok routereire. Ekkor ugyanazokat a kommunik\u00e1ci\u00f3s csatorn\u00e1kat haszn\u00e1lj\u00e1k, mint a felhaszn\u00e1l\u00f3i adatok \u00e1tvitel\u00e9hez. Ha nincs kommunik\u00e1ci\u00f3s csatorna a k\u00f6zponti \u00e9s a t\u00e1voli fi\u00f3k k\u00f6z\u00f6tt, a politik\u00e1k terjeszt\u00e9se\/m\u00f3dos\u00edt\u00e1sa lehetetlen.<\/li>\n Alkalmazand\u00f3k minden routeren \u00e9s sz\u00fcks\u00e9g eset\u00e9n m\u00f3dos\u00edtj\u00e1k a standard routing protokollok eredm\u00e9ny\u00e9t, magasabb priorit\u00e1ssal rendelkezve. <\/li>\n Olyan esetekre, amikor a fi\u00f3k \u00f6sszes WAN-csatorn\u00e1ja jelent\u0151s forgalomvesztes\u00e9get szenved, nincs kompenz\u00e1l\u00f3 mechanizmus.<\/b>.<\/li>\n<\/ul>\n <\/p>\n
SD-WAN politik\u00e1k:<\/h4>\n <\/p>\n
\nGrafikus fel\u00fcleten a vManage-ban interakt\u00edv sablonvar\u00e1zsl\u00f3n kereszt\u00fcl hat\u00e1rozz\u00e1k meg.<\/li>\n T\u00e1mogatja a t\u00f6bb politika l\u00e9trehoz\u00e1s\u00e1t, m\u00e1sol\u00e1s\u00e1t, \u00f6r\u00f6kl\u00e9s\u00e9t \u00e9s a politik\u00e1k k\u00f6z\u00f6tti val\u00f3s idej\u0171 v\u00e1lt\u00e1st.<\/li>\n T\u00e1mogatja a politika egyedi be\u00e1ll\u00edt\u00e1s\u00e1t a h\u00e1l\u00f3zat k\u00fcl\u00f6nb\u00f6z\u0151 szegmensei (fi\u00f3kjai) sz\u00e1m\u00e1ra.<\/li>\n Tov\u00e1bb\u00edtj\u00e1k, haszn\u00e1lva b\u00e1rmilyen el\u00e9rhet\u0151 jelcsatorn\u00e1t a vez\u00e9rl\u0151 \u00e9s a router, illetve a vSmart k\u00f6z\u00f6tt \u2013 k\u00f6zvetlen\u00fcl nem f\u00fcggenek a routerek k\u00f6z\u00f6tti adatkapcsolatt\u00f3l. Sz\u00fcks\u00e9ges azonban az IP-kapcsolat a router \u00e9s a vez\u00e9rl\u0151k k\u00f6z\u00f6tt.\n
Olyan esetekre, amikor a fi\u00f3k \u00f6sszes el\u00e9rhet\u0151 csatorn\u00e1ja jelent\u0151s adatvesztes\u00e9ggel j\u00e1r, amely meghaladja a kritikus alkalmaz\u00e1sok sz\u00e1m\u00e1ra megengedett k\u00fcsz\u00f6b\u00e9rt\u00e9keket, lehet\u0151s\u00e9g van tov\u00e1bbi mechanizmusok haszn\u00e1lat\u00e1ra, amelyek n\u00f6velik a kommunik\u00e1ci\u00f3 megb\u00edzhat\u00f3s\u00e1g\u00e1t:\n\nFEC (El\u0151re Jelzett Hibajav\u00edt\u00e1s)<\/b> \u2013 k\u00fcl\u00f6nleges redund\u00e1ns k\u00f3dol\u00e1si algoritmust haszn\u00e1l. Kritikus forgalom \u00e1tvitel\u00e9n\u00e9l olyan csatorn\u00e1kon, ahol jelent\u0151s ar\u00e1ny\u00fa vesztes\u00e9g van, a FEC automatikusan aktiv\u00e1lhat\u00f3, \u00e9s sz\u00fcks\u00e9g eset\u00e9n lehet\u0151v\u00e9 teszi az elveszett adatok helyre\u00e1ll\u00edt\u00e1s\u00e1t. Ek\u00f6zben enyh\u00e9n n\u00f6vekszik a felhaszn\u00e1lhat\u00f3 s\u00e1vsz\u00e9less\u00e9g, de jelent\u0151sen megn\u0151 a megb\u00edzhat\u00f3s\u00e1g.\n
