Cisco SD-WAN taglierà il ramo su cui è seduto DMVPN?

Dal agosto 2017, quando Cisco ha acquisito Viptela, la tecnologia principale proposta per le reti aziendali distribuite è diventata Cisco SD-WAN. Negli ultimi 3 anni, la tecnologia SD-WAN ha subito numerosi cambiamenti, sia qualitativi che quantitativi. Sono state notevolmente ampliate le funzionalità e ora è supportata anche sui router classici delle serie Cisco ISR 1000, ISR 4000, ASR 1000 e sul virtuale CSR 1000v. Nel frattempo, molti clienti e partner Cisco continuano a chiedersi – quali sono le differenze tra Cisco SD-WAN e i consueti approcci basati su tecnologie come Cisco DMVPN e Cisco Performance Routing e quanto siano significative queste differenze?

È importante sottolineare che, prima dell'introduzione di SD-WAN nel portafoglio Cisco, DMVPN insieme a PfR costituiva una parte chiave dell'architettura Cisco IWAN (Intelligent WAN), che a sua volta era il precursore della tecnologia SD-WAN completa. Nonostante le somiglianze generali sia nelle sfide affrontate che nei metodi utilizzati per risolverle, IWAN non ha raggiunto il livello di automazione, flessibilità e scalabilità necessario per SD-WAN, e nel tempo lo sviluppo di IWAN è diminuito significativamente. Allo stesso tempo, le tecnologie costitutive di IWAN non sono scomparse e molti clienti continuano a utilizzarle con successo anche su hardware moderno. Alla fine si è creata una situazione interessante: la stessa apparecchiatura Cisco consente di scegliere la tecnologia WAN più adatta (classica, DMVPN+PfR o SD-WAN) in base alle esigenze e alle aspettative dei clienti.

L'articolo non intende esaminare in dettaglio tutte le caratteristiche delle tecnologie Cisco SD-WAN e DMVPN (insieme o senza Performance Routing) — per questo ci sono un enorme numero di documenti e materiali disponibili. L'obiettivo principale è cercare di valutare le differenze chiave tra queste tecnologie. Tuttavia, prima di passare alla discussione di queste differenze, ricordiamo brevemente cosa sono queste tecnologie.

Che cos'è Cisco DMVPN e a cosa serve?

Cisco DMVPN risolve il problema della connessione dinamica (= scalabile) delle reti dei filiali remote alla rete dell'ufficio centrale dell'azienda utilizzando vari tipi di canali di comunicazione, incluso Internet (= con crittografia del canale). Tecnologicamente, ciò viene realizzato creando una rete virtualizzata di livello L3. VPN in modalità punto-a-multipunto con una topologia logica di tipo 'Stella' (Hub-n-Spoke). A tal fine, DMVPN utilizza una combinazione delle seguenti tecnologie:

• routing IP
• Tunnel GRE multipoint (mGRE)
• Protocollo di risoluzione del prossimo salto (NHRP)
• Profili di crittografia IPSec

Quali sono i principali vantaggi di Cisco DMVPN rispetto alla classica routing con l'uso di canali MPLS VPN?

• Per creare una rete tra filiali è possibile utilizzare qualsiasi canale di comunicazione – è adatto tutto ciò che è in grado di garantire connettività IP tra le filiali, assicurando che il traffico venga crittografato (dove necessario) e bilanciato (dove possibile).
• Si forma automaticamente una topologia completamente connessa tra le filiali. In questo caso, tra la sede centrale e le filiali remote – tunnel statici, mentre tra le filiali remote – tunnel dinamici su richiesta (in presenza di traffico).
• I router della sede centrale e della filiale remota presentano una configurazione uniforme fino a IP addresses interfacce. Grazie all'uso di mGRE, non è necessaria la configurazione individuale di decine, centinaia o addirittura migliaia di tunnel. Di conseguenza, si ottiene una scalabilità adeguata con un design corretto.

Che cos'è il Cisco Performance Routing e a cosa serve?

Utilizzando DMVPN su una rete interfiliale, rimane irrisolto un aspetto cruciale: come valutare dinamicamente lo stato di ciascun tunnel DMVPN per garantire che soddisfi le esigenze del traffico critico per la nostra organizzazione e, basandosi su questa valutazione, prendere decisioni dinamiche sulla rerouting? Infatti, DMVPN in questo caso non si discosta molto dalla classica routing: la cosa migliore che si possa fare è configurare meccanismi QoS che consentano di dare priorità al traffico in uscita, ma che non sono in grado di tenere conto dello stato dell'intero percorso in un dato momento.

