🥇Taglierà Cisco SD-WAN il ramo su cui siede DMVPN?

Da agosto 2017, quando Cisco ha acquisito Viptela, la tecnologia principale proposta per l'organizzazione di reti aziendali distribuite è diventata Cisco SD-WAN. Negli ultimi 3 anni, la tecnologia SD-WAN ha subito numerosi cambiamenti, sia qualitativi che quantitativi. Sono così state significativamente ampliate le funzionalità e è stata aggiunta la compatibilità con i router classici delle serie Cisco ISR 1000, ISR 4000, ASR 1000 e il CSR 1000v virtuale. Allo stesso tempo, molti clienti e partner Cisco continuano a chiedersi – quali sono le differenze tra Cisco SD-WAN e gli approcci già noti basati su tecnologie come Cisco DMVPN e Cisco Performance Routing e quanto siano importanti queste differenze?

È opportuno specificare fin da subito che, prima dell'introduzione di SD-WAN nel portafoglio Cisco, DMVPN insieme a PfR costituiva una parte chiave nell'architettura Cisco IWAN (Intelligent WAN), che a sua volta rappresentava il precursore della tecnologia SD-WAN completa. Nonostante la somiglianza nelle problematiche affrontate e nei metodi di risoluzione, IWAN non ha mai raggiunto il livello di automazione, flessibilità e scalabilità richiesto per SD-WAN, e nel tempo lo sviluppo di IWAN è notevolmente diminuito. Tuttavia, le tecnologie costituenti IWAN non sono scomparse, e molti clienti continuano a usarle con successo anche su attrezzature moderne. Si è così creata una situazione interessante: la stessa attrezzatura Cisco consente di scegliere la tecnologia di costruzione della WAN più adatta (classica, DMVPN+PfR o SD-WAN) in base ai requisiti e alle aspettative dei clienti.

L'articolo non si propone di analizzare in dettaglio tutte le peculiarità delle tecnologie Cisco SD-WAN e DMVPN (insieme o senza Performance Routing) — per questo sono disponibili moltissimi documenti e materiali. L'obiettivo principale è cercare di valutare le differenze chiave tra queste tecnologie. Ma prima di passare alla discussione di queste differenze, ricordiamo brevemente le tecnologie stesse.

Cos'è Cisco DMVPN e a cosa serve?

Cisco DMVPN affronta il problema della connessione dinamica (=scalabile) di una rete di filiale remota alla rete dell'ufficio centrale dell'azienda, utilizzando vari tipi di canali di comunicazione tra cui Internet (= con crittografia del canale di comunicazione). Tecnològicamente, ciò viene realizzato creando una rete virtualizzata sovrapposta di classe L3 VPN in modalità punto - multipunto (point-to-multipoint) con una topologia logica di tipo "Stella" (Hub-n-Spoke). Per questo, DMVPN utilizza una combinazione delle seguenti tecnologie:

Routing IP
Tunnel GRE multipunto (mGRE)
Protocolli di risoluzione del prossimo hop (NHRP)
Profili di crittografia IPSec

Quali sono i principali vantaggi di Cisco DMVPN rispetto al routing classico che utilizza canali VPN MPLS?

È possibile utilizzare qualsiasi canale di comunicazione per creare una rete tra filiali: va bene tutto ciò che è in grado di garantire la connettività IP tra le filiali, garantendo al contempo che il traffico venga crittografato (dove necessario) e bilanciato (dove possibile)
Si forma automaticamente una topologia completamente connessa tra le filiali. In questo caso, ci sono tunnel statici tra la filiale centrale e quella remota, mentre tra le filiali remote ci sono tunnel dinamici a richiesta (in presenza di traffico)
Sui router della filiale centrale e di quella remota, la configurazione è uniforme fino a indirizzi IP quello delle interfacce. Grazie all'uso di mGRE, non è necessario configurare individualmente decine, centinaia o addirittura migliaia di tunnel. Di conseguenza, si ottiene una scalabilità adeguata con un design corretto.

Che cos'è il Cisco Performance Routing e a cosa serve?

Quando si utilizza DMVPN su una rete tra filiali, rimane irrisolto un problema estremamente importante: come valutare dinamicamente lo stato di ciascuno dei tunnel DMVPN in relazione ai requisiti del traffico critico per la nostra organizzazione, e ancora una volta basare su tale valutazione le decisioni di rimodulazione? Infatti, DMVPN in questo aspetto differisce di poco dal routing classico: la migliore cosa che si possa fare è configurare meccanismi QoS che consentano di dare priorità al traffico in uscita, ma che non sono in grado di tenere conto dello stato dell'intero percorso in un momento qualsiasi.

