ניסיון בהטמעת רקמות רשת על בסיס EVPN VXLAN ו-Cisco ACI והשוואה קצרה

הערך את החיבורים בחלק האמצעי של התרשים. נחזור אליהם להלן

בשלב מסוים, אתה עשוי לגלות שרשתות גדולות ומורכבות מבוססות L2 הן חולות סופניות. קודם כל, בעיות הקשורות לעיבוד תעבורת BUM ותפעול פרוטוקול STP. שנית, הארכיטקטורה היא בדרך כלל מיושנת. זה גורם לבעיות לא נעימות בצורה של השבתות וטיפול לא נוח.

היו לנו שני פרויקטים מקבילים, שבהם הלקוחות העריכו בצורה מפוכחת את כל היתרונות והחסרונות של האפשרויות ובחרו בשני פתרונות שכבה שונים, ויישמנו אותם.

הייתה הזדמנות להשוות את היישום. לא ניצול, אנחנו צריכים לדבר על זה בעוד שנתיים או שלוש.

אז מה זה מארג רשת עם רשתות שכבת-על ו-SDN?

מה לעשות עם הבעיות הדוחקות של ארכיטקטורת רשת קלאסית?

בכל שנה מופיעות טכנולוגיות ורעיונות חדשים. בפועל, הצורך הדחוף בבנייה מחדש של רשתות לא עלה די הרבה זמן, כי אפשר גם לעשות הכל ביד בשיטות הישנות והטובות. אז מה אם זו המאה העשרים ואחת? אחרי הכל, מנהל צריך לעבוד, ולא לשבת במשרד שלו.

אז החלה פריחה בבניית מרכזי נתונים בקנה מידה גדול. אז התברר שגבול הפיתוח של האדריכלות הקלאסית הושג, לא רק מבחינת ביצועים, סבילות לתקלות ומדרגיות. ואחת האפשרויות לפתרון בעיות אלו הייתה הרעיון של בניית רשתות שכבת על על גבי עמוד שדרה מנותב.

בנוסף, עם הגידול בהיקף הרשתות, החריפה בעיית ניהול מפעלים מסוג זה, וכתוצאה מכך החלו להופיע פתרונות רשת מוגדרי תוכנה עם יכולת לנהל את כל תשתית הרשת כמכלול אחד. וכאשר הרשת מנוהלת מנקודה אחת, קל יותר לרכיבים אחרים של תשתית ה-IT לקיים איתה אינטראקציה, ותהליכי אינטראקציה כאלה קלים יותר לאוטומטיים.

כמעט לכל יצרן גדול של לא רק ציוד רשת, אלא גם וירטואליזציה, יש אפשרויות לפתרונות כאלה בפורטפוליו.

כל שנותר הוא להבין מה מתאים לאיזה צורך. לדוגמה, עבור חברות גדולות במיוחד עם צוות פיתוח ותפעול טוב, פתרונות ארוזים של ספקים לא תמיד מספקים את כל הצרכים, והם פונים לפיתוח פתרונות SD (בהגדרת תוכנה) משלהם. למשל, מדובר בספקי ענן שמרחיבים כל העת את מגוון השירותים הניתנים ללקוחותיהם, ופתרונות ארוזים פשוט לא מצליחים לעמוד בקצב הצרכים שלהם.

עבור חברות בינוניות, הפונקציונליות שמציע הספק בצורת פתרון בארגז מספיקה ב-99 אחוז מהמקרים.

מהן רשתות שכבת-על?

מה הרעיון מאחורי רשתות שכבת-על? בעיקרון, אתה לוקח רשת מנותבת קלאסית ובונה עליה רשת נוספת כדי לקבל תכונות נוספות. לרוב, אנו מדברים על פיזור יעיל של העומס על קווי הציוד וקווי התקשורת, הגדלת מגבלת המדרגיות באופן משמעותי, הגברת האמינות ועוד שלל טובות אבטחה (עקב פילוח). ופתרונות SDN, בנוסף לכך, מספקים הזדמנות לניהול גמיש מאוד מאוד מאוד נוח והופכים את הרשת לשקופה יותר עבור הצרכנים שלה.

באופן כללי, אם הרשתות המקומיות היו מומצאות בשנות ה-2010, הן היו נראות שונה בהרבה ממה שירשנו מהצבא בשנות ה-1970.

