მოწყვეტს თუ არა Cisco SD-WAN ტოტს, რომელზეც ზის DMVPN?

2017 წლის აგვისტოდან, როდესაც Cisco-მ შეიძინა Viptela, განაწილებული საწარმოების ქსელების ორგანიზებისთვის შემოთავაზებული ძირითადი ტექნოლოგია გახდა. Cisco SD-WAN. ბოლო 3 წლის განმავლობაში SD-WAN ტექნოლოგიამ მრავალი ცვლილება განიცადა, როგორც ხარისხობრივად, ასევე რაოდენობრივად. ამრიგად, ფუნქციონალობა მნიშვნელოვნად გაფართოვდა და მხარდაჭერა გამოჩნდა სერიის კლასიკურ მარშრუტიზატორებზე Cisco ISR 1000, ISR 4000, ASR 1000 და ვირტუალური CSR 1000v. ამავდროულად, Cisco-ს ბევრი მომხმარებელი და პარტნიორი აგრძელებს კითხვას: რა განსხვავებაა Cisco SD-WAN-სა და უკვე ნაცნობ მიდგომებს შორის, რომელიც დაფუძნებულია ტექნოლოგიებზე, როგორიცაა Cisco DMVPN и Cisco Performance Routing და რამდენად მნიშვნელოვანია ეს განსხვავებები?

აქ დაუყოვნებლივ უნდა გავაკეთოთ დათქმა, რომ SD-WAN-ის მოსვლამდე Cisco-ს პორტფოლიოში, DMVPN PfR-თან ერთად ქმნიდა მთავარ ნაწილს არქიტექტურაში. Cisco IWAN (ინტელექტუალური WAN), რომელიც თავის მხრივ იყო სრულფასოვანი SD-WAN ტექნოლოგიის წინამორბედი. მიუხედავად გადასაჭრელი ამოცანებისა და მათი გადაჭრის მეთოდების ზოგადი მსგავსებისა, IWAN-მა არასოდეს მიიღო SD-WAN-ისთვის საჭირო ავტომატიზაციის, მოქნილობისა და მასშტაბურობის დონე და დროთა განმავლობაში IWAN-ის განვითარება მნიშვნელოვნად შემცირდა. ამავდროულად, IWAN-ის შემადგენელი ტექნოლოგიები არ გაქრა და ბევრი მომხმარებელი აგრძელებს მათ წარმატებით გამოყენებას, მათ შორის თანამედროვე აღჭურვილობაზე. შედეგად, შეიქმნა საინტერესო სიტუაცია - იგივე Cisco აღჭურვილობა საშუალებას გაძლევთ აირჩიოთ ყველაზე შესაფერისი WAN ტექნოლოგია (კლასიკური, DMVPN+PfR ან SD-WAN) მომხმარებელთა მოთხოვნებისა და მოლოდინების შესაბამისად.

სტატია არ აპირებს დეტალურად გაანალიზოს Cisco SD-WAN და DMVPN ტექნოლოგიების ყველა მახასიათებელი (შესრულების მარშრუტით ან მის გარეშე) - ამისათვის არსებობს უამრავი ხელმისაწვდომი დოკუმენტი და მასალა. მთავარი ამოცანაა შევეცადოთ შეაფასოთ ამ ტექნოლოგიებს შორის ძირითადი განსხვავებები. მაგრამ სანამ ამ განსხვავებების განხილვაზე გადავიდოდეთ, მოკლედ გავიხსენოთ თავად ტექნოლოგიები.

რა არის Cisco DMVPN და რატომ არის საჭირო?

Cisco DMVPN წყვეტს დისტანციური ფილიალის ქსელის დინამიური (= მასშტაბირებადი) კავშირის პრობლემას საწარმოს ცენტრალური ოფისის ქსელთან, თვითნებური ტიპის საკომუნიკაციო არხების გამოყენებისას, ინტერნეტის ჩათვლით (= საკომუნიკაციო არხის დაშიფვრით). ტექნიკურად, ეს რეალიზებულია L3 VPN კლასის ვირტუალური გადაფარვის ქსელის შექმნით წერტილიდან მრავალწერტილამდე რეჟიმში „ვარსკვლავის“ ტიპის ლოგიკური ტოპოლოგიით (Hub-n-Spoke). ამის მისაღწევად, DMVPN იყენებს შემდეგი ტექნოლოგიების კომბინაციას:

• IP მარშრუტიზაცია
• მრავალპუნქტიანი GRE გვირაბები (mGRE)
• შემდეგი Hop Resolution Protocol (NHRP)
• IPSec კრიპტო პროფილები

რა არის Cisco DMVPN-ის ძირითადი უპირატესობები კლასიკურ მარშრუტიზაციასთან შედარებით MPLS VPN არხების გამოყენებით?

• დარგთაშორისი ქსელის შესაქმნელად შესაძლებელია ნებისმიერი საკომუნიკაციო არხის გამოყენება - ყველაფერი, რაც ფილიალებს შორის IP დაკავშირებას უზრუნველყოფს, შესაფერისია, ხოლო ტრაფიკი იქნება დაშიფრული (საჭიროების შემთხვევაში) და დაბალანსებული (სადაც შესაძლებელია)
• ფილიალებს შორის სრულად დაკავშირებული ტოპოლოგია ავტომატურად იქმნება. ამავდროულად, არის სტატიკური გვირაბები ცენტრალურ და დისტანციურ ტოტებს შორის, ხოლო მოთხოვნის შემთხვევაში დინამიური გვირაბები დისტანციურ ტოტებს შორის (თუ არის მოძრაობა)
• ცენტრალური და დისტანციური ფილიალის მარშრუტიზატორებს აქვთ იგივე კონფიგურაცია ინტერფეისების IP მისამართებამდე. mGRE-ის გამოყენებით, არ არის საჭირო ათობით, ასობით ან თუნდაც ათასობით გვირაბის ინდივიდუალურად კონფიგურაცია. შედეგად, ღირსეული მასშტაბირება სწორი დიზაინით.

რა არის Cisco Performance Routing და რატომ არის საჭირო?

განშტოებათაშორის ქსელში DMVPN-ის გამოყენებისას გადაუჭრელი რჩება ერთი უაღრესად მნიშვნელოვანი კითხვა - როგორ შევაფასოთ დინამიურად თითოეული DMVPN გვირაბის მდგომარეობა ჩვენი ორგანიზაციისთვის კრიტიკული ტრაფიკის მოთხოვნებთან შესაბამისობაში და, ისევ, ასეთი შეფასების საფუძველზე, დინამიურად გავაკეთოთ გადაწყვეტილება გადამისამართების შესახებ? ფაქტია, რომ DMVPN ამ ნაწილში ცოტათი განსხვავდება კლასიკური მარშრუტიზაციისგან - საუკეთესო, რაც შეიძლება გაკეთდეს, არის QoS მექანიზმების კონფიგურაცია, რომელიც საშუალებას მოგცემთ პრიორიტეტულად დანიშნოთ მოძრაობა გამავალი მიმართულებით, მაგრამ არავითარ შემთხვევაში არ შეგიძლიათ გაითვალისწინოთ მდგომარეობა. მთელი გზა ამა თუ იმ დროს.