Adatfolyamok duplik\u00e1l\u00e1sa<\/b> A FEC politik\u00e1nak lehet\u0151s\u00e9ge van arra is, hogy automatikus forgalomduplik\u00e1ci\u00f3t tervezzen a v\u00e1lasztott alkalmaz\u00e1sok eset\u00e9ben, ha a vesztes\u00e9gek olyan magas szintet \u00e9rnek el, amelyet a FEC nem tud kompenz\u00e1lni. Ebben az esetben a kiv\u00e1lasztott adatok minden alag\u00faton kereszt\u00fcl a fogad\u00f3 fi\u00f3k ir\u00e1ny\u00e1ba lesznek tov\u00e1bb\u00edtva, majd a de-duplication (a felesleges csomagm\u00e1solatok eldob\u00e1sa) k\u00f6vetkezik. Ez a mechanizmus jelent\u0151sen n\u00f6veli a csatorn\u00e1k kihaszn\u00e1lts\u00e1g\u00e1t, ugyanakkor a megb\u00edzhat\u00f3s\u00e1got is jelent\u0151sen fokozza.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n <\/p>\n
A Cisco SD-WAN lehet\u0151s\u00e9gei, amelyeknek nincsenek k\u00f6zvetlen megfelel\u0151i a DMVPN\/PfR-ben<\/h3>\n \nA Cisco SD-WAN megold\u00e1s architekt\u00far\u00e1ja n\u00e9h\u00e1ny esetben lehet\u0151v\u00e9 teszi olyan lehet\u0151s\u00e9gek megszerz\u00e9s\u00e9t, amelyek megval\u00f3s\u00edt\u00e1sa a DMVPN\/PfR keretein bel\u00fcl vagy rendk\u00edv\u00fcl neh\u00e9z, vagy nem c\u00e9lszer\u0171 a sz\u00fcks\u00e9ges munkaer\u0151-ig\u00e9ny miatt, vagy egy\u00e1ltal\u00e1n nem lehets\u00e9ges. Vizsg\u00e1ljunk meg n\u00e9h\u00e1ny a leg\u00e9rdekesebb k\u00f6z\u00fcl\u00fck:<\/p>\n
Forgalomir\u00e1ny\u00edt\u00e1s (TE)<\/h4>\n \nA TE mag\u00e1ban foglalja azokat a mechanizmusokat, amelyek lehet\u0151v\u00e9 teszik a forgalom elt\u00e9r\u00edt\u00e9s\u00e9t a d\u00edjaz\u00e1s \u00e1ltal kialak\u00edtott standard \u00fatt\u00f3l, amelyet a routing protokollok k\u00e9peznek. A TE-t gyakran haszn\u00e1lj\u00e1k a h\u00e1l\u00f3zati szolg\u00e1ltat\u00e1sok magas rendelkez\u00e9sre \u00e1ll\u00e1s\u00e1nak biztos\u00edt\u00e1s\u00e1ra, mivel k\u00e9pes gyorsan \u00e9s\/vagy el\u0151re \u00e1tir\u00e1ny\u00edtani a fontos forgalmat alternat\u00edv (egym\u00e1ssal nem metsz\u0151) \u00e1tviteli \u00fatra, hogy jobb szolg\u00e1ltat\u00e1si min\u0151s\u00e9get vagy a f\u0151 \u00faton bek\u00f6vetkez\u0151 hiba eset\u00e9n a helyre\u00e1ll\u00edt\u00e1si sebess\u00e9get biztos\u00edtsanak. <\/p>\n
A TE megval\u00f3s\u00edt\u00e1s\u00e1nak neh\u00e9zs\u00e9ge abban rejlik, hogy el\u0151re ki kell sz\u00e1m\u00edtani \u00e9s fenntartani (ellen\u0151rizni) egy alternat\u00edv \u00fatvonalat. Az MPLS h\u00e1l\u00f3zatokban ezt a feladatot a szolg\u00e1ltat\u00f3k a MPLS forgalomir\u00e1ny\u00edt\u00e1s (Traffic Engineering) technol\u00f3gia haszn\u00e1lat\u00e1val oldj\u00e1k meg, IGP protokollok \u00e9s RSVP protokoll kiterjeszt\u00e9seivel. Az ut\u00f3bbi id\u0151ben egyre n\u00e9pszer\u0171bb\u00e9 v\u00e1lik a Segment Routing technol\u00f3gia, amely jobban optimaliz\u00e1lva van a k\u00f6zpontos\u00edtott konfigur\u00e1ci\u00f3 \u00e9s