SD-WAN ו-DNA כדי לעזור למנהל: תכונות ארכיטקטורה ותרגול

מעמד שתוכלו לגעת בו במעבדה שלנו אם תרצו.

SD-WAN ו-SD-Access הן שתי גישות קנייניות חדשות שונות לבניית רשתות. בעתיד, הם צריכים להתמזג לרשת שכבת-על אחת, אבל לעת עתה הם רק מתקרבים. ההיגיון הוא כזה: אנחנו לוקחים רשת משנות ה-1990 ומוציאים עליה את כל התיקונים והפיצ'רים הדרושים, מבלי לחכות שהיא תהפוך לתקן פתוח חדש בעוד 10 שנים.

SD-WAN הוא תיקון SDN לרשתות ארגוניות מבוזרות. הובלה היא נפרדת, השליטה היא נפרדת, ולכן השליטה מפושטת.

יתרונות - כל ערוצי התקשורת נמצאים בשימוש פעיל, כולל הגיבוי. יש ניתוב של מנות לאפליקציות: מה, דרך איזה ערוץ ובאיזה עדיפות. הליך פשוט לפריסת נקודות חדשות: במקום להפעיל תצורה, פשוט ציין את הכתובת של שרת סיסקו באינטרנט הגדול, מרכז הנתונים CROC או הלקוח, שממנו נלקחות התצורות הספציפיות עבור הרשת שלך.

SD-Access (DNA) הוא אוטומציה של ניהול רשת מקומית: תצורה מנקודה אחת, אשפים, ממשקים נוחים. למעשה, רשת נוספת בנויה עם תחבורה שונה ברמת הפרוטוקול על גבי שלך, ותאימות עם רשתות ישנות מובטחת בגבולות ההיקפיים.

גם בזה נעסוק בהמשך.

עכשיו כמה הדגמות על ספסלי בדיקה במעבדה שלנו, איך זה נראה ועובד.

נתחיל עם SD-WAN. תכונות עיקריות:

• פישוט פריסת נקודות חדשות (ZTP) - ההנחה היא שאיכשהו אתה מזין את הנקודה עם כתובת השרת עם הגדרות. הנקודה דופקת עליה, מקבלת את התצורה, מגלגלת אותה ונכללת בלוח הבקרה שלך. זה מבטיח אספקת אפס מגע (ZTP). כדי לפרוס נקודת קצה, מהנדס רשת אינו צריך לנסוע לאתר. העיקר הוא להפעיל את המכשיר בצורה נכונה באתר ולחבר אליו את כל הכבלים, ואז הציוד יתחבר אוטומטית למערכת. אתה יכול להוריד הגדרות דרך שאילתות DNS בענן של הספק מכונן USB מחובר, או שאתה יכול לפתוח היפר-קישור ממחשב נייד המחובר למכשיר באמצעות Wi-Fi או Ethernet.
• פישוט ניהול רשת שגרתי - תצורה מתבניות, מדיניות גלובלית, מוגדרת באופן מרכזי עבור לפחות חמישה סניפים, לפחות 5. הכל ממקום אחד. כדי להימנע מנסיעה ארוכה, ישנה אפשרות נוחה מאוד לחזור אוטומטית לתצורה הקודמת.
• ניהול תעבורה ברמת האפליקציה - הבטחת עדכוני חתימות אפליקציות איכותיים ומתמשכים. מדיניות מוגדרת ומתפרסמת באופן מרכזי (אין צורך לכתוב ולעדכן מפות מסלול עבור כל נתב, כמו קודם). אתה יכול לראות מי שולח מה, לאן ומה.
• פילוח רשת. VPNs מבודדים עצמאיים על גבי כל התשתית - כל אחד עם ניתוב משלו. כברירת מחדל, התעבורה ביניהם סגורה; אתה יכול לפתוח גישה רק לסוגי תעבורה מובנים בצמתי רשת מובנים, למשל, העברת הכל דרך חומת אש גדולה או פרוקסי.
• נראות של היסטוריית איכות הרשת - כיצד ביצעו אפליקציות וערוצים. שימושי מאוד לניתוח ותיקון המצב עוד לפני שהמשתמשים מתחילים לקבל תלונות על פעולה לא יציבה של אפליקציות.
• נראות בין הערוצים - האם הם שווים את הכסף, האם שני מפעילים שונים מגיעים למעשה לאתר שלך, או שהם בעצם עוברים דרך אותה רשת ומשפילים/נופלים בו זמנית.
• נראות ליישומי ענן והיגוי תעבורה בערוצים מסוימים המבוססים עליו (Cloud Onramp).
• פיסת חומרה אחת מכילה נתב וחומת אש (ליתר דיוק, NGFW). פחות חלקי חומרה פירושם שזול יותר לפתוח סניף חדש.