და რა უნდა გააკეთოს, თუ არხი ნაწილობრივ და არა მთლიანად დეგრადირებულია - როგორ აღმოვაჩინოთ და შევაფასოთ ეს? თავად DMVPN ამას არ შეუძლია. იმის გათვალისწინებით, რომ ფილიალების დამაკავშირებელ არხებს შეუძლიათ გაიარონ სრულიად განსხვავებული ტელეკომის ოპერატორები, სრულიად განსხვავებული ტექნოლოგიების გამოყენებით, ეს ამოცანა ხდება უკიდურესად არატრივიალური. და სწორედ აქ მოდის სამაშველოში Cisco Performance Routing ტექნოლოგია, რომელმაც იმ დროისთვის უკვე გაიარა განვითარების რამდენიმე ეტაპი.

Cisco Performance Routing-ის (შემდგომში PfR) ამოცანა ემყარება ტრაფიკის ბილიკების (გვირაბის) მდგომარეობის გაზომვას ქსელის აპლიკაციებისთვის მნიშვნელოვანი ძირითადი მეტრიკის საფუძველზე - შეყოვნება, შეყოვნების ცვალებადობა (ჯიტერი) და პაკეტის დაკარგვა (პროცენტული). გარდა ამისა, გამოყენებული გამტარუნარიანობა შეიძლება გაიზომოს. ეს გაზომვები ხდება რეალურ დროსთან რაც შეიძლება ახლოს და გამართლებულად, და ამ გაზომვების შედეგი PfR-ის გამოყენებით როუტერს საშუალებას აძლევს დინამიურად მიიღოს გადაწყვეტილებები ამა თუ იმ ტიპის ტრაფიკის მარშრუტის შეცვლის აუცილებლობის შესახებ.

ამრიგად, DMVPN/PfR კომბინაციის ამოცანა შეიძლება მოკლედ იყოს აღწერილი შემდეგნაირად:

• მიეცით საშუალება მომხმარებელს გამოიყენოს ნებისმიერი საკომუნიკაციო არხი WAN ქსელში
• ამ არხებზე კრიტიკული აპლიკაციების მაქსიმალური ხარისხის უზრუნველყოფა

რა არის Cisco SD-WAN?

Cisco SD-WAN არის ტექნოლოგია, რომელიც იყენებს SDN მიდგომას ორგანიზაციის WAN ქსელის შესაქმნელად და მუშაობისთვის. ეს განსაკუთრებით გულისხმობს ეგრეთ წოდებული კონტროლერების (პროგრამული ელემენტების) გამოყენებას, რომლებიც უზრუნველყოფენ გადაწყვეტის ყველა კომპონენტის ცენტრალიზებულ ორკესტრირებას და ავტომატიზირებულ კონფიგურაციას. განსხვავებით კანონიკური SDN-ისგან (სუფთა ფიქალის სტილი), Cisco SD-WAN იყენებს რამდენიმე ტიპის კონტროლერს, რომელთაგან თითოეული ასრულებს თავის როლს - ეს გაკეთდა მიზანმიმართულად, რათა უზრუნველყოს უკეთესი მასშტაბურობა და გეო-ზედმეტობა.

SD-WAN-ის შემთხვევაში, ნებისმიერი ტიპის არხების გამოყენების ამოცანა და ბიზნეს აპლიკაციების ფუნქციონირების უზრუნველყოფა იგივე რჩება, მაგრამ ამავდროულად, ფართოვდება მოთხოვნები ავტომატიზაციის, მასშტაბურობის, უსაფრთხოების და მოქნილობის შესახებ.

განსხვავებების განხილვა

თუ ჩვენ ახლა დავიწყებთ ამ ტექნოლოგიებს შორის განსხვავებების ანალიზს, ისინი მოხვდება ერთ-ერთ შემდეგ კატეგორიაში:

• არქიტექტურული განსხვავებები - როგორ ნაწილდება ფუნქციები გადაწყვეტის სხვადასხვა კომპონენტზე, როგორ არის ორგანიზებული ასეთი კომპონენტების ურთიერთქმედება და როგორ მოქმედებს ეს ტექნოლოგიის შესაძლებლობებსა და მოქნილობაზე?
• ფუნქციონალობა - რისი გაკეთება შეუძლია ერთ ტექნოლოგიას, რაც მეორეს არ შეუძლია? და მართლა ასე მნიშვნელოვანია?

რა არის არქიტექტურული განსხვავებები და არის თუ არა ისინი მნიშვნელოვანი?

თითოეულ ამ ტექნოლოგიას აქვს მრავალი „მოძრავი ნაწილი“, რომლებიც განსხვავდება არა მხოლოდ მათი როლებით, არამედ იმითაც, თუ როგორ ურთიერთობენ ისინი ერთმანეთთან. რამდენად კარგად არის ეს პრინციპები გააზრებული და გადაწყვეტის ზოგადი მექანიკა პირდაპირ განსაზღვრავს მის მასშტაბურობას, ხარვეზების ტოლერანტობას და საერთო ეფექტურობას.

მოდით განვიხილოთ არქიტექტურის სხვადასხვა ასპექტები უფრო დეტალურად:

მონაცემთა თვითმფრინავი – გადაწყვეტის ნაწილი, რომელიც პასუხისმგებელია მომხმარებლის ტრაფიკის გადაცემაზე წყაროსა და მიმღებს შორის. DMVPN და SD-WAN დანერგილია ზოგადად იდენტურად თავად მარშრუტიზატორებზე Multipoint GRE გვირაბების საფუძველზე. განსხვავება ისაა, თუ როგორ იქმნება ამ გვირაბებისთვის საჭირო პარამეტრების ნაკრები:

• в DMVPN/PfR არის კვანძების ექსკლუზიურად ორდონიანი იერარქია Star ან Hub-n-Spoke ტოპოლოგიით. საჭიროა Hub-ის სტატიკური კონფიგურაცია და Spoke-ის სტატიკური მიბმა Hub-თან, ისევე როგორც ურთიერთქმედება NHRP პროტოკოლის მეშვეობით მონაცემთა სიბრტყის კავშირის შესაქმნელად. შესაბამისად, ჰაბში ცვლილებების შეტანა მნიშვნელოვნად გართულდებადაკავშირებული, მაგალითად, ახალი WAN არხების შეცვლასთან/დაკავშირებასთან ან არსებულის პარამეტრების შეცვლასთან.
• в SD-WAN არის სრულად დინამიური მოდელი დაყენებული გვირაბების პარამეტრების აღმოსაჩენად საკონტროლო სიბრტყეზე (OMP პროტოკოლი) და ორკესტრაციულ სიბრტყეზე (ურთიერთქმედება vBond კონტროლერთან კონტროლერის აღმოჩენისა და NAT გადაკვეთის ამოცანებისთვის). ამ შემთხვევაში, ნებისმიერი ზედმიწევნითი ტოპოლოგიის გამოყენება შეიძლება, იერარქიულის ჩათვლით. დადგენილი გადაფარვის გვირაბის ტოპოლოგიის ფარგლებში, შესაძლებელია ლოგიკური ტოპოლოგიის მოქნილი კონფიგურაცია თითოეულ ცალკეულ VPN-ში (VRF).

საკონტროლო თვითმფრინავი – გადაწყვეტის კომპონენტებს შორის მარშრუტისა და სხვა ინფორმაციის გაცვლის, ფილტრაციის და მოდიფიცირების ფუნქციები.