E cosa fare se il canale degrada parzialmente e non completamente – come scoprirlo e valutarlo? DMVPN da solo non lo sa fare. Considerando che i canali che collegano le filiali possono passare attraverso operatori di telecomunicazioni completamente diversi, utilizzando tecnologie altrettanto diverse, questa diventa una sfida piuttosto non banale. Ed è qui che entra in gioco la tecnologia Cisco Performance Routing, che nel frattempo ha già attraversato diverse fasi di sviluppo.

Il compito di Cisco Performance Routing (di seguito PfR) consiste nel misurare lo stato dei percorsi (tunnel) che trasportano il traffico sulla base di metriche chiave, importanti per le applicazioni di rete – latenza, variazione di latenza (jitter) e perdita di pacchetti (in percentuale). Inoltre, può essere misurata anche la larghezza di banda utilizzata. Queste misurazioni avvengono il più vicino possibile al tempo reale (per quanto possibile e giustificato) e il risultato di queste misurazioni consente al router che utilizza PfR di prendere decisioni dinamiche sulla necessità di modificare la routing di determinati tipi di traffico.

Pertanto, la combinazione DMVPN/PfR può essere brevemente caratterizzata come segue:

Consentire al cliente di utilizzare su reti WAN qualsiasi canale di comunicazione
Garantire la migliore qualità possibile delle applicazioni critiche su questi canali

Che cos'è Cisco SD-WAN?

Cisco SD-WAN è una tecnologia che utilizza l'approccio SDN per creare e gestire la rete WAN di un'organizzazione. Ciò significa in particolare l'utilizzo di cosiddetti controller (elementi software) che forniscono orchestrazione centralizzata e configurazione automatizzata di tutti i componenti della soluzione. A differenza della SDN canonica (stile Clean Slate), in Cisco SD-WAN vengono utilizzati diversi tipi di controller, ciascuno dei quali svolge un ruolo specifico – questo è fatto intenzionalmente per garantire una migliore scalabilità e geo-ridondanza.

Nel caso di SD-WAN, il compito di utilizzare qualsiasi tipo di canale e garantire il funzionamento delle applicazioni aziendali rimane, ma si ampliano i requisiti relativi all'automazione, alla scalabilità, alla sicurezza e alla flessibilità di tale rete.

Discussione delle differenze

Se ora iniziamo ad analizzare le differenze tra queste tecnologie, esse cadranno in una delle categorie:

Differenze architettoniche: come sono distribuite le funzioni tra diversi componenti della soluzione, come è organizzata l'interazione tra questi componenti e come ciò influenza le capacità e la flessibilità della tecnologia?
Funzionalità: cosa può fare una tecnologia che un'altra non può? E quanto è importante?

Quali sono le differenze architettoniche e quanto sono importanti?

In ciascuna delle tecnologie indicate ci sono molte "parti in movimento", che non solo differiscono per ruolo, ma anche per i principi di interazione l'una con l'altra. La scalabilità, la tolleranza ai guasti e l'efficienza complessiva della soluzione dipendono direttamente da quanto siano ben pensati questi principi e dalla meccanica generale della soluzione.

Esaminiamo più in dettaglio i vari aspetti dell'architettura:

Data-plane – la parte della soluzione responsabile della trasmissione del traffico utente tra sorgente e destinatario. In DMVPN e SD-WAN è implementato sostanzialmente allo stesso modo sui router basati su tunnel GRE multipoint. La differenza sta nel modo in cui viene formata la necessaria serie di parametri per questi tunnel:

in DMVPN/PfR – è esclusivamente una gerarchia a due livelli di nodi con topologia a "Stella" o Hub-n-Spoke. È necessaria una configurazione statica dell'Hub e un'associazione statica dello Spoke all'Hub, nonché l'interazione tramite il protocollo NHRP per formare la connettività del data-plane. Di conseguenza, è notevolmente complicato effettuare modifiche sull'Hub, ad esempio, relative alla modifica/connessione di nuovi canali WAN o cambiamenti nei parametri esistenti.
in SD-WAN – è un modello di scoperta dei parametri dei tunnel completamente dinamico, basato sul control-plane (protocollo OMP) e sull'orchestration-plane (interazione con il controller vBond per le attività di scoperta dei controller e NAT traversal). In questo caso, le topologie sovrapposte possono essere qualsiasi, comprese quelle gerarchiche. All'interno della topologia sovrapposta stabilita dei tunnel, è possibile una configurazione flessibile della topologia logica in ciascun VPN (VRF).

