Negli ultimi anni, Cisco ha attivamente promosso una nuova architettura per la costruzione di reti di dati nei data center — Application Centric Infrastructure (o ACI). Alcuni la conoscono già. Altri sono riusciti persino a implementarla nelle loro aziende, incluso in Russia. Tuttavia, per la maggior parte degli esperti IT e dei responsabili IT, l'ACI rimane ancora un acronimo oscuro o un semplice discorso sul futuro.
In questo articolo cercheremo di avvicinare quel futuro. Per fare ciò, parleremo dei principali componenti architettonici dell'ACI e illustreremo come applicarla nella pratica. Inoltre, organizzeremo a breve una dimostrazione visiva del funzionamento dell'ACI a cui potrà iscriversi ogni esperto IT interessato.
È possibile scoprire di più sulla nuova architettura per la costruzione della rete a San Pietroburgo nel maggio 2019. Tutti i dettagli sono disponibili su . Iscriviti!
Contesto
Il modello di rete tradizionale e più popolare è il modello gerarchico a tre livelli: core → distribuzione (aggregazione) → accesso. Per molti anni, questo modello è stato un riferimento, e i produttori hanno realizzato vari dispositivi di rete con funzionalità corrispondenti.
In passato, quando la tecnologia informatica era una sorta di accessorio necessario (e, diciamolo chiaramente, non sempre desiderato) per le aziende, questo modello era conveniente, abbastanza statico e affidabile. Tuttavia, ora, quando l'IT rappresenta uno dei motori di sviluppo del business e spesso il business stesso, la staticità di questo modello ha cominciato a creare notevoli problemi.
Le moderne aziende generano un gran numero di requisiti complessi per l'infrastruttura di rete. Il successo del business dipende direttamente dalle tempistiche di attuazione di tali requisiti. In tali condizioni, ritardi non sono accettabili, e il modello classico di creazione della rete spesso non consente di soddisfare tempestivamente tutte le esigenze aziendali.
Ad esempio, l'emergere di una nuova applicazione aziendale complessa implica che gli amministratori di rete devono eseguire un gran numero di operazioni routinarie simili su molti dispositivi di rete diversi a vari livelli. Oltre a richiedere molto tempo, ciò aumenta anche il rischio di commettere errori, che possono portare a un serio downtime dei servizi IT e, di conseguenza, a danni finanziari.
La radice del problema non sono nemmeno le scadenze o la complessità dei requisiti. Il punto è che questi requisiti devono essere 'tradotti' dal linguaggio delle applicazioni aziendali al linguaggio dell'infrastruttura di rete. Come noto, ogni traduzione comporta sempre una parziale perdita di significato. Quando il proprietario dell'applicazione parla della logica di funzionamento della propria applicazione, l'amministratore di rete comprende un insieme di VLAN, liste di accesso su decine di dispositivi che devono essere mantenuti, aggiornati e documentati.
L'esperienza accumulata e la comunicazione costante con i clienti hanno consentito a Cisco di progettare e implementare nuovi principi per la costruzione della rete di trasmissione dati nei data center, che rispondono alle tendenze moderne e si basano, in primo luogo, sulla logica delle applicazioni aziendali. Da qui il nome — Application Centric Infrastructure.
Architettura ACI.
L'architettura ACI deve essere considerata più da un punto di vista logico che fisico. Essa si basa su un modello di politiche automatizzate, i cui oggetti possono essere suddivisi a livello superiore nei seguenti componenti:
- Rete basata su switch Nexus.
- Cluster di controller APIC;
- Profili delle applicazioni;
Analizziamo ogni livello in dettaglio, passando dal semplice al complesso.
Rete basata su switch Nexus
La rete in un fabric ACI è simile a un modello gerarchico tradizionale, ma viene costruita in modo significativamente più semplice. Per organizzare la rete, viene utilizzato il modello Leaf-Spine, che è diventato l'approccio standard per l'implementazione delle reti di nuova generazione. Questo modello consiste in due livelli: Spine e Leaf, rispettivamente.
Il livello Spine è responsabile esclusivamente delle prestazioni. La prestazione complessiva degli switch Spine è pari a quella dell'intero fabric, quindi a questo livello è necessario utilizzare switch con porte da 40G o superiori.
Gli switch Spine si collegano a tutti gli switch di livello successivo: gli switch Leaf, a cui sono collegati gli host finali. Il ruolo principale degli switch Leaf è la capacità delle porte.
In questo modo, la scalabilità diventa facile da gestire: se necessitiamo di aumentare la larghezza di banda del fabric, aggiungiamo switch Spine, mentre se abbiamo bisogno di aumentare la capacità delle porte, utilizziamo switch Leaf.
Per entrambi i livelli vengono utilizzati switch della serie Cisco Nexus 9000, che rappresentano lo strumento principale per Cisco nella costruzione di reti di data center, indipendentemente dalla loro architettura. Per il livello Spine vengono utilizzati switch Nexus 9300 o Nexus 9500, mentre per gli switch Leaf solo il Nexus 9300.
La gamma di switch Nexus utilizzati nella fabric ACI è illustrata nell'immagine sottostante.
Il cluster di controller APIC (Application Policy Infrastructure Controller)
I controller APIC sono server fisici specializzati; per piccole implementazioni è possibile utilizzare un cluster formato da un unico controller APIC fisico e due virtuali.
I controller APIC svolgono funzioni di gestione e monitoraggio. È importante notare che i controller non partecipano mai al trasferimento dei dati; quindi, anche se tutti i controller del cluster dovessero guastarsi, ciò non influisce affatto sulla stabilità della rete. È anche necessario evidenziare che attraverso gli APIC, l'amministratore gestisce tutte le risorse fisiche e logiche della fabbrica, e per apportare modifiche non è più necessario collegarsi ai singoli dispositivi, poiché in ACI viene utilizzato un punto di controllo centralizzato.