• в DMVPN/PfR – ხორციელდება მხოლოდ Hub და Spoke როუტერებს შორის. მარშრუტიზაციის ინფორმაციის პირდაპირი გაცვლა Spokes-ს შორის შეუძლებელია. შესაბამისად, მოქმედი ჰაბის გარეშე საკონტროლო სიბრტყე და მონაცემთა სიბრტყე ვერ ფუნქციონირებს, რომელიც აწესებს ჰაბს მაღალი ხელმისაწვდომობის დამატებით მოთხოვნებს, რომლებიც ყოველთვის ვერ სრულდება.
• в SD-WAN – საკონტროლო სიბრტყე არასოდეს ხორციელდება უშუალოდ მარშრუტიზატორებს შორის – ურთიერთქმედება ხდება OMP პროტოკოლის საფუძველზე და აუცილებლად ხორციელდება vSmart კონტროლერის ცალკე სპეციალიზებული ტიპის მეშვეობით, რომელიც იძლევა დაბალანსების, გეო-რეზერვისა და ცენტრალიზებული კონტროლის შესაძლებლობას. სიგნალის დატვირთვა. OMP პროტოკოლის კიდევ ერთი მახასიათებელია მისი მნიშვნელოვანი წინააღმდეგობა დანაკარგების მიმართ და დამოუკიდებლობა კონტროლერებთან საკომუნიკაციო არხის სიჩქარისგან (რა თქმა უნდა გონივრულ ფარგლებში). რაც თანაბრად წარმატებით გაძლევთ საშუალებას განათავსოთ SD-WAN კონტროლერები საჯარო ან კერძო ღრუბლებში ინტერნეტის საშუალებით წვდომით.

პოლიტიკა-პლანი – გადაწყვეტის ნაწილი, რომელიც პასუხისმგებელია განაწილებულ ქსელზე ტრაფიკის მართვის პოლიტიკის განსაზღვრაზე, განაწილებაზე და გამოყენებაზე.

• DMVPN – ეფექტურად შემოიფარგლება მომსახურების ხარისხის (QoS) პოლიტიკით, რომლებიც ინდივიდუალურად არის კონფიგურირებული თითოეულ როუტერზე CLI ან Prime Infrastructure შაბლონების მეშვეობით.
• DMVPN/PfR – PfR პოლიტიკები იქმნება ცენტრალიზებულ Master Controller (MC) როუტერზე CLI-ის მეშვეობით და შემდეგ ავტომატურად ნაწილდება ფილიალების MC-ებში. ამ შემთხვევაში, პოლიტიკის გადაცემის იგივე გზები გამოიყენება როგორც მონაცემთა სიბრტყისთვის. არ არსებობს პოლიტიკის გაცვლის, მარშრუტის ინფორმაციისა და მომხმარებლის მონაცემების გამიჯვნის შესაძლებლობა. პოლიტიკის გავრცელება მოითხოვს IP კავშირის არსებობას Hub-სა და Spoke-ს შორის. ამ შემთხვევაში, MC ფუნქცია შეიძლება, საჭიროების შემთხვევაში, გაერთიანდეს DMVPN როუტერთან. შესაძლებელია (მაგრამ არა სავალდებულო) Prime Infrastructure შაბლონების გამოყენება პოლიტიკის ცენტრალიზებული გენერირებისთვის. მნიშვნელოვანი მახასიათებელია ის, რომ პოლიტიკა ყალიბდება გლობალურად მთელ ქსელში იმავე გზით - ცალკეული სეგმენტების ინდივიდუალური პოლიტიკა არ არის მხარდაჭერილი.
• SD-WAN – ტრაფიკის მართვისა და მომსახურების ხარისხის პოლიტიკა განისაზღვრება ცენტრალიზებულად Cisco vManage გრაფიკული ინტერფეისის მეშვეობით, რომელიც ასევე ხელმისაწვდომია ინტერნეტით (საჭიროების შემთხვევაში). ისინი ნაწილდება სასიგნალო არხებით პირდაპირ ან ირიბად vSmart კონტროლერების მეშვეობით (დამოკიდებულია პოლიტიკის ტიპზე). ისინი არ არიან დამოკიდებული მარშრუტიზატორებს შორის მონაცემთა თვითმფრინავის კავშირზე, რადგან გამოიყენეთ ყველა ხელმისაწვდომი სატრანსპორტო ბილიკი კონტროლერსა და როუტერს შორის.

  ქსელის სხვადასხვა სეგმენტისთვის შესაძლებელია სხვადასხვა პოლიტიკის მოქნილად ჩამოყალიბება - პოლიტიკის ფარგლებს განსაზღვრავს გადაწყვეტაში მოყვანილი მრავალი უნიკალური იდენტიფიკატორი - ფილიალის ნომერი, განაცხადის ტიპი, მოძრაობის მიმართულება და ა.შ.

ორკესტრირება-თვითმფრინავი – მექანიზმები, რომლებიც საშუალებას აძლევს კომპონენტებს დინამიურად აღმოაჩინონ ერთმანეთი, დააკონფიგურირონ და კოორდინაცია გაუწიონ შემდგომ ურთიერთქმედებებს.

• в DMVPN/PfR მარშრუტიზატორებს შორის ორმხრივი აღმოჩენა ეფუძნება Hub მოწყობილობების სტატიკურ კონფიგურაციას და Spoke მოწყობილობების შესაბამის კონფიგურაციას. დინამიური აღმოჩენა ხდება მხოლოდ Spoke-სთვის, რომელიც აცნობებს თავის Hub კავშირის პარამეტრებს მოწყობილობას, რომელიც თავის მხრივ წინასწარ არის კონფიგურირებული Spoke-ით. Spoke-სა და მინიმუმ ერთ ჰაბს შორის IP კავშირის გარეშე შეუძლებელია მონაცემთა სიბრტყის ან საკონტროლო სიბრტყის ჩამოყალიბება.
• в SD-WAN გადაწყვეტის კომპონენტების ორკესტრირება ხდება vBond კონტროლერის გამოყენებით, რომლითაც თითოეულმა კომპონენტმა (როუტერები და vManage/vSmart კონტროლერები) ჯერ უნდა დაამყაროს IP კავშირი.

  თავდაპირველად, კომპონენტებმა არ იციან ერთმანეთის კავშირის პარამეტრების შესახებ - ამისათვის მათ სჭირდებათ vBond შუამავალი ორკესტრი. ზოგადი პრინციპი ასეთია - საწყის ფაზაში თითოეული კომპონენტი სწავლობს (ავტომატურად ან სტატიკურად) მხოლოდ vBond-თან კავშირის პარამეტრებს, შემდეგ vBond აცნობებს როუტერს vManage და vSmart კონტროლერების შესახებ (ადრე აღმოჩენილი), რაც შესაძლებელს ხდის ავტომატურად დადგინდეს. ყველა საჭირო სასიგნალო კავშირი.