Control-plane – funzioni di scambio, filtraggio e modifica delle informazioni di routing e di altro tipo tra i componenti della soluzione.

in DMVPN/PfR – avviene solo tra i router Hub e Spoke. Lo scambio diretto di informazioni di routing tra gli Spoke non è possibile. Di conseguenza, senza un Hub attivo, il funzionamento del control-plane e del data-plane non è possibile., che pone ulteriori requisiti di alta disponibilità su Hub, che non sempre possono essere soddisfatti.
in SD-WAN – il control-plane non è mai realizzato direttamente tra i router – l'interazione avviene sulla base del protocollo OMP ed è sempre effettuata tramite un tipo di controller vSmart specializzato, il che consente bilanciamento, geo-riserva e gestione centralizzata del carico di segnalazione. Un'altra caratteristica del protocollo OMP è la sua notevole resilienza alle perdite e indipendenza dalla velocità della connessione con i controller (nei limiti ragionevoli, naturalmente). Ciò consente di posizionare i controller SD-WAN sia in cloud pubblici che privati con accesso tramite Internet.

Policy-plane – la parte della soluzione responsabile della definizione, distribuzione e applicazione delle politiche di gestione del traffico su una rete distribuita.

DMVPN – è di fatto limitato alle politiche di qualità del servizio (QoS), configurate individualmente su ciascun router tramite CLI o modelli Prime Infrastructure.
DMVPN/PfR – le politiche PfR vengono generate su un router centralizzato Master Controller (MC) tramite CLI e successivamente distribuite automaticamente ai MC remoti. In questo processo vengono utilizzati gli stessi canali di trasmissione delle politiche di data-plane. Non esiste la possibilità di separare lo scambio di politiche, informazioni di routing e dati utente. La distribuzione delle politiche richiede la presenza obbligatoria di connettività IP tra Hub e Spoke. In questo caso, la funzione MC può essere combinata se necessario con il router DMVPN. È possibile (ma non necessario) utilizzare modelli Prime Infrastructure per la creazione centralizzata di politiche. Una caratteristica importante è che le politiche vengono generate globalmente in tutta la rete in modo uniforme – le politiche individuali per singoli segmenti non sono supportate..
SD-WAN – Le politiche di gestione del traffico e della qualità del servizio sono definite centralmente tramite l'interfaccia grafica Cisco vManage accessibile anche tramite Internet (se necessario). Vengono diffuse tramite canali di segnale in modo diretto o indiretto attraverso i controller vSmart (a seconda del tipo di politica). Non dipendono dalla connettività del data-plane tra i router, poiché utilizzano tutti i percorsi disponibili per il trasferimento del traffico tra il controller e il router.
Per diversi segmenti di rete è possibile creare politiche flessibili – l'ambito di applicazione della politica è determinato da molteplici identificatori unici previsti nella soluzione – numero della filiale, tipo di applicazione, direzione del traffico, ecc.

Piano di orchestrazione – meccanismi che consentono ai componenti di scoprire dinamicamente l'uno l'altro, configurarsi e coordinare le interazioni successive.

in DMVPN/PfR La scoperta reciproca tra i router si basa sulla configurazione statica dei dispositivi Hub e sulla corrispondente configurazione dei dispositivi Spoke. La scoperta dinamica avviene solo per Spoke, che comunica i propri parametri di connessione al dispositivo Hub, che a sua volta è stato precedentemente inserito nella configurazione dello Spoke. Senza connettività IP dello Spoke con almeno un Hub, non è possibile formare né il data-plane né il control-plane.
in SD-WAN L'orchestrazione dei componenti della soluzione avviene utilizzando il controller vBond, con il quale ciascun componente (router e controller vManage/vSmart) deve prima stabilire la connettività IP.
Inizialmente, i componenti non sono a conoscenza dei parametri di connessione reciproci – a tal fine hanno bisogno di un intermediario orchestratore vBond. Il principio generale è il seguente: ogni componente nella fase iniziale apprende (automaticamente o staticamente) solo i parametri di connessione al vBond, quindi vBond informa il router sui controller vManage e vSmart (precedentemente scoperti), il che consente di stabilire automaticamente tutte le connessioni di segnalazione necessarie.
Il passaggio successivo riguarda il nuovo router che apprende sugli altri router della rete attraverso lo scambio OMP con il controller vSmart. In questo modo, il router, pur non conoscendo inizialmente i parametri di rete, è in grado di rilevare e connettersi completamente in modo automatico ai controller e, successivamente, di scoprire e formare automaticamente la connettività con gli altri router. I parametri di connessione di tutti i componenti sono inizialmente sconosciuti e possono variare durante il processo di utilizzo.