מבחינת טכנולוגיות לבניית בדים באמצעות רשתות שכבת-על, יש כיום הטמעות רבות של ספקים ופרויקטי RFC באינטרנט (EVPN+VXLAN, EVPN+MPLS, EVPN+MPLSoGRE, EVPN+Geneve ואחרים). כן, יש תקנים, אבל היישום של תקנים אלה על ידי יצרנים שונים עשוי להיות שונה, ולכן בעת ​​יצירת מפעלים כאלה, עדיין ניתן לנטוש לחלוטין את מנעול הספק רק בתיאוריה על הנייר.

עם פתרון SD, הדברים מבלבלים אפילו יותר; לכל ספק יש חזון משלו. יש פתרונות פתוחים לחלוטין שבתיאוריה אתה יכול להשלים בעצמך, ויש סגורים לחלוטין.

סיסקו מציעה את הגרסה שלה ל-SDN עבור מרכזי נתונים - ACI. מטבע הדברים, מדובר בפתרון 100% נעול ספקים מבחינת בחירת ציוד רשת, אך יחד עם זאת הוא משולב במלואו עם מערכות וירטואליזציה, קונטיינריזציה, אבטחה, תזמור, מאזני עומסים וכו'. אבל במהותו, זה עדיין סוג של קופסה שחורה, ללא אפשרות לגישה מלאה לכל התהליכים הפנימיים. לא כל הלקוחות מסכימים לאפשרות זו, מאחר ואתם תלויים לחלוטין באיכות קוד הפתרון הכתוב והטמעתו, אך מצד שני, ליצרן יש את אחת התמיכה הטכנית הטובות בעולם ויש לו צוות ייעודי המסור בלבד לפתרון הזה. Cisco ACI נבחרה כפתרון לפרויקט הראשון.

לפרויקט השני, נבחר פתרון של ג'וניפר. ליצרן יש גם SDN משלו למרכז הנתונים, אך הלקוח החליט שלא ליישם SDN. בד EVPN VXLAN ללא שימוש בבקרים מרכזיים נבחר כטכנולוגיית בניית הרשת.

לשם מה זה

יצירת מפעל מאפשרת לך לבנות רשת ניתנת להרחבה בקלות, סובלנית לתקלות ואמינה. הארכיטקטורה (שדרת עלה) לוקחת בחשבון את המאפיינים של מרכזי נתונים (נתיבי תנועה, מזעור עיכובים וצווארי בקבוק ברשת). פתרונות SD במרכזי נתונים מאפשרים לך לנהל בצורה נוחה, מהירה וגמישה מפעל כזה ולשלב אותו באקוסיסטם של הדאטה סנטר.

שני הלקוחות היו צריכים לבנות מרכזי נתונים מיותרים כדי להבטיח סובלנות לתקלות, ובנוסף, התעבורה בין מרכזי הנתונים הייתה צריכה להיות מוצפנת.

הלקוח הראשון כבר שקל פתרונות ללא בד כסטנדרט אפשרי עבור הרשתות שלו, אבל בבדיקות היו לו בעיות עם תאימות STP בין מספר ספקי חומרה. היו זמני השבתה שגרמו לשירותים לקרוס. ועבור הלקוח זה היה קריטי.

סיסקו כבר הייתה הסטנדרט הארגוני של הלקוח, הם בדקו את ACI ואפשרויות נוספות והחליטו שכדאי לקחת את הפתרון הזה. אהבתי את האוטומציה של השליטה מכפתור אחד דרך בקר בודד. השירותים מוגדרים מהר יותר ומנוהלים מהר יותר. החלטנו להבטיח הצפנת תעבורה על ידי הפעלת MACSec בין מתגי IPN ו-SPINE. כך, הצלחנו למנוע את צוואר הבקבוק בדמות שער קריפטו, לחסוך בהם ולהשתמש ברוחב הפס המרבי.

הלקוח השני בחר בפתרון נטול בקר מבית Juniper מכיוון שבמרכז הנתונים הקיים שלו כבר הייתה התקנה קטנה המיישמת מארג EVPN VXLAN. אבל שם זה לא היה סובלני לתקלות (נעשה שימוש במתג אחד). החלטנו להרחיב את התשתית של מרכז הנתונים הראשי ולבנות מפעל במרכז הנתונים לגיבוי. ה-EVPN הקיים לא היה בשימוש מלא: לא נעשה שימוש בפועל ב-VXLAN, מכיוון שכל המארחים היו מחוברים למתג אחד, וכל כתובות ה-MAC ו/32 כתובות המארחים היו מקומיות, השער עבורם היה אותו מתג, לא היו מכשירים אחרים , שם היה צורך לבנות מנהרות VXLAN. הם החליטו להבטיח הצפנת תעבורה באמצעות טכנולוגיית IPSEC בין חומות אש (הביצועים של חומת האש היו מספיקים).