  შემდეგი ნაბიჯი არის ახალი როუტერის გაცნობა ქსელის სხვა მარშრუტიზატორებზე vSmart კონტროლერთან OMP კომუნიკაციის საშუალებით. ამრიგად, როუტერს ქსელის პარამეტრების შესახებ თავდაპირველად არაფერი იცოდა, შეუძლია სრულად ავტომატურად აღმოაჩინოს და დაუკავშირდეს კონტროლერებს, შემდეგ კი ავტომატურად აღმოაჩინოს და შექმნას კავშირი სხვა მარშრუტიზატორებთან. ამ შემთხვევაში, ყველა კომპონენტის კავშირის პარამეტრები თავდაპირველად უცნობია და შეიძლება შეიცვალოს ოპერაციის დროს.

მართვა-თვითმფრინავი – გადაწყვეტის ნაწილი, რომელიც უზრუნველყოფს ცენტრალიზებულ მართვასა და მონიტორინგს.

• DMVPN/PfR – არ არის მოწოდებული სპეციალიზებული მართვის თვითმფრინავის გადაწყვეტა. ძირითადი ავტომატიზაციისა და მონიტორინგისთვის შეიძლება გამოყენებულ იქნას ისეთი პროდუქტები, როგორიცაა Cisco Prime Infrastructure. თითოეულ როუტერს აქვს CLI ბრძანების ხაზის მეშვეობით კონტროლის შესაძლებლობა. გარე სისტემებთან ინტეგრაცია API-ით არ არის გათვალისწინებული.
• SD-WAN – ყველა რეგულარული ურთიერთქმედება და მონიტორინგი ხორციელდება ცენტრალიზებულად vManage კონტროლერის გრაფიკული ინტერფეისის მეშვეობით. გადაწყვეტის ყველა მახასიათებელი, გამონაკლისის გარეშე, ხელმისაწვდომია კონფიგურაციისთვის vManage-ის, ასევე სრულად დოკუმენტირებული REST API ბიბლიოთეკის მეშვეობით.

  vManage-ში SD-WAN ქსელის ყველა პარამეტრი ორ მთავარ კონსტრუქტამდე მოდის - მოწყობილობის შაბლონების ფორმირება (Device Template) და პოლიტიკის ფორმირება, რომელიც განსაზღვრავს ქსელის მუშაობის ლოგიკასა და ტრაფიკის დამუშავებას. ამავდროულად, vManage, რომელიც ავრცელებს ადმინისტრატორის მიერ გენერირებულ პოლიტიკას, ავტომატურად ირჩევს თუ რომელი ცვლილებები და რომელ ცალკეულ მოწყობილობებზე/კონტროლერებზე უნდა განხორციელდეს, რაც მნიშვნელოვნად ზრდის გადაწყვეტის ეფექტურობას და მასშტაბურობას.

  vManage ინტერფეისის საშუალებით ხელმისაწვდომია არა მხოლოდ Cisco SD-WAN გადაწყვეტის კონფიგურაცია, არამედ გადაწყვეტის ყველა კომპონენტის სტატუსის სრული მონიტორინგი, ინდივიდუალური გვირაბების მეტრიკის მიმდინარე მდგომარეობამდე და სხვადასხვა აპლიკაციების გამოყენების სტატისტიკა. DPI ანალიზის საფუძველზე.

  ურთიერთქმედების ცენტრალიზაციის მიუხედავად, ყველა კომპონენტს (კონტროლერები და მარშრუტიზატორები) ასევე აქვს სრულად ფუნქციონალური CLI ბრძანების ხაზი, რომელიც აუცილებელია განხორციელების ეტაპზე ან გადაუდებელი დახმარების შემთხვევაში ადგილობრივი დიაგნოსტიკისთვის. ნორმალურ რეჟიმში (თუ კომპონენტებს შორის არის სასიგნალო არხი) მარშრუტიზატორებზე, ბრძანების ხაზი ხელმისაწვდომია მხოლოდ დიაგნოსტიკისთვის და მიუწვდომელია ლოკალური ცვლილებების განსახორციელებლად, რაც უზრუნველყოფს ადგილობრივ უსაფრთხოებას და ამ ქსელში ცვლილებების ერთადერთი წყაროა vManage.

ინტეგრირებული უსაფრთხოება – აქ უნდა ვისაუბროთ არა მხოლოდ მომხმარებლის მონაცემების დაცვაზე ღია არხებით გადაცემისას, არამედ WAN ქსელის მთლიან უსაფრთხოებაზე, რომელიც დაფუძნებულია არჩეულ ტექნოლოგიაზე.

• в DMVPN/PfR შესაძლებელია მომხმარებლის მონაცემებისა და სასიგნალო პროტოკოლების დაშიფვრა. როუტერის გარკვეული მოდელების გამოყენებისას დამატებით ხელმისაწვდომია firewall-ის ფუნქციები ტრაფიკის ინსპექტირებით, IPS/IDS. შესაძლებელია ფილიალების ქსელების სეგმენტირება VRF-ის გამოყენებით. შესაძლებელია (ერთი ფაქტორიანი) საკონტროლო პროტოკოლების ავთენტიფიკაცია.

  ამ შემთხვევაში, დისტანციური როუტერი ნაგულისხმევად ითვლება ქსელის სანდო ელემენტად - ე.ი. ცალკეული მოწყობილობების ფიზიკური კომპრომისის შემთხვევები და მათზე არაავტორიზებული წვდომის შესაძლებლობა არ არის გათვალისწინებული ან მხედველობაში არ მიიღება; არ არსებობს გადაწყვეტის კომპონენტების ორფაქტორიანი ავთენტიფიკაცია, რაც გეოგრაფიულად განაწილებული ქსელის შემთხვევაში შეიძლება შეიცავდეს მნიშვნელოვან დამატებით რისკებს.

• в SD-WAN DMVPN-ის ანალოგიით, უზრუნველყოფილია მომხმარებლის მონაცემების დაშიფვრის შესაძლებლობა, მაგრამ მნიშვნელოვნად გაფართოებული ქსელის უსაფრთხოება და L3/VRF სეგმენტაციის ფუნქციები (firewall, IPS/IDS, URL ფილტრაცია, DNS ფილტრაცია, AMP/TG, SASE, TLS/SSL პროქსი, და სხვ.) დ.). ამავდროულად, დაშიფვრის გასაღებების გაცვლა უფრო ეფექტურად ხორციელდება vSmart კონტროლერების საშუალებით (და არა უშუალოდ), წინასწარ დაყენებული სასიგნალო არხებით, რომლებიც დაცულია უსაფრთხოების სერთიფიკატებზე დაფუძნებული DTLS/TLS დაშიფვრით. რაც თავის მხრივ უზრუნველყოფს ასეთი ბირჟების უსაფრთხოებას და უზრუნველყოფს გადაწყვეტის უკეთეს მასშტაბურობას იმავე ქსელში ათიათასობით მოწყობილობამდე.

  ყველა სასიგნალო კავშირი (კონტროლერი-კონტროლერთან, კონტროლერ-როუტერი) ასევე დაცულია DTLS/TLS-ის საფუძველზე. მარშრუტიზატორები აღჭურვილია უსაფრთხოების სერთიფიკატებით წარმოებისას ჩანაცვლების/გაფართოების შესაძლებლობით. ორფაქტორიანი ავთენტიფიკაცია მიიღწევა როუტერის/კონტროლერის SD-WAN ქსელში ფუნქციონირებისთვის ორი პირობის სავალდებულო და ერთდროული შესრულების გზით:

  • მოქმედი უსაფრთხოების სერტიფიკატი
  • ადმინისტრატორის მიერ თითოეული კომპონენტის აშკარა და შეგნებული ჩართვა ნებადართული მოწყობილობების „თეთრ“ სიაში.