Management-plane – parte della soluzione che garantisce gestione centralizzata e monitoraggio.

DMVPN/PfR – non è prevista una soluzione management-plane specializzata. Per l'automazione e il monitoraggio di base, è possibile utilizzare prodotti come Cisco Prime Infrastructure. Ogni router ha la possibilità di gestione tramite interfaccia a riga di comando (CLI). Non è prevista integrazione con sistemi esterni tramite API.
SD-WAN – tutte le interazioni e il monitoraggio vengono gestiti centralmente tramite l'interfaccia grafica del controller vManage. Tutte le funzionalità della soluzione, senza eccezioni, sono disponibili per la configurazione tramite vManage, nonché tramite un'API REST completamente documentata.
Tutte le impostazioni della rete SD-WAN in vManage si concentrano su due principali costrutti: la creazione di template per dispositivi (Device Template) e la creazione di politiche che definiscono la logica operativa della rete e la gestione del traffico. A tal fine, vManage, trasmettendo la politica creata dall'amministratore, seleziona automaticamente quali cambiamenti e su quali dispositivi/controller individuali devono essere effettuati, aumentando notevolmente l'efficacia e la scalabilità della soluzione.
Attraverso l'interfaccia vManage è disponibile non solo la configurazione della soluzione Cisco SD-WAN, ma anche un monitoraggio completo dello stato di tutti i componenti della soluzione, fino allo stato attuale delle metriche dei singoli tunnel e alle statistiche di utilizzo delle diverse applicazioni basate sull'analisi DPI.
Nonostante la centralizzazione dell'interazione, tutti i componenti (controller e router) dispongono di una riga di comando CLI completamente funzionale, necessaria nella fase di implementazione o in caso di situazioni di emergenza per la diagnostica locale. In modalità operativa (con un canale di segnale disponibile tra i componenti), la riga di comando è accessibile solo per diagnosi e non è disponibile per apportare modifiche locali, garantendo così sia la sicurezza locale che una fonte unica di modifiche in tale rete: vManage.

Sicurezza integrata – qui si parla non solo di protezione dei dati degli utenti durante il trasferimento su canali aperti, ma anche della sicurezza generale della rete WAN basata sulla tecnologia scelta.

in DMVPN/PfR è prevista la possibilità di crittografia dei dati degli utenti e dei protocolli di segnale. Utilizzando determinati modelli di router, sono inoltre disponibili funzioni di firewall con ispezione del traffico, IPS/IDS. C'è la possibilità di segmentazione delle reti filiali utilizzando VRF. È possibile l'autenticazione (monofattoriale) dei protocolli di controllo.
In questo caso, il router remoto è considerato un elemento fidato della rete per impostazione predefinita – cioè non si presuppongono e non si considerano situazioni di compromissione fisica di singoli dispositivi e la possibilità di accesso non autorizzato a questi, non esiste autenticazione a due fattori per i componenti della soluzione, il che in caso di rete geograficamente distribuita può comportare rischi aggiuntivi significativi.
in SD-WAN Analogamente a DMVPN, è prevista la crittografia dei dati degli utenti, ma con funzioni di sicurezza di rete e segmentazione L3/VRF significativamente ampliate (MSE, IPS/IDS, filtrazione URL, filtrazione DNS, AMP/TG, SASE, proxy TLS/SSL, ecc.). In questo caso, lo scambio delle chiavi di crittografia avviene in modo più efficiente tramite controller vSmart (e non direttamente), attraverso canali di segnale predefiniti, protetti da crittografia DTLS/TLS basata su certificati di sicurezza. Questo garantisce a sua volta la sicurezza di tale scambio e assicura una migliore scalabilità della soluzione fino a decine di migliaia di dispositivi in una rete.
Tutte le connessioni del segnale (controllore-controllore, controllore-router) sono anch'esse protette sulla base di DTLS/TLS. I router vengono forniti di certificati di sicurezza al momento della produzione e possono essere sostituiti/rinnovati. L'autenticazione a due fattori è raggiunta attraverso l'esecuzione obbligatoria e simultanea di due condizioni per il funzionamento del router/controllore nella rete SD-WAN:
- Certificato di sicurezza valido
- Inserimento esplicito e consapevole da parte dell'amministratore di ciascun componente nella lista 'bianca' dei dispositivi autorizzati.