הם גם ניסו ACI, אבל החליטו שבגלל נעילת הספק, הם יצטרכו לקנות יותר מדי חומרה, כולל החלפת ציוד חדש שנרכש לאחרונה, וזה פשוט לא הגיוני כלכלי. כן, הבד של סיסקו משתלב עם הכל, אבל רק המכשירים שלו אפשריים בתוך המרקם עצמו.

מצד שני, כפי שאמרנו קודם, אתה לא יכול פשוט לערבב מארג EVPN VXLAN עם כל ספק שכן, מכיוון שהטמעות הפרוטוקול שונות. זה כמו לחצות את סיסקו ו-Huawei ברשת אחת - נראה שהסטנדרטים נפוצים, אבל תצטרך לרקוד עם טמבורין. מכיוון שמדובר בבנק, ומבחני התאימות יהיו ארוכים מאוד, החלטנו שעדיף לרכוש מאותו ספק עכשיו, ולא להיסחף יותר מדי עם פונקציונליות מעבר לבסיסיות.

תוכנית הגירה

שני מרכזי נתונים מבוססי ACI:

ארגון אינטראקציה בין מרכזי נתונים. נבחר פתרון ה-Multi-Pod - כל דאטה סנטר הוא פוד. נלקחות בחשבון הדרישות לשינוי קנה מידה לפי מספר המתגים וההשהיות בין תרמילים (RTT פחות מ-50 ms). הוחלט לא לבנות פתרון Multi-Site לנוחות הניהול (פתרון Multi-Pod משתמש בממשק ניהול יחיד, ל-Multi-Site יהיו שני ממשקים, או ידרוש Multi-Site Orchestrator), ומכיוון שאין גיאוגרפי נדרשה הזמנת אתרים.

מנקודת המבט של העברת שירותים מרשת Legacy, נבחרה האפשרות השקופה ביותר, העברת רשתות VLAN בהדרגה התואמות לשירותים מסוימים.
לצורך הגירה, נוצר EPG (קבוצת קצה) מתאים עבור כל VLAN במפעל. ראשית, הרשת נמתחה בין הרשת הישנה למארג על L2, לאחר מכן לאחר העברת כל המארחים, השער הועבר למארג, וה-EPG יצר אינטראקציה עם הרשת הקיימת דרך L3OUT, תוך האינטראקציה בין L3OUT ל-EPG תואר באמצעות חוזים. תרשים משוער:

מבנה לדוגמה של רוב מדיניות המפעל של ACI מוצג באיור שלהלן. ההגדרה כולה מבוססת על מדיניות המקוננת בתוך מדיניות אחרת וכן הלאה. בהתחלה קשה מאוד להבין את זה, אבל בהדרגה, כפי שמראה בפועל, מנהלי רשת מתרגלים למבנה הזה תוך כחודש, ואז הם רק מתחילים להבין כמה זה נוח.

השוואה

בפתרון Cisco ACI, אתה צריך לקנות יותר ציוד (מתגים נפרדים עבור Inter-Pod אינטראקציה ובקרי APIC), מה שמייקר אותו. הפתרון של ג'וניפר לא דרש רכישת בקרים או אביזרים; ניתן היה לעשות שימוש חלקי בציוד הקיים של הלקוח.

הנה ארכיטקטורת הבד EVPN VXLAN עבור שני מרכזי נתונים של הפרויקט השני:

עם ACI אתה מקבל פתרון מוכן - אין צורך להתעסק, אין צורך לבצע אופטימיזציה. במהלך ההיכרות הראשונית של הלקוח עם המפעל, אין צורך במפתחים, אין צורך באנשי תמיכה לקוד ואוטומציה. זה די קל לשימוש; ניתן לבצע הגדרות רבות באמצעות האשף, וזה לא תמיד יתרון, במיוחד עבור אנשים שרגילים לשורת הפקודה. בכל מקרה, לוקח זמן לבנות מחדש את המוח במסלולים חדשים, למוזרויות של הגדרות באמצעות מדיניות והפעלה עם מדיניות מקוננת רבות. בנוסף לכך, רצוי מאוד שיהיה מבנה ברור למתן שמות לפוליסות ולאובייקטים. אם מתעוררת בעיה כלשהי בלוגיקה של הבקר, ניתן לפתור אותה רק באמצעות תמיכה טכנית.

ב-EVPN - קונסולה. לסבול או לשמוח. ממשק מוכר לשומר הוותיק. כן, יש תצורה סטנדרטית ומדריכים. תצטרך לעשן מאנה. עיצובים שונים, הכל ברור ומפורט.