ფუნქციური განსხვავებები SD-WAN-სა და DMVPN/PfR-ს შორის

ფუნქციური განსხვავებების განხილვაზე გადასვლისას უნდა აღინიშნოს, რომ ბევრი მათგანი არქიტექტურულის გაგრძელებაა - საიდუმლო არ არის, რომ გადაწყვეტის არქიტექტურის ფორმირებისას, დეველოპერები იწყებენ იმ შესაძლებლობებიდან, რომელთა მიღებაც სურთ საბოლოოდ. მოდით შევხედოთ ყველაზე მნიშვნელოვან განსხვავებებს ორ ტექნოლოგიას შორის.

AppQ (აპლიკაციის ხარისხი) – ფუნქციები, რომლებიც უზრუნველყოფენ ბიზნეს აპლიკაციების ტრაფიკის გადაცემის ხარისხს

განსახილველი ტექნოლოგიების ძირითადი ფუნქციები მიზნად ისახავს მომხმარებლის გამოცდილების მაქსიმალურად გაუმჯობესებას განაწილებულ ქსელში ბიზნესისთვის კრიტიკული აპლიკაციების გამოყენებისას. ეს განსაკუთრებით მნიშვნელოვანია იმ პირობებში, როდესაც ინფრასტრუქტურის ნაწილს არ აკონტროლებს IT ან არც კი უზრუნველყოფს მონაცემთა წარმატებულ გადაცემას.

DMVPN თავად არ უზრუნველყოფს ასეთ მექანიზმებს. საუკეთესო, რაც შეიძლება გაკეთდეს კლასიკურ DMVPN ქსელში, არის გამავალი ტრაფიკის კლასიფიკაცია აპლიკაციის მიხედვით და მისი პრიორიტეტიზაცია WAN არხზე გადაცემისას. DMVPN გვირაბის არჩევანი ამ შემთხვევაში განისაზღვრება მხოლოდ მისი ხელმისაწვდომობით და მარშრუტიზაციის პროტოკოლების მუშაობის შედეგით. ამავდროულად, ბილიკის/გვირაბის ბოლოდან ბოლომდე მდგომარეობა და მისი შესაძლო ნაწილობრივი დეგრადაცია არ არის გათვალისწინებული ძირითადი მეტრიკის თვალსაზრისით, რომელიც მნიშვნელოვანია ქსელის აპლიკაციებისთვის - დაყოვნება, დაყოვნების ცვალებადობა (ჯიტერი) და დანაკარგები (% ). ამასთან დაკავშირებით, კლასიკური DMVPN-ის პირდაპირ შედარება SD-WAN-თან AppQ პრობლემების გადაჭრის თვალსაზრისით, ყოველგვარ მნიშვნელობას კარგავს - DMVPN ამ პრობლემას ვერ გადაჭრის. როდესაც ამ კონტექსტში დაამატებთ Cisco Performance Routing (PfR) ტექნოლოგიას, სიტუაცია იცვლება და Cisco SD-WAN-თან შედარება უფრო მნიშვნელოვანი ხდება.

სანამ განსხვავებებს განვიხილავთ, აქ არის სწრაფი გადახედვა, თუ როგორ არის მსგავსი ტექნოლოგიები. ასე რომ, ორივე ტექნოლოგია:

• გქონდეთ მექანიზმი, რომელიც საშუალებას გაძლევთ დინამიურად შეაფასოთ თითოეული ჩამოყალიბებული გვირაბის მდგომარეობა გარკვეული მეტრიკის მიხედვით - მინიმუმამდე, დაყოვნება, დაყოვნების ცვალებადობა და პაკეტის დაკარგვა (%).
• გამოიყენეთ ინსტრუმენტების კონკრეტული ნაკრები სატრანსპორტო მოძრაობის მართვის წესების (პოლიტიკის) ფორმირებისთვის, განაწილებისა და გამოყენებისთვის, ძირითადი გვირაბის მეტრიკის მდგომარეობის გაზომვის შედეგების გათვალისწინებით.
• აპლიკაციის ტრაფიკის კლასიფიკაცია OSI მოდელის L3-L4 (DSCP) დონეზე ან L7 აპლიკაციის ხელმოწერების მიხედვით, როუტერში ჩაშენებული DPI მექანიზმების საფუძველზე
• მნიშვნელოვანი აპლიკაციებისთვის, ისინი საშუალებას გაძლევთ განსაზღვროთ მეტრიკის მისაღები ზღვრული მნიშვნელობები, ნაგულისხმევად ტრაფიკის გადაცემის წესები და ზღვრული მნიშვნელობების გადაჭარბებისას ტრაფიკის გადამისამართების წესები.
• GRE/IPSec-ში ტრაფიკის ინკაფსულაციისას, ისინი იყენებენ უკვე დამკვიდრებულ ინდუსტრიულ მექანიზმს შიდა DSCP მარკირების გადასატანად გარე GRE/IPSEC პაკეტის სათაურზე, რაც საშუალებას აძლევს ორგანიზაციისა და ტელეკომის ოპერატორის QoS პოლიტიკის სინქრონიზაციას (თუ არსებობს შესაბამისი SLA). .

როგორ განსხვავდება SD-WAN და DMVPN/PfR ბოლოდან ბოლომდე მეტრიკა?

DMVPN/PfR

• როგორც აქტიური, ასევე პასიური პროგრამული სენსორები (Probes) გამოიყენება სტანდარტული გვირაბის ჯანმრთელობის მეტრიკის შესაფასებლად. აქტიურები დაფუძნებულია მომხმარებლის ტრაფიკზე, პასიურიები ამსგავსებენ ასეთ ტრაფიკს (მისი არარსებობის შემთხვევაში).
• არ არსებობს ტაიმერების და დეგრადაციის გამოვლენის პირობების დაზუსტება - ალგორითმი ფიქსირდება.
• გარდა ამისა, ხელმისაწვდომია გამოყენებული გამტარუნარიანობის გაზომვა გამავალი მიმართულებით. რაც დამატებით ტრაფიკის მართვის მოქნილობას მატებს DMVPN/PfR-ს.
• ამავდროულად, ზოგიერთი PfR მექანიზმი, როდესაც მეტრიკა გადაჭარბებულია, ეყრდნობა უკუკავშირის სიგნალს სპეციალური TCA (Threshold Crossing Alert) შეტყობინებების სახით, რომელიც უნდა მოდიოდეს ტრაფიკის მიმღებიდან წყაროსკენ, რაც თავის მხრივ ვარაუდობს, რომ მდგომარეობა გაზომილი არხები მინიმუმ საკმარისი უნდა იყოს ასეთი TCA შეტყობინებების გადასაცემად. რაც უმეტეს შემთხვევაში პრობლემას არ წარმოადგენს, მაგრამ ცხადია, გარანტირებული არ არის.