Differenze funzionali tra SD-WAN e DMVPN/PfR

Passando a discutere le differenze funzionali, è importante notare che molte di esse sono una continuazione delle differenze architettoniche; non è un segreto che nella formazione dell'architettura della soluzione, gli sviluppatori si basino sulle possibilità che vogliono ottenere alla fine. Esaminiamo le differenze più significative tra le due tecnologie.

AppQ (Qualità dell'Applicazione) – funzioni che garantiscono la qualità del traffico per le applicazioni aziendali

Le funzioni chiave delle tecnologie trattate mirano a migliorare l'esperienza dell'utente, per quanto possibile, durante l'utilizzo di applicazioni critiche per il business in una rete distribuita. Questo è particolarmente importante in situazioni in cui parte dell'infrastruttura non è controllata dall'IT o non garantisce neanche il successo nella trasmissione dei dati.

DMVPN non fornisce tali meccanismi autonomamente. Il meglio che si può fare in una rete DMVPN classica è classificare il traffico in uscita per applicazioni e dare priorità durante la trasmissione verso il canale WAN. La scelta del tunnel DMVPN è in questo caso determinata solo dalla sua disponibilità e dai risultati ottenuti dai protocolli di instradamento. Non viene quindi considerato lo stato end-to-end del percorso/tunnel e la sua possibile parziale degradazione rispetto a metriche chiave rilevanti per le applicazioni di rete – latenza, variazione della latenza (jitter) e perdite (%). Di conseguenza, confrontare direttamente il DMVPN classico con l'SD-WAN in termini di risoluzione delle problematiche AppQ perde di significato: il DMVPN non può risolvere questa questione. Con l'aggiunta della tecnologia Cisco Performance Routing (PfR) in questo contesto, la situazione cambia e il confronto con Cisco SD-WAN diventa più sensato.

Prima di passare alla discussione delle differenze, ecco brevemente in cosa le tecnologie sono simili. Quindi, entrambe le tecnologie:

dispongono di un meccanismo che consente di valutare dinamicamente lo stato di ciascun tunnel installato in base a determinate metriche – almeno, ritardo, variazione del ritardo e perdita di pacchetti (%)
utilizzano un insieme specifico di strumenti per la formazione, diffusione e applicazione delle regole (politiche) di gestione del traffico, tenendo conto del risultato della misurazione dello stato delle metriche chiave dei tunnel.
classificano il traffico delle applicazioni ai livelli L3-L4 (DSCP) del modello OSI o sulle firme L7 delle applicazioni, basandosi sui meccanismi DPI integrati nel router
consentono di definire valori soglia accettabili delle metriche per applicazioni significative, le regole di trasmissione del traffico predefinite, le regole di rimappatura del traffico in caso di superamento dei valori soglia.
nella incapsulazione del traffico in GRE/IPSec utilizzano un meccanismo ampiamente consolidato nell'industria per il trasferimento dell'etichettatura DSCP interna nel pacchetto GRE/IPSec esterno, il che consente di sincronizzare le politiche QoS tra l'organizzazione e l'operatore di telecomunicazioni (se è presente il relativo SLA).

Quali sono le differenze nei meccanismi di valutazione delle metriche end-to-end tra SD-WAN e DMVPN/PfR?

DMVPN/PfR

Per misurare le metriche standard dello stato del tunnel si utilizzano sensori software (Probes) sia attivi che passivi. Gli attivi si basano sul traffico degli utenti, i passivi simulano tale traffico (in assenza di esso).
La regolazione fine dei timer e delle condizioni di rilevamento della degradazione è assente – l'algoritmo è fisso.
È disponibile anche la misurazione della larghezza di banda utilizzata nella direzione uscente. Questo conferisce a DMVPN/PfR ulteriore flessibilità nella gestione del traffico.
Alcuni meccanismi di PfR, in caso di superamento delle metriche, si basano su feedback di segnalazione inversa tramite messaggi speciali TCA (Threshold Crossing Alert), che devono provenire dal destinatario del traffico verso la sorgente, il che implica che le condizioni dei canali misurati devono essere almeno sufficienti per inviare tali messaggi TCA. Questo, nella maggior parte dei casi, non rappresenta un problema, ma chiaramente non può essere garantito.