Ora passiamo a uno dei principali componenti dell'ACI: i profili delle applicazioni.
Profilo dell'applicazione (Application Network Profile) – è la base logica di ACI. Sono i profili delle applicazioni a definire le politiche di interazione tra tutti i segmenti di rete e a descrivere i segmenti stessi. L'ANP permette di astrarsi dal livello fisico e, sostanzialmente, di rappresentare come organizzare l'interazione tra i diversi segmenti di rete dal punto di vista dell'applicazione.
Il profilo dell'applicazione è composto da gruppi di connessioni (End-point groups – EPG). Un gruppo di connessioni è un gruppo logico di host (macchine virtuali, server fisici, contenitori, ecc.) che appartengono a un medesimo segmento di sicurezza (non di rete, ma di sicurezza). Gli host finali che appartengono a un certo EPG possono essere definiti secondo molti criteri. Solitamente si utilizzano i seguenti:
- Porta fisica
- Porta logica (gruppo di porte su un commutatore virtuale)
- ID VLAN o VXLAN
- Indirizzo IP o sottorete IP
- Attributi del server (nome, posizione, versione OS, ecc.)
Per l'interazione di diversi EPG è prevista un'entità chiamata contratti. Il contratto definisce le relazioni tra diversi EPG. In altre parole, il contratto stabilisce quale servizio un EPG fornisce a un altro EPG. Ad esempio, creiamo un contratto che consente il traffico attraverso il protocollo HTTPS. Colleghiamo poi questo contratto, ad esempio, all'EPG Web (gruppo di server web) e all'EPG App (gruppo di server applicativi), dopo di che questi due gruppi terminali possono scambiarsi traffico tramite il protocollo HTTPS.
L'immagine sottostante illustra un esempio di configurazione della connessione tra diversi EPG attraverso contratti all'interno di un ANP.
Possono esserci un numero qualsiasi di profili applicativi all'interno della fabbrica ACI. Inoltre, i contratti non sono legati a un profilo applicativo specifico; possono (e devono) essere utilizzati per collegare EPG in diversi ANP.
In sostanza, ogni applicazione che richiede una rete, in un modo o nell'altro, è descritta da un proprio profilo. Ad esempio, nello schema sopra è mostrata l'architettura standard di un'applicazione a tre livelli, composta da un numero N di server di accesso esterno (Web), server applicativi (App) e server di database (DB), oltre a descrivere le regole di interazione tra di essi. Nella tradizionale infrastruttura di rete, questo sarebbe un insieme di regole scritte su diversi dispositivi. Nella architettura ACI, descriviamo queste regole all'interno di un unico profilo dell'applicazione. ACI, tramite il profilo dell'applicazione, consente di semplificare notevolmente la creazione di un gran numero di configurazioni su vari dispositivi, raggruppandole tutte in un unico profilo.
L'immagine sottostante mostra un esempio più concreto. Il profilo dell'applicazione Microsoft Exchange, costituito da diversi EPG e contratti.
La gestione centralizzata, l'automazione e il monitoraggio sono uno dei principali vantaggi di ACI. La fabbrica ACI solleva gli amministratori dai compiti noiosi di creare un gran numero di regole su vari switch, router e firewall (il classico metodo di configurazione manuale è comunque consentito e può essere utilizzato). Le impostazioni dei profili delle applicazioni e di altri oggetti ACI vengono applicate automaticamente in tutta la fabbrica ACI. Anche durante il cambio fisico dei server su altre porte degli switch della fabbrica, non sarà necessario duplicare le impostazioni da vecchi switch a nuovi e pulire le regole non più necessarie. In base ai criteri di appartenenza dell'host all'EPG, la fabbrica eseguirà queste impostazioni automaticamente e pulirà le regole inutilizzate.
Le policy di sicurezza integrate di ACI sono implementate secondo il principio delle liste bianche, cioè ciò che non è esplicitamente autorizzato è vietato per default. Insieme all'aggiornamento automatico delle configurazioni dell'hardware di rete (rimozione delle regole e autorizzazioni non utilizzate e 'dimenticate'), questo approccio aumenta notevolmente il livello di sicurezza complessiva della rete e riduce la superficie di attacco potenziale.
ACI consente di organizzare l'interazione di rete non solo tra macchine virtuali e contenitori, ma anche tra server fisici, hardware di MSO e apparecchiature di rete di fornitori terzi, rendendo ACI una soluzione unica al momento attuale.
Il nuovo approccio di Cisco alla costruzione di reti di trasmissione dati basate su logica delle applicazioni non riguarda solo l'automazione, la sicurezza e la gestione centralizzata. È anche una rete moderna orizzontalmente scalabile, che soddisfa tutte le esigenze del business contemporaneo.
L'implementazione di un'infrastruttura di rete basata su ACI consente a tutte le divisioni dell'azienda di comunicare in un'unica lingua. L'amministratore si guida solo dalla logica dell'applicazione, in cui sono descritti le regole e i collegamenti richiesti. Ugualmente, i proprietari e gli sviluppatori dell'applicazione, il servizio di sicurezza informatica, gli economisti e i titolari di impresa seguono la logica di lavoro dell'applicazione.
In questo modo, Cisco realizza concretamente il concetto di rete di nuova generazione per i data center. Vuoi verificarlo di persona? Partecipa a una dimostrazione. Application Centric Infrastructure a San Pietroburgo e lavora con la rete del data center del futuro già adesso.
Puoi registrarti per l'evento .
Fonte: habr.com