רכיבים וארכיטקטורה של פתרונות SD-WAN

התקני קצה הם נתבי WAN, שיכולים להיות חומרה או וירטואליים.

מתזמרים הם כלי לניהול רשת. הם מוגדרים עם פרמטרים של מכשירי קצה, מדיניות ניתוב תנועה ופונקציונליות אבטחה. התצורות המתקבלות נשלחות אוטומטית דרך רשת הבקרה אל הצמתים. במקביל, מתזמר מאזין לרשת ומנטר את זמינותם של מכשירים, יציאות, ערוצי תקשורת וטעינת ממשק.

כלי אנליטיקה. הם עושים דוחות על סמך נתונים שנאספו ממכשירי קצה: היסטוריה של איכות הערוצים, יישומי רשת, זמינות צמתים וכו'.

בקרים אחראים להחלת מדיניות ניתוב תעבורה על הרשת. האנלוגי הקרוב ביותר שלהם ברשתות מסורתיות יכול להיחשב BGP Route Reflector. מדיניות גלובלית שמנהל המערכת מגדיר בתזמורת גורמת לבקרים לשנות את הרכב טבלאות הניתוב שלהם ולשלוח מידע מעודכן למכשירי קצה.

מה מקבל שירות ה-IT מ-SD-WAN:

1. ערוץ הגיבוי נמצא בשימוש מתמיד (לא פעיל). זה יוצא יותר זול כי אתה יכול להרשות לעצמך שני ערוצים פחות עבים.
2. מעבר אוטומטי של תעבורת אפליקציות בין ערוצים.
3. זמן מנהל: אתה יכול לפתח את הרשת באופן גלובלי, במקום לזחול דרך כל פיסת חומרה עם הגדרות.
4. מהירות גיוס סניפים חדשים. היא הרבה יותר גבוהה.
5. פחות זמן השבתה בזמן החלפת ציוד מת.
6. הגדר מחדש במהירות את הרשת עבור שירותים חדשים.

מה מקבל עסק מ-SD-WAN:

1. הפעלה מובטחת של אפליקציות עסקיות ברשת מבוזרת, לרבות בערוצי אינטרנט פתוחים. זה קשור לחיזוי עסקי.
2. תמיכה מיידית ביישומים עסקיים חדשים בכל הרשת המבוזרת, ללא קשר למספר הסניפים. זה עניין של מהירות עסקית.
3. חיבור מהיר ומאובטח של סניפים בכל מקום מרוחק באמצעות כל טכנולוגיות חיבור (האינטרנט נמצא בכל מקום, אבל קווים חכורים ו-VPN אינם). מדובר על גמישות עסקית בבחירת מיקום.
4. זה יכול להיות פרויקט עם מסירה והזמנה, או שזה יכול להיות שירות
   עם תשלומים חודשיים מחברת IT, מפעיל טלקום או מפעיל ענן. מה שנוח לך.

היתרונות העסקיים של SD-WAN יכולים להיות שונים לחלוטין, למשל, לקוח אחד סיפר לנו שמנהל עליון קיבל בקשה לקו ישיר עם כל העובדים של חברה רבת אלפים ויכולת לספק תוכן.