SD-WAN

Per la valutazione continua delle metriche standard dello stato del tunnel viene utilizzato il protocollo BFD in modalità echo. In questo caso, non è necessaria alcuna retroazione speciale come TCA o messaggi simili: si rispetta l'isolamento dei domini di guasto. Non è richiesto nemmeno il traffico degli utenti per valutare lo stato del tunnel.
C'è la possibilità di una fine regolazione dei timer BFD per controllare la velocità di attivazione e la sensibilità dell'algoritmo rispetto alle degradazioni del canale di comunicazione, da pochi secondi a minuti.
Al momento della stesura dell'articolo, in ciascun tunnel è prevista solo una sessione BFD. Potenzialmente, questo crea una granularità ridotta nell'analisi dello stato del tunnel. In realtà, ciò può diventare una limitazione solo in caso di utilizzo di una connessione WAN basata su MPLS L2/L3 VPN con SLA QoS concordato: se la marcatura DSCP del traffico BFD (dopo l'incapsulamento in IPSec/GRE) coincide con la coda ad alta priorità nella rete dell'operatore di telecomunicazioni, ciò potrebbe influenzare la precisione e la velocità di rilevamento delle degradazioni per il traffico a bassa priorità. In questo caso, è possibile modificare la marcatura BFD predefinita per ridurre il rischio di situazioni simili. Nelle prossime versioni del software Cisco SD-WAN è prevista l'introduzione di regolazioni più dettagliate per il BFD, così come la possibilità di avviare più sessioni BFD all'interno di un singolo tunnel con valori DSCP individuali (per diverse applicazioni).
Il BFD consente inoltre di valutare la massima dimensione del pacchetto che può essere trasmessa attraverso un determinato tunnel senza frammentazione. Questo consente a SD-WAN di configurare dinamicamente parametri come MTU e TCP MSS Adjust, per utilizzare in modo ottimale la larghezza di banda disponibile su ciascun canale.
In SD-WAN è disponibile anche l'opzione di sincronizzazione della QoS con gli operatori di telecomunicazioni non solo sulla base del campo L3 DSCP, ma anche sulla base dei valori L2 CoS, che possono essere automaticamente generati nella rete filiale da dispositivi specializzati, come i telefoni IP.

Quali sono le differenze nelle capacità, nei metodi di determinazione e nell'applicazione delle politiche AppQ?

Politiche DMVPN/PfR:

Sono definite sui router del filiale centrale (CF) tramite la riga di comando CLI o tramite modelli di configurazione CLI. La creazione di modelli CLI richiede preparazione e conoscenza della sintassi delle politiche.
Definiti globalmente senza possibilità di personalizzazione/modifica in base alle esigenze dei singoli segmenti della rete.
Non è previsto un formato interattivo delle politiche nell'interfaccia grafica.
Non è previsto il tracciamento delle modifiche, l'eredità o la creazione di più versioni delle politiche per un rapido switching.
Vengono automaticamente distribuite ai router delle filiali remote, utilizzando gli stessi canali di comunicazione impiegati per il trasferimento dei dati degli utenti. In assenza di un canale di comunicazione tra la centrale e la filiale remota, la distribuzione/modifica delle politiche non è possibile.
Si applicano a ciascun router e, se necessario, modificano il risultato dei protocolli di routing standard, avendo una priorità più elevata.
Per i casi in cui tutti i canali WAN della filiale subiscono perdite significative di traffico, non sono previsti meccanismi di compensazione.

Politiche SD-WAN:

Definite nell'interfaccia grafica di vManage tramite un wizard interattivo di template.
Supportano la creazione di più politiche, la copia, l'eredità e il switching tra politiche in tempo reale.
Supportano la personalizzazione delle politiche per diversi segmenti (filiali) della rete.
Vengono distribuite utilizzando qualsiasi canale di segnale disponibile tra il controller e il router e/o vSmart – non dipendono direttamente dalla connettività del data-plane tra i router. È comunque necessaria la connettività IP tra il router stesso e i controller.
Per i casi in cui tutti i canali disponibili della filiale subiscono perdite significative di dati, superiori ai limiti tollerabili per le applicazioni critiche, è possibile utilizzare meccanismi aggiuntivi che aumentano l'affidabilità della trasmissione:
- FEC (Forward Error Correction) – utilizza un algoritmo speciale di codifica ridondante. Durante il trasferimento di traffico critico su canali con un'alta percentuale di perdite, FEC può essere attivato automaticamente e consente, se necessario, di recuperare la parte di dati persa. Questo comporta un leggero aumento della larghezza di banda utilizzata, ma un significativo aumento dell'affidabilità.
- Duplicazione dei flussi di dati – oltre alla FEC, la politica può prevedere la duplicazione automatica del traffico delle applicazioni selezionate in caso di perdite ancora più gravi che non possono essere compensate tramite FEC. In questo caso, i dati selezionati verranno trasmessi attraverso tutti i tunnel verso la filiale ricevente con successiva deduplicazione (scartando le copie extra dei pacchetti). Questo meccanismo aumenta notevolmente l'utilizzo dei canali, ma aumenta anche significativamente l'affidabilità della trasmissione.