orchestr\u00e1ci\u00f3 sz\u00e1m\u00e1ra. A klasszikus WAN h\u00e1l\u00f3zatokban ezek a technol\u00f3gi\u00e1k jellemz\u0151en nem jelennek meg, vagy csup\u00e1n hop-by-hop mechanizmusokra, p\u00e9ld\u00e1ul Policy-Based Routing (PBR) haszn\u00e1lat\u00e1ra korl\u00e1toz\u00f3dnak, amelyek k\u00e9pesek el\u00e1gaztatni a forgalmat, de ezt minden egyes routeren k\u00fcl\u00f6n val\u00f3s\u00edtj\u00e1k meg \u2013 an\u00e9lk\u00fcl, hogy figyelembe venn\u00e9k a h\u00e1l\u00f3zat \u00e1llapot\u00e1t vagy a PBR kor\u00e1bbi vagy k\u00f6vetkez\u0151 l\u00e9p\u00e9s\u00e9nek eredm\u00e9ny\u00e9t. Az ilyen TE megold\u00e1sok alkalmaz\u00e1s\u00e1nak v\u00e9gkimenetele nem biztat\u00f3 \u2013 az MPLS TE bonyolult konfigur\u00e1ci\u00f3ja \u00e9s \u00fczemeltet\u00e9se miatt jellemz\u0151en csak a h\u00e1l\u00f3zat legkritikusabb r\u00e9sz\u00e9n (mag) haszn\u00e1lj\u00e1k, m\u00edg a PBR-t k\u00fcl\u00f6n\u00e1ll\u00f3 routereken alkalmazz\u00e1k, an\u00e9lk\u00fcl, hogy egys\u00e9ges PBR politik\u00e1t alkothatn\u00e1nak az eg\u00e9sz h\u00e1l\u00f3zatra. Ez nyilv\u00e1nval\u00f3an a DMVPN-alap\u00fa h\u00e1l\u00f3zatokra is vonatkozik.<\/p>\n
Service-chaining (Szolg\u00e1ltat\u00e1sl\u00e1ncok) <\/h4>\n \nA szolg\u00e1ltat\u00e1si l\u00e1ncok kialak\u00edt\u00e1sa a klasszikus routingban m\u00e9g munkaig\u00e9nyesebb feladat, mint a m\u00e1r eml\u00edtett forgalomir\u00e1ny\u00edt\u00e1si mechanizmus. Ebben az esetben nemcsak egy speci\u00e1lis \u00fatvonal kialak\u00edt\u00e1sa sz\u00fcks\u00e9ges egy adott h\u00e1l\u00f3zati alkalmaz\u00e1s sz\u00e1m\u00e1ra, hanem a forgalom kivezet\u00e9se is a h\u00e1l\u00f3zatb\u00f3l meghat\u00e1rozott (vagy az \u00f6sszes) SD-WAN csom\u00f3ponton kereszt\u00fcl, hogy azt speci\u00e1lis alkalmaz\u00e1s vagy szolg\u00e1ltat\u00e1s (MSE, Terhel\u00e9seloszt\u00e1s, Gyors\u00edt\u00f3t\u00e1raz\u00e1s, Forgalomellen\u0151rz\u00e9s stb.) kezelje. Ezen k\u00edv\u00fcl lehet\u0151s\u00e9g kell, hogy legyen ezen k\u00fcls\u0151 szolg\u00e1ltat\u00e1sok \u00e1llapot\u00e1nak ellen\u0151rz\u00e9s\u00e9re, hogy elker\u00fclj\u00fck a black-holing helyzeteket, valamint olyan mechanizmusokra is sz\u00fcks\u00e9g van, amelyek lehet\u0151v\u00e9 teszik, hogy az ilyen-egyform\u00e1j\u00fa k\u00fcls\u0151 szolg\u00e1ltat\u00e1sokat k\u00fcl\u00f6nb\u00f6z\u0151 geo-lok\u00e1ci\u00f3kban helyezz\u00fck el, lehet\u0151v\u00e9 t\u00e9ve a h\u00e1l\u00f3zat sz\u00e1m\u00e1ra, hogy automatikusan v\u00e1lassza ki a legoptim\u00e1lisabb szolg\u00e1ltat\u00e1si csom\u00f3pontot az adott fi\u00f3k forgalm\u00e1nak kezel\u00e9s\u00e9re. Cisco SD-WAN eset\u00e9n ezt viszonylag egyszer\u0171 osi\u0105gni, ha l\u00e9trehozunk egy megfelel\u0151 k\u00f6zpontos\u00edtott politik\u00e1t, amely \u201e\u00f6sszeilleszti\u201d a c\u00e9lzott szolg\u00e1ltat\u00e1si l\u00e1nc minden aspektus\u00e1t egy egys\u00e9gg\u00e9, \u00e9s automatikusan m\u00f3dos\u00edtja a data-plane \u00e9s control-plane logik\u00e1j\u00e1t csak ott \u00e9s akkor, ahol \u00e9s amikor sz\u00fcks\u00e9ges.<\/p>\n