SD-WAN

• სტანდარტული გვირაბის მდგომარეობის მეტრიკის ბოლოდან ბოლომდე შეფასებისთვის, BFD პროტოკოლი გამოიყენება ექო რეჟიმში. ამ შემთხვევაში, სპეციალური გამოხმაურება TCA ან მსგავსი შეტყობინებების სახით არ არის საჭირო - შენარჩუნებულია წარუმატებლობის დომენების იზოლაცია. ის ასევე არ საჭიროებს მომხმარებლის ტრაფიკის არსებობას გვირაბის მდგომარეობის შესაფასებლად.
• შესაძლებელია BFD ტაიმერების დაზუსტება, რათა დაარეგულიროს რეაგირების სიჩქარე და ალგორითმის მგრძნობელობა საკომუნიკაციო არხის დეგრადაციაზე რამდენიმე წამიდან წუთამდე.

  

• წერის დროს, თითოეულ გვირაბში არის მხოლოდ ერთი BFD სესია. ეს პოტენციურად ქმნის ნაკლებ გრანულარობას გვირაბის მდგომარეობის ანალიზში. სინამდვილეში, ეს შეიძლება გახდეს შეზღუდვა მხოლოდ იმ შემთხვევაში, თუ იყენებთ WAN კავშირს MPLS L2/L3 VPN-ზე დაფუძნებული შეთანხმებული QoS SLA-ით - თუ BFD ტრაფიკის DSCP მარკირება (IPSec/GRE-ში ჩასმის შემდეგ) ემთხვევა მაღალი პრიორიტეტის რიგს ტელეკომის ოპერატორის ქსელში, მაშინ ამან შეიძლება გავლენა მოახდინოს დაბალი პრიორიტეტის ტრაფიკის დეგრადაციის გამოვლენის სიზუსტეზე და სიჩქარეზე. ამავდროულად, შესაძლებელია შეიცვალოს ნაგულისხმევი BFD ეტიკეტირება ასეთი სიტუაციების რისკის შესამცირებლად. Cisco SD-WAN პროგრამული უზრუნველყოფის მომავალ ვერსიებში მოსალოდნელია BFD-ის უფრო დახვეწილი პარამეტრები, ისევე როგორც რამდენიმე BFD სესიის გაშვების შესაძლებლობა იმავე გვირაბში ინდივიდუალური DSCP მნიშვნელობებით (სხვადასხვა აპლიკაციისთვის).
• BFD დამატებით საშუალებას გაძლევთ შეაფასოთ პაკეტის მაქსიმალური ზომა, რომელიც შეიძლება გადაიცეს კონკრეტულ გვირაბში ფრაგმენტაციის გარეშე. ეს საშუალებას აძლევს SD-WAN-ს დინამიურად დაარეგულიროს ისეთი პარამეტრები, როგორიცაა MTU და TCP MSS Adjust, რათა მაქსიმალურად გამოიყენოს ხელმისაწვდომი გამტარობა თითოეულ ბმულზე.
• SD-WAN-ში ასევე ხელმისაწვდომია QoS სინქრონიზაციის ვარიანტი ტელეკომის ოპერატორებისგან, არა მხოლოდ L3 DSCP ველების საფუძველზე, არამედ L2 CoS მნიშვნელობებზე დაყრდნობით, რომელიც შეიძლება ავტომატურად გენერირდეს ფილიალის ქსელში სპეციალიზებული მოწყობილობებით - მაგალითად, IP. ტელეფონები

როგორ განსხვავდება AppQ პოლიტიკის განსაზღვრისა და გამოყენების შესაძლებლობები, მეთოდები?

DMVPN/PfR პოლიტიკა:

• განსაზღვრულია ცენტრალური ფილიალის როუტერ(ებ)ზე CLI ბრძანების ხაზის ან CLI კონფიგურაციის შაბლონების მეშვეობით. CLI შაბლონების გენერირება მოითხოვს პოლიტიკის სინტაქსის მომზადებას და ცოდნას.

  

• განსაზღვრულია გლობალურად ცალკეული ქსელის სეგმენტების მოთხოვნების ინდივიდუალური კონფიგურაციის/ცვლის შესაძლებლობის გარეშე.
• ინტერაქტიული პოლიტიკის გენერირება არ არის გათვალისწინებული გრაფიკულ ინტერფეისში.
• ცვლილებების თვალყურის დევნება, მემკვიდრეობა და პოლიტიკის მრავალი ვერსიის შექმნა სწრაფი გადართვისთვის არ არის მოწოდებული.
• ავტომატურად ნაწილდება დისტანციური ფილიალების მარშრუტიზატორებზე. ამ შემთხვევაში, იგივე საკომუნიკაციო არხები გამოიყენება, როგორც მომხმარებლის მონაცემების გადასაცემად. თუ ცენტრალურ და დისტანციურ ფილიალს შორის არ არის საკომუნიკაციო არხი, პოლისის განაწილება/შეცვლა შეუძლებელია.
• ისინი გამოიყენება თითოეულ როუტერზე და, საჭიროების შემთხვევაში, ცვლის სტანდარტული მარშრუტიზაციის პროტოკოლების შედეგს, რომელსაც აქვს უმაღლესი პრიორიტეტი.
• იმ შემთხვევებში, როდესაც ყველა ფილიალი WAN ბმულს განიცდის მნიშვნელოვანი ტრაფიკის დაკარგვა, არ არის გათვალისწინებული კომპენსაციის მექანიზმები.

SD-WAN პოლიტიკა:

• განსაზღვრულია vManage GUI ინტერაქტიული შაბლონის ოსტატის მეშვეობით.
• მხარს უჭერს მრავალი პოლიტიკის შექმნას, კოპირებას, მემკვიდრეობას, პოლიტიკას შორის გადართვას რეალურ დროში.
• მხარს უჭერს პოლიტიკის ინდივიდუალურ პარამეტრებს ქსელის სხვადასხვა სეგმენტისთვის (ფილიალები)
• ისინი ნაწილდება ნებისმიერი ხელმისაწვდომი სიგნალის არხის გამოყენებით კონტროლერსა და როუტერს და/ან vSmart-ს შორის - პირდაპირ არ არის დამოკიდებული როუტერებს შორის მონაცემთა სიბრტყის კავშირზე. ეს, რა თქმა უნდა, მოითხოვს IP დაკავშირებას თავად როუტერსა და კონტროლერებს შორის.

  

• იმ შემთხვევებში, როდესაც ფილიალის ყველა ხელმისაწვდომი ფილიალი განიცდის მონაცემთა მნიშვნელოვან დანაკარგს, რომელიც აღემატება კრიტიკული აპლიკაციებისთვის მისაღები ზღვრებს, შესაძლებელია გამოიყენოთ დამატებითი მექანიზმები, რომლებიც გაზრდის გადაცემის საიმედოობას:
  • FEC (წინა შეცდომის კორექტირება) - იყენებს სპეციალურ ზედმეტ კოდირების ალგორითმს. მნიშვნელოვანი პროცენტული დანაკარგების მქონე არხებზე კრიტიკული ტრაფიკის გადაცემისას, FEC შეიძლება ავტომატურად გააქტიურდეს და საჭიროების შემთხვევაში, მონაცემთა დაკარგული ნაწილის აღდგენის საშუალებას იძლევა. ეს ოდნავ ზრდის გამოყენებული გადაცემის სიჩქარეს, მაგრამ მნიშვნელოვნად აუმჯობესებს საიმედოობას.