Le funzionalità di Cisco SD-WAN, senza veri analoghi in DMVPN/PfR

L'architettura della soluzione Cisco SD-WAN permette in alcuni casi di ottenere funzionalità la cui implementazione nel contesto di DMVPN/PfR è estremamente complessa, impraticabile a causa delle necessarie spese operative oppure del tutto impossibile. Analizziamo le più interessanti tra queste:

Traffic-Engineering (TE)

TE include meccanismi che consentono di deviare il traffico dal percorso standard stabilito dai protocolli di instradamento. TE è spesso utilizzato per garantire un'alta disponibilità dei servizi di rete, grazie alla capacità di spostare rapidamente e/o previamente il traffico importante su un percorso alternativo (non sovrapposto), al fine di garantire una migliore qualità del servizio o una maggiore velocità di recupero in caso di guasto del percorso principale.

La complessità dell'implementazione del TE risiede nella necessità di calcolare e riservare in anticipo (verificare) un percorso alternativo. Nelle reti MPLS degli operatori di telecomunicazione, questo compito viene svolto utilizzando tecnologie come il MPLS Traffic Engineering con estensioni dei protocolli IGP e del protocollo RSVP. Inoltre, ultimamente sta guadagnando popolarità la tecnologia Segment Routing, che è più ottimizzata per la configurazione e l'orchestrazione centralizzate. Nelle reti WAN classiche, queste tecnologie non sono generalmente disponibili o sono ridotte all'uso di meccanismi hop-by-hop come il Policy-Based Routing (PBR), che è in grado di deviare il traffico, ma lo fa su ciascun router separatamente, senza considerare lo stato complessivo della rete o il risultato del PBR nei passaggi precedenti o successivi. Il risultato dell'applicazione di queste opzioni di TE è deludente: il MPLS TE, a causa della complessità di configurazione e gestione, viene generalmente utilizzato solo nella parte più critica della rete (il nucleo), mentre il PBR viene utilizzato su singoli router senza la possibilità di formare una politica PBR unitaria su tutta la rete. Questo è chiaramente applicabile anche alle reti basate su DMVPN.

SD-WAN offre in questo senso una soluzione molto più elegante, che non solo è facile da configurare, ma scala anche significativamente meglio. Questo è il risultato delle architetture del control-plane e del policy-plane utilizzate. L'implementazione del policy-plane in SD-WAN consente di definire centralmente la politica TE: quale traffico è interessante? per quali VPN? attraverso quali nodi/tunnelli è necessario o, al contrario, vietato formare un percorso alternativo? D'altra parte, la centralizzazione della gestione del control-plane basata sui controllori vSmart consente di modificare i risultati del routing, senza dover configurare i singoli dispositivi: i router vedono solo il risultato della logica che è stata formata nell'interfaccia vManage e trasmessa per l'applicazione su vSmart.

Service-chaining (Sviluppo di servizi)

La formazione di catene di servizi è un compito ancora più laborioso nella classica instradazione rispetto al già descritto meccanismo di Traffic Engineering. Infatti, in questo caso, è necessario non solo creare un percorso speciale per una determinata applicazione di rete, ma anche garantire la possibilità di instradare il traffico dalla rete verso nodi specifici (o verso tutti) della rete SD-WAN per l'elaborazione da parte di un'applicazione o servizio specializzato (MPLS, Bilanciamento, Cache, Ispezione del traffico, ecc.). Inoltre, è necessario avere la possibilità di controllare lo stato di questi servizi esterni per evitare situazioni di black-holing, oltre a meccanismi che consentono di distribuire servizi esterni omogenei in diverse geo-localizzazioni, con la possibilità che la rete scelga automaticamente il nodo di servizio più ottimale per elaborare il traffico di una filiale specifica. Nel caso di Cisco SD-WAN, è piuttosto facile raggiungere questo obiettivo creando una politica centralizzata appropriata che

La capacità di formare un'elaborazione del traffico geo-distribuita per determinate tipologie di applicazioni in una sequenza specifica su attrezzature specializzate (ma non collegate alla rete SD-WAN stessa) rappresenta, forse, la dimostrazione più evidente dei vantaggi di Cisco SD-WAN rispetto alle tecnologie classiche e persino a alcune soluzioni alternative di SD-WAN di altri fornitori.