E cosa fare se il canale degrada parzialmente e non completamente – come individuare e valutare questa situazione? Il DMVPN da solo non è in grado di farlo. Considerando che i canali che collegano le sedi possono attraversare operatori di rete completamente diversi, utilizzando tecnologie altrettanto diverse, questo compito diventa estremamente complesso. È qui che entra in gioco la tecnologia Cisco Performance Routing, che nel frattempo ha già attraversato diverse fasi di sviluppo.

L'obiettivo di Cisco Performance Routing (PfR) è misurare lo stato dei percorsi (tunnel) di passaggio del traffico basandosi su metriche chiave, importanti per le applicazioni di rete – latenza, variazione della latenza (jitter) e perdita di pacchetti (in percentuale). Inoltre, può essere misurata la larghezza di banda utilizzata. Queste misurazioni avvengono il più vicino possibile al tempo reale (per quanto sia possibile e giustificato) e il risultato di queste misurazioni consente al router che utilizza PfR di prendere decisioni dinamiche sulla necessità di modificare la routing di un certo tipo di traffico.

Pertanto, la combinazione DMVPN/PfR può essere sintetizzata come segue:

• Consentire al cliente di utilizzare qualsiasi tipo di canale di comunicazione su reti WAN
• Garantire la massima qualità possibile per le applicazioni critiche su questi canali

Che cos'è Cisco SD-WAN?

Cisco SD-WAN è una tecnologia che utilizza l'approccio SDN per creare e gestire la rete WAN dell'organizzazione. Ciò significa, in particolare, l'uso di cosiddetti controller (elementi software) che garantiscono l'orchestrazione centralizzata e la configurazione automatizzata di tutti i componenti della soluzione. A differenza del classico SDN (stile Clean Slate), Cisco SD-WAN utilizza diversi tipi di controller, ognuno dei quali svolge un ruolo specifico; questa scelta è adottata per garantire una migliore scalabilità e geo-riserva.

Nel caso dello SD-WAN, il compito di utilizzare qualsiasi tipo di canale e garantire il funzionamento delle applicazioni aziendali rimane, ma si ampliano i requisiti per l'automazione, la scalabilità, la sicurezza e la flessibilità di questa rete.

Discussione delle differenze

Se ora iniziamo ad analizzare le differenze tra queste tecnologie, esse rientreranno in una delle seguenti categorie:

• Differenze architettoniche – come vengono distribuite le funzioni tra i diversi componenti della soluzione, come è organizzato l'interazione tra questi componenti e come ciò influisce sulle capacità e sulla flessibilità della tecnologia?
• Funzionalità – cosa può fare una tecnologia che l'altra non può? E quanto è importante?

Quali sono le differenze architettoniche e quanto sono importanti?

Ogni tecnologia menzionata presenta numerose 'parti in movimento', le cui funzioni e i principi di interazione differiscono. La scalabilità, la resilienza e l'efficienza complessiva della soluzione dipendono direttamente da quanto siano ben progettati questi principi e dalla meccanica generale.

Esaminiamo più da vicino diversi aspetti dell'architettura:

Data-plane – la parte della soluzione responsabile della trasmissione del traffico degli utenti tra fonte e destinatario. In DMVPN e SD-WAN è implementata in modo sostanzialmente identico sui router basati su tunnel GRE Multipoint. La differenza sta nel modo in cui vengono formati i parametri necessari per questi tunnel:

• in DMVPN/PfR – è un'architettura a due livelli di nodi con topologia "Stella" o Hub-n-Spoke. È necessaria una configurazione statica dell'Hub e un'associazione statica dello Spoke all'Hub, così come l'interazione tramite il protocollo NHRP per la formazione della connettività del data-plane. Di conseguenza, sono notevolmente complicate le modifiche all'Hub, legate, ad esempio, alla modifica/collegamento di nuovi canali WAN o alla modifica dei parametri esistenti.
• in SD-WAN – è un modello completamente dinamico per la scoperta dei parametri dei tunnel stabiliti, basato sul control-plane (protocollo OMP) e sull'orchestration-plane (interazione con il controller vBond per compiti di scoperta dei controller e NAT traversal). In questo caso, possono essere applicate topologie qualsiasi, comprese quelle gerarchiche. All'interno della topologia di tunnel stabilita, è possibile una configurazione flessibile della topologia logica in ogni singolo VPN (VRF).