Mi az \u00f6sszefoglal\u00f3?<\/h2>\n \nNyilv\u00e1nval\u00f3, hogy a DMVPN (teljes\u00edtm\u00e9nyn\u00f6vel\u0151 routinggal egy\u00fctt vagy an\u00e9lk\u00fcl) \u00e9s a Cisco SD-WAN v\u00e9gs\u0151 soron nagyon hasonl\u00f3 feladatokat oldanak meg<\/b> a szervezet elosztott WAN h\u00e1l\u00f3zat\u00e1val kapcsolatban. Ezen k\u00edv\u00fcl a Cisco SD-WAN technol\u00f3gia l\u00e9nyeges architektur\u00e1lis \u00e9s funkcion\u00e1lis k\u00fcl\u00f6nbs\u00e9gei a feladatok megold\u00e1s\u00e1nak folyamat\u00e1t egy m\u00e1sik min\u0151s\u00e9gi szintre emelik<\/b>. \u00d6sszefoglalva, a k\u00f6vetkez\u0151 jelent\u0151s elt\u00e9r\u00e9seket emelhetj\u00fck ki az SD-WAN \u00e9s DMVPN\/PfR technol\u00f3gi\u00e1k k\u00f6z\u00f6tt:<\/p>\n\nA DMVPN\/PfR rendszer alapvet\u0151en m\u00e1r bev\u00e1lt technol\u00f3gi\u00e1kat alkalmaz az \u00e1tfed\u00e9ses VPN h\u00e1l\u00f3zatok ki\u00e9p\u00edt\u00e9s\u00e9re, \u00e9s a data-plane r\u00e9szben hasonl\u00edt a modernebb SD-WAN technol\u00f3gi\u00e1ra, ugyanakkor sz\u00e1mos korl\u00e1toz\u00e1ssal j\u00e1r, mint p\u00e9ld\u00e1ul a statikus routerkonfigur\u00e1ci\u00f3 k\u00f6telez\u0151 volta, \u00e9s a topol\u00f3giai lehet\u0151s\u00e9gek korl\u00e1tozottak a Hub-n-Spoke-ra. M\u00e1sr\u00e9szt a DMVPN\/PfR rendelkezik bizonyos funkci\u00f3kkal, amelyek egyel\u0151re nem el\u00e9rhet\u0151k az SD-WAN keretein bel\u00fcl (ez a per-application BFD-re vonatkozik).<\/li>\n A control-plane technol\u00f3gia tekintet\u00e9ben alapvet\u0151en elt\u00e9r\u0151 a megk\u00f6zel\u00edt\u00e9s. A k\u00f6zpontos\u00edtott jelz\u0151protokoll-feldolgoz\u00e1snak k\u00f6sz\u00f6nhet\u0151en az SD-WAN lehet\u0151v\u00e9 teszi, hogy l\u00e9nyegesen cs\u00f6kkents\u00fck a hibahat\u00e1rokat, \u00e9s \u201elev\u00e1lasszuk\u201d a felhaszn\u00e1l\u00f3i forgalom \u00e1tvitel\u00e9t a jelz\u0151 interakci\u00f3kr\u00f3l \u2013 a vez\u00e9rl\u0151k ideiglenes el\u00e9rhetetlens\u00e9ge nem befoly\u00e1solja a felhaszn\u00e1l\u00f3i forgalom \u00e1tvitel\u00e9nek lehet\u0151s\u00e9g\u00e9t. Ugyanakkor b\u00e1rmelyik telephely (bele\u00e9rtve a k\u00f6zpontit is) ideiglenes el\u00e9rhetetlens\u00e9ge semmif\u00e9le hat\u00e1ssal nincs a t\u00f6bbi telephely k\u00f6z\u00f6tti interakci\u00f3kra, valamint a vez\u00e9rl\u0151kkel val\u00f3 kapcsolatra.