Qual è il risultato finale?

È evidente che sia DMVPN (insieme o senza Performance Routing) che Cisco SD-WAN affrontano in fin dei conti compiti molto simili rispetto alla rete WAN distribuita dell'organizzazione. In questo caso, le sostanziali differenze architettoniche e funzionali della tecnologia Cisco SD-WAN elevano il processo di risoluzione di questi compiti a un altro livello qualitativo. Riassumendo, si possono notare le seguenti differenze significative tra le tecnologie SD-WAN e DMVPN/PfR:

DMVPN/PfR utilizzano in generale tecnologie collaudate nel tempo per costruire reti VPN sovrapposte e, per quanto riguarda data-plane, sono simili alla più moderna tecnologia SD-WAN; tuttavia, ci sono alcune limitazioni come la necessaria configurazione statica dei router e la scelta delle topologie è limitata a Hub-n-Spoke. D'altra parte, DMVPN/PfR ha alcune funzionalità che al momento non sono disponibili nel contesto di SD-WAN (riferito a BFD per applicazione).
Nell'ambito della tecnologia control-plane, ci sono differenze sostanziali. Considerando l'elaborazione centralizzata dei protocolli di segnalazione, SD-WAN consente, in particolare, di ridurre significativamente i domini di guasto e di "slegare" il processo di trasferimento del traffico degli utenti dall'interazione di segnalazione: la temporanea indisponibilità dei controller non influisce sulla possibilità di trasferire il traffico degli utenti. Allo stesso tempo, la temporanea indisponibilità di una filiale (inclusa quella centrale) non influisce sulla capacità delle altre filiali di interagire tra loro e con i controller.
L'architettura per la formazione e l'applicazione delle politiche di gestione del traffico nel caso di SD-WAN supera anche quella di DMVPN/PfR: il geo-riserva è realizzato in modo significativamente migliore, non c'è vincolo a Hub, ci sono maggiori possibilità di fine tuning delle politiche e l'elenco degli scenari di gestione del traffico realizzabili è notevolmente più ampio.
Il processo di orchestrazione della soluzione differisce anche in modo significativo. DMVPN presuppone la presenza di parametri precedentemente noti che devono essere in qualche modo riflessi nella configurazione, il che limita un po' la flessibilità della soluzione e la possibilità di modifiche dinamiche. Al contrario, SD-WAN parte dal paradigma che all'inizio della connessione il router "non sa nulla" sui propri controller, ma sa "da chi chiedere"; questo è sufficiente non solo per stabilire automaticamente la connessione con i controller, ma anche per formare automaticamente una topologia data-plane completamente connessa, che può poi essere configurata/modificata in modo flessibile tramite politiche.
Nel campo della gestione centralizzata, dell'automazione e del monitoraggio, SD-WAN supera chiaramente le capacità di DMVPN/PfR, che sono il risultato dell'evoluzione delle tecnologie classiche e si basano maggiormente sulla riga di comando CLI e sull'uso di sistemi NMS basati su modelli.
Nel SD-WAN rispetto a DMVPN, i requisiti di sicurezza hanno raggiunto un altro livello qualitativo. I principi chiave sono: zero fiducia, scalabilità e autenticazione a due fattori.

Da queste conclusioni semplici può nascere l'impressione errata che la creazione di una rete basata su DMVPN/PfR abbia perso oggi ogni rilevanza. Questo non è del tutto vero. Ad esempio, nei casi in cui la rete utilizza molte apparecchiature obsolete e non è possibile sostituirle, DMVPN può consentire di collegare dispositivi 'vecchi' e 'nuovi' in una rete geo-distribuita unica con un gran numero di vantaggi sopra descritti.

D'altra parte, è importante ricordare che tutti i router aziendali Cisco attualmente attuali basati su IOS XE (ISR 1000, ISR 4000, ASR 1000, CSR 1000v) supportano oggi qualsiasi modalità operativa – sia la classica instradamento che DMVPN e SD-WAN – la scelta è determinata dalle esigenze attuali e dalla comprensione che in qualsiasi momento è possibile iniziare a muoversi verso una tecnologia più avanzata utilizzando lo stesso hardware.

Fonte: habr.com