Control-plane – funzioni di scambio, filtraggio e modifica delle informazioni di routing e altre informazioni tra i componenti della soluzione.

• in DMVPN/PfR – avviene solo tra i router Hub e Spoke. Lo scambio diretto di informazioni di routing tra gli Spoke non è possibile. Di conseguenza, senza un Hub funzionante, il funzionamento del control-plane e del data-plane è impossibile, il che impone all'Hub ulteriori requisiti di alta disponibilità che non sempre possono essere soddisfatti.
• in SD-WAN – il control-plane non viene mai gestito direttamente tra i router, l'interazione avviene tramite il protocollo OMP ed è obbligatoriamente realizzata attraverso un tipo di controller vSmart specializzato, il che consente il bilanciamento, la geo-ridondanza e la gestione centralizzata del segnale. Un'altra caratteristica del protocollo OMP è la sua notevole resilienza alle perdite e l'indipendenza dalla velocità della connessione con i controller (entro limiti ragionevoli, ovviamente). Questo consente efficacemente di ospitare i controller SD-WAN in cloud pubblici o privati con accesso tramite Internet.

Policy-plane – la parte della soluzione responsabile della definizione, diffusione e applicazione delle politiche di gestione del traffico su una rete distribuita.

• DMVPN – è di fatto limitato alle politiche di qualità del servizio (QoS), configurabili individualmente su ciascun router tramite CLI o modelli di Prime Infrastructure.
• DMVPN/PfR – le politiche PfR vengono formulate su un router centralizzato Master Controller (MC) tramite CLI e successivamente distribuite automaticamente ai MC filiali. Si utilizzano gli stessi percorsi di trasmissione delle politiche previsti per il data-plane. Non è possibile separare lo scambio delle politiche, delle informazioni di routing e dei dati degli utenti. La distribuzione delle politiche richiede necessariamente la connessione IP tra il Hub e il Spoke. Inoltre, la funzionalità MC può essere combinata, se necessario, con un router DMVPN. È possibile (ma non obbligatorio) utilizzare modelli Prime Infrastructure per la formazione centralizzata delle politiche. Una caratteristica importante è che la politica viene formulata globalmente in tutta la rete in modo uniforme – le politiche individuali per singoli segmenti non sono supportate.
• SD-WAN – le politiche di gestione del traffico e della qualità del servizio sono definite centralmente tramite l'interfaccia grafica Cisco vManage, accessibile anche tramite Internet, se necessario. Vengono diffuse tramite canali di segnale direttamente o indirettamente attraverso i controller vSmart (a seconda del tipo di politica). Non dipendono dalla connettività della data-plane tra i router, in quanto utilizzano tutti i percorsi disponibili per il trasferimento del traffico tra il controller e il router.

  Per diversi segmenti di rete è possibile creare politiche flessibili – l'ambito di applicazione della politica è definito da un insieme di identificatori unici previsti nella soluzione, come il numero della filiale, il tipo di applicazione, la direzione del traffico, ecc.

Orchestration-plane – meccanismi che consentono ai componenti di scoprirsi dinamicamente, configurarsi e coordinare le interazioni successive.

• in DMVPN/PfR La scoperta reciproca dei router si basa sulla configurazione statica dei dispositivi Hub e sulla corretta impostazione dei dispositivi Spoke. La scoperta dinamica avviene solo per lo Spoke che comunica i propri parametri di connessione all'Hub, che è stato precedentemente inserito nella configurazione dello Spoke. Senza connettività IP tra lo Spoke e almeno un Hub, non è possibile formare né il data-plane né il control-plane.
• in SD-WAN L'orchestrazione dei componenti della soluzione avviene attraverso un controller vBond, con il quale ogni componente (router e controller vManage/vSmart) deve stabilire preventivamente la connettività IP.

  Inizialmente, i componenti non conoscono i parametri di connessione tra loro; per questo, hanno bisogno di un intermediario-orchestratore vBond. Il principio generale è il seguente: ogni componente, nella fase iniziale, scopre (automaticamente o staticamente) solo i parametri di connessione al vBond, e successivamente il vBond informa il router sui controller vManage e vSmart (scoperti in precedenza), rendendo possibile l'instaurazione automatica di tutte le necessarie connessioni di segnalazione.

  Il passaggio successivo prevede che il nuovo router apprenda degli altri router nella rete tramite lo scambio OMP con il controller vSmart. In questo modo, il router, pur non conoscendo inizialmente i parametri della rete, è in grado di rilevare e connettersi automaticamente ai controller e successivamente rilevare e stabilire la connettività con gli altri router. I parametri di connessione di tutti i componenti sono inizialmente sconosciuti e possono cambiare nel corso dell'operatività.