<\/li>\n Az SD-WAN forgalomkezel\u00e9si politik\u00e1k kialak\u00edt\u00e1s\u00e1nak \u00e9s alkalmaz\u00e1s\u00e1nak architekt\u00far\u00e1ja is j\u00f3val meghaladja a DMVPN\/PfR k\u00e9pess\u00e9geit \u2013 a geo-redundancia sokkal jobban van megval\u00f3s\u00edtva, nincs k\u00f6t\u00e9s a Hubhoz, lehet\u0151s\u00e9gek sz\u00e9les sk\u00e1l\u00e1ja \u00e1ll rendelkez\u00e9sre a politik\u00e1k finomhangol\u00e1s\u00e1ra, \u00e9s a megval\u00f3s\u00edtott forgalomkezel\u00e9si forgat\u00f3k\u00f6nyvek list\u00e1ja is l\u00e9nyegesen nagyobb.<\/li>\n A megold\u00e1s orkestr\u00e1ci\u00f3s folyamata is jelent\u0151sen elt\u00e9r. A DMVPN el\u0151re meghat\u00e1rozott param\u00e9terek megl\u00e9t\u00e9t felt\u00e9telezi, amelyeknek valamilyen m\u00f3don t\u00fckr\u00f6z\u0151dni\u00fck kell a konfigur\u00e1ci\u00f3ban, ami n\u00e9mileg korl\u00e1tozza a megold\u00e1s rugalmass\u00e1g\u00e1t \u00e9s a dinamikus v\u00e1ltoztat\u00e1sok lehet\u0151s\u00e9g\u00e9t. Ezzel szemben az SD-WAN abb\u00f3l a paradigm\u00e1b\u00f3l indul ki, hogy a router a csatlakoz\u00e1s kezdeti pillanat\u00e1ban \u201enem tud semmit\u201d a vez\u00e9rl\u0151ir\u0151l, de tudja, hogy \u201ekit\u0151l lehet k\u00e9rdezni\u201d \u2013 ez elegend\u0151 nemcsak a vez\u00e9rl\u0151kkel val\u00f3 automatikus kapcsolatok l\u00e9trehoz\u00e1s\u00e1hoz, hanem egy teljesen \u00f6sszekapcsolt data-plane topol\u00f3gia automatikus kialak\u00edt\u00e1s\u00e1hoz is, amelyet k\u00e9s\u0151bb rugalmasan be lehet \u00e1ll\u00edtani\/v\u00e1ltoztatni a politik\u00e1k seg\u00edts\u00e9g\u00e9vel.<\/li>\n A k\u00f6zpontos\u00edtott menedzsment, automatiz\u00e1l\u00e1s \u00e9s monitoroz\u00e1s ter\u00e9n az SD-WAN v\u00e1rhat\u00f3an fel\u00fclm\u00falja a DMVPN\/PfR lehet\u0151s\u00e9geit, amelyek a klasszikus technol\u00f3gi\u00e1k fejl\u0151d\u00e9s\u00e9nek eredm\u00e9nyek\u00e9nt j\u00f6ttek l\u00e9tre, \u00e9s nagym\u00e9rt\u00e9kben a CLI parancssorra \u00e9s a sablonalap\u00fa NMS rendszerek alkalmaz\u00e1s\u00e1ra t\u00e1maszkodnak. <\/li>\n Az SD-WAN biztons\u00e1gi k\u00f6vetelm\u00e9nyei a DMVPN-hez k\u00e9pest egy \u00faj szintre l\u00e9ptek. A f\u0151 alapelvek - a null\u00e1s bizalom, a sk\u00e1l\u00e1zhat\u00f3s\u00e1g \u00e9s a k\u00e9tt\u00e9nyez\u0151s azonos\u00edt\u00e1s.<\/li>\n<\/ul>\n\nEzekb\u0151l az egyszer\u0171 meg\u00e1llap\u00edt\u00e1sokb\u00f3l t\u00e9ves benyom\u00e1s alakulhat ki, hogy a DMVPN\/PfR alap\u00fa h\u00e1l\u00f3zat l\u00e9trehoz\u00e1sa m\u00e1ra teljesen elavult. Ez term\u00e9szetesen nem teljesen igaz. P\u00e9ld\u00e1ul, ahol a h\u00e1l\u00f3zaton sok elavult eszk\u00f6zt haszn\u00e1lnak \u00e9s nincs lehet\u0151s\u00e9g a cser\u00e9re, a DMVPN lehet\u0151s\u00e9get adhat a \"r\u00e9gi\" \u00e9s \"\u00faj\" eszk\u00f6z\u00f6k egyes\u00edt\u00e9s\u00e9re egyetlen geo-elosztott h\u00e1l\u00f3zatban, a fent eml\u00edtett el\u0151ny\u00f6kkel.<\/p>\n