    

  • მონაცემთა ნაკადების დუბლირება – FEC-ის გარდა, პოლიტიკას შეუძლია უზრუნველყოს შერჩეული აპლიკაციების ტრაფიკის ავტომატური გაორმაგება დანაკარგების კიდევ უფრო სერიოზული დონის შემთხვევაში, რომელიც ვერ ანაზღაურდება FEC-ის მიერ. ამ შემთხვევაში, შერჩეული მონაცემები გადაიცემა ყველა გვირაბში მიმღები ფილიალისკენ, შემდგომი დედუბლირებით (პაკეტების დამატებითი ასლების ჩაშვებით). მექანიზმი მნიშვნელოვნად ზრდის არხის გამოყენებას, მაგრამ ასევე მნიშვნელოვნად ზრდის გადაცემის საიმედოობას.

Cisco SD-WAN შესაძლებლობები, პირდაპირი ანალოგების გარეშე DMVPN/PfR-ში

Cisco SD-WAN გადაწყვეტის არქიტექტურა ზოგიერთ შემთხვევაში საშუალებას გაძლევთ მიიღოთ შესაძლებლობები, რომლებიც ან უკიდურესად რთულია DMVPN/PfR-ის ფარგლებში განსახორციელებელი, ან არაპრაქტიკული შრომის საჭირო ხარჯების გამო, ან სრულიად შეუძლებელია. მოდით შევხედოთ მათგან ყველაზე საინტერესოს:

სატრანსპორტო საინჟინრო (TE)

TE მოიცავს მექანიზმებს, რომლებიც საშუალებას აძლევს ტრაფიკს განშტოდეს სტანდარტული გზა, რომელიც ჩამოყალიბებულია მარშრუტიზაციის პროტოკოლებით. TE ხშირად გამოიყენება ქსელის სერვისების მაღალი ხელმისაწვდომობის უზრუნველსაყოფად, კრიტიკული ტრაფიკის სწრაფად და/ან პროაქტიულად გადაცემის შესაძლებლობის მეშვეობით ალტერნატიულ (არაერთობიან) გადაცემის გზაზე, რათა უზრუნველყოს მომსახურების უკეთესი ხარისხი ან აღდგენის სიჩქარე წარუმატებლობის შემთხვევაში. მთავარ გზაზე.

TE-ის დანერგვის სირთულე მდგომარეობს იმაში, რომ საჭიროა წინასწარ გამოთვალოთ და დაჯავშნოთ (შეამოწმოთ) ალტერნატიული გზა. ტელეკომის ოპერატორების MPLS ქსელებში, ეს პრობლემა მოგვარებულია ტექნოლოგიების გამოყენებით, როგორიცაა MPLS Traffic-Engineering, IGP პროტოკოლების გაფართოებით და RSVP პროტოკოლით. ასევე ცოტა ხნის წინ, Segment Routing ტექნოლოგია, რომელიც უფრო ოპტიმიზებულია ცენტრალიზებული კონფიგურაციისა და ორკესტრირებისთვის, სულ უფრო პოპულარული გახდა. კლასიკურ WAN ქსელებში, ეს ტექნოლოგიები, როგორც წესი, არ არის წარმოდგენილი ან მცირდება ჰოპ-ის ჰოპ მექანიზმების გამოყენებაზე, როგორიცაა Policy-Based Routing (PBR), რომელსაც შეუძლია ტრაფიკის განშტოება, მაგრამ ახორციელებს ამას თითოეულ როუტერზე ცალკე - აღების გარეშე. ქსელის მთლიანი მდგომარეობის ან PBR შედეგის გათვალისწინებით წინა ან შემდგომ ნაბიჯებში. ამ TE პარამეტრების გამოყენების შედეგი იმედგაცრუებულია - MPLS TE, კონფიგურაციისა და მუშაობის სირთულის გამო, გამოიყენება, როგორც წესი, მხოლოდ ქსელის ყველაზე კრიტიკულ ნაწილში (ბირთვი), ხოლო PBR გამოიყენება ცალკეულ მარშრუტიზატორებზე, გარეშე. მთელი ქსელისთვის ერთიანი PBR პოლიტიკის შექმნის შესაძლებლობა. ცხადია, ეს ასევე ეხება DMVPN-ზე დაფუძნებულ ქსელებს.

SD-WAN ამ კუთხით გვთავაზობს ბევრად უფრო ელეგანტურ გადაწყვეტას, რომელიც არა მხოლოდ მარტივია კონფიგურაციისთვის, არამედ ბევრად უკეთესად მასშტაბირებს. ეს არის გამოყენებული საკონტროლო სიბრტყის და პოლიტიკის სიბრტყის არქიტექტურის შედეგი. SD-WAN-ში პოლიტიკის სიბრტყის დანერგვა საშუალებას გაძლევთ ცენტრალიზებულად განსაზღვროთ TE პოლიტიკა - რა ტრაფიკი არის საინტერესო? რომელი VPN-ებისთვის? რომელი კვანძების/გვირაბის გავლით არის საჭირო ან, პირიქით, აკრძალული ალტერნატიული მარშრუტის ფორმირება? თავის მხრივ, vSmart კონტროლერებზე დაფუძნებული საკონტროლო სიბრტყის მართვის ცენტრალიზაცია საშუალებას გაძლევთ შეცვალოთ მარშრუტიზაციის შედეგები ცალკეული მოწყობილობების პარამეტრების გამოყენების გარეშე - მარშრუტიზატორები უკვე ხედავენ მხოლოდ იმ ლოგიკის შედეგს, რომელიც შეიქმნა vManage ინტერფეისში და გადაეცა გამოსაყენებლად. vSmart.

სერვის-ჯაჭვობა

სერვისის ჯაჭვების ჩამოყალიბება კიდევ უფრო შრომატევადი ამოცანაა კლასიკურ მარშრუტიზაციაში, ვიდრე უკვე აღწერილი Traffic-Engineering მექანიზმი. მართლაც, ამ შემთხვევაში, აუცილებელია არა მხოლოდ სპეციალური მარშრუტის შექმნა კონკრეტული ქსელის აპლიკაციისთვის, არამედ უზრუნველყოს SD-WAN ქსელის გარკვეულ (ან ყველა) კვანძზე ტრაფიკის ამოღების შესაძლებლობა. სპეციალური აპლიკაცია ან სერვისი (Firewall, Balancing, Caching, Inspection Traffic და ა.შ.). ამავდროულად, აუცილებელია ამ გარე სერვისების მდგომარეობის კონტროლი, რათა თავიდან იქნას აცილებული შავი ხვრელის სიტუაციები, ასევე საჭიროა მექანიზმები, რომლებიც საშუალებას მისცემს იმავე ტიპის გარე სერვისებს განთავსდეს სხვადასხვა გეო-ლოკაციებში. ქსელის შესაძლებლობით ავტომატურად შეარჩიოს ყველაზე ოპტიმალური სერვისის კვანძი კონკრეტული ფილიალის ტრაფიკის დასამუშავებლად. Cisco SD-WAN-ის შემთხვევაში, ამის მიღწევა საკმაოდ მარტივია შესაბამისი ცენტრალიზებული პოლიტიკის შექმნით, რომელიც „წებავს“ სამიზნე სერვისის ჯაჭვის ყველა ასპექტს ერთ მთლიანობაში და ავტომატურად ცვლის მონაცემთა სიბრტყის და საკონტროლო სიბრტყის ლოგიკას მხოლოდ იქ, სადაც. და როცა საჭიროა.