Management-plane – parte della soluzione che offre gestione e monitoraggio centralizzati.

• DMVPN/PfR – non è previsto un soluzione management-plane specializzata. Per l'automazione di base e il monitoraggio, è possibile utilizzare prodotti come Cisco Prime Infrastructure. Ogni router ha la possibilità di essere gestito tramite la riga di comando CLI. Non è prevista integrazione con sistemi esterni tramite API.
• SD-WAN – tutta l'interazione e il monitoraggio avvengono centralmente tramite l'interfaccia grafica del controller vManage. Tutte le funzionalità della soluzione, senza eccezione, sono configurabili tramite vManage, oltre a una libreria dell'interfaccia di programmazione REST API completamente documentata.

  Tutte le impostazioni della rete SD-WAN in vManage si riducono a due costrutti principali: la creazione di modelli di dispositivo (Device Template) e la creazione di politiche che definiscono la logica operativa della rete e la gestione del traffico. In questo modo, vManage, trasmettendo la politica definita dall'amministratore, seleziona automaticamente quali modifiche apportare e su quali dispositivi/controller individuali, aumentando notevolmente l'efficienza e la scalabilità della soluzione.

  Attraverso l'interfaccia di vManage è possibile non solo configurare la soluzione Cisco SD-WAN, ma anche monitorare completamente lo stato di tutti i componenti della soluzione, fino allo stato attuale delle metriche dei singoli tunnel e alle statistiche di utilizzo delle diverse applicazioni basate su analisi DPI.

  Nonostante la centralizzazione delle interazioni, tutti i componenti (controller e router) dispongono anche di un'interfaccia a riga di comando CLI full-featured, necessaria durante la fase di implementazione o in caso di situazioni anomale per la diagnosi locale. In modalità normale (in presenza di un canale di segnalazione tra i componenti) la riga di comando è accessibile solo per la diagnosi e non per apportare modifiche locali, garantendo così sia la sicurezza locale che una fonte unica di modifiche in una rete di questo tipo – vManage.

Sicurezza integrata – qui si fa riferimento non solo alla protezione dei dati degli utenti durante la trasmissione su canali aperti, ma anche alla sicurezza complessiva della rete WAN basata sulla tecnologia scelta.

• in DMVPN/PfR È prevista la possibilità di crittografare i dati degli utenti e i protocolli di segnalazione. Utilizzando determinati modelli di router, sono disponibili anche funzionalità di firewall con ispezione del traffico, IPS/IDS. È possibile segmentare le reti filiali utilizzando VRF. È prevista l'autenticazione (singolo fattore) dei protocolli di controllo.

  In questo caso, il router remoto è considerato un elemento di fiducia della rete per default, cioè non si ipotizzano e non si considerano casi di compromissione fisica di singoli dispositivi e la possibilità di accesso non autorizzato a essi; non c'è autenticazione a due fattori per i componenti della soluzione, il che, in una rete geograficamente distribuita, può comportare seri rischi aggiuntivi.

• in SD-WAN Simile a DMVPN, è disponibile la possibilità di crittografare i dati degli utenti, ma con funzionalità di sicurezza di rete e segmentazione L3/VRF notevolmente ampliate (MPLS, IPS/IDS, filtraggio URL, filtraggio DNS, AMP/TG, SASE, proxy TLS/SSL, ecc.). In questo caso, lo scambio delle chiavi di crittografia avviene in modo più efficiente attraverso i controller vSmart (anziché direttamente), tramite canali di segnalazione predefiniti, protetti dalla crittografia DTLS/TLS basata su certificati di sicurezza. Ciò garantisce la sicurezza di tale scambio e garantisce una migliore scalabilità della soluzione fino a decine di migliaia di dispositivi in una rete.

  Tutte le connessioni di segnalazione (controller-controller, controller-router) sono anch'esse protette sulla base di DTLS/TLS. I router sono dotati di certificati di sicurezza durante la produzione con la possibilità di sostituzione/rinnovo. L'autenticazione a due fattori viene raggiunta tramite l'obbligo e l'esecuzione simultanea di due condizioni affinché il router/controller possa funzionare nella rete SD-WAN:

  • Certificato di sicurezza valido
  • Aggiunta esplicita e consapevole da parte dell'amministratore di ciascun componente nella lista bianca dei dispositivi autorizzati.