M\u00e1sr\u00e9szt fontos megjegyezni, hogy az \u00f6sszes aktu\u00e1lis Cisco v\u00e1llalati router, amelyek az IOS XE (ISR 1000, ISR 4000, ASR 1000, CSR 1000v) alapjaira \u00e9p\u00fclnek, manaps\u00e1g b\u00e1rmilyen \u00fczemm\u00f3dot t\u00e1mogatnak - ak\u00e1r klasszikus ir\u00e1ny\u00edt\u00e1s, ak\u00e1r DMVPN, ak\u00e1r SD-WAN - a v\u00e1laszt\u00e1st a jelenlegi ig\u00e9nyek hat\u00e1rozz\u00e1k meg, \u00e9s tudat\u00e1ban kell lenni annak, hogy b\u00e1rmikor elindulhatunk egy fejlettebb technol\u00f3gia ir\u00e1ny\u00e1ba ugyanazon a berendez\u00e9sen.<\/b>habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"\u0421 \u0430\u0432\u0433\u0443\u0441\u0442\u0430 2017 \u0433\u043e\u0434\u0430, \u043a\u043e\u0433\u0434\u0430 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Cisco \u043f\u0440\u0438\u043e\u0431\u0440\u0435\u043b\u0430 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044e Viptela, \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0439 \u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u0435\u043c\u043e\u0439 \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u0435\u0439 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438 \u0440\u0430\u0441\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u043d\u044b\u0445 \u043a\u043e\u0440\u043f\u043e\u0440\u0430\u0442\u0438\u0432\u043d\u044b\u0445 \u0441\u0435\u0442\u0435\u0439 \u0441\u0442\u0430\u043b\u0430 Cisco SD-WAN. \u0417\u0430 \u043f\u0440\u043e\u0448\u0435\u0434\u0448\u0438\u0435 3 \u0433\u043e\u0434\u0430 SD-WAN \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f \u043f\u0440\u043e\u0448\u043b\u0430 \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0439, \u043a\u0430\u043a \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0433\u043e, \u0442\u0430\u043a \u0438 \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0433\u043e \u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u0430. \u0422\u0430\u043a \u0437\u043d\u0430\u0447\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0440\u0430\u0441\u0448\u0438\u0440\u0438\u043b\u0438\u0441\u044c \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u044b\u0435 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438 \u0438 \u043f\u043e\u044f\u0432\u0438\u043b\u0430\u0441\u044c \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0430 \u043d\u0430 \u043a\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u043a\u0438\u0445 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0442\u043e\u0440\u0430\u0445 \u0441\u0435\u0440\u0438\u0439 Cisco ISR 1000, ISR 4000, ASR 1000 \u0438 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":91349,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-91348","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t