מטבע הדברים, בשני המקרים, בעת הגירה, עדיף קודם להעביר לא את השירותים הקריטיים ביותר, למשל, סביבות בדיקה, ורק לאחר מכן, לאחר תפיסת כל הבאגים, להמשיך לייצור. ואל תכוונו ביום שישי בערב. אתה לא צריך לסמוך על הספק שהכל יהיה בסדר, תמיד עדיף לשחק בזה בטוח.

אתה משלם יותר עבור ACI, אמנם סיסקו מקדמת כעת באופן פעיל את הפתרון הזה ולעתים קרובות נותנת עליו הנחות טובות, אבל אתה חוסך בתחזוקה. ניהול וכל אוטומציה של מפעל EVPN ללא בקר דורשים השקעות ועלויות קבועות - ניטור, אוטומציה, הטמעת שירותים חדשים. במקביל, ההשקה הראשונית ב-ACI נמשכת 30-40 אחוז יותר. זה קורה מכיוון שלוקח יותר זמן ליצור את כל מערך הפרופילים והמדיניות הדרושים שישמשו לאחר מכן. אבל ככל שהרשת גדלה, מספר התצורות הנדרשות פוחת. אתה משתמש במדיניות, פרופילים, אובייקטים שנוצרו מראש. אתה יכול להגדיר בצורה גמישה פילוח ואבטחה, לנהל באופן מרכזי חוזים שאחראים לאפשר אינטראקציות מסוימות בין EPGs - כמות העבודה יורדת בחדות.

ב-EVPN, אתה צריך להגדיר כל מכשיר במפעל, הסבירות לשגיאות גדולה יותר.

בעוד ACI היה איטי יותר ליישום, EVPN לקח כמעט פי שניים יותר זמן כדי לבצע איתור באגים. אם במקרה של סיסקו תמיד אפשר להתקשר למהנדס תמיכה ולשאול על הרשת כולה (כי היא מכוסה כפתרון), אז מג'וניפר נטוורקס קונים רק חומרה, וזה מה שמכוסה. האם החבילות יצאו מהמכשיר? ובכן, בסדר, אז הבעיות שלך. אבל אפשר לפתוח שאלה בנוגע לבחירת הפתרון או עיצוב הרשת – ואז ימליצו לכם לרכוש שירות מקצועי, בתוספת תשלום.

תמיכת ACI מאוד מגניבה, כי היא נפרדת: צוות נפרד יושב רק בשביל זה. יש גם מומחים דוברי רוסית. המדריך מפורט, הפתרונות נקבעים מראש. הם מסתכלים ומייעצים. הם מאשרים במהירות את העיצוב, שלעתים קרובות הוא חשוב. ג'וניפר נטוורקס עושה את אותו הדבר, אבל הרבה יותר לאט (היה לנו את זה, עכשיו זה אמור להיות טוב יותר לפי השמועות), מה שמאלץ אותך לעשות הכל בעצמך איפה שמהנדס פתרונות יוכל לייעץ.

Cisco ACI תומכת באינטגרציה עם מערכות וירטואליזציה ומכולות (VMware, Kubernetes, Hyper-V) וניהול מרכזי. זמין עם שירותי רשת ואבטחה - איזון, חומות אש, WAF, IPS וכו'... מיקרו פילוח טוב מהקופסה. בפתרון השני, אינטגרציה עם שירותי רשת היא משב רוח, ועדיף לדון בפורומים מראש עם מי שעשה זאת.

סך הכל

לכל מקרה ספציפי, יש צורך לבחור פתרון, לא רק על בסיס עלות הציוד, אלא יש צורך לקחת בחשבון גם עלויות תפעול נוספות והבעיות העיקריות שהלקוח מתמודד איתם כעת, ומה התוכניות שם. מיועדים לפיתוח תשתית ה-IT.

ACI, עקב ציוד נוסף, היה יקר יותר, אך הפתרון מוכן ללא צורך בגימור נוסף, הפתרון השני מורכב ויקר יותר מבחינת תפעול, אך זול יותר.

אם אתה רוצה לדון כמה זה עשוי לעלות ליישם מארג רשת על ספקים שונים, ואיזו סוג של ארכיטקטורה נדרשת, אתה יכול להיפגש ולשוחח. אנו נייעץ לכם ללא תשלום עד שתקבלו סקיצה גסה של האדריכלות (איתה תוכלו לחשב תקציבים), עיבוד מפורט כמובן כבר בתשלום.

ולדימיר קלפצ'ה, רשתות ארגוניות.

מקור: www.habr.com