Differenze funzionali tra SD-WAN e DMVPN/PfR

Passando a discutere delle differenze funzionali, è importante notare che molte di esse sono un'estensione delle considerazioni architettoniche: non è un segreto che nella definizione dell'architettura della soluzione gli sviluppatori si basino sulle funzionalità che desiderano ottenere alla fine. Esaminiamo le differenze più significative tra le due tecnologie.

AppQ (Application Quality) – funzioni per garantire la qualità della trasmissione del traffico delle applicazioni aziendali

Le funzionalità chiave delle tecnologie esaminate mirano a migliorare, per quanto possibile, l'esperienza utente nell'uso di applicazioni critiche per il business all'interno di una rete distribuita. Questo è particolarmente importante in un contesto in cui parte dell'infrastruttura non è sotto il controllo dell'IT o non garantisce nemmeno una trasmissione dati affidabile.

DMVPN non offre tali meccanismi autonomamente. La miglior cosa che si possa fare in una rete DMVPN classica è classificare il traffico in uscita per applicazioni e dargli priorità durante il trasferimento verso la WAN. La scelta del tunnel DMVPN, in questo caso, è determinata solo dalla sua disponibilità e dal risultato dei protocolli di routing. Non viene considerato lo stato end-to-end del percorso/tunnel né la sua possibile degradazione parziale rispetto a metriche chiave significative per le applicazioni di rete, come la latenza, la variazione della latenza (jitter) e le perdite (%). Pertanto, confrontare direttamente DMVPN classico con SD-WAN riguardo alla risoluzione delle problematiche di AppQ perde ogni senso: DMVPN non può affrontare questa questione. L'introduzione della tecnologia Cisco Performance Routing (PfR) cambia la situazione, rendendo più appropriato il confronto con Cisco SD-WAN.

Prima di passare a discutere le differenze, una breve nota sulle somiglianze tra le tecnologie. Quindi, entrambe le tecnologie:

• dispongono di un meccanismo che consente di valutare dinamicamente lo stato di ciascun tunnel installato in base a metriche specifiche – almeno, ritardo, variazione del ritardo e perdita di pacchetti (%)
• utilizzano un insieme specifico di strumenti per formare, distribuire e applicare regole (politiche) di gestione del traffico, tenendo conto dei risultati della misurazione delle metriche chiave dei tunnel.
• classificano il traffico delle applicazioni ai livelli L3-L4 (DSCP) del modello OSI o secondo le firme L7 delle applicazioni, basandosi sui meccanismi DPI integrati nel router.
• permettono di definire valori soglia accettabili per le metriche delle applicazioni significative, regole di trasmissione del traffico predefinite e regole di riinstradamento del traffico in caso di superamento dei valori soglia.
• quando si incapsula il traffico in GRE/IPSec, utilizzano un meccanismo consolidato nell'industria per trasferire i marcatori DSCP interni nell'intestazione esterna del pacchetto GRE/IPSec, consentendo di sincronizzare le politiche QoS tra l'organizzazione e l'operatore di telecomunicazioni (in presenza di un SLA corrispondente).

In che modo i meccanismi di valutazione delle metriche end-to-end SD-WAN differiscono da DMVPN/PfR?

DMVPN/PfR

• Per la valutazione delle metriche standard dello stato del tunnel vengono utilizzati sensori software sia attivi che passivi (Probes). Gli attivi si basano sul traffico utente, mentre i passivi emulano tale traffico (in assenza di questo).
• La regolazione fine dei timer e delle condizioni di rilevamento della degradazione è assente – l'algoritmo è fisso.
• In aggiunta, è disponibile la misurazione della larghezza di banda utilizzata in direzione outbound. Questo aggiunge a DMVPN/PfR una maggiore flessibilità nella gestione del traffico.
• Alcuni meccanismi di PfR si basano invece su feedback di segnale inverso sotto forma di messaggi TCA (Threshold Crossing Alert) speciali, che devono provenire dal ricevente del traffico verso la sorgente, il che implica che gli stati dei canali misurati devono essere almeno sufficienti per trasmettere tali messaggi TCA. Questo nella maggior parte dei casi non è un problema, ma non può essere garantito.