עבורנו זה היה "מבצע צבאי". באותו רגע, כבר פתרנו את בעיית המודרניזציה של ה-CSPD. וכשאנחנו מבינים שאנחנו, באופן עקרוני, צריכים לעסוק בשיפוץ ציוד, וערימת הטכנולוגיה התקדמה, למה שנעסוק בשיפוץ של אותן טכנולוגיות ושירותים אם אנחנו יכולים לקחת צעד קדימה.

SD-WAN מותקן באתר על ידי Enikey. זה חשוב לסניפים מרוחקים, שבהם אולי פשוט אין מנהל רגיל. שלח בדואר, אמור: "חבר כבל 1 לקופסה 1, כבל 2 לקופסה 2, ואל תערבב את זה! אל תתבלבלו, #@$@%!" ואם הם לא מערבבים את זה, המכשיר עצמו מתקשר עם השרת המרכזי, קולט ומחיל את ההגדרות שלו, והמשרד הזה הופך לחלק מהרשת המאובטחת של החברה. זה נחמד כשאתה לא צריך לנסוע וקל להצדיק אותו בתקציב שלך.

להלן תרשים של הדוכן:

כמה דוגמאות תצורה:

מדיניות - כללים גלובליים לניהול תעבורה. עריכת מדיניות.

הפעל את מדיניות בקרת התנועה.

תצורה המונית של פרמטרים בסיסיים של התקן (כתובות IP, בריכות DHCP).

צילומי מסך של ניטור ביצועי אפליקציה

עבור יישומי ענן.

פרטים עבור Office365.

עבור יישומים מקומיים. לרוע המזל, לא הצלחנו למצוא יישומים עם שגיאות בדוכן שלנו (שיעור השחזור של FEC הוא אפס בכל מקום).

בנוסף - ביצועים של ערוצי העברת נתונים.

איזו חומרה נתמכת ב-SD-WAN

1. פלטפורמות חומרה:

• נתבי Cisco vEdge (לשעבר Viptela vEdge) המריצים את מערכת ההפעלה Viptela.
• נתבי שירותים משולבים מסדרות 1 ו-000 (ISR) המריצים IOS XE SD-WAN.
• Aggregation Services Router (ASR) 1 סדרת המריץ IOS XE SD-WAN.

2. פלטפורמות וירטואליות:

• נתב שירותי ענן (CSR) 1v עם IOS XE SD-WAN.
• נתב ענן vEdge המריץ את מערכת ההפעלה Viptela.

ניתן לפרוס פלטפורמות וירטואליות בפלטפורמות מחשוב של Cisco x86, כגון סדרת Enterprise Network Compute System (ENCS) 5, Unified Computing System (UCS) ו-Cloud Services Platform (CSP) 000 סדרה. פלטפורמות וירטואליות יכולות לרוץ גם על כל מכשיר x5 באמצעות hypervisor כגון KVM או VMware ESi.

איך מתגלגל מכשיר חדש

רשימת ההתקנים המורשים לפריסה מורידה מחשבון חכם של Cisco או מועלית כקובץ CSV. אני אנסה לקבל עוד צילומי מסך מאוחר יותר, כרגע אין לנו מכשירים חדשים לפרוס.

רצף השלבים שעובר מכשיר בעת הפריסה.

כיצד מתפרסמת שיטת מסירה חדשה של מכשיר/תצורה

אנו מוסיפים מכשירים לחשבון חכם.

אתה יכול להוריד קובץ CSV, או שאתה יכול להוריד אחד בכל פעם:

מלא את הפרמטרים של המכשיר:

לאחר מכן, ב-vManage אנו מסנכרנים את הנתונים עם החשבון החכם. המכשיר מופיע ברשימה:

בתפריט הנפתח מול המכשיר, לחץ על Generate Bootstrap Configuration
וקבל את התצורה הראשונית:

יש להזין את התצורה הזו למכשיר. הדרך הקלה ביותר היא לחבר כונן הבזק עם קובץ שמור בשם ciscosd-wan.cfg למכשיר. בעת האתחול, המכשיר יחפש את הקובץ הזה.