შერჩეული ტიპის აპლიკაციების ტრაფიკის გეო-განაწილებული დამუშავების შექმნის შესაძლებლობა გარკვეული თანმიმდევრობით სპეციალიზებულ (მაგრამ არ არის დაკავშირებული თავად SD-WAN ქსელთან) მოწყობილობებზე, ალბათ ყველაზე ნათელი დემონსტრირებაა Cisco SD-WAN-ის უპირატესობების კლასიკურთან შედარებით. ტექნოლოგიები და კიდევ რამდენიმე ალტერნატიული SD გადაწყვეტილებები -WAN სხვა მწარმოებლებისგან.

შედეგი?

ცხადია, ორივე DMVPN (შესრულების მარშრუტირებით ან მის გარეშე) და Cisco SD-WAN დასრულდება ძალიან მსგავსი პრობლემების გადაჭრა ორგანიზაციის განაწილებულ WAN ქსელთან დაკავშირებით. ამავდროულად, Cisco SD-WAN ტექნოლოგიაში მნიშვნელოვანი არქიტექტურული და ფუნქციური განსხვავებები იწვევს ამ პრობლემების გადაჭრის პროცესს. სხვა ხარისხის დონეზე. შეჯამებისთვის, ჩვენ შეგვიძლია აღვნიშნოთ შემდეგი მნიშვნელოვანი განსხვავებები SD-WAN და DMVPN/PfR ტექნოლოგიებს შორის:

• DMVPN/PfR ზოგადად იყენებს დროში შემოწმებულ ტექნოლოგიებს გადაფარვის VPN ქსელების შესაქმნელად და, მონაცემთა სიბრტყის თვალსაზრისით, უფრო თანამედროვე SD-WAN ტექნოლოგიის მსგავსია, თუმცა, არსებობს მთელი რიგი შეზღუდვები სავალდებულო სტატიკური კონფიგურაციის სახით. მარშრუტიზატორები და ტოპოლოგიების არჩევანი შემოიფარგლება Hub-n-Spoke-ით. მეორეს მხრივ, DMVPN/PfR-ს აქვს გარკვეული ფუნქციონალობა, რომელიც ჯერ არ არის ხელმისაწვდომი SD-WAN-ში (ჩვენ ვსაუბრობთ BFD თითო აპლიკაციაზე).
• საკონტროლო სიბრტყეში ტექნოლოგიები ძირეულად განსხვავდება. სასიგნალო პროტოკოლების ცენტრალიზებული დამუშავების გათვალისწინებით, SD-WAN საშუალებას იძლევა, კერძოდ, მნიშვნელოვნად შევიწროთ წარუმატებლობის დომენები და "გააწყვიტოს" მომხმარებლის ტრაფიკის გადაცემის პროცესი სასიგნალო ურთიერთქმედებიდან - კონტროლერების დროებითი მიუწვდომლობა გავლენას არ ახდენს მომხმარებლის ტრაფიკის გადაცემის უნარზე. . ამავდროულად, რომელიმე ფილიალის (მათ შორის ცენტრალური) დროებითი მიუწვდომლობა არანაირად არ მოქმედებს სხვა ფილიალების ერთმანეთთან და კონტროლერებთან ურთიერთობის უნარზე.
• SD-WAN-ის შემთხვევაში ტრაფიკის მართვის პოლიტიკის ფორმირებისა და გამოყენების არქიტექტურა ასევე აღემატება DMVPN/PfR-ს - გეორეზერვაცია ბევრად უკეთ არის განხორციელებული, არ არის კავშირი ჰაბთან, მეტია დაჯარიმების შესაძლებლობა. -თუნინგის პოლიტიკა, ტრაფიკის მართვის განხორციელებული სცენარების სია ასევე გაცილებით დიდია.
• ხსნარის ორკესტრირების პროცესი ასევე მნიშვნელოვნად განსხვავდება. DMVPN ითვალისწინებს ადრე ცნობილი პარამეტრების არსებობას, რომლებიც გარკვეულწილად უნდა აისახოს კონფიგურაციაში, რაც გარკვეულწილად ზღუდავს გადაწყვეტის მოქნილობას და დინამიური ცვლილებების შესაძლებლობას. თავის მხრივ, SD-WAN ემყარება პარადიგმას, რომ კავშირის საწყის მომენტში როუტერმა „არაფერი იცის“ მისი კონტროლერების შესახებ, მაგრამ იცის „ვის შეიძლება ჰკითხო“ - ეს საკმარისია არა მხოლოდ იმისთვის, რომ ავტომატურად დაამყაროს კომუნიკაცია. კონტროლერები, არამედ სრულად დაკავშირებული მონაცემთა სიბრტყის ტოპოლოგიის ავტომატურად ფორმირებისთვის, რომელიც შემდეგ შეიძლება მოქნილად იყოს კონფიგურირებული/შეცვლილი პოლიტიკის გამოყენებით.
• ცენტრალიზებული მენეჯმენტის, ავტომატიზაციისა და მონიტორინგის თვალსაზრისით, მოსალოდნელია, რომ SD-WAN აჭარბებს DMVPN/PfR-ის შესაძლებლობებს, რომლებიც წარმოიშვა კლასიკური ტექნოლოგიებიდან და უფრო მეტად ეყრდნობა CLI ბრძანების ხაზს და შაბლონებზე დაფუძნებულ NMS სისტემების გამოყენებას.
• SD-WAN-ში, DMVPN-თან შედარებით, უსაფრთხოების მოთხოვნები მიაღწია განსხვავებულ ხარისხობრივ დონეს. ძირითადი პრინციპებია ნულოვანი ნდობა, მასშტაბურობა და ორფაქტორიანი ავთენტიფიკაცია.

ამ მარტივმა დასკვნებმა შეიძლება შექმნას არასწორი შთაბეჭდილება, რომ DMVPN/PfR-ზე დაფუძნებული ქსელის შექმნამ დღეს დაკარგა ყველანაირი აქტუალობა. ეს, რა თქმა უნდა, მთლად სიმართლეს არ შეესაბამება. მაგალითად, იმ შემთხვევებში, როდესაც ქსელი იყენებს უამრავ მოძველებულ აღჭურვილობას და არ არსებობს მისი ჩანაცვლების საშუალება, DMVPN საშუალებას მოგცემთ დააკავშიროთ „ძველი“ და „ახალი“ მოწყობილობები ერთ გეოგანაწილებულ ქსელში, აღწერილი მრავალი უპირატესობით. ზემოთ.

მეორეს მხრივ, უნდა გვახსოვდეს, რომ ყველა ამჟამინდელი Cisco კორპორატიული მარშრუტიზატორი, რომელიც დაფუძნებულია IOS XE-ზე (ISR 1000, ISR 4000, ASR 1000, CSR 1000v) დღეს მხარს უჭერს ნებისმიერ ოპერაციულ რეჟიმს - როგორც კლასიკურ მარშრუტიზაციას, ასევე DMVPN და SD-WAN - არჩევანი განისაზღვრება მიმდინარე საჭიროებებით და იმის გაგებით, რომ ნებისმიერ მომენტში, იგივე აღჭურვილობის გამოყენებით, შეგიძლიათ დაიწყოთ უფრო მოწინავე ტექნოლოგიებისკენ სვლა.

წყარო: www.habr.com