SD-WAN

• Per la valutazione continua delle metriche standard dello stato del tunnel, viene utilizzato il protocollo BFD in modalità echo. In questo caso, non è necessaria alcuna risposta speciale sotto forma di TCA o messaggi simili, mantenendo l'isolamento dei domini di guasto. Inoltre, non è necessario il traffico utente per valutare lo stato del tunnel.
• È possibile effettuare una fine regolazione dei timer BFD per controllare la velocità di attivazione e la sensibilità dell'algoritmo rispetto ai degradi del canale di comunicazione, passando da alcuni secondi a diversi minuti.

  

• Al momento della scrittura dell'articolo, in ciascun tunnel è prevista solo una sessione BFD. Questo potenzialmente crea una minore granularità nell'analisi dello stato del tunnel. In realtà, questo può diventare un vincolo solo in caso di utilizzo di una connessione WAN basata su MPLS L2/L3 VPN con SLA QoS concordato: se la marcatura DSCP del traffico BFD (dopo l'incapsulamento in IPSec/GRE) corrisponde a una coda ad alta priorità nella rete del fornitore di servizi, ciò può influenzare l'accuratezza e la velocità di rilevamento della degradazione del traffico a bassa priorità. È possibile modificare la marcatura BFD predefinita per ridurre il rischio di tali situazioni. Nelle prossime versioni del software Cisco SD-WAN è prevista l'introduzione di configurazioni più dettagliate per BFD, nonché la possibilità di avviare più sessioni BFD all'interno di un singolo tunnel con valori DSCP individuali (per diverse applicazioni).
• BFD consente inoltre di valutare la dimensione massima del pacchetto che può essere trasmesso attraverso un determinato tunnel senza frammentazione. Questo permette a SD-WAN di configurare dinamicamente parametri come MTU e TCP MSS Adjust per utilizzare al meglio la larghezza di banda disponibile su ogni canale.
• In SD-WAN è anche disponibile un'opzione di sincronizzazione QoS con i fornitori di servizi non solo basata sul campo L3 DSCP, ma anche sui valori L2 CoS, che possono essere automaticamente generati nella rete di filiale da dispositivi specializzati, come i telefoni IP.

Quali sono le differenze nelle capacità, nei metodi di definizione e applicazione delle politiche AppQ?

Politiche DMVPN/PfR:

• Sono definite sul router(-i) della filiale centrale (CF) tramite la riga di comando CLI o modelli di configurazione CLI. La creazione di modelli CLI richiede preparazione e conoscenza della sintassi delle politiche.

  

• Sono definite globalmente senza possibilità di personalizzazione/modifica secondo le esigenze di singoli segmenti della rete.
• La creazione interattiva delle politiche nell'interfaccia grafica non è prevista.
• Il monitoraggio delle modifiche, l'eredità e la creazione di più versioni delle politiche per un rapido passaggio non sono previsti.
• Si propagano automaticamente ai router delle filiali remote. Vengono utilizzati gli stessi canali di comunicazione per la trasmissione dei dati degli utenti. In assenza di un canale di comunicazione tra la sede centrale e la filiale remota, la propagazione o la modifica delle politiche è impossibile.
• Vengono applicati a ciascun router e, se necessario, modificano il risultato dei protocolli di routing standard, avendo una priorità più alta.
• Per i casi in cui tutti i canali WAN della filiale subiscono perdite significative di traffico, non sono previsti meccanismi di compensazione..

Politiche SD-WAN:

• Vengono definite nell'interfaccia grafica di vManage tramite un wizard interattivo per i modelli.
• Supportano la creazione di più politiche, la copia, l'eredità e il cambio tra politiche in tempo reale.
• Supportano la personalizzazione delle politiche per diversi segmenti (filiali) della rete.
• Si propagano utilizzando qualsiasi canale di segnale disponibile tra il controller e il router e/o vSmart – non dipendono direttamente dalla connettività del data-plane tra i router. Tuttavia, è necessaria la connettività IP tra il router stesso e i controller.

  

• Nei casi in cui tutti i canali disponibili della filiale subiscono perdite significative di dati, che superano i valori soglia accettabili per le applicazioni critiche, è possibile utilizzare ulteriori meccanismi per aumentare l'affidabilità della trasmissione:
  • FEC (Forward Error Correction) – utilizza un algoritmo speciale di codifica ridondante. Durante la trasmissione di traffico critico su canali con una percentuale significativa di perdite, il FEC può essere attivato automaticamente e consente, se necessario, di recuperare la parte di dati persa. Ciò comporta un leggero aumento della banda utilizzata, ma aumenta notevolmente l'affidabilità.