לאחר קבלת התצורה הראשונית, המכשיר יוכל להגיע לתזמר ולקבל משם תצורה מלאה.

אנו מסתכלים על SD-Access (DNA)

SD-Access מאפשר להגדיר בקלות יציאות וזכויות גישה לחיבור משתמשים. זה נעשה באמצעות אשפים. פרמטרי יציאה נקבעים ביחס לקבוצות "מנהלי מערכת", "חשבונאות", "מדפסות", ולא לרשתות VLAN ו-IP. זה ממזער טעויות אנוש. אם, למשל, לחברה יש סניפים רבים ברחבי רוסיה, אבל המשרד המרכזי עמוס, אז SD-Access מאפשר לך לפתור בעיות מקומיות נוספות. לדוגמה, אותן בעיות לגבי פתרון בעיות.

לאבטחת מידע, חשוב ש-SD-Access יכלול חלוקה ברורה של משתמשים ומכשירים לקבוצות והגדרת מדיניות אינטראקציה ביניהם, הרשאה לכל חיבור לקוח לרשת ומתן "זכויות גישה" ברחבי הרשת. אם תעקבו אחר גישה זו, הניהול הופך להרבה יותר קל.

תהליך ההפעלה של משרדים חדשים מפושט גם הודות לסוכני Plug-and-Play במתגים. אין צורך להתרוצץ בשטח עם קונסולה, או אפילו להיכנס לאתר בכלל.

להלן דוגמאות לתצורה:

מצב כללי.

אירועים שמנהל צריך לבדוק.

המלצות אוטומטיות על מה לשנות בתצורות.

תוכנית לשילוב SD-WAN עם SD-Access

שמעתי שלסיסקו יש תוכניות כאלה - SD-WAN ו-SD-Access. זה אמור להפחית משמעותית את הטחורים בעת ניהול CSPDs בפיזור גיאוגרפי ומקומיים.

vManage (מתזמר SD-WAN) מנוהל באמצעות API ממרכז DNA (בקר SD-Access).

מדיניות פילוח מיקרו ומקרו ממופה באופן הבא:

ברמת החבילה, הכל נראה כך:

מי חושב על זה ועל מה?

אנו עובדים על SD-WAN מאז 2016 במעבדה נפרדת, בה אנו בודקים פתרונות שונים לצרכי הקמעונאות, הבנקים, התחבורה והתעשייה.

אנחנו מתקשרים הרבה עם לקוחות אמיתיים.

אני יכול לומר שהקמעונאות כבר בודקת SD-WAN בביטחון, וחלקם עושים זאת עם ספקים (לרוב עם סיסקו), אבל יש גם כאלה שמנסים לפתור את הבעיה בעצמם: הם כותבים גרסה משלהם של תוכנה הדומה בפונקציונליות ל-SD-WAN.

כולם, כך או אחרת, רוצים להגיע לניהול מרוכז של כל גן החיות של הציוד. זוהי נקודת ניהול אחת עבור התקנות לא סטנדרטיות וסטנדרטיות עבור ספקים שונים וטכנולוגיות שונות. חשוב למזער את העבודה הידנית כי ראשית, זה מפחית את הסיכון של הגורם האנושי בעת הקמת הציוד, ושנית, זה מפנה את המשאבים של שירות ה-IT לפתרון בעיות אחרות. בדרך כלל, ההכרה בצורך מגיעה ממחזורי חידוש ארוכים מאוד ברחבי הארץ. ולדוגמה, אם קמעונאי מוכר אלכוהול, אז הוא זקוק לתקשורת מתמדת למכירות. עדכון או השבתה במהלך היום משפיעים ישירות על ההכנסה.

כעת בקמעונאות יש הבנה ברורה באילו משימות IT ישתמשו ב-SD-WAN:

1. פריסה מהירה (לרוב נדרשת ב-LTE לפני שספק הכבלים מגיע, לעתים קרובות יש צורך להעלות את הנקודה החדשה על ידי המנהל בעיר באמצעות GPC, ואז המרכז פשוט נראה ומגדיר).
2. ניהול מרכזי, תקשורת לאובייקטים זרים.
3. הפחתת עלויות טלקום.
4. שירותים נוספים שונים (תכונות DPI מאפשרות לתת עדיפות להעברת תעבורה מיישומים חשובים כמו קופות רושמות).
5. עבודה עם ערוצים באופן אוטומטי, לא באופן ידני.