    

  • Duplicazione dei flussi di dati – in aggiunta alla politica FEC, può essere prevista la duplicazione automatica del traffico delle applicazioni selezionate in caso di perdite ancora più gravi, che non possono essere compensate tramite FEC. In questo caso, i dati selezionati saranno trasmessi attraverso tutti i tunnel verso la filiale destinataria, con successiva deduplicazione (scartando copie superflue dei pacchetti). Questo meccanismo aumenta notevolmente l'uso dei canali, ma al contempo migliora significativamente l'affidabilità della trasmissione.

Le capacità di Cisco SD-WAN, senza diretti analoghi in DMVPN/PfR

L'architettura della soluzione Cisco SD-WAN in alcuni casi consente di ottenere capacità la cui implementazione all'interno di DMVPN/PfR è o estremamente difficile, o non conveniente a causa del necessario dispendio di risorse, o addirittura impossibile. Esaminiamo le più interessanti tra esse:

Traffic-Engineering (TE)

TE include meccanismi che permettono di deviare il traffico dal percorso standard creato dai protocolli di routing. TE è frequentemente utilizzato per garantire un'elevata disponibilità dei servizi di rete, grazie alla capacità di reindirizzare rapidamente e/o in anticipo il traffico importante su un percorso alternativo (non in sovrapposizione), con l'obiettivo di migliorare la qualità del servizio o la velocità di ripristino in caso di guasto sul percorso principale.

La complessità dell'implementazione del TE risiede nella necessità di calcolare e riservare in anticipo (verificare) un percorso alternativo. Nelle reti MPLS degli operatori di telecomunicazioni, questo compito viene svolto utilizzando tecnologie come il MPLS Traffic Engineering con estensioni dei protocolli IGP e il protocollo RSVP. Negli ultimi tempi, sta guadagnando sempre più popolarità la tecnologia Segment Routing, che è più ottimizzata per la configurazione centralizzata e l'orchestrazione. Nelle classiche reti WAN, queste tecnologie generalmente non sono presenti o sono ridotte all'uso di meccanismi hop-by-hop come il Policy-Based Routing (PBR), che può deviare il traffico, ma lo fa su ogni router singolarmente, senza considerare lo stato generale della rete o il risultato del PBR nei passaggi precedenti o successivi. Il risultato dell'applicazione di queste varianti di TE è deludente: l'MPLS TE, a causa della complessità della configurazione e della manutenzione, viene generalmente utilizzato solo nella parte più critica della rete (il nucleo), mentre il PBR viene utilizzato su singoli router senza la possibilità di formare una politica unica di PBR su tutta la rete. Questo vale ovviamente anche per le reti basate su DMVPN.

SD-WAN in questo piano offre una soluzione molto più elegante, che non solo è facile da configurare, ma scala anche in modo significativamente migliore. Questo è il risultato delle architetture control-plane e policy-plane utilizzate. L'implementazione di policy-plane in SD-WAN consente di definire centralmente la politica TE - quale traffico è di interesse? per quali VPN? attraverso quali nodi/tunel devono essere formati percorsi alternativi o, al contrario, devono essere bloccati? La centralizzazione della gestione del control-plane basata su controller vSmart consente di modificare i risultati di instradamento senza dover ricorrere alla configurazione di singoli dispositivi – i router vedono solo il risultato di quella logica, che è stata formata nell'interfaccia vManage e trasmessa per l'applicazione su vSmart.

Service-chaining (Sercizi di servizio)

La creazione di catene di servizi è un compito ancora più impegnativo nella classica instradamento rispetto al già descritto meccanismo di Traffic Engineering. Infatti, in questo caso è necessario non solo creare un percorso speciale per una determinata applicazione di rete, ma anche garantire la possibilità di instradare il traffico fuori dalla rete su determinati (o su tutti) nodi della rete SD-WAN per l'elaborazione tramite un'applicazione o un servizio specifico (QoS, Bilanciamento, Caching, Ispezione del traffico, ecc.). Inoltre, è fondamentale poter controllare lo stato di questi servizi esterni, per evitare situazioni di black-holing, e sono necessari meccanismi che permettano di posizionare tali servizi esterni simili in diverse geo-localizzazioni con la possibilità che la rete selezioni automaticamente il nodo di servizio più ottimale per l'elaborazione del traffico di un determinato filiale. Nel caso di Cisco SD-WAN, questo può essere facilmente raggiunto creando una politica centralizzata appropriata che unisce tutti gli aspetti della catena di servizi target in un'unica entità e modifica automaticamente la logica del data-plane e del control-plane solo dove e quando necessario.

La capacità di formare un'elaborazione geo-distribuita del traffico di specifiche tipologie di applicazioni in una determinata sequenza su hardware specializzato (che non ha relazione diretta con la rete SD-WAN) è, senza dubbio, la dimostrazione più evidente dei vantaggi di Cisco SD-WAN rispetto alle tecnologie classiche e persino ad alcune soluzioni SD-WAN alternative di altri produttori.

Quali sono i risultati finali?

È evidente che sia DMVPN (insieme o senza Performance Routing) che Cisco SD-WAN affrontano in ultima analisi compiti molto simili rispetto alla rete WAN distribuita dell'organizzazione. Tuttavia, le significative differenze architettoniche e funzionali della tecnologia Cisco SD-WAN portano il processo di risoluzione di queste sfide a un livello qualitativo superiore. In sintesi, si possono notare le seguenti differenze significative tra le tecnologie SD-WAN e DMVPN/PfR:

• DMVPN/PfR utilizza tecnologie collaudate per la creazione di reti VPN sovrapposte e, per quanto riguarda il data-plane, somiglia alla più moderna tecnologia SD-WAN; tuttavia, presenta alcune limitazioni, come la necessità di una configurazione statica obbligatoria dei router e una scelta limitata delle topologie, basata sul modello Hub-n-Spoke. D'altra parte, DMVPN/PfR dispone di alcune funzionalità che non sono ancora disponibili in SD-WAN (riferendosi a per-application BFD).
• Nel contesto della tecnologia del control-plane, ci sono differenze fondamentali. Grazie all'elaborazione centralizzata dei protocolli di segnalazione, SD-WAN consente di ridurre notevolmente i domini di guasto e di 'slegare' il processo di trasferimento del traffico utente dall'interazione di segnalazione: la temporanea indisponibilità dei controller non influisce sulla capacità di trasferire il traffico utente. Allo stesso modo, la temporanea indisponibilità di una filiale (inclusa quella centrale) non influisce sulle possibilità di interazione delle altre filiali tra loro e con i controller.
• L'architettura per la creazione e l'applicazione delle politiche di gestione del traffico nel caso di SD-WAN supera notevolmente quella di DMVPN/PfR: il geo-backup è implementato in modo significativamente migliore, non è legato a un Hub, offre maggiori possibilità di configurazione delle politiche e l'elenco degli scenari di gestione del traffico realizzabili è molto più ampio.
• Il processo di orchestrazione della soluzione è anch'esso notevolmente diverso. DMVPN richiede parametri noti in anticipo, che devono essere in qualche modo riflessi nella configurazione, limitando così la flessibilità della soluzione e la possibilità di cambiamenti dinamici. Al contrario, SD-WAN parte dal presupposto che all'inizio della connessione il router "non sappia nulla" sui propri controller, ma sappia "chi può chiedere" - questo è sufficiente non solo per stablire automaticamente una connessione con i controller, ma anche per formare automaticamente una topologia data-plane completamente connessa, che può poi essere configurata/modificata in modo flessibile tramite politiche.
• Nel campo della gestione centralizzata, automazione e monitoraggio, SD-WAN supera ampiamente le capacità di DMVPN/PfR, che sono il risultato dell'evoluzione delle tecnologie classiche e si basano in gran parte su una linea di comando CLI e sull'uso di sistemi NMS basati su template.
• In SD-WAN, rispetto a DMVPN, i requisiti di sicurezza sono passati a un livello qualitativo superiore. I principi fondamentali sono: zero trust, scalabilità e autenticazione a due fattori.

Da queste semplici conclusioni potrebbe nascere una falsa impressione che la creazione di una rete basata su DMVPN/PfR abbia perso oggi ogni rilevanza. Certamente non è così. Ad esempio, nei casi in cui la rete utilizza molte attrezzature obsolete e non è possibile sostituirle, DMVPN può permettere di unire dispositivi ‘vecchi’ e ‘nuovi’ in un'unica rete geo-distribuita con un gran numero di vantaggi descritti sopra.

D'altra parte, è importante ricordare che tutti i router aziendali Cisco attuali basati su IOS XE (ISR 1000, ISR 4000, ASR 1000, CSR 1000v) supportano oggi qualsiasi modalità operativa – sia la classica routing che DMVPN e SD-WAN – La scelta è determinata dalle esigenze attuali e dalla consapevolezza che in qualsiasi momento sulla stessa attrezzatura si può iniziare a spostarsi verso tecnologie più avanzate.

Fonte: habr.com