ויש גם בדיקת ציות - כולם מדברים על זה הרבה, אבל אף אחד לא תופס את זה כבעיה. השמירה על כך שהכל עובד נכון עובדת מצוין גם בפרדיגמה הזו. רבים מאמינים כי כל שוק טכנולוגיות הרשת ינוע בכיוון זה.

בנקים, IMHO, בודקים כעת SD-WAN כתכונה טכנולוגית חדשה. הם מחכים לסיום התמיכה בדורות הקודמים של ציוד ורק אז הם ישתנו. לבנקים יש בדרך כלל אווירה מיוחדת משלהם דרך ערוצי תקשורת, כך שהמצב הנוכחי של הענף לא מטריד אותם במיוחד. הבעיות נעוצות דווקא במישורים אחרים.

בניגוד לשוק הרוסי, SD-WAN מיושם באופן פעיל באירופה. ערוצי התקשורת שלהם יקרים יותר, ולכן חברות אירופאיות מביאות את הערימה שלהן לחטיבות רוסיות. ברוסיה יש יציבות מסוימת, כי עלות הערוצים (גם כשהאזור יקר פי 25 מהמרכז) נראית די נורמלית ואינה מעוררת שאלות. משנה לשנה קיים תקציב ללא תנאי לערוצי תקשורת.

הנה דוגמה מהתרגול העולמי, כאשר חברה חסכה זמן וכסף באמצעות SD-WAN ב-Cisco.

יש חברה כזו - National Instruments. בשלב מסוים הם החלו להבין שרשת המחשבים העולמית, ש"הושגה" בשילוב 88 אתרים ברחבי העולם, אינה יעילה. בנוסף, החברה חסרה את הקיבולת והביצועים של אספקת המים החמים הביתית שלה. לא היה איזון בין הצמיחה המתמשכת של החברה לבין תקציב ה-IT המוגבל.

SD-WAN עזר ל-National Instruments להפחית את עלויות ה-MPLS ב-25% (450$ חסכון ב-2018) תוך הרחבת רוחב הפס ב-3%.

כתוצאה מהטמעת SD-WAN, החברה קיבלה רשת חכמה מוגדרת תוכנה וניהול מדיניות מרוכז למיטוב אוטומטי של תעבורה וביצועי אפליקציות. כאן - מקרה מפורט.

ממש כאן מקרה מטורף לחלוטין של העברת S7 למשרד אחר, כאשר בהתחלה הכל התחיל קשה, אבל מעניין - היה צורך לבצע מחדש 1,5 אלף יציאות. אבל אז משהו השתבש וכתוצאה מכך, התברר שהמנהלים הם האחרונים לפני המועד, שעליהם נופלים כל העיכובים המצטברים.

קרא עוד באנגלית:

• American Banker: Fifth Third משקיע בשדרוג רשת ל-5 שנים עם SD-WAN .
• בניית הצלחה בענן SD-WAN בקוך.
• מסע SD-WAN של McKesson לחסכון בעלויות .
• SD-WAN Retail PoC & Segmentation: Gap Stores.
• והנה מחקר עולמי של סיסקו על מגמות רשת בעולם.

ברוסית:

• ב-CNews.
• כיצד הטמענו את SD-Access ומדוע היה צורך בכך.
• מארג רשת למרכז הנתונים של Cisco ACI - לסיוע למנהל.
• ערוץ יציב המבוסס על רשתות SD-WAN המוגדרות בתוכנה: פתרון בעיות בחירת מסלול.
• המייל שלי, אם יש לך שאלות כלשהן או שתרצה לבדוק את המשימות שלך בדוכן שלנו, - [מוגן בדוא"ל].

מקור: